2.5 برانچ کی اشاعت کے ڈھائی سال کے بعد، OpenVPN 2.6.0 کی ریلیز تیار کی گئی ہے، ورچوئل پرائیویٹ نیٹ ورکس بنانے کے لیے ایک پیکیج جو آپ کو دو کلائنٹ مشینوں کے درمیان ایک انکرپٹڈ کنکشن کو منظم کرنے یا مرکزی VPN سرور فراہم کرنے کی اجازت دیتا ہے۔ کئی کلائنٹس کے بیک وقت آپریشن کے لیے۔ OpenVPN کوڈ GPLv2 لائسنس کے تحت تقسیم کیا جاتا ہے، Debian، Ubuntu، CentOS، RHEL اور Windows کے لیے ریڈی میڈ بائنری پیکجز تیار کیے جاتے ہیں۔
اہم اختراعات:
- کنکشن کی لامحدود تعداد کے لیے سپورٹ فراہم کرتا ہے۔
- ovpn-dco کرنل ماڈیول شامل ہے، جو آپ کو VPN کی کارکردگی کو نمایاں طور پر تیز کرنے کی اجازت دیتا ہے۔ ایکسلریشن تمام انکرپشن آپریشنز، پیکٹ پروسیسنگ اور کمیونیکیشن چینل مینجمنٹ کو لینکس کرنل کی طرف منتقل کرکے حاصل کیا جاتا ہے، جو سیاق و سباق کے سوئچنگ سے وابستہ اوور ہیڈ کو ختم کرتا ہے، اندرونی کرنل APIs تک براہ راست رسائی کرکے کام کو بہتر بنانا ممکن بناتا ہے اور کرنل کے درمیان سست ڈیٹا کی منتقلی کو ختم کرتا ہے۔ اور صارف کی جگہ (انکرپشن، ڈکرپشن اور روٹنگ ماڈیول کے ذریعے صارف کی جگہ میں ہینڈلر کو ٹریفک بھیجے بغیر انجام دی جاتی ہے)۔
کئے گئے ٹیسٹوں میں، ٹون انٹرفیس کی بنیاد پر ترتیب کے مقابلے میں، AES-256-GCM سائفر کا استعمال کرتے ہوئے کلائنٹ اور سرور سائیڈز پر ماڈیول کے استعمال نے تھرو پٹ میں 8 گنا اضافہ حاصل کرنا ممکن بنایا (370 سے Mbit/s سے 2950 Mbit/s)۔ ماڈیول کو صرف کلائنٹ سائیڈ پر استعمال کرنے پر، آؤٹ گوئنگ ٹریفک کے لیے تھرو پٹ تین گنا بڑھ گیا اور آنے والی ٹریفک کے لیے تبدیل نہیں ہوا۔ ماڈیول کو صرف سرور سائیڈ پر استعمال کرتے وقت، آنے والی ٹریفک کے لیے تھرو پٹ میں 4 گنا اور باہر جانے والے ٹریفک کے لیے 35 فیصد اضافہ ہوا۔
- خود دستخط شدہ سرٹیفکیٹس کے ساتھ TLS موڈ کا استعمال ممکن ہے ("-peer-fingerprint" آپشن استعمال کرتے وقت، آپ "-ca" اور "-capath" پیرامیٹرز کو چھوڑ سکتے ہیں اور Easy-RSA کی بنیاد پر PKI سرور چلانے سے بچ سکتے ہیں یا اسی طرح کا سافٹ ویئر)۔
- UDP سرور کوکی پر مبنی کنکشن گفت و شنید کے موڈ کو نافذ کرتا ہے، جو HMAC پر مبنی کوکی کو سیشن شناخت کنندہ کے طور پر استعمال کرتا ہے، جس سے سرور کو ریاست کے بغیر تصدیق کرنے کی اجازت ملتی ہے۔
- OpenSSL 3.0 لائبریری کے ساتھ تعمیر کے لیے تعاون شامل کیا گیا۔ کم از کم OpenSSL سیکیورٹی لیول کو منتخب کرنے کے لیے "-tls-cert-profile insecure" آپشن شامل کیا گیا۔
- بیرونی رابطوں کی تعداد شمار کرنے اور ان کی فہرست ظاہر کرنے کے لیے remote-entry-count اور remote-entry-get کے نئے کنٹرول کمانڈز شامل کیے گئے۔
- کلیدی معاہدے کے عمل کے دوران، EKM (Exported Keying Material, RFC 5705) میکانزم اب OpenVPN-مخصوص PRF میکانزم کی بجائے کلیدی جنریشن مواد حاصل کرنے کا ترجیحی طریقہ ہے۔ EKM استعمال کرنے کے لیے، OpenSSL لائبریری یا mbed TLS 2.18+ درکار ہے۔
- FIPS موڈ میں OpenSSL کے ساتھ مطابقت فراہم کی گئی ہے، جو FIPS 140-2 سیکیورٹی کی ضروریات کو پورا کرنے والے سسٹمز پر OpenVPN کے استعمال کی اجازت دیتا ہے۔
- mlock اس بات کو یقینی بنانے کے لیے ایک چیک لاگو کرتا ہے کہ کافی میموری محفوظ ہے۔ جب 100 MB سے کم RAM دستیاب ہو تو حد کو بڑھانے کے لیے setrlimit() کو کال کیا جاتا ہے۔
- tls-verify کا استعمال کیے بغیر، SHA256 ہیش پر مبنی فنگر پرنٹ کا استعمال کرتے ہوئے کسی سرٹیفکیٹ کی درستگی یا بائنڈنگ چیک کرنے کے لیے "--peer-fingerprint" کا اختیار شامل کیا گیا۔
- اسکرپٹس کو موخر تصدیق کے آپشن کے ساتھ فراہم کیا جاتا ہے، جسے "-auth-user-pass-verify" کے اختیار کا استعمال کرتے ہوئے لاگو کیا جاتا ہے۔ مؤخر شدہ تصدیق کا استعمال کرتے وقت کلائنٹ کو زیر التواء تصدیق کے بارے میں مطلع کرنے کے لیے معاونت کو اسکرپٹس اور پلگ انز میں شامل کیا گیا ہے۔
- OpenVPN 2.3.x یا پرانے ورژن چلانے والے پرانے سرورز سے کنکشن کی اجازت دینے کے لیے مطابقت موڈ (-compat-mode) شامل کیا گیا۔
- "--data-ciphers" پیرامیٹر سے گزری فہرست میں، سابقہ "?" کی اجازت ہے۔ اختیاری سائفرز کی وضاحت کرنے کے لیے جو صرف اس صورت میں استعمال ہوں گے جب SSL لائبریری میں تعاون کیا جائے۔
- آپشن "-session-timeout" شامل کیا گیا جس کے ساتھ آپ سیشن کا زیادہ سے زیادہ وقت محدود کر سکتے ہیں۔
- کنفیگریشن فائل ٹیگ کا استعمال کرتے ہوئے نام اور پاس ورڈ بتانے کی اجازت دیتی ہے۔ .
- سرور کے ذریعے منتقل کردہ MTU ڈیٹا کی بنیاد پر کلائنٹ کے MTU کو متحرک طور پر ترتیب دینے کی صلاحیت فراہم کی گئی ہے۔ زیادہ سے زیادہ MTU سائز تبدیل کرنے کے لیے، آپشن "—tun-mtu-max" کو شامل کیا گیا ہے (پہلے سے طے شدہ 1600 ہے)۔
- کنٹرول پیکٹ کے زیادہ سے زیادہ سائز کی وضاحت کرنے کے لیے "-max-packet-size" پیرامیٹر شامل کیا گیا۔
- inetd کے ذریعے OpenVPN لانچ موڈ کے لیے سپورٹ کو ہٹا دیا گیا۔ ncp-disable آپشن کو ہٹا دیا گیا ہے۔ verify-hash آپشن اور static key وضع کو فرسودہ کر دیا گیا ہے (صرف TLS کو برقرار رکھا گیا ہے)۔ TLS 1.0 اور 1.1 پروٹوکول کو فرسودہ کر دیا گیا ہے (tls-version-min پیرامیٹر بطور ڈیفالٹ 1.2 پر سیٹ ہے)۔ بلٹ ان سیوڈو رینڈم نمبر جنریٹر نفاذ (-prng) کو ہٹا دیا گیا ہے؛ mbed TLS یا OpenSSL crypto لائبریریوں سے PRNG کا نفاذ استعمال کیا جانا چاہیے۔ پی ایف (پیکٹ فلٹرنگ) کے لیے سپورٹ بند کر دی گئی ہے۔ پہلے سے طے شدہ طور پر، کمپریشن غیر فعال ہے (--allow-compression=no)۔
- CHACHA20-POLY1305 کو ڈیفالٹ سائفر لسٹ میں شامل کر دیا گیا۔
ماخذ: opennet.ru