OpenVPN: архитектура VPN на основе TLS

OpenVPN использует два отдельных канала: управляющий канал и канал данных. Управляющий канал отвечает за аутентификацию, установку сеанса и обмен конфигурацией с использованием TLS. Канал данных передаёт фактический VPN-трафик, зашифрованный симметричным шифром, согласованным через управляющий канал. Такое разделение позволяет OpenVPN использовать всю экосистему TLS для управления ключами.

Управляющий канал OpenVPN устанавливает полноценный сеанс TLS. Обе стороны проходят аутентификацию с помощью сертификатов X.509, подписанных общей CA. TLS обеспечивает обмен ключами, проверку сертификатов и согласование параметров шифра канала данных. Поскольку TLS поддерживает ECDHE, управляющий канал обеспечивает прямую секретность: ключи канала данных нельзя восстановить по перехваченному сеансу даже при наличии ключа CA.

Шифрование канала данных согласовывается через управляющий канал TLS. В OpenVPN 2.4 и более поздних версиях по умолчанию используется AES-256-GCM — шифр AEAD, обеспечивающий конфиденциальность и целостность одной операцией. В более ранних версиях отдельно использовались AES-256-CBC и HMAC-SHA256. Режимы AEAD предпочтительнее, поскольку устраняют необходимость в отдельной проверке MAC и противостоят атакам с оракулом дополнения.

Параметр tls-crypt помещает весь сеанс TLS, включая приветствие клиента, внутрь симметричного конверта с аутентификацией HMAC, используя предварительно согласованный ключ. Это означает, что неаутентифицированные клиенты не могут даже начать рукопожатие TLS: их начальные пакеты молча отбрасываются. Такой механизм защищает сервер OpenVPN от атак DDoS с усилением на основе TLS и скрывает сам факт работы VPN-сервера.

Более старый параметр tls-auth добавляет тег HMAC к пакетам управляющего канала TLS, но не шифрует их. Это предотвращает внедрение пакетов, однако по-прежнему раскрывает наблюдателям рукопожатие TLS. tls-crypt шифрует и аутентифицирует оболочку управляющего канала, обеспечивая защиту от DoS и противодействие анализу трафика. В настоящее время рекомендуется использовать tls-crypt; параметр tls-auth считается устаревшим и заменяется на tls-crypt-v2.

OpenVPN аутентифицирует клиентов с помощью сертификатов X.509, подписанных центром сертификации VPN. Каждый клиент получает уникальные сертификат и закрытый ключ. Сервер проверяет цепочку сертификатов и при необходимости проверяет список отозванных сертификатов (CRL), чтобы отклонить отозванные сертификаты. Отзыв сертификата немедленно прекращает доступ клиента, в отличие от систем на основе PSK, где смена ключа затрагивает всех клиентов.

OpenVPN может работать поверх UDP (вариант по умолчанию и рекомендуемый вариант) или TCP. UDP позволяет избежать проблемы TCP поверх TCP, при которой потеря пакета вызывает повторную передачу и на уровне TCP, и на уровне приложения VPN, что существенно снижает производительность. Однако некоторые сети блокируют UDP. Запуск OpenVPN через TCP-порт 443 позволяет обходить межсетевые экраны, разрешающие только трафик HTTPS, но ухудшает производительность при потерях пакетов.

OpenVPN работает в режиме tun (маршрутизация) или tap (мост). Режим tun создаёт сетевой интерфейс IP типа «точка — точка» и маршрутизирует IP-пакеты между клиентом и сетью VPN. Режим tap создаёт интерфейс Ethernet-моста, передающий кадры Ethernet, включая широковещательные кадры и протоколы, не использующие IP. Режим tun эффективнее и подходит для большинства сценариев VPN; режим tap нужен для объединения сетевых сегментов в мост или для протоколов, не использующих IP.

Серверы OpenVPN могут автоматически передавать подключающимся клиентам директивы конфигурации. К распространённым директивам push относятся push "route 10.0.0.0 255.0.0.0" (добавить маршрут на клиенте), push "dhcp-option DNS 10.0.0.1" (установить DNS-сервер) и push "redirect-gateway def1" (направить весь трафик клиента через VPN). Это централизует управление настройками клиентов без изменения отдельных конфигурационных файлов клиентов.

OpenVPN обеспечивает прямую секретность с помощью TLS ECDHE (эфемерного Диффи — Хеллмана на эллиптических кривых) в управляющем канале. Для каждого сеанса TLS используется новая эфемерная пара ключей, поэтому ключ сеанса нельзя вывести из долгосрочного закрытого ключа сертификата сервера. Даже если сегодня перехватить зашифрованный трафик, а позже получить сертификат сервера, расшифровать прошлые сеансы всё равно не удастся.

В OpenVPN 2.5 шифр Blowfish (BF-CBC), ранее использовавшийся по умолчанию, объявлен устаревшим. BF-CBC использует размер блока 64 бита и уязвим к атакам дней рождения SWEET32 в длительных сеансах. В современных версиях OpenVPN по умолчанию используется AES-256-GCM. В OpenVPN 2.5 также объявлены устаревшими шифры без AEAD в канале данных и ужесточены требования к минимальной версии TLS: поддержка TLS 1.0 и 1.1 прекращена.

Какова основная функция управляющего канала OpenVPN?

Итоги по OpenVPN: управляющий канал использует TLS для аутентификации и согласования шифра, канал данных использует согласованный шифр AEAD (по умолчанию AES-256-GCM), tls-crypt оборачивает TLS, предотвращая неаутентифицированные рукопожатия, ECDHE обеспечивает прямую секретность, аутентификация клиентов выполняется на основе сертификатов с отзывом через CRL, для производительности предпочтителен UDP, а для сценариев IP-маршрутизации предпочтителен режим tun.