tls-crypt è una funzionalità di OpenVPN che cifra e autentica i pacchetti del canale di controllo prima che raggiungano la normale logica del protocollo. Il canale di controllo è la parte in cui client e server negoziano le sessioni, scambiano chiavi e gestiscono la configurazione del tunnel, quindi proteggerlo aiuta a nascondere i metadati e a rifiutare il traffico che non proviene da un peer valido.
Questo è importante perché molti attacchi VPN iniziano con probing non autenticati, flood di pacchetti o tentativi di mettere sotto stress il percorso dell'handshake. Con tls-crypt abilitato, OpenVPN può scartare prima i pacchetti di controllo falsi, riducendo l'esposizione alla scansione e ad alcune pressioni di tipo denial-of-service. Non sostituisce l'autenticazione completa della VPN né corregge i bug delle applicazioni, ma è un utile livello di hardening negli ambienti che dipendono dall'accesso remoto. I difensori spesso lo abilitano insieme a certificati forti e alle patch più recenti di OpenVPN per rendere più difficile colpire il piano di controllo.