OpenVPN

Qu’est-ce qu’OpenVPN ?

OpenVPN est une solution VPN SSL open source qui peut être utilisée pour les clients d’accès à distance et la connectivité site à site.

OpenVPN prend en charge les clients sur un large éventail de systèmes d’exploitation :

• y compris tous les BSD
• Linux
• Android
• Mac OS X
• iOS
• Solaris
• Windows 2000 et plus récents
• et même certains téléphones VoIP

Chaque connexion OpenVPN, qu’il s’agisse d’accès à distance ou de site à site, se compose d’un serveur et d’un client.

Dans le cas des VPN site à site, un pare-feu fait office de serveur et l’autre de client.

Il importe peu de savoir quel pare-feu possède ces rôles

Généralement, l’emplacement du pare-feu principal fournira une connectivité de serveur pour tous les emplacements distants, dont les pare-feu sont configurés comme des clients. emplacements distants.

Dans la pratique, les serveurs sont presque toujours exécutés sur un emplacement central.

Il existe plusieurs types de méthodes d’authentification qui peuvent être utilisées avec OpenVPN :

• clé partagée
• X.509 (également connu sous le nom de SSL/TLS ou PKI)
• authentification de l’utilisateur via local
• LDAP et RADIUS
• combinaison de X.509 et d’authentification de l’utilisateur

Pour la clé partagée, une seule clé est générée qui sera utilisée des deux côtés. SSL/TLS implique l’utilisation d’un ensemble de certificats et de clés de confiance.

L’authentification utilisateur peut être configurée avec ou sans SSL/TLS, mais son utilisation est préférable lorsque cela est possible en raison de la sécurité accrue qu’elle offre.

Les paramètres d’une instance OpenVPN sont abordés dans cet article ainsi qu’un parcours de l’assistant du serveur d’accès à distance OpenVPN, les configurations du client et des exemples de scénarios de connexion multiple site à site.

Remarque

Bien que OpenVPN soit un VPN SSL, il ne s’agit pas d’un VPN SSL « sans client » au sens où les vendeurs de pare-feu commerciaux l’affirment généralement.

Le client OpenVPN doit être installé sur tous les appareils clients. En réalité, aucune solution VPN n’est vraiment « sans client », et cette terminologie n’est rien de plus qu’un stratagème marketing.

Pour une discussion plus approfondie sur les VPN SSL, cet article de F5 fournit d’excellentes informations.

Pour une discussion générale sur les différents types de VPN disponibles et leurs avantages et inconvénients, vous pouvez consulter cet article de notre blog.

OpenVPN et les certificats

L’utilisation de certificats est le moyen préféré pour exécuter des VPN d’accès à distance

En effet elle permet de révoquer l’accès pour des machines individuelles.

Avec les clés partagées :

• soit un serveur et un port uniques doivent être créés pour chaque client
• soit la même clé doit être distribuée à tous les clients

La première solution devient un cauchemar de gestion, et la seconde est problématique dans le cas d’une clé compromise. Si une machine cliente est compromise, volée ou perdue, ou si elle doit être révoquée, la clé partagée doit être réémise à tous les clients.

Avec un déploiement PKI, si un client est compromis, ou si l’accès doit être révoqué pour toute autre raison, il suffit de révoquer le certificat de ce client. Aucun autre client n’est affecté.

OpenVPN et IPv6

OpenVPN peut connecter un tunnel site-à-site à une adresse IPv4 ou à une adresse IPv6 et le trafic IPv4 et IPv6 peut passer à l’intérieur d’un tunnel OpenVPN en même temps.

L’IPv6 est pris en charge à la fois par les clients site à site et les clients mobiles, et il peut être utilisé pour fournir l’IPv6 à un site qui n’a qu’une connectivité IPv4.

Prix de NordVpn (no-log)

Chiffrement OpenVPN

OpenVPN fournit un moyen de connecter des ordinateurs ensemble dans un réseau privé virtuel

Ainsi, même si les ordinateurs sont éloignés les uns des autres, dans un autre bureau, un autre pays, à l’autre bout du monde, il peut connecter les systèmes entre eux en toute sécurité via un tunnel chiffré sécurisé.

OpenVPN peut créer son tunnel en utilisant :

• soit le protocole TCP (Transmission Control Protocol) pour une fiabilité maximale
• soit le protocole UDP (User Datagram Protocol) pour une vitesse brute, une flexibilité qui bat certains protocoles concurrents, même aujourd’hui

Les communications sont gérées par SSL/TLS (Secure Sockets Layer/ Transport Layer Security), la même technologie utilisée pour protéger les sites Web HTTPS. C’est un avantage si vous avez besoin d’OpenVPN pour contourner un pare-feu ou tout autre blocage du VPN, car une fois qu’il est configuré, il est difficile de dire que vous utilisez un VPN.

Votre activité internet ressemble à du trafic web normal.

OpenVPN bénéficie de nombreuses fonctionnalités SSL/TLS

Ces fonctions lui permettent par exemple :

• de confirmer que vous vous connectez à un serveur légitime
• de créer et de partager de nouvelles clés de chiffrement pour protéger vos données pour cette session
• de vérifier que vos données n’ont pas été altérées

L’implémentation correcte du chiffrement moderne sur le Web est une tâche énorme et, heureusement, OpenVPN ne s’y essaie pas. Il confie la plupart des tâches de chiffrement à la très complète bibliothèque OpenSSL.

C’est une bonne nouvelle, car OpenSSL est un produit performant largement utilisé par de nombreux serveurs Web pour gérer leurs connexions HTTPS. Mais OpenVPN l’utilise également pour prendre en charge à peu près tous les algorithmes de chiffrement, fonctions de hachage et technologies de cryptographie à clé publique :

• AES
• Chacha20
• Poly1305
• Triple DES
• SM4
• MD5
• SHA-2
• SHA-3
• BLAKE2
• Whirlpool
• RSA
• Diffie-Hellman
• Elliptic curve et plus encore

Une conception flexible

L’un des principaux avantages d’OpenVPN est sa conception flexible et configurable, qui donne aux fournisseurs de VPN (et, parfois, aux utilisateurs) un contrôle énorme sur le fonctionnement du service.

• Les fournisseurs peuvent facilement changer les algorithmes de chiffrement OpenVPN, par exemple, peut-être en optimisant le VPN pour la sécurité ou la vitesse.
• OpenVPN prend en charge la modification des paramètres réseau, par exemple en demandant à votre appareil d’utiliser un autre serveur DNS.
• Il prend en charge toutes les normes de réseau dont vous avez besoin. Vous avez besoin d’IPv6, ainsi que du support IPv4 ? OpenVPN peut être configuré pour faire face, sans problème, et il vous permettra de vous connecter dans la plupart des situations.

Les connexions OpenVPN sont établies par des fichiers de configuration qui acceptent de nombreuses commandes différentes, ce qui vous donne toutes sortes de moyens de faire face aux situations délicates.

➜ Prenons un exemple

Supposons que vous ne puissiez pas vous connecter, peut-être parce que le serveur est en panne. OpenVPN prend en charge la définition d’un délai d’attente personnalisé avant de renoncer à la tentative.

Vous pouvez donc attendre longtemps pour les serveurs que vous savez lents, et quelques secondes pour les autres.

• Il peut définir le nombre de tentatives, et un nombre de secondes à attendre entre les tentatives.
• Il peut modifier les paramètres réseau de bas niveau, vous aidant peut-être à vous connecter sur des réseaux occupés ou sur des connexions de mauvaise qualité.
• Il est même possible de spécifier, disons, dix serveurs possibles que vous pourriez utiliser, chacun avec ses propres paramètres de connexion préférés, et OpenVPN les essaiera tous jusqu’à ce qu’il trouve quelque chose qui fonctionne.

Ces fonctions ne seront pas disponibles à partir d’une application VPN, à moins qu’elle ne soit écrite pour les prendre en charge, donc ne soyez pas surpris si vous ne voyez rien de tel chez votre propre fournisseur. Mais elles sont prises en charge par OpenVPN.

Même si les fonctionnalités intégrées d’OpenVPN ne sont pas suffisantes, ce n’est pas la fin de l’histoire. Le protocole peut être étendu avec des plugins, des scripts et plus encore, offrant toutes sortes d’autres possibilités de personnalisation.

Source ouverte

Une autre force d’OpenVPN est qu’il s’agit d’un projet open-source.

• N’importe qui peut télécharger le code source
• vérifier s’il y a des problèmes
• ajouter de nouvelles fonctionnalités
• ou l’utiliser pour créer ses propres produits

Cela a permis d’étendre l’OpenVPN pour qu’il fonctionne sur à peu près toutes les plateformes, des VPN pour Windows à Mac, des VPN Android à iOS, et presque toutes les saveurs de Linux.

D’autres projets open-source connexes se sont développés autour du protocole

D’autres projets open-source se sont développés autour du protocole.

Toute cette activité a donné naissance à une grande communauté de développeurs qui :

• travaillent sur le projet
• recherchent les bogues et les failles de sécurité
• partagent et proposent de nouvelles idées

Il n’y a aucune garantie qu’OpenVPN n’aura pas de problèmes, de toute façon, mais avec plus de personnes inspectant le code, il est probable que tout problème sera détecté rapidement.

La transparence d’un projet open-source est également excellente pour la confiance. Les fournisseurs premium comme NordVpn adoptent cet esprit – ils ont rendu le code de leur protocole open-source.

La plupart des protocoles VPN ne sont pas open-source, et lorsqu’un fournisseur vous dit à quel point son offre est géniale, vous devez juste le croire sur parole (ou pas, peut-être).

Avec OpenVPN, personne ne peut s’en tirer en faisant des affirmations ou des promesses irréalistes, car il existe des milliers d’experts qui connaissent la vérité.

L’avenir d’OpenVPN

OpenVPN a été le roi des protocoles VPN pendant très, très longtemps, mais certains pensent que son règne pourrait toucher à sa fin

• De nouveaux protocoles tels que WireGuard
• NordLynx de NordVPN
• et Lightway d’ExpressVPN

…ont des conceptions plus simples et plus dépouillées.

Ils se débarrassent de la plupart des fonctionnalités d’OpenVPN pour se concentrer uniquement sur les éléments essentiels du VPN. Et bien que cela les rende relativement courts en termes de fonctionnalités, les compensations sont importantes :

• notamment des temps de connexion plus rapides
• et parfois un doublement de vos vitesses de téléchargement

Les protocoles les plus récents présentent cependant quelques inconvénients

• Ils ont moins de fonctionnalités
• ils ne sont pas aussi largement supportés
• ni disponibles sur autant de plateformes

WireGuard ne dispose pas d’autant de fonctions de confidentialité qu’OpenVPN, et comme il ne prend pas en charge TCP, il peut ne pas être aussi fiable dans certaines situations.

Cela pourrait signifier qu’OpenVPN n’est plus le protocole de premier choix pour la plupart des utilisateurs de VPN. Si WireGuard fonctionne pour vous, et double vos vitesses, alors c’est ce que vous devriez utiliser.

OpenVPN est toujours utile comme choix de repli : un protocole plus fiable et polyvalent qui fonctionne même dans les situations délicates où les autres échouent.

Il n’est peut-être plus en tête du classement des protocoles, mais la flexibilité et les fonctionnalités d’OpenVPN font qu’il restera l’une des technologies VPN les plus importantes.

➜ Cliquez pour lire :