- OpenVPN 2.7.0 introduz servidores multi-socket, permitindo escutar várias portas/protocolos em um único processo.
- No Windows, o driver rápido win-dco agora é o padrão obrigatório, prometendo performance rival ao WireGuard.
- O recurso PUSH_UPDATE permite que admins alterem rotas e DNS dos clientes sem derrubar a conexão VPN.
- O driver legado wintun foi removido, forçando a modernização da infraestrutura de rede no Windows.
- Melhorias de segurança incluem limites forçados para AES-GCM e suporte a TLS 1.3 com mbedTLS 4.
O OpenVPN acaba de receber uma de suas atualizações mais significativas dos últimos anos. A versão 2.7.0 foca pesadamente em performance (especialmente no Windows) e flexibilidade de infraestrutura, consolidando o movimento “DCO” (Data Channel Offload) para competir diretamente com a velocidade do WireGuard.
O OpenVPN é o “cavalo de batalha” da segurança de redes, um software open-source que cria túneis criptografados (VPNs) ponto-a-ponto ou site-a-site. Ele é o padrão da indústria para conectar funcionários remotos a redes corporativas de forma segura. Nos últimos anos, ele enfrentou a concorrência do WireGuard, um protocolo mais novo e leve. Esta versão 2.7.0 é a resposta do OpenVPN: trazendo modernização de arquitetura e aceleração via kernel para recuperar o trono da performance.
Principais novidades
1. Servidores Multi-socket (O fim do malabarismo de processos) Esta é a grande estrela da versão. Até agora, se você quisesse que um servidor OpenVPN escutasse em múltiplas portas ou protocolos (ex: UDP na 1194 e TCP na 443 para bypass de firewall), você precisava rodar múltiplas instâncias (processos) do OpenVPN. Na versão 2.7.0, um único processo do servidor pode gerenciar múltiplos sockets, endereços e protocolos simultaneamente. Isso reduz drasticamente a complexidade de configuração e o uso de recursos em servidores de borda.
2. Aceleração total no Windows (Adeus, Wintun) A equipe do OpenVPN tomou uma decisão ousada: o driver wintun foi removido. Agora, o padrão absoluto é o driver win-dco (Data Channel Offload).
- O que isso significa: O processamento dos pacotes sai do espaço do usuário (lento) e vai para o kernel do Windows (rápido). Isso elimina o gargalo que fazia o OpenVPN ser historicamente lento no Windows.
- Fallback: Se o
win-dconão funcionar, ele volta para o clássicotap-windows6.
3. Atualizações sem desconexão (PUSH_UPDATE) Foi introduzido o suporte ao comando PUSH_UPDATE. Isso permite que o servidor envie novas configurações (como rotas ou DNS) para o cliente sem derrubar a conexão e forçar uma reconexão. . Para administradores de rede, isso significa aplicar mudanças na política de tráfego durante o expediente sem chutar todos os usuários da VPN.
Impacto e repercussão
A comunidade técnica e usuários de “homelabs” já vinham testando as versões Release Candidate e o veredito é claro: o OpenVPN finalmente acordou para a performance.
- A “Guerra” contra o WireGuard: Benchmarks em fóruns como o do Netgate (pfSense) mostram que o uso de DCO (Data Channel Offload) pode aumentar o throughput em 3x a 5x comparado ao antigo driver TAP/TUN. Ao tornar o
win-dcoo padrão e remover owintun, o OpenVPN 2.7 sinaliza que está pronto para conexões Gigabit. - Segurança Pró-ativa: A imposição de limites de uso para AES-GCM (evitando reutilização excessiva de chaves em sessões longas) mostra um amadurecimento na postura de segurança, mitigando vetores de ataque teóricos antes que se tornem práticos.
Resumo técnico
- DCO Linux: Suporte ao novo módulo de kernel
ovpn(que será incluído nativamente em futuras versões do kernel Linux), movendo o processamento de dados para o kernel space. - Criptografia: Suporte a TLS 1.3 utilizando versões bleeding-edge do mbedTLS e suporte inicial ao mbedTLS 4.
- DNS Avançado: Nova implementação de cliente para Windows com suporte a Split DNS e DNSSEC.
- Limpeza de Código: Remoção do driver
wintun;win-dcoagora é mandatório como driver primário no Windows. - Automação: Adaptadores de rede no Windows agora são gerados sob demanda (não ficam mais “sujando” a lista de dispositivos quando a VPN está desligada).
Disponibilidade
O código-fonte do OpenVPN 2.7.0 já está disponível no GitHub e no site oficial.
- Windows: O instalador MSI comunitário já deve incluir os novos binários.
- Linux (Rolling Release): Usuários de Arch Linux e Fedora Rawhide devem receber a atualização nos repositórios oficiais nos próximos dias.
- Linux (Estável): Usuários de Debian/Ubuntu e derivados (como Mint) precisarão aguardar os mantenedores ou compilar manualmente se quiserem as novidades imediatamente.
