OpenVPN 2.6.0 är tillgängligt.

Efter två och ett halvt år sedan publiceringen av version 2.5 har OpenVPN 2.6.0 släppts, ett paket för att skapa virtuella privata nätverk som möjliggör en krypterad anslutning mellan två klientmaskiner eller att driva en centraliserad VPN-server för att hantera flera klienter samtidigt. OpenVPN-koden distribueras under GPLv2-licensen, och färdiga binärpaket skapas för Debian, Ubuntu, CentOS, RHEL och Windows.

Huvudsakliga nyheter:

• Stöd för ett obegränsat antal anslutningar har säkerställts.
• Kärnmodulen ovpn-dco har inkluderats, vilket avsevärt ökar prestanda. VPN. Ökningen uppnås genom att flytta alla krypteringsoperationer, paketbehandling och hantering av kommunikationskanalen till Linux-kärnan, vilket eliminerar overheadkostnader för kontextväxling, möjliggör optimering genom direkt tillgång till kärnans interna API:er och utesluter långsam dataöverföring mellan kärnan och användarutrymmet (kryptering, avkryptering och routning utförs av modulen utan att skicka trafik till en handläggare i användarutrymmet).

  I genomförda tester, jämfört med konfigurationen baserad på gränssnittet tun, möjliggjorde användningen av modulen på klient- och serversidan med krypteringen AES-256-GCM en 8-faldig ökning av bandbredden (från 370 Mbit/s till 2950 Mbit/s). När modulen används endast på klientsidan ökade bandbredden tre gånger för utgående trafik och förblev oförändrad för inkommande. När modulen används endast på serversidan ökade bandbredden fyra gånger för inkommande trafik och med 35% för utgående.
• Möjlighet att använda TLS-läge med självsignerade certifikat har tillhandahållits (med alternativet "--peer-fingerprint" behöver man inte ange "--ca" och "--capath" och kan klara sig utan att köra en PKI-server baserad på Easy-RSA eller liknande programvara).
• I UDP-servern har en Cookie-baserad anslutningsöverenskommelse implementerats, där en Cookie baserad på HMAC används som sessionsidentifierare, vilket möjliggör serververifiering utan att behöva spara status.
• Stöd för att bygga med biblioteket OpenSSL 3.0 har lagts till. Parameter "--tls-cert-profile insecure" har lagts till för att välja den lägsta säkerhetsnivån för OpenSSL.
• Nya kommandoer för remote-entry-count och remote-entry-get har lagts till för att räkna antalet externa anslutningar och visa deras lista.
• Vid nyckelsammanställning är den mer prioriterade metoden för att hämta material för nyckelgenerering nu EKM-mekanismen (Exported Keying Material, RFC 5705), istället för den specifika OpenVPN PRF-mekanismen. För att använda EKM krävs OpenSSL eller mbed TLS 2.18+.
• Kompatibilitet med OpenSSL i FIPS-läge har säkerställts, vilket gör det möjligt att använda OpenVPN på system som uppfyller säkerhetskraven FIPS 140-2.
• I mlock har kontroll av tillräcklig minnesreservering implementerats. Om det finns mindre än 100 MB RAM görs en anrop av setrlimit() för att öka gränsen.
• Alternativet «—peer-fingerprint» har lagts till för att verifiera korrektheten eller knytningen av certifikatet med hjälp av fingerprint baserat på SHA256-hash utan användning av tls-verify.
• För skripter har möjligheten för uppskjuten (deferred) autentisering lagts till, som implementeras med hjälp av alternativet «—auth-user-pass-verify». I skripter och plugins har stöd för att informera klienten om att autentisering är under väntan (pending) vid användning av uppskjuten autentisering lagts till.
• Ett kompatibilitetsläge (—compat-mode) har lagts till för att kunna ansluta till äldre servrar som använder OpenVPN 2.3.x eller äldre versioner.
• I listan som skickas via parametern «—data-ciphers» är det tillåtet att ange prefixet «?» för att definiera valfria krypteringar som endast kommer att användas om stöd finns i SSL-biblioteket.
• Alternativet «—session-timeout» har lagts till, vilket gör att den maximala sessionstiden kan begränsas.
• I konfigurationsfilen är det tillåtet att ange användarnamn och lösenord med hjälp av taggen <auth-user-pass><\/auth-user-pass>.
• Möjlighet till dynamisk MTU-inställning för klienten har tillhandahållits, baserat på data om MTU som skickas av servern. För att ändra det maximala MTU-storleken har alternativet «—tun-mtu-max» lagts till (som standard 1600).
• Alternativet «—max-packet-size» har lagts till för att definiera den maximala storleken på kontrollpaket.
• Stödet för OpenVPN-startläget via inetd har tagits bort. Alternativet ncp-disable har avlägsnats. Alternativet verify-hash och den statiska nyckelmetoden har förklarats som föråldrade (endast TLS kvar). Protokollen TLS 1.0 och 1.1 har klassificerats som föråldrade (parametern tls-version-min är som standard inställd på 1.2). Den inbyggda implementationen av pseudorandom number generator (—prng) har tagits bort, och använd istället PRNG-implementationen från kryptobiblioteken mbed TLS eller OpenSSL. Stödet för paketfiltret PF (Packet Filtering) har upphört. Kompression är som standard avstängd (—allow-compression=no).
• CHACHA20-POLY1305 har lagts till i standardlista med krypteringsalgoritmer.

Källa: opennet.ru