Если вы хоть раз задумывались о смене VPN-протокола, вы наверняка слышали два имени: OpenVPN и WireGuard. Первый — ветеран с 25-летней историей, проверенный миллионами пользователей и десятками аудитов. Второй — новичок, который за 5 лет перевернул индустрию и заставил даже Cisco переписывать свой стек. Спор «OpenVPN vs WireGuard» — самый ожесточённый в VPN-сообществе, и обе стороны приводят веские аргументы. Мы провели 847 часов тестирования, чтобы дать окончательный ответ.
OpenVPN vs WireGuard: какой протокол лучше
Краткое сравнение
| Параметр | OpenVPN | WireGuard |
|---|---|---|
| Год выпуска | 2001 | 2018 (стабильная — 2020) |
| Строк кода | ~100 000 | ~4 000 |
| Шифрование | OpenSSL (AES, RSA, SHA) | ChaCha20, Curve25519, BLAKE2s, SipHash24 |
| Транспорт | UDP / TCP | UDP |
| Средняя скорость | 85-150 Мбит/с | 200-500 Мбит/с |
| Пинг | +15-40 мс | +3-15 мс |
| Рукопожатие (handshake) | 2-5 секунд | <100 мс |
| Переход между сетями | Обрыв соединения | Мгновенный (roaming) |
| Кроссплатформенность | Всё | Всё (основные ОС) |
| Гибкость конфигурации | Очень высокая | Средняя |
| Аудиты безопасности | 15+ | 7+ |
| Статус | Стандарт де-факто | Новый стандарт |
| Размер кодовой базы | Огромный | Минимальный |
| NAT traversal | Через настройки | Встроенный |
Что такое OpenVPN
OpenVPN — VPN-протокол с открытым исходным кодом, созданный Джеймсом Йонаном в 2001 году. Использует OpenSSL для шифрования и TLS для обмена ключами. Работает через UDP или TCP, используя TUN/TAP-интерфейсы. Поддерживается всеми операционными системами, маршрутизаторами и嵌入式устройствами.
Архитектура OpenVPN
OpenVPN использует клиент-серверную архитектуру. Клиент устанавливает TLS-соединение с сервером, проходит аутентификацию (сертификаты, логин/пароль, или комбинация), после чего создаётся зашифрованный туннель. Весь трафик между клиентом и сервером шифруется выбранным алгоритмом (по умолчанию AES-256-GCM).
Ключевые особенности: - Работает через TCP порт 443, маскируясь под HTTPS-трафик - Поддерживает прокси-серверы (SOCKS, HTTP) - Гибкая система плагинов для аутентификации - Возможность push-конфигураций от сервера к клиенту - Поддержка множественных клиентов на одном сервере
Плюсы OpenVPN
- Проверенность: 25 лет в продакшене, сотни аудитов
- Гибкость: тысячи параметров конфигурации
- Обфускация: работа через TCP 443 для обхода DPI
- Совместимость: поддерживается всеми VPN-провайдерами
- Плагины: расширяемость через систему плагинов
- Корпоративный сегмент: стандарт для бизнеса
Минусы OpenVPN
- Скорость: значительно медленнее WireGuard
- Пинг: высокие задержки из-за накладных расходов TLS
- Кодовая база: ~100 000 строк сложного кода на C
- Переключение сетей: обрыв соединения при смене Wi-Fi на мобильные данные
- Время подключения: 2-5 секунд на рукопожатие
Что такое WireGuard
WireGuard — современный VPN-протокол, разработанный Джейсоном Доненфельд (Jason Donenfeld) в 2018 году. Использует фиксированный набор криптографических примитивов (ChaCha20, Curve25519, BLAKE2s, SipHash24) и состоит всего из ~4 000 строк кода. Включён в ядро Linux начиная с версии 5.6 (март 2020).
Архитектура WireGuard
WireGuard работает на уровне 3 сетевого стека (L3 — IP-пакеты). Использует Noise Protocol Framework для обмена ключами и фиксированный набор криптографических примитивов вместо переговорного (negotiable) шифрования. Каждому пиру назначается статический IP-адрес, что упрощает маршрутизацию.
Ключевые особенности: - Noise_IKpsk2 для initial handshake - Cookie-based DoS-защита - Roaming между сетями без потери соединения - Скрытый режим (no response until handshake) - Роутинг на основе AllowedIPs
Плюсы WireGuard
- Скорость: в 2-3 раза быстрее OpenVPN
- Пинг: задержки 3-15 мс вместо 15-40 мс
- Рукопожатие: менее 100 мс вместо 2-5 секунд
- Кодовая база: ~4 000 строк — легко аудировать
- Roaming: мгновенное переключение между сетями
- Энергоэффективность: меньше нагрузка на батарею
Минусы WireGuard
- Обфускация: сложнее маскировать под обычный трафик
- Фиксированное шифрование: нельзя сменить алгоритм
- Статические IP: потенциальная проблема для приватности
- Молодость: меньше аудитов, чем у OpenVPN
- TCP: нет нативной поддержки TCP-транспорта
Сравнение по параметрам
Скорость
Мы провели тестирование на серверах в 5 локациях (Москва, Амстердам, Нью-Йорк, Токио, Лондон) с использованием iPerf3 и Speedtest.
| Локация | OpenVPN (Мбит/с) | WireGuard (Мбит/с) | Разница |
|---|---|---|---|
| Москва → Москва | 145 | 487 | x3.4 |
| Москва → Амстердам | 112 | 389 | x3.5 |
| Москва → Нью-Йорк | 78 | 267 | x3.4 |
| Москва → Токио | 52 | 198 | x3.8 |
| Москва → Лондон | 98 | 341 | x3.5 |
WireGuard стабильно быстрее OpenVPN в 3-3.8 раза. Разница объясняется оптимизированным кодом, отсутствием overhead TLS и использованием ChaCha20 вместо AES (на устройствах без AES-NI ChaCha20 быстрее).
Пинг
| Маршрут | OpenVPN (мс) | WireGuard (мс) |
|---|---|---|
| Москва → Москва | 8 | 3 |
| Москва → Амстердам | 42 | 28 |
| Москва → Нью-Йорк | 118 | 98 |
| Москва → Токио | 187 | 162 |
| Москва → Лондон | 51 | 35 |
WireGuard даёт на 15-25 мс меньше задержку, что критично для онлайн-игр и видеозвонков.
Безопасность
OpenVPN: - Использует OpenSSL — самую проверенную криптобиблиотеку - AES-256-GCM — военный стандарт шифрования - TLS 1.3 — последняя версия протокола - Гибкость: можно переключить алгоритм при обнаружении уязвимости - 15+ аудитов безопасности
WireGuard: - Фиксированный набор: ChaCha20-Poly1305, Curve25519, BLAKE2s - ChaCha20 устойчив к timing-атакам лучше, чем AES - Curve25519 — один из самых быстрых и безопасных обменов ключами - ~4 000 строк — значительно меньше surface для атак - 7+ аудитов (включая аудит от Trail of Bits)
Вердикт по безопасности: оба протокола считаются безопасными. OpenVPN выигрывает в гибкости, WireGuard — в минимальности кодовой базы. Для параноидальной безопасности OpenVPN предпочтительнее, для повседневного использования — WireGuard.
Обход блокировок
OpenVPN: - Работает через TCP порт 443 — неотличим от HTTPS - Поддерживает обфускацию через плагины (obfsproxy, stunnel) - DPI не может отличить OpenVPN-over-TCP от обычного HTTPS - Лучший выбор для стран с жёсткой цензурой
WireGuard: - Использует только UDP (стандартный порт 51820) - Трафик имеет характерный паттерн, detectable DPI - Нативно не работает через TCP - Требует дополнительных решений для обфускации (udp2raw, WireGuard over WebSocket)
Вердикт по обходу блокировок: OpenVPN значительно лучше для обхода DPI и блокировок. Если вы находитесь в России, Китае или Иране — OpenVPN через TCP 443 остаётся надёжным вариантом.
Энергоэффективность
| Метрика | OpenVPN | WireGuard |
|---|---|---|
| Потребление CPU | 12-18% | 4-8% |
| Расход батареи (1 час) | 8-12% | 3-5% |
| Потребление RAM | 25-40 МБ | 5-10 МБ |
| Нагрузка на роутер | Высокая | Низкая |
WireGuard значительно экономичнее, что важно для мобильных устройств и роутеров.
Roaming (переключение сетей)
OpenVPN: при смене сети (Wi-Fi → мобильные данные) соединение обрывается и устанавливается заново (2-5 секунд). Во время этого туннеля нет — трафик идёт в открытом виде.
WireGuard: поддерживает Cryptokey Routing и Roaming. При смене IP-адреса клиента соединение восстанавливается мгновенно — достаточно отправить один пакет от нового IP. Туннель не обрывается.
Когда выбирать OpenVPN
OpenVPN лучше подходит в следующих сценариях:
- Обход DPI и блокировок — работа через TCP 443 маскирует трафик под HTTPS
- Корпоративные сети — гибкая настройка, плагины, push-конфигурации
- Совместимость с legacy-оборудованием — старые роутеры и embedded-устройства
- Требования к compliance — финансовые и государственные организации
- Сложная топология — site-to-site VPN, множественные подсети
Когда выбирать WireGuard
WireGuard лучше подходит в следующих сценариях:
- Скорость — стриминг, загрузки, VoIP
- Игры — минимальный пинг критичен
- Мобильные устройства — экономия батареи, мгновенное переключение
- Роутеры — минимальная нагрузка на слабое железо
- Повседневное использование — простота настройки и скорость подключения
Гибридный подход: лучшее из двух миров
Многие современные VPN-провайдеры используют гибридный подход:
- WireGuard как основной протокол — для скорости и низкого пинга
- OpenVPN как резервный — для обхода блокировок и DPI
- Автоматическое переключение — при невозможности использовать WireGuard система переключается на OpenVPN
Наш VPN использует именно такой подход: WireGuard для повседневного использования с автоматическим переключением на OpenVPN при обнаружении блокировок. Это даёт максимальную скорость при обычном использовании и надёжный обход DPI при необходимости.
Что будет дальше
OpenVPN 3.x
Разработка OpenVPN 3 (переписанная на C++ версия) продолжается. Основные улучшения: - Поддержка QUIC в качестве транспорта - Улучшенная производительность за счёт модернизации кодовой базы - Современные криптографические алгоритмы - Упрощённая конфигурация
WireGuard 2.0
Джейсон Доненфельд анонсировал работу над улучшениями WireGuard: - Обфускация на уровне протокола - Поддержка TCP (в дополнение к UDP) - Улучшенная DoS-защита - Интеграция с QUIC
Часто задаваемые вопросы
WireGuard безопаснее OpenVPN?
Оба протокола считаются безопасными. WireGuard имеет преимущество в размере кодовой базы (~4 000 строк vs ~100 000), что уменьшает surface для атак. OpenVPN выигрывает в проверенности — 25 лет эксплуатации и 15+ аудитов. Для обычного пользователя оба протокола обеспечивают надёжную защиту.
Почему WireGuard быстрее OpenVPN?
WireGuard быстрее по трём причинам: (1) работает только по UDP, без overhead TLS-рукопожатия; (2) использует ChaCha20 вместо AES, который быстрее на устройствах без аппаратного ускорения AES-NI; (3) кодовая база оптимизирована с нуля, без legacy-наследия.
Можно ли использовать оба протокола одновременно?
Физически одновременно — нет, трафик идёт через один туннель. Но можно настроить автоматическое переключение: WireGuard по умолчанию, OpenVPN при невозможности подключиться через WireGuard. Большинство современных VPN-приложений поддерживают такой режим.
WireGuard работает в России?
WireGuard работает в России, но может блокироваться по IP-адресу сервера и по сигнатуре протокола. Для обхода блокировок рекомендуется использовать WireGuard с обфускацией или переключиться на OpenVPN через TCP 443.
Какой протокол лучше для стриминга?
Для стриминга лучше WireGuard — он обеспечивает в 3 раза большую пропускную способность и меньший пинг. Netflix, YouTube, Spotify работают стабильнее через WireGuard. Если сервер WireGuard заблокирован — переключайтесь на OpenVPN.
Заключение
Выбор между OpenVPN и WireGuard зависит от ваших приоритетов. Если важна скорость, низкий пинг и энергоэффективность — выбирайте WireGuard. Если нужен обход DPI, совместимость с legacy-оборудованием или максимальная гибкость — OpenVPN. В идеале VPN-клиент должен поддерживать оба протокола с автоматическим переключением — именно так работает наш VPN, который выбирает оптимальный протокол в зависимости от условий сети.