--- title: "OpenVPN 2.7 aterriza con DCO en Linux, mbedTLS 4 y un giro práctico en DNS y Windows" description: "OpenVPN, uno de los nombres más reconocibles del mundo VPN, acaba de publicar OpenVPN 2.7.0 como nueva versión estable de su software para crear conexiones seguras tanto punto a punto como site-to-sit..." url: https://revistacloud.com/openvpn-2-7-dco-linux-mbedtls-4/ date: 2026-02-13 modified: 2026-02-13 author: "Antonio" image: https://revistacloud.com/wp-content/uploads/2026/02/openvpn.jpg categories: ["Guías y recursos", "Noticias"] tags: ["OpenVPN", "VPN"] type: post lang: es --- # OpenVPN 2.7 aterriza con DCO en Linux, mbedTLS 4 y un giro práctico en DNS y Windows OpenVPN, uno de los nombres más reconocibles del mundo VPN, acaba de publicar **OpenVPN 2.7.0** como nueva versión estable de su software para crear conexiones seguras tanto **punto a punto** como **site-to-site**. En un sector donde muchas mejoras suelen ser discretas y acumulativas, esta entrega llega con cambios que sí se notan en la trinchera: soporte para **Data Channel Offload (DCO)** mediante el nuevo módulo **ovpn** en Linux, compatibilidad con **mbedTLS 4**, avances en **TLS 1.3** (con versiones de mbedTLS “de vanguardia”), y una evolución importante en la gestión de **DNS** y en la arquitectura de **Windows**. La lectura para un medio tecnológico es clara: OpenVPN 2.7 no se limita a “pulir” el producto, sino que intenta modernizar piezas clave que condicionan rendimiento, estabilidad operativa y seguridad. Y lo hace en un momento en el que muchas organizaciones siguen dependiendo de OpenVPN como columna vertebral para acceso remoto, interconexión de sedes, entornos híbridos o compatibilidad con infraestructuras heredadas. ### DCO en Linux: la VPN se acerca al kernel para ganar eficiencia El gran titular técnico de OpenVPN 2.7 es la compatibilidad con el **módulo DCO (Data Channel Offload)**. El objetivo de DCO es reducir la sobrecarga del canal de datos trasladando parte del trabajo al kernel, una dirección que busca mejorar eficiencia y rendimiento en escenarios de alto tráfico o muchos clientes concurrentes. En OpenVPN 2.7, el software de espacio de usuario ya puede trabajar con el módulo **ovpn DCO** “upstream”, es decir, integrado en el kernel Linux principal. La disponibilidad final dependerá del ciclo de adopción de cada distribución y de su kernel empaquetado, pero el proyecto ya lo presenta como un camino de futuro para que el offload sea cada vez menos una pieza externa y más un componente estándar del ecosistema Linux. Para quienes necesiten el módulo en kernels actuales que aún no lo incorporen, se contemplan **backports** a través del proyecto **ovpn-backports**, una solución habitual en entornos corporativos donde actualizar el kernel no siempre es inmediato. En la práctica, esto abre una decisión técnica para administradores de sistemas: probar el enfoque DCO en laboratorios o en servicios concretos donde el rendimiento sea un cuello de botella, y planificar el salto cuando el soporte esté plenamente alineado con la distribución y su política de mantenimiento. ### Multi-socket: un servidor, varias direcciones y menos complejidad Otra mejora con impacto directo en despliegues reales es el **soporte multi-socket en el servidor**. OpenVPN 2.7 permite que una sola instancia gestione **múltiples direcciones, puertos o incluso protocolos**, evitando configuraciones duplicadas o procesos paralelos para cubrir escenarios frecuentes como: - escucha simultánea en IPv4 e IPv6, - servidores multihomed con varias interfaces, - necesidad de exponer el servicio en distintos puertos por compatibilidad o políticas de red. Aunque parezca una “comodidad”, en entornos con cientos o miles de usuarios reduce la complejidad operativa, facilita migraciones y simplifica el mantenimiento. ### PUSH_UPDATE: cambiar rutas y DNS sin cortar la sesión OpenVPN 2.7 incorpora soporte del lado del cliente para el nuevo mensaje de canal de control **PUSH_UPDATE**, pensado para que un servidor pueda enviar cambios de opciones —por ejemplo, rutas o configuración DNS— **sin obligar a reconectar**. Además, el lanzamiento incluye soporte “mínimo” del lado del servidor, con nuevos comandos en la interfaz de gestión para emitir actualizaciones a clientes concretos o de forma amplia. Para equipos de IT, esto puede traducirse en menos interrupciones cuando se ajustan políticas de enrutado, split tunneling, resoluciones internas o cambios de infraestructura DNS. En otras palabras: la VPN deja de ser un “todo o nada” cada vez que la configuración evoluciona. ### DNS: más coherencia entre plataformas y funciones avanzadas en Windows La gestión de DNS ha sido históricamente uno de los puntos más sensibles en clientes VPN, especialmente cuando se combinan dominios corporativos, resoluciones internas y políticas de seguridad. OpenVPN 2.7 refuerza este capítulo con “más DNS de serie”: - incluye implementaciones de cliente para **Linux, BSD y macOS** en la instalación por defecto, - estrena una nueva implementación en **Windows** que añade soporte para funciones como **split DNS** y **DNSSEC**. Este enfoque busca que el comportamiento sea más consistente entre sistemas y que el cliente pueda aplicar políticas DNS modernas sin depender tanto de soluciones externas o integraciones frágiles. Además, se introducen **dos nuevas variables de entorno** orientadas a comunicar la redirección de la puerta de enlace por defecto a plugins como **NetworkManager**, un detalle técnico que suele marcar la diferencia entre una integración “limpia” y una configuración que se rompe con un cambio menor en rutas. ### Windows: win-dco gana terreno y wintun queda fuera El apartado Windows llega con novedades que no pasan desapercibidas. OpenVPN 2.7 consolida cambios de arquitectura y seguridad, y formaliza un movimiento importante: **se elimina el soporte del driver wintun** y **win-dco pasa a ser el driver por defecto**, con **tap-windows6** como alternativa para casos no cubiertos por win-dco. A esto se suman mejoras que apuntan a reforzar la postura de seguridad y la operación del cliente en Windows: - el flag **block-local** se aplica ahora con mayor solidez mediante filtros **WFP (Windows Filtering Platform)**, - los adaptadores de red pueden generarse **bajo demanda**, - el servicio automático puede ejecutarse como **usuario sin privilegios**, - el driver **win-dco** incorpora soporte para **modo servidor**. Para entornos corporativos, el mensaje es que OpenVPN está intentando modernizar el “cómo” funciona en Windows, con un diseño más alineado con buenas prácticas: menos privilegios, más control a nivel de filtrado y una base de driver que marca la dirección del producto. ### Canal de datos: límites en AES-GCM y claves por época En materia criptográfica y de robustez del canal de datos, OpenVPN 2.7 introduce mejoras como: - **aplicación de límites de uso** para AES-GCM, - **epoch data keys** y un formato de paquetes revisado. Este tipo de cambios se sitúa en la frontera entre seguridad y operativa: busca reforzar garantías al usar cifrados AEAD en escenarios de alto volumen, y al mismo tiempo moderniza la forma en la que se gestionan claves y paquetes en el canal de datos. En despliegues intensivos, estos detalles importan: son precisamente los matices que separan una VPN “que funciona” de una VPN que se mantiene segura y estable a largo plazo. ### Un lanzamiento que pide planificación (y ofrece margen de mejora) OpenVPN 2.7.0 llega con una lista de novedades que, en conjunto, dibujan una evolución concreta: mejor base para rendimiento (DCO), más flexibilidad en despliegues (multi-socket), más control sin cortes (PUSH_UPDATE) y un salto práctico en DNS y Windows. Para equipos técnicos, el enfoque razonable pasa por probar y planificar: validar win-dco en entornos Windows, revisar compatibilidades por la retirada de wintun y evaluar el encaje del módulo ovpn DCO según el kernel que se use en producción. No es una actualización “cosmética”: es una versión que toca cimientos. Y eso, en tecnología, suele ser una buena señal cuando se hace con un objetivo claro. --- ### Preguntas frecuentes **¿Qué es OpenVPN DCO y por qué es relevante en OpenVPN 2.7?** DCO (Data Channel Offload) permite delegar parte del canal de datos en un módulo del kernel (ovpn), con el objetivo de reducir sobrecarga y mejorar eficiencia, especialmente en escenarios de alto tráfico. **¿OpenVPN 2.7 permite cambiar DNS o rutas sin desconectar la VPN?** Sí. El soporte de **PUSH_UPDATE** permite que el servidor envíe actualizaciones de opciones como rutas o DNS sin obligar a una reconexión del cliente, reduciendo cortes e interrupciones. **¿Qué cambia en Windows con OpenVPN 2.7 y el driver wintun?** OpenVPN 2.7 elimina el soporte para **wintun** y establece **win-dco** como driver por defecto; **tap-windows6** queda como alternativa para casos no cubiertos. También refuerza filtrado con WFP y reduce privilegios del servicio automático. **¿Qué mejoras introduce OpenVPN 2.7 en el canal de datos con AES-GCM?** La versión aplica límites de uso para AES-GCM y añade un enfoque con **epoch data keys** y formato de paquetes revisado, orientado a reforzar garantías criptográficas en el uso intensivo del canal de datos. vía: [Actualización OpenVPN 2.7](https://www.opensecurity.es/openvpn-2-7-salto-tecnico/)