OpenVPN erklärt: Wie das Protokoll funktioniert, seine Ports, Versionen und Grenzen

OpenVPN ist ein Open-Source-VPN-Protokoll plus die freie Software, die es implementiert: Zwei Peers öffnen eine TLS-Sitzung, authentifizieren sich mit Zertifikaten, vereinbaren Sitzungsschlüssel und leiten den Verkehr durch einen Tunnel zwischen Ihrem Gerät und dem VPN-Server, wobei die Verschlüsselung nur diesen Abschnitt abdeckt; jenseits des Servers reist der Verkehr wie üblich zur Website. Die erste Version erschien am 13. Mai 2001 von James Yonan.

Zwei Kanäle hinter jedem Tunnel

Jede Verbindung hat zwei Ströme. Der Kontrollkanal ist eine TLS-Konversation, in der sich die Peers gegenseitig verifizieren und Schlüssel aushandeln, die standardmäßig stündlich erneuert werden, was Perfect Forward Secrecy bietet. Der Datenkanal trägt die eigentlichen IP-Pakete, versiegelt mit AES-256-GCM, AES-128-GCM oder ChaCha20-Poly1305. Optionale statische Schlüssel härten den Kontrollkanal ab: tls-auth signiert Pakete, bevor TLS beginnt, tls-crypt signiert und verschlüsselt sie und verbirgt den Zertifikatsaustausch. Tunnel laufen über TUN (geroutetes IP) oder TAP (gebridgedes Ethernet).

UDP oder TCP, Port 1194 oder 443

Die IANA hat Port 1194 zugewiesen, und UDP auf diesem Port ist die standardmäßige und schnellere Konfiguration. Der TCP-Modus existiert für Netzwerke, die UDP blockieren: TCP auf Port 443 schlüpft an Firewalls vorbei, die nur Webverkehr erlauben. Der Preis ist ein TCP-Tunnel innerhalb einer TCP-Verbindung, bei der beide Ebenen verlorene Pakete erneut übertragen und die Geschwindigkeit auf verlustreichen Strecken einbricht. Halten Sie TCP als letzte Option zurück.

Keiner der Ports verbirgt das Protokoll: DPI erkennt den handshake auf jedem Port, sodass Zensoren ihn blockieren können, und um daran vorbeizukommen, braucht es eine Verschleierungsschicht.

Zertifikate, Passwörter und die .ovpn-Datei

Ein Server betreibt üblicherweise seine eigene Zertifizierungsstelle, und Easy-RSA, das Tool des Projekts zum Aufbau einer CA, signiert Zertifikate für den Server und jeden Client. Anbieter legen oft eine Benutzername-und-Passwort-Authentifizierung obendrauf; vorab gemeinsam vereinbarte statische Schlüssel gelten als veraltet. Alles landet in einem Klartext-.ovpn-Profil:

Zertifikate und Schlüssel können in Tags eingebettet oder als separate Dateien vorliegen. Behandeln Sie ein Profil mit eingebettetem Schlüssel wie ein Passwort: Wer eine Kopie besitzt, verbindet sich als Sie.

Ursprünge, Lizenz und das Unternehmen

In C geschrieben, stützt sich der Code für Verschlüsselung und Authentifizierung auf OpenSSL (mbed TLS funktioniert ebenfalls). Die Community-Edition ist freie Software unter GPLv2, und das OpenVPN-Repository auf GitHub enthält den Quellcode. OpenVPN Inc. verdient an Access Server, einem selbst gehosteten Business-VPN mit Web-Panel (kostenlos für zwei gleichzeitige Verbindungen), und an der cloudbasiert verwalteten CloudConnexa.

OpenVPN 2, OpenVPN 3 und OpenVPN Connect

Connect stellt selbst keinen VPN-Dienst bereit: Laden Sie ein Profil von Ihrem Server oder Anbieter und es verbindet sich mit jedem OpenVPN-kompatiblen Endpunkt. Tunnelblick deckt macOS ab, und Router-Firmware wie OpenWrt oder pfSense spricht OpenVPN nativ.

Geschwindigkeit: User Space und Data Channel Offload

Der Betrieb im User Space kostet CPU auf schnellen Strecken, da jedes Paket zwischen Kernel und Anwendung wechselt. Version 2.6 führte Data Channel Offload ein: Die Datenkanal-Verschlüsselung wandert in ein Kernelmodul, der Kontrollkanal bleibt, wo er ist. Das ovpn-Modul erreichte den mainline-Linux-Kernel mit Version 6.16, und Windows nutzt einen separaten DCO-Treiber. OpenVPN 3 aktiviert DCO automatisch, wenn das Modul vorhanden ist.

Wo WireGuard gewinnt

WireGuard ist neuer, im Code deutlich kleiner, nur für UDP und kernelresident, und es verbindet und überträgt Daten meist schneller. OpenVPN behält zwei Vorteile: den TCP-Modus, wo UDP gefiltert wird, und Unterstützung auf Hardware ohne WireGuard. Keines von beiden verbirgt sich vor DPI. Der WireGuard-vs-OpenVPN-Vergleich deckt die Details ab.

OpenVPN mit einem VPN-Dienst

Von den 543 Privatkunden-VPN-Diensten, die VPNRadarLab geprüft hat, geben 242 an, OpenVPN anzubieten, weitere 88 Dienste geben an, OpenVPN nicht anzubieten, und die restlichen 213 veröffentlichen nichts darüber, ob sie es unterstützen. Sie können das Protokoll entweder innerhalb der App des Anbieters wählen oder dessen .ovpn-Profile in einen beliebigen Client importieren, sofern der Anbieter sie herausgibt. Das OpenVPN-Ranking listet diese 242 Dienste mit ihren Wertungen, Preisen und Laufzeiten.

FAQ

Kostet OpenVPN etwas?

Das Programm ist kostenlos. Geld kostet ein Server, zu dem man sich verbindet.

Kann mein Internetanbieter sehen, dass ich OpenVPN nutze?

Er kann das Verkehrsmuster erkennen, aber nicht lesen, was durch den Tunnel fließt.

Brauche ich tls-crypt?

Auf einem Server, den Sie selbst verwalten, ja. Bei einem kommerziellen Anbieter ist es dessen Entscheidung.

Funktioniert es auf iPhone und Android?

Ja, mit der Connect-App oder der Anwendung des Anbieters, auf beiden Plattformen.

OpenVPN auf einen Blick

Kostenlos und Open Source seit 2001 unter GPLv2, mit TLS für den Schlüsselaustausch und UDP als Standardtransport. Für DPI sichtbar, ohne DCO langsamer als WireGuard, und weiterhin die Ausweichoption, wo UDP blockiert ist.