OpenVPN

OpenVPN utiliza la biblioteca OpenSSL para proporcionar cifrado tanto de los canales de datos como de control. Permite que OpenSSL se encargue de todo el trabajo de cifrado y autenticación, lo que permite a OpenVPN utilizar todos los algoritmos de cifrado disponibles en el paquete OpenSSL. También puede utilizar la función de autenticación de paquetes HMAC para añadir una capa adicional de seguridad a la conexión (denominada "cortafuegos HMAC" por su creador). Asimismo, puede utilizar la aceleración por hardware para obtener un mejor rendimiento de cifrado. ^{[ 16 ] [ 17 ]} La compatibilidad con mbed TLS está disponible a partir de la versión 2.3. ^{[ 18 ]}

OpenVPN ofrece varias formas de autenticar a los usuarios entre sí. Dispone de claves precompartidas , autenticación basada en certificados y autenticación mediante nombre de usuario y contraseña. La clave secreta precompartida es la más sencilla, mientras que la autenticación basada en certificados es la más robusta y completa . En la versión 2.0, se puede habilitar la autenticación mediante nombre de usuario y contraseña, con o sin certificados. Sin embargo, para utilizar este método, OpenVPN depende de módulos de terceros.

OpenVPN puede funcionar sobre protocolos de transporte UDP ( Protocolo de datagramas de usuario ) o TCP ( Protocolo de control de transmisión ), multiplexando los túneles SSL creados en un único puerto TCP/UDP ^{[ 19 ]} (RFC 3948 para UDP). ^{[ 20 ]}

Desde la serie 2.3.x en adelante, OpenVPN es totalmente compatible con IPv6 como protocolo de red virtual dentro de un túnel y las aplicaciones OpenVPN también pueden establecer conexiones a través de IPv6. ^{[ 21 ]} Tiene la capacidad de funcionar a través de la mayoría de los servidores proxy (incluido HTTP ) y es bueno para funcionar a través de la traducción de direcciones de red (NAT) y salir a través de firewalls. La configuración del servidor puede "enviar" ciertas opciones de configuración de red a los clientes. Estas incluyen direcciones IP, comandos de enrutamiento y algunas opciones de conexión. OpenVPN ofrece dos tipos de interfaces para redes a través del controlador Universal TUN/TAP . Puede crear un túnel IP basado en capa 3 (TUN) o un TAP Ethernet basado en capa 2 que puede transportar cualquier tipo de tráfico Ethernet. OpenVPN puede usar opcionalmente la biblioteca de compresión LZO para comprimir el flujo de datos. El puerto 1194 es el número de puerto oficial asignado por IANA para OpenVPN. Las versiones más recientes del programa ahora usan ese puerto por defecto. Una característica de la versión 2.0 permite que un proceso gestione varios túneles simultáneamente, a diferencia de la restricción original de "un túnel por proceso" de la serie 1.x.

El uso que hace OpenVPN de protocolos de red comunes (TCP y UDP) lo convierte en una alternativa atractiva a IPsec en situaciones donde un ISP puede bloquear protocolos VPN específicos para obligar a los usuarios a suscribirse a un plan de servicio más caro, de "nivel empresarial". Por ejemplo, Comcast declaró anteriormente que su producto @Home era, y siempre había sido, un servicio residencial y no permitía el uso de aplicaciones comerciales. Su argumento era que trabajar de forma remota a través de una VPN puede afectar negativamente el rendimiento de la red de sus suscriptores residenciales habituales. Ofrecieron una alternativa, @Home Professional, que costaría más que el producto @Home. Por lo tanto, cualquiera que deseara usar una VPN tendría que suscribirse a un plan de servicio más caro, de nivel empresarial. ^{[ 22 ]}

Cuando OpenVPN utiliza el protocolo de control de transmisión (TCP) para establecer un túnel, el rendimiento será aceptable solo si hay suficiente ancho de banda excedente en el enlace de red no tunelizado para garantizar que los temporizadores TCP tunelizados no expiren. ^{[ 23 ]} Si esto no se cumple, el rendimiento cae drásticamente debido al problema de colapso de TCP . ^{[ 24 ] [ 25 ]}

OpenVPN ofrece varias funciones de seguridad internas. Cuenta con cifrado de hasta 256 bits a través de la biblioteca OpenSSL , aunque algunos proveedores de servicios pueden ofrecer velocidades más bajas, lo que proporciona efectivamente una de las VPN más rápidas disponibles para los consumidores. OpenVPN también admite Perfect Forward Secrecy (PFS) , que regenera las claves de cifrado a intervalos establecidos, asegurando que incluso si una clave se ve comprometida, los datos anteriores y futuros permanecen seguros. Además, OpenVPN se puede configurar con varios algoritmos de cifrado, como ChaCha20 y AES-256. ^{[ 26 ]} Se ejecuta en el espacio de usuario en lugar de requerir la operación de la pila IP (por lo tanto, del kernel). OpenVPN tiene la capacidad de renunciar a los privilegios de root , usar mlockall para evitar el intercambio de datos confidenciales al disco, entrar en un entorno chroot después de la inicialización y aplicar un contexto SELinux después de la inicialización.

OpenVPN utiliza un protocolo de seguridad personalizado basado en SSL y TLS, ^{[ 11 ]} en lugar de admitir IKE, IPsec, L2TP o PPTP .

OpenVPN admite el uso de tarjetas inteligentes mediante tokens criptográficos basados ​​en PKCS#11 .

OpenVPN se puede extender con complementos o scripts de terceros , que se pueden llamar en puntos de entrada definidos. ^{[ 27 ] [ 28 ]} El propósito de esto suele ser extender OpenVPN con un registro más avanzado, autenticación mejorada con nombre de usuario y contraseña, actualizaciones dinámicas del firewall, integración RADIUS , etc. Los complementos son módulos de carga dinámica, generalmente escritos en C , mientras que la interfaz de scripts puede ejecutar cualquier script o binario disponible para OpenVPN. En el código fuente de OpenVPN ^{[ 29 ]} hay algunos ejemplos de dichos complementos, incluido un complemento de autenticación PAM . También existen varios complementos de terceros para autenticarse contra bases de datos LDAP o SQL como SQLite y MySQL . ^{[ 30 ]}

Este es un ejemplo de un paquete de canal de control de OpenVPN cuando la autenticación basada en HMAC está habilitada (opción tls-auth en OpenVPN). Los paquetes de canal de datos, que transportan tráfico IP, tienen un formato diferente. ^{[ 31 ]}

OpenVPN se ha integrado en varios paquetes de firmware para routers, lo que permite a los usuarios ejecutar OpenVPN en modo cliente o servidor desde sus routers de red. Un router que ejecuta OpenVPN en modo cliente, por ejemplo, permite que cualquier dispositivo de la red acceda a una VPN sin necesidad de instalar OpenVPN.

Entre los paquetes de firmware más destacados con integración OpenVPN se incluyen:

OpenVPN también se ha implementado en el firmware de algunos routers de ciertos fabricantes.

OpenVPN se ha integrado en SoftEther VPN , un servidor VPN multiprotocolo de código abierto, para permitir a los usuarios conectarse al servidor VPN desde clientes OpenVPN existentes.

OpenVPN también está integrado en Vyos , un sistema operativo de enrutamiento de código abierto derivado del enrutador de software Vyatta .