Software-update: OpenVPN 2.5.1

OpenVPN is een robuuste en gemakkelijk in te stellen opensource-vpn-daemon waarmee verschillende private networks aan elkaar geknoopt kunnen worden door middel van een encrypted tunnel via internet. Voor de beveiliging wordt gebruikgemaakt van de OpenSSL-library, waarmee alle encryptie, authenticatie en certificatie kunnen worden afgehandeld. De ontwikkelaars hebben versie 2.5.1 uitgebracht en de belangrijkste veranderingen daarin zijn hieronder voor je op een rijtje gezet.

New features

• "echo msg" support, to enable the server to pushed messages that are then displayed by the client-side GUI. See doc/gui-notes.txt and doc/management-notes.txt. Supported by the Windows GUI shipped in 2.5.1, not yet supported by Tunnelblick and the Android GUI.

User-visible Changes

• make OPENVPN_PLUGIN_ENABLE_PF plugin failures FATAL - if a plugin offers to set the "openvpn packet filter", and returns a failure when requested to, OpenVPN 2.5.0 would crash trying to clean up not-yet-initialized structure members. Since PF is going away in 2.6.0, this is just turning the crash into a well-defined program abort, and no further effort has been spent in rewriting the PF plugin error handling (see trac #1377).

Documentation

• rework sample-plugins/defer/simple.c - this is an extensive rewrite of the plugin to bring code quality to acceptable standards and add documentation on the various plugin API aspects. Since it's just example code, filed under "Documentation", not under "Bugfix".
• various man page improvements.
• clarify --block-ipv6 intent and direction

Bugfixes

• fix installation of openvpn.8 manpage on systems without docutils.
• Windows: fix DNS search list setup for domains with "-" chars.
• Fix tls-auth mismatch OCC message when tls-cryptv2 is used.
• Windows: Skip DHCP renew with Wintun adapter (Wintun does not support DHCP, so this was just causing an - harmless - error and needless delay).
• Windows: Remove 1 second delay before running netsh - speeds up interface init for wintun setups not using the interactive service.
• Windows: Fix too early argv freeing when registering DNS - this would cause a client side crash on Windows if register-dns is used, and the interactive service is not used.
• Android: Zero initialise msghdr prior to calling sendmesg.
• Fix line number reporting on config file errors after <inline> segments (see Trac #1325).
• Fix port-share option with TLS-Crypt v2.
• tls-crypt-v2: also preload tls-crypt-v2 keys (if --persist-key), otherwise dropping privs on the server would fail.
• tls-crypt-v2: fix server memory leak (about 600 bytes per connecting client with tls-crypt-v2)
• rework handling of server-pushed --auth-token in combination with --auth-nocache on reconnection / TLS renegotiation events. This used to "forget" to update new incoming token after a reconnection event (leading to failure to reauth some time later) and now works in all tested cases.

Versienummer	2.5.1
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Solaris, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016, Windows Server 2019
Website	OpenVPN
Download	https://openvpn.net/community-downloads/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (26)

Openvpn was al achterhaald na shadowsocks, en nu zeker met wireguard: veel gemakkelijker te configureren, betere performance, en naar mijn persoonlijke ervaring ook stabieler (N=1).

Snelheid is vaak maar bijzaak, leuk voor thuis zeg maar. https://restoreprivacy.com/vpn/wireguard-vs-openvpn/

Final Verdict on Privacy

This is one area where OpenVPN has a definite advantage. The default design of WireGuard requires user IP addresses to remain on the VPN server for extended periods of time. If privacy is a top concern, we recommend that you only use solutions that address this potential privacy issue.

Ook doet WG geen native TCP helaas. Verder is het zeker wel snel (want UDP).

Verder kan ik Pivpn aanraden. Instructieset wrapper om Openvpn/Wireguard.

[Reactie gewijzigd door Vinzz op 25 februari 2021 09:46]

Gewoon nieuwsgierig maar waarom zou je native TCP encapsulation willen hebben?

Omdat je met UDP erg vaak niet uit public wifi's weg komt. Poort 1194 Openvpn staat vaak dicht, en regelmatig staat UDP helemaal dicht. Dus ik heb het ingesteld dat ik kan connecten op poort 443 HTTPS, deze staat altijd wel open anders kunnen mensen niet eens surfen, en HTTPS is altijd TCP. Protocol obfuscation.

[Reactie gewijzigd door Vinzz op 25 februari 2021 18:21]

achterhaald? Ik gebruiik openvpn nog steeds en is rock solid. Ik heb ook wireguard gebruikt, maar die kan niet via TCP. Ja ik weet dat VPN via TCP niet echt vlot kan zijn door de dubbele TCP packet headers, maar zolang er nog steeds netwerk leveranciers zijn die alles behalve standaard internet verkeer (zoals web, mail) blokkeren, dan moet je wel. Dus mijn mijn openvpn draait op poort TCP 443. En de snelheid is prima om vanaf de camping ofzo een film te streamen vanaf mijn nas

UDP krijg je op 9/10 public wifis inderdaad niet naar buiten, en dat is nou net waar je een vpn voor hebt. Overigens trek ik mijn glasvezel bijna vol op TCP/Openvpn, en dat vanaf een simpele Orange Pi Zero Plus met Armbian.

9 van de 10? Ik gebruik al jaren OpenVPN over UDP en ben nog geen enkele openbare WiFi tegengekomen waarbij dat niet werkte. Die zullen er best wel zijn, maar mij lijkt 90% wel erg overdreven.

Een groot aantal dan. Andersom gesteld, sinds ik TCP/443 gebruik is het aantal netwerken waar ik niet doorheen kom 0. Onderweg wil ik liever geen verrassingen.

Dus wireguard is totaal geen optie dan omwille dat je geen tcp kan gebruiken ?

Ik zit bij airvpn en ik heb eigenlijk nooit problemen. Maar zoals al aangehaald zijn de verbindingen in NL en BE heel stabiel.

Misschien is dit iets voor je: "WireGuard over TCP with udptunnel" https://gist.github.com/i...e76ba4a51251d83af604adf94

Persoonlijk geen ervaring mee...

Waarom moeilijk doen met een extra tunnel?? OpenVPN werkt out of de box met tcp en udp.

Ik heb ervaring met WireGuard en OpenVPN. Beiden hebben hun plek in de markt. OpenVPN heeft bijvoorbeeld meer beheerfuncties ingebouwd, die essentieel zijn voor organisaties voor bijvoorbeeld road warrior configuraties. WireGuard is goed voor persoonlijk gebruik en ad-hoc site-to-site verbindingen.

Verder is OpenVPN over UDP zeer stabiel, naar mijn ervaring. Zeker niet zo snel als WireGuard, maar snelheid is niet altijd alles. En nee, WinTUN zorgt er enkel voor dat de prestaties van OpenVPN onder Windows vergelijkbaar zijn met OpenVPN onder *NIX. Het maakt het niet zo snel en efficiënt als WireGuard.

[Reactie gewijzigd door The Zep Man op 25 februari 2021 09:33]

De relatieve instabiliteit vna OpenVPN openbaart zich bij mij vooral bij een instabiele onderliggende internet verbinding. Zowel met TCP als UDP komt het dan geregeld voor dat openvpn niet terug opkomt, en shadowsocks en wireguard wél.

Maar in de meeste NL situaties is de onderliggende verbinding stabiel en merk je het dus niet...

De relatieve instabiliteit vna OpenVPN openbaart zich bij mij vooral bij een instabiele onderliggende internet verbinding. Zowel met TCP als UDP komt het dan geregeld voor dat openvpn niet terug opkomt, en shadowsocks en wireguard wél.

Dat ligt dan echt aan je OpenVPN configuratie, en niet aan OpenVPN zelf. Bij een onstabiele verbinding zoekt OpenVPN bij mij opnieuw contact, net zo lang totdat de verbinding weer stabiel genoeg is. En dat werkt.

Het zou zomaar kunnen dat mijn OpenVPN config niet optimaal is. En dat onderstreept mijn punt, dat Wireguard veel gemakkelijker te configureren is; vele uurtjes aan OpenVPN besteed, Wireguard werkt meteen....

Zet bijvoorbeeld eens een redelijk zware encryptie op OpenVPN, verbreek je verbinding, herstel die weer, en verbreek hem tijdens het negotiation proces weer. Vaak genoeg gehad dat óf client, óf server, óf allebei in een deadlock terecht komen.

[Reactie gewijzigd door dingo35 op 25 februari 2021 10:18]

Het zou zomaar kunnen dat mijn OpenVPN config niet optimaal is. En dat onderstreept mijn punt, dat Wireguard veel gemakkelijker te configureren is; vele uurtjes aan OpenVPN besteed, Wireguard werkt meteen....

Als je iets nodig hebt dat 'meteen' werkt, zonder verder omkijken, dan werkt WireGuard. Als je iets meer nodig hebt (zoals goede beheermogelijkheden), dan is WireGuard geen keuze.

OpenVPN over UDP werkt bij veel corporates niet, onze consultants krijgen dan geen verbinding over poort 443. Gemiddelde corporate filtert UDP(en non webtraffic) standaard outgoing uit. TCP werkt gelukkig wel.
Maar we kijken hier ook wel eens nieuwsgierig naar wireguard, binnenkort maar weer eens testen.
Toevallig goede ervaring met wireguard clients voor Windows / Mac?

Toevallig goede ervaring met wireguard clients voor Windows / Mac?

Niet heel veel. Wat ik wel weet is dat het onder Linux zeer licht draait, en zoiets verwacht ik ook wel onder Windows en macOS.

Hou er rekening mee dat WireGuard enkel over UDP werkt.

Tja je wordt geminned maar idd openvpn is veel te complex geworden wat resulteert in veel bugs, exploits en bedroevende performance.

Gebruik ook al tijden wireguard op mn redundant lijn/vps, en voor als ik onderweg ben.

24/7 niet-onderbroken internet voor meer dan een jaar nu :-)

[Reactie gewijzigd door Marctraider op 25 februari 2021 16:50]

Ik doe Openvpn naar een paar verschillende werelddelen, ik ondervind daarbij niet de problemen zoals jij die omschrijft. Complexer dan 10 jaar geleden is het ook niet. Ik hou de boel uptodate en zelfs met een Pi haal ik nog minimaal 60 Mbit over TCP.

De screenshot is van OpenVPN Access Server, een product voor organisaties dat o.a. OpenVPN bevat.

De meeste gebruikers zullen dat niet zien, omdat die enkel de OpenVPN command line versie gebruiken (en andere GUI's die daar gebruik van maken).

[Reactie gewijzigd door The Zep Man op 25 februari 2021 08:09]

Volgens mij zit dit er nu standaard bij. Dit zat tenminste erbij toen ik vorige maand Openvpn server via Docker installeerde.

Waarschijnlijk heb je linuxserver/openvpn-as draaien, niet (bijvoorbeeld) kylemanna/openvpn.

Ik gebruik zelf Docker maar minimaal, dus kan je daarin ook niet verder helpen. Net als @DrPoncho weet ik wat in de community versie zit, en Access Server zit daar echt niet in.

[Reactie gewijzigd door The Zep Man op 25 februari 2021 10:14]

Ja ik gebruik inderdaad de linuxserver/openvpn-as. Ik zie nu dat de 'as' staat voor Access Server. Weer iets geleerd.

Zit er niet standaard bij als de je community editie installeert. Deze AS heeft max 2 gebruikers gratis tegenover ongelimiteerd bij community.

Ik zie het nu inderdaad.