LINUX.ORG.RU
ФорумAdmin

openVPN-GOST

 


1

1

Всем привет.

На работе просят поставить openVPN-GOST.
ТП скинула ссылку на сайт cryptocom.ru, но там ничего толкового нет. Ссылок на deb или rpm-файлы тоже не указаны у них. Хотя вроде как они и пилили этот openVPN-GOST.

Прощу помощи бородатых (и не очень) админов.

Из толкового там есть раздел «купить» и «скачать» для запроса демо версии на ограниченный период

Видел статьи с патчами для openvpn и openssl для добавление поддержки шифрования по ГОСТ`овым алгоритмам, но все старые.

Вроде бы даже как-то это все принималось в основные ветки, но после известных событий все было отменено.

Поэтому, если у тебя в компании хотят openvpn-gost - ты можешь запросить демо версию с ограниченным периодом работы. Проверить, а потом купить сервер и клиентов.

По сроку действия лицензии, срочная / бессрочная - не в курсе.

Только приходилось ставить клиентов с вводом серийного ключа, насчёт лицензии дополнительной - не помню.

Они это позиционируют как СКЗИ, а это уже не бесплатно.

В составе redos 7.3 есть пакет openvpn-gost, у них даже есть статья на wiki.

Но вот что делать с openvpn для windows в данном случае - хз.

Redos в целом тоже платный продукт.

kostik87 ★★★★★
()
Последнее исправление: kostik87 (всего исправлений: 2)

Если работодатель просит, то админы работодателя(ТП) должны выдать пакеты для установки и инструкции по настройке

cobold ★★★★★
()

Совсем недавно, писал им в тех под. Удивило, что адекватно и быстро отвечают, с учётом того, что я не их клиент, а какой то чел из инета зарегался, чтоб просто проконсультироваться. Мне нужен был Nginx, который умеет в гост. Вот, сказали что с 5.130 версии входит в поставку их «криптопровайдера» (CSP или как его там правильно ), скинули примеры конфигов прям в тикет.

Автор темы, и ты зарегайся т спроси чё как. Там быстрее ответы дадут, как мне кажется.

Tesler
()
Последнее исправление: Tesler (всего исправлений: 1)

Спасибо всем кто написал.
Связался с ними через почту, скинули демо-версию и ссылку.

Но разве по логике gpl 2 они (криптоКом) не должны выкладывать исходный код своего продукта (openvpn-gost), созданного на базе openvpn ?

Suiseiseki
() автор топика
Ответ на: комментарий от Lrrr

Причём здесь винфак? Если автору нужно поднять сервер на OpenVPN с шифрованием ГОСТ - он работает в организации, где будет куча клиентов на Windows.

А следовательно ему нужна версия для Windows с поддержкой шифрования.

Про RedOS я ему тоже написал: openVPN-GOST (комментарий)

Но с уточнением, что версии для Windows в этом случае не будет.

Если ты опять даёшь тот же совет, про RedOS, но не знаешь, где взять версию для Windows - грош цена твоему совету и читать сообщения в теме ты не умеешь.

kostik87 ★★★★★
()
Ответ на: комментарий от kostik87

ТС ничего не писал ни про сервер, ни про оффтопик. Это все голоса в твоей голове.

А то что ты бездарь, который не читает маны и поэтому не знает, как подключать гостовую криптографию к openssl - это не мои проблемы. Ещё и предьявы мне кидает, смешно просто.

Lrrr ★★★★★
()
Ответ на: комментарий от Lrrr

Давай, приведи примеры, как настроить ГОСТ криптографию с OpenSSL. Для этого нужна как минимум поддержка в OpenSSL, а она есть только что разве в RedOS и возможно ещё в других дистрибутивах из реестра.

Приведи пример инструкции, как настроить это на обычном OpenVPN клиенте на обычном дистрибутиве, допустим Debian 13 или Ubuntu 24.04. И аналогично как это сделать на обычном клиенте OpenVPN под Windows.

Пока вижу от тебя только пшык.

kostik87 ★★★★★
()
Ответ на: комментарий от kostik87

Давай, приведи примеры, как настроить ГОСТ криптографию с OpenSSL. Для этого нужна как минимум поддержка в OpenSSL, а она есть только что разве в RedOS и возможно ещё в других дистрибутивах из реестра.

А это https://github.com/gost-engine/engine просто накакали?

anc ★★★★★
()
Ответ на: комментарий от anc

В составе OpenVPN есть два уровня шифрования:

  • Шифрование управления: Control Channel
  • Шифрование канала данных: Data Channel

В случае OpenVPN-GOST какие из этих каналов будут шифрованы по стандартам ГОСТ?

То, что предлагает другой участник, с OpenSSL, только шифрование канала управления.

kostik87 ★★★★★
()
Ответ на: комментарий от kostik87

Когда я с этим эксперементировал, то в логах было:

Outgoing Data Channel: Cipher 'grasshopper-cbc' initialized with 256 bit key
Outgoing Data Channel: Using 160 bit message hash 'SHA1' for HMAC authentication
Incoming Data Channel: Cipher 'grasshopper-cbc' initialized with 256 bit key
Incoming Data Channel: Using 160 bit message hash 'SHA1' for HMAC authentication
Control Channel: TLSv1.2, cipher TLSv1.0 GOST2012-GOST8912-GOST8912, peer certificate: 256 bit gost2012_256, signature: id-tc26-signwithdigest-gost3410-2012-256
Это с https://github.com/gost-engine/engine branch:openssl_1_1_1

Кто-то может пояснить на сколько это устаревшее?

https://github.com/gost-engine/engine branch:master расчитан на openssl3.

vel ★★★★★
()
Ответ на: комментарий от Lrrr

У нас на работе есть Debian-сервер, там интеграция с внешним сервисом, сервис перекатился на КриптоКом 4.0 и поэтому требуется openVPN-gost.

Отвечая на вопросы из треда.

Suiseiseki
() автор топика
Ответ на: комментарий от Suiseiseki

Тогда всё может зависеть от контракта (договора), если в нём не прописано пункта, что вы должны сами обеспечивать подключение к этому сервису, т.е. покупать ПО в данном случае - запросите у данного сервиса дистрибутив.

kostik87 ★★★★★
()

Связался с «КриптоКом», они дали мне ссылку на скачивание и временный ключ на 1 месяц.
Далее установил, в целом без проблем, правда пришлось поправить стартовый скрипт

Изменил в файле конфигурацию чтобы стартовала нужная программа.
vi /etc/init.d/openvpn-gost
было: DAEMON=/opt/openvpn-gost/sbin/openvpn
стало: DAEMON=/opt/openvpn-gost/sbin/openvpn-gost

Suiseiseki
() автор топика