Software-update: OpenVPN 2.5.0

OpenVPN is een robuuste en gemakkelijk in te stellen opensource-vpn-daemon waarmee verschillende private networks aan elkaar geknoopt kunnen worden door middel van een encrypted tunnel via internet. Voor de beveiliging wordt gebruikgemaakt van de OpenSSL-library, waarmee alle encryptie, authenticatie en certificatie kunnen worden afgehandeld. De ontwikkelaars hebben versie 2.5 uitgebracht en de belangrijkste veranderingen daarin zijn hieronder voor je op een rijtje gezet.

Faster connections

• Connections setup is now much faster

Crypto specific changes

• ChaCha20-Poly1305 cipher in the OpenVPN data channel (Requires OpenSSL 1.1.0 or newer)
• Improved TLS 1.3 support when using OpenSSL 1.1.1 or newer
• Client-specific tls-crypt keys (–tls-crypt-v2)
• Improved Data channel cipher negotiation
• Removal of BF-CBC support in default configuration (see below for possible incompatibilities)

Server-side improvements

• HMAC based auth-token support for seamless reconnects to standalone servers or a group of servers.
• Asynchronous (deferred) authentication support for auth-pam plugin
• Asynchronous (deferred) support for client-connect scripts and plugins

Network-related changes

• Support IPv4 configs with /31 netmasks now
• 802.1q VLAN support on TAP servers
• IPv6-only tunnels
• New option –block-ipv6 to reject all IPv6 packets (ICMPv6)

Linux-specific features

• VRF support
• Netlink integration (OpenVPN no longer needs to execute ifconfig/route or ip commands)

Windows-specific features

• Wintun driver support, a faster alternative to tap-windows6
• Setting tun/tap interface MTU
• Setting DHCP search domain
• Allow unicode search string in –cryptoapicert option
• EasyRSA3, a modern take on OpenVPN CA management
• MSI installer

Versienummer	2.5.0
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016, Windows Server 2019
Website	OpenVPN
Download	https://openvpn.net/community-downloads/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (27)

[Skalders]

Zijn deze verbeteringen ook in de OpenVPN connect? En waarom bestaat de community versie eigenlijk nog langs de nieuwere Connect versie? Wat is het verschil, behalve dat connect een moderne interface heeft?

[snoopdoge90]

Je hebt met VPN altijd een server en een client. Deze post gaat over de server, de Connect app waar jij het over hebt is een client.

Het business model van OpenVPN lijkt veel op andere commerciële partijen in de open-source wereld. Je hebt de community edition van de OpenVPN server, met de daar bijhorende client OpenVPN GUI. Daarbij levert OpenVPN ook een betaalde variant gericht op het bedrijfsleven. De server heet daar OpenVPN Access Server en de officiële client is OpenVPN Connect. Deze commerciële versie is gebaseerd op de community edition, en heeft een aantal zaken aan boord die interessant zijn voor het bedrijfsleven (support via OpenVPN Inc., LDAP ondersteuning, enz).

Het ene sluit het andere niet uit. Zolang een gekozen server of client compatibel is met het OpenVPN protocol dan zal het grotendeels ook allemaal werken.

De belangrijkste wijziging in OpenVPN 2.5.0 (community edition server) is voor mij WinTUN ondersteuning, welke vergelijkbare prestaties moet leveren als WireGuard. De OpenVPN Connect client heeft overigens een aantal maanden geleden al een update gehad voor WinTUN (en TLS1.3 ondersteuning).

[Reactie gewijzigd door snoopdoge90 op 24 juli 2024 02:35]

[The Zep Man]

De belangrijkste wijziging in OpenVPN 2.5.0 (community edition server) is voor mij WinTUN ondersteuning, welke vergelijkbare prestaties moet leveren als WireGuard.

Tot zover ik lees is WinTUN enkel een TUN driver. Mogelijk is het efficiënter dan de TUN/TAP driver die OpenVPN normaliter gebruikt, maar het gaat OpenVPN niet opeens vergelijkbare snelheden geven met WireGuard.

WinTUN lijkt enkel de prestatiebeperkingen in Windows weg te nemen. Als het echt OpenVPN zo snel maakte, dan was WinTUN allang geport naar Linux en andere besturingssystemen.

[snoopdoge90]

Klopt, WinTUN is een alternatief of de TUN driver inderdaad. Nog niet zelf mee geëxperimenteerd. Wat betreft de prestaties:

Performance numbers:
Server - openvpn 2.4.4

• tap-windows6: 390Mbit/s
• wintun: 730Mbit/s

Server - openvpn3 with kernel acceleration

• tap-windows6: 405Mbit/s
• wintun: 1.05Gbit/s

http://staging.openvpn.net/openvpn2/

[Aardbol_23564]

Connect is de client als ik mij niet vergis. Access server is hun commercieel alternatief die sterk verbonden is met de connect client.

[Maurits van Baerle]

New option –block-ipv6 to reject all IPv6 packets (ICMPv6)

In wat voor situaties zou je nou IPv6 aan willen laten staan maar wel alle ICMPv6 pakketten blokkeren? Dan kun je toch beter IPv6 helemaal uitzetten?

[Syzzer]

Er wordt bedoeld dat de reject een ICMPv6 Destination Unreachable pakket is.

[N8w8]

Bij "reject" stuur je doorgaans een rejection reden terug via ICMP.
Daardoor weet de ander dat hun (in dit geval IPv6) pakketjes worden geweigerd.
Dat is anders dan "drop", waarbij je er helemaal niks mee doet/antwoordt.
Ik weet niet of OpenVPN dat ook zo bedoelt trouwens, maar dat lijkt me iig logischer dan alleen ICMPv6 blokkeren.

[DarkShaDows]

Het wordt tijd voor een cliënt met multicore support voor AES-NI

[The Zep Man]

Een VPN server+client met betere prestaties op alle hardware is WireGuard. Die heeft geen AES-NI nodig om snel te zijn. Uiteraard heeft WireGuard beperkingen, maar voor de meeste huis-tuin-en-keuken-toepassingen is dit geen probleem.

[Reactie gewijzigd door The Zep Man op 24 juli 2024 02:35]

[3raser]

Ik maak al maanden gebruik van Wireguard en het voelt alsof ik niet eens via een VPN verbonden ben. Het werkt vele malen sneller dan OpenVPN.

[Snow_King]

Groot voordeel aan OpenVPN blijft toch wel dat je vanaf de server oa routes kan pushen evenals DNS. Hoewel Wireguard sneller is mist het nog wel alle client tooling.

[pennywiser]

Wireguard is "sneller" omdat het alleen udp kan. Je kan dus niet een vpn over 443 TCP opzetten.

[_JGC_]

Wireguard is vooral sneller op platformen waar het is geimplementeerd in de kernel. Scheelt je nml nogal wat heen en weer kopieren van data tussen kernel en userspace. Daarnaast is het encryptie algoritme beperkt tot 1 nieuw snel algoritme, wat Wireguard een voorsprong geeft tov software die nog oudere algoritmes gebruiken.

OpenVPN draait in userspace, eventuele SSL offloading met AES-NI moet ook weer heen en weer gekopieerd worden omdat het via OpenSSL loopt.

Ik ben zelf overgestapt naar IKEv2 IPSec. Veel complexer dan OpenVPN, maar veel sneller en op elk platform beschikbaar.

[pennywiser]

Wat je zegt snap ik, maar waaruit blijkt dat dit wat je noemt echt vertragend werkt? Heb je vergelijkend materiaal? Of is het nauwelijks tot niet meetbaar op moderne (cloud)platformen? Ik merk totaal geen verschil op mijn Raspberry Pi 3 waar ik nog enigzins meetbaar verschil had verwacht.

Oudere algoritmes, zeg je daarmee dat Openvpn onveilig is, of benoem je het alleen zonder conclusie?

[Reactie gewijzigd door pennywiser op 24 juli 2024 02:35]

[_JGC_]

Context switches tussen userspace en kernel space zorgen voor prestatieverlies. Als je CPU dat maar snel genoeg kan doen merk je er niet zoveel van.

Wat betreft de oudere algoritmes, OpenVPN gebruikt gewoon veilige AES algoritmes, maar die zijn vrij zwaar als je geen AES offloading beschikbaar hebt. Dat is waar Wireguard het verschil maakt: het neemt de context switches tussen userspace/kernelspace weg en het gebruikt een algoritme dat veel simpeler zonder offloading is te berekenen.

[pennywiser]

True. Ik denk dat het wel verschil maakt als je meerder userse tegelijk laat connecten. Maar met WG mis je wat zaken die je vaak wel nodig hebt mbt thuiswerken, of op locatie bij klanten altijd bij de vpn te kunnen. De cleane/kleine codebase waar iedereen het over heeft en de reden dat Linus het in de kernel toeliet is mooi, maar het kan daardoor ook minder helaas.

[_JGC_]

Wireguard is gewoon een kaal ding om snel een point to point VPN op te zetten, maar alles eromheen moet je zelf doen. Dat is waar dingen als OpenVPN of Strongswan verschil maken, die doen ook de rest.

Het probleem met Wireguard op dit moment is dat de ondersteuning nog niet breed genoeg is, terwijl OpenVPN en IPSec door nagenoeg elk apparaat of OS wel worden ondersteund.

[bluewalk]

Volgens mij is Wireguard gewoon beschikbaar op Windows, Linux, MacOS, iOS, Android en Vyata hoor? Volgens mij heb je dan zo goed als alles te pakken

Hier zelf al een jaar afgestapt van OpenVPN in faveure voor Wireguard. Vele malen sneller, eenvoudig op te zetten en ook ondersteund op de Unifi Secure Gateways.

[pennywiser]

Maar geen TCP.

[Jerie]

Wat je zegt snap ik, maar waaruit blijkt dat dit wat je noemt echt vertragend werkt? Heb je vergelijkend materiaal?

Lagere latency, hogere throughput

Zie dit plaatje

https://www.ckn.io/blog/2...eguard-vpn-typical-setup/

[Reactie gewijzigd door Jerie op 24 juli 2024 02:35]

[Jerie]

Maar wel 53 UDP.

ChaCha20-Poly1305 cipher

Dacht dat dat er al in zat? Blijkbaar niet. Zal ook de performance verbeteren.

[Reactie gewijzigd door Jerie op 24 juli 2024 02:35]

[pennywiser]

Dit zit in Openvpn, en daarmee kan je kiezen. Ik snap de hele WG hype niet zo, het is op dit moment limiterende technologie.

[RobbyBTS]

Even voor een leek die snapt dat je VPN nodig hebt / kan gebruiken om anoniem op het internet te zijn.
Is dit gewoon een VPN zoals je anders zou kopen / huren bij bijv. NordVPN?

Moet je na installatie veel instellingen (goed) zetten?

[pennywiser]

Hiermee maak je zelf een VPN. Nordvpn gebruik (denk ik) ook Openvpn, naast weliicht nog andere protocollen.

[RobbyBTS]

Okey bedankt, teveel abrakadabra voor mij :-)

[Dr. Prozac]

Even voor een leek die snapt dat je VPN nodig hebt / kan gebruiken om anoniem op het internet te zijn.
Is dit gewoon een VPN zoals je anders zou kopen / huren bij bijv. NordVPN?

Ja dit gaat over de server, zoals bijv. NordVPN.
Je kan hiermee je eigen server opzetten en met een vpn-client verbinding maken vanaf een andere computer.
Uiteraard wanneer je je eigen vpn-server thuis opzet, gebruik je voor alle vpn-verbindingen je eigen huis ip-adres, d.w.z. wanneer het doel is om Netflix in een andere regio te gebruiken gaat dit niet werken.