Laba sano iyo bar ka dib markii la daabacay laanta 2.5, sii deynta ayaa diyaar ah OpenVPN 2.6.0, xirmo loogu talagalay abuurista shabakadaha gaarka loo leeyahay ee internetka kaas oo kuu oggolaanaya inaad abaabusho xiriir sir ah oo u dhexeeya laba mashiin oo macaamiil ah ama aad siiso server VPN dhexe si ay isku mar u shaqeeyaan dhowr macaamiil. OpenVPN oo loo qaybiyay shatiga GPLv2, xirmooyinka binary-ka ee diyaarsan ayaa la soo saaraa Debian, Ubuntu, CentOS, RHEL iyo Windows.
Hal-abuurka ugu muhiimsan:
- Waxay bixisaa taageero tiro aan xadidnayn ee isku xirka.
- Module-ka kernel-ka ovpn-dco ayaa ku jira, kaas oo u oggolaanaya dardargelinta waxqabadka muhiimka ah. VPNDardargelinta waxaa lagu gaaraa iyadoo dhammaan hawlgallada sirta ah, habaynta baakadaha, iyo maaraynta kanaalka isgaarsiinta loo raro dhinaca kernel-ka. Linux, kaas oo meesha ka saaraya kharashka badan ee la xiriira beddelka macnaha guud, wuxuu suurtogal ka dhigayaa hagaajinta iyadoo si toos ah loo galo API-yada gudaha ee kernel-ka, wuxuuna meesha ka saarayaa wareejinta xogta gaabiska ah ee u dhaxaysa kernel-ka iyo booska isticmaalaha (sirbixinta, furfurista, iyo marin-haweedka waxaa sameeya module-ka iyada oo aan loo dirin taraafikada gacanta ku haysa booska isticmaalaha).
Tijaabooyinka la qaaday, marka la barbar dhigo qaabeynta ku saleysan tun interface-ka, adeegsiga moduleka ee macmiilka iyo dhinacyada serverka iyadoo la adeegsanayo AES-256-GCM cipher waxay suurtagelisay in la gaaro koror 8-laab ah wax soo saarka (laga bilaabo 370). Mbit/s ilaa 2950 Mbit/s). Marka la isticmaalayo moduleka oo kaliya dhinaca macmiilka, wax soo saarka ayaa kordhay saddex laab taraafikada baxaya oo aan isbeddelin taraafikada soo socota. Marka la isticmaalayo qaybta kaliya ee dhinaca server-ka, wax soo saarka ayaa kordhay 4 jeer taraafikada soo socota iyo 35% taraafikada baxaya.
- Waa suurtogal in la isticmaalo qaabka TLS oo leh shahaadooyin is-saxiix ah (marka la isticmaalayo "-farta-faraha", waxaad ka tagi kartaa xuduudaha "-ca" iyo "-capath" oo aad iska ilaaliso socodsiinta server-ka PKI ee ku salaysan Easy-RSA ama software la mid ah).
- Seerarka UDP waxa uu fuliya habka gorgortanka isku xirka kukiyada, kaas oo isticmaala kukiyada ku salaysan HMAC sida aqoonsiga kalfadhiga, taas oo u ogolaanaysa serfarka in uu sameeyo xaqiijin bilaa wadan ah.
- Taageero lagu daray dhismaha maktabadda OpenSSL 3.0. Lagu daray "--tls-cert-profile insecure" doorasho si loo doorto heerka ugu yar ee amniga OpenSSL.
- Lagu daray koontaroolka cusub wuxuu amrayaa tirinta-tirinta-tirinta iyo fog-gelinta-hel si loo tiriyo tirada isku-xirnaanta dibadda oo muuji liiskooda.
- Inta lagu jiro habka heshiiska muhiimka ah, habka la doorbidayo ee lagu heli karo agabka soo saarista muhiimka ah hadda waa habka EKM (Exported Keying Material, RFC 5705), halkii laga isticmaali lahaa habka gaarka ah. OpenVPN PRF. Isticmaalka EKM wuxuu u baahan yahay maktabadda OpenSSL ama mbed TLS 2.18+.
- Waxaa la bixiyay iswaafajin OpenSSL oo ku jirta qaabka FIPS, kaas oo u oggolaanaya isticmaalka OpenVPN nidaamyada buuxiya shuruudaha amniga FIPS 140-2.
- mlock wuxuu hirgeliyaa jeeg si loo hubiyo in xusuusta ku filan la hayo. Marka wax ka yar 100 MB ee RAM la heli karo, setrlimit () ayaa loogu yeeraa si loo kordhiyo xadka.
- Lagu daray ikhtiyaarka "--feer-fingerprint" si loo hubiyo ansaxnimada ama ku xidhnaanta shahaado iyadoo la isticmaalayo faraha ku salaysan xashiish SHA256, adoon isticmaalin tls-xaqiijiye.
- Qoraalada waxaa la siiyay ikhtiyaarka xaqiijinta dib loo dhigay, oo lagu fuliyay iyadoo la adeegsanayo ikhtiyaarka "-auth-user-pass-verify". Taageerada ogeysiinta macmiilka ee ku saabsan xaqiijinta sugaysa marka la isticmaalayo sugida dib loo dhigay ayaa lagu daray qoraalada iyo plugins.
- Habka iswaafajinta lagu daray (--compat-mode) si loogu oggolaado ku xidhitaanka server-yadii hore ee isticmaala OpenVPN Noocyo 2.3.x ama ka weyn.
- Liisku wuxuu u oggolaanayaa habka "--data-ciphers" inuu qeexo sirta ikhtiyaariga ah ee la isticmaali doono oo keliya haddii la taageero. SSL-maktabad.
- Ikhtiyaarka lagu daray "-session-timeout" kaas oo aad ku xaddidi karto wakhtiga fadhiga ugu badan.
- Faylka qaabeynta wuxuu ogolaanayaa in la cayimo magaca iyo erayga sirta ah iyadoo la isticmaalayo summada .
- Awoodda si firfircooni leh loogu habeeyo MTU-ga macmiilka ayaa la bixiyaa, iyadoo lagu salaynayo xogta MTU ee adeeguhu gudbiyo. Si loo beddelo cabbirka ugu sarreeya ee MTU, ikhtiyaarka "-tun-mtu-max" ayaa lagu daray (default waa 1600).
- Lagu daray "--max-packet-size" cabbirka si loo qeexo cabbirka ugu sarreeya ee xirmooyinka xakamaynta.
- Taageerada laga saaray qaabka bilowga OpenVPN Iyada oo loo marayo inetd. Ikhtiyaarka ncp-disable waa la saaray. Ikhtiyaarka xaqiijinta-hash iyo qaabka furaha taagan waa la joojiyay (oo keliya TLS). TLS 1.0 iyo 1.1 waa la joojiyay (cabirka tls-version-min hadda waxaa loo dejiyay 1.2 si caadi ah). Soo-saareyaasha lambarrada been-abuurka ah ee ku dhex jira (--prng) waa la saaray; hirgelinta PRNG ee maktabadaha mbed TLS ama OpenSSL crypto waa in la isticmaalaa. Taageerada Shaandhaynta Baakadaha (PF) waa la joojiyay. Cadaadiska waa la joojiyay si caadi ah (--allow-compression=no).
- Waxaa lagu daray CACHA20-POLY1305 liiska cifer-ka caadiga ah.
Source: opennet.ru
