Den nya versionen av OpenVPN 2.7 markerar ett tydligt tekniskt kliv framåt för en av världens mest använda VPN-lösningar. Uppdateringen fokuserar på högre prestanda, modernare kryptografi och bättre plattformsintegration – särskilt för Windows och Linux. Med stöd för multi-socket-servrar, förbättrad DNS-hantering och en mer framtidssäker datakanal tar OpenVPN ytterligare steg bort från äldre kompromisser och närmare en säker, flexibel och kärnnära VPN-arkitektur anpassad för dagens krav.
Den nya versionen OpenVPN 2.7 är här – och det är en av de största uppdateringarna på länge. Fokus ligger på bättre prestanda, modernare säkerhet och en mer flexibel serverarkitektur. Här är vad det innebär i praktiken för både administratörer och avancerade användare.
En server – flera portar och protokoll
Den kanske största nyheten är multi-socket-stöd.
Tidigare behövdes flera serverprocesser om man ville att en VPN-server skulle lyssna på både UDP och TCP, flera IP-adresser eller flera portar. Nu klarar en enda serverinstans allt detta.
Det gör konfigurationen enklare, minskar resursanvändningen och gör det lättare att bygga redundanta och flexibla VPN-lösningar.
Smartare DNS-hantering
DNS-problem är en av de vanligaste orsakerna till VPN-strul. OpenVPN 2.7 gör stora förbättringar.
Linux, BSD och macOS
En ny inbyggd --dns-updown-implementation hanterar automatiskt systemd-resolved, resolveconf, klassisk /etc/resolv.conf och split-DNS.
Resultatet är mindre manuell konfiguration och bättre kompatibilitet direkt från start.
Windows
Windows-klienten använder nu NRPT (Name Resolution Policy Table) vilket ger stöd för split-DNS och DNSSEC samt bättre samspel med lokala DNS-servrar. Det är särskilt viktigt i företagsmiljöer där olika domäner ska routas via olika nät.
Windows får en rejäl modernisering
Windows-versionen genomgår stora arkitekturförändringar:
- win-dco är nu standarddrivrutin
- Wintun-drivrutinen tas bort
- Nätverksadaptrar skapas vid behov
- OpenVPN-tjänsten körs som oprivilegierad användare
- Blockering av lokalt nät (
block-local) sker via Windows Filtering Platform
Detta stärker skyddet mot attacker där trafik försöker läcka utanför VPN-tunneln.
Ny kryptomodell – mer framtidssäker
OpenVPN 2.7 inför striktare användningsgränser för AES-GCM, i nivå med TLS 1.3. När en krypteringsnyckel använts tillräckligt länge sker automatisk nyckelrotation.
En ny datapaketstruktur med så kallade epoch data keys introduceras. Den ger:
- 64-bitars paket-ID
- Automatisk nyckelväxling
- Förbättrad IV-konstruktion
- Effektivare hårdvarustöd
Detta gör datakanalen både snabbare och säkrare.
Linux: närmare kärnan
På Linux stöds nu den nya uppströms DCO-modulen ovpn, som är på väg in i huvudkärnan.
Det innebär mindre overhead, högre prestanda, stabilare implementation och mindre beroende av externa moduler. DCO flyttar delar av krypteringen till kernel-nivå och kan ge markant bättre genomströmning.
PUSH_UPDATE – ändra konfiguration utan omkoppling
Med stöd för PUSH_UPDATE kan servern nu ändra delar av klientens konfiguration utan att klienten behöver koppla ner och återansluta.
Det gäller exempelvis IP-adress, rutter, DNS-inställningar och MTU. Detta är särskilt användbart i dynamiska nätverk och större företagsmiljöer.
Säkerhetsstädning och borttagna funktioner
OpenVPN 2.7 tar tydligt avstånd från äldre och osäkra tekniker.
Funktioner som static key mode (--secret), NTLMv1, OpenSSL 1.0.2, mbedTLS 2.x och komprimering vid sändning har tagits bort eller fasats ut. Wintun-drivrutinen stöds inte längre.
Standardinställningar har också moderniserats:
--topologyär nusubneti serverläge--dh noneär standardpersist-keyär aktiverat som standard
Detta gör nya installationer säkrare direkt från start.
Förbättrad felsökning
OpenVPN 2.7 skickar tydliga TLS-varningar vid fel, ger mer detaljerad handshake-debugging och förbättrad loggning i Windows. Den så kallade “recursive routing”-kontrollen är nu mer exakt och släpper igenom legitim trafik till VPN-servern.
Resultatet är att användare får tydligare felmeddelanden i stället för att klienten bara slutar svara.
Sammanfattning
OpenVPN 2.7 är en tydlig modernisering med bättre prestanda via DCO, starkare kryptografi, modern Windows-arkitektur, smartare DNS-hantering och rensning av föråldrade funktioner.
Det är en version som både förenklar drift och höjer säkerhetsnivån, samtidigt som flexibiliteten som gjort OpenVPN till en av världens mest använda VPN-lösningar bevaras.
En serverinstans kan lyssna på flera adresser/portar/protokoll via flera --local.
Praktiskt för t.ex. både UDP och TCP parallellt.
Nya standardskript via --dns-updown förbättrar hantering av DNS som pushas från servern,
inklusive split-DNS (beroende på plattformens DNS-stack).
Använder NRPT för DNS-policyer: split-DNS + DNSSEC-stöd och bättre kompatibilitet med lokala resolvers. Kräver Interactive Service.
Server kan uppdatera delar av klientkonfig (IP, routes, MTU, DNS) utan reconnect via kontrollkanalmeddelandet
PUSH_UPDATE (kan vara begränsat om DCO är aktivt).
win-dco är standard (TAP som fallback). Wintun är borttagen. Adapter skapas on-demand och tjänsten körs som oprivilegierad användare.
Stöd för den nya upstream ovpn-DCO-modulen (nya API:t). Backports finns via ovpn-backports-projektet.
Använder gränser i linje med TLS 1.3:s konfidentialitetsmarginaler och triggar nyckelrotation efter stora mängder trafik.
Nytt paketformat med bl.a. 64-bit packet IDs och smidigare nyckelbyte när usage limits uppnås. Windows-stöd finns via win-dco (2.8.0+).
Äldre/oskra funktioner fasas ut: static key mode (--secret) bort som standard,
NTLMv1 bort, komprimering vid sändning bort.
--topologydefault i serverläge:subnet--dh nonedefault om--dhsaknaspersist-keyenabled by default
Drop sker bara när destination IP + protokoll + port matchar det som behövs för att nå VPN-servern, vilket minskar falska stopp.
!important på färgerna (sista utväg).
