https://opennet.me/openforum/vsluhforumID3/120356.html Сформирован корректирующий выпуск пакета для создания виртуальных частных сетей OpenVPN 2.4.9. В новой версии устранена уязвимость (CVE-2020-11810), позволяющая перевести сеанс клиента на новый IP-адрес, который до этого не был авторизирован. Проблема может быть использована для прерывания только что подключившегося клиента, для которого ещё не завершено согласование сессионных ключей...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=52752<br> https://opennet.me/openforum/vsluhforumID3/120356.html#120 Mon, 20 Apr 2020 10:10:36 GMT &gt; Ну и зачем клиенту знать валидность сервера если соединение тупо не установится? <br>&gt; Каким образом будешь организовывать MITM? Твой OpenEcho дурик.<br><br>Если "не дурик" орграничен домашним raspberry pi, на котором были сгенерированы ключи для сервера и телефона/клиента находящиеся в одной и той же комнате, то ты "выиграл", нет канала для обмена ключами, - нет МИТМ...<br><br>Но вот если у "не дурика" большая, разнесенная сеть по всему миру и не всегда есть возможность оплатить курьера, который прилетит ASAP и получит ключики из руки в руки, под расписку, то ключиками прийдется обмениваться через стороний канал. А если есть канал, значит кто то может быть MITM. Значит валидировать сервер(и клиента) очень даже полезно, даже "не дурику" ...<br> https://opennet.me/openforum/vsluhforumID3/120356.html#119 Sun, 19 Apr 2020 21:29:42 GMT &gt; единственный минус wireguard - что нельзя пушить маршруты с сервера<br><br>Можно подумать, что остальное можно пушить. Мне нужно было пушить клиентский адрес, например, взял openvpn именно потому, что в нём это делается в пару строчек конфига.<br> https://opennet.me/openforum/vsluhforumID3/120356.html#118 Sun, 19 Apr 2020 15:55:55 GMT &gt; помню вполне успешно интегрировал OpenVPN (2 сервера для HA) с AD ещё <br>&gt; в далёком 2012-м году - прекрасно работало без всяких костылей. похоже <br>&gt; в вашей компании плохо читали документацию (не имеют опыта интеграции с <br>&gt; AD). но лично мне OpenVPN никогда не нравился - слишком медленный. <br>&gt; предпочитал использовать Strongswan с IKEv2/EAP-RADIUS и OpenLDAP <br><br>Смотря какие требования, если просто учетка в домене с какимто атрибутом, то допускаю что это можно сделать и без костылей. В данном случае требовались security groups с отдельными полиси для каждой группы<br> https://opennet.me/openforum/vsluhforumID3/120356.html#116 Sun, 19 Apr 2020 15:10:50 GMT помню вполне успешно интегрировал OpenVPN (2 сервера для HA) с AD ещё в далёком 2012-м году - прекрасно работало без всяких костылей. похоже в вашей компании плохо читали документацию (не имеют опыта интеграции с AD). но лично мне OpenVPN никогда не нравился - слишком медленный. предпочитал использовать Strongswan с IKEv2/EAP-RADIUS и OpenLDAP<br> https://opennet.me/openforum/vsluhforumID3/120356.html#115 Sun, 19 Apr 2020 13:22:59 GMT Его по дефолту только в последнем ядре добавили, которое далеко не LTS!<br>Так что ещё далеко не все.<br> https://opennet.me/openforum/vsluhforumID3/120356.html#114 Sun, 19 Apr 2020 05:33:43 GMT Пытались в компании внедрить опенвпн + AD, после энного кол-ва написанных костылей, плюнули и перешли на циско впн.<br> https://opennet.me/openforum/vsluhforumID3/120356.html#113 Sat, 18 Apr 2020 22:51:51 GMT Ну и зачем клиенту знать валидность сервера если соединение тупо не установится? Каким образом будешь организовывать MITM? Твой OpenEcho дурик.<br> https://opennet.me/openforum/vsluhforumID3/120356.html#112 Sat, 18 Apr 2020 15:49:59 GMT а что wireguard уже PAM умеет? с LDAP прикручивается?<br> https://opennet.me/openforum/vsluhforumID3/120356.html#111 Sat, 18 Apr 2020 14:46:12 GMT без сопливых разберутся<br>