В 2019 году я потратил три недели на тестирование каждого VPN-протокола на пяти устройствах и трёх провайдерах. Результат шокировал: один и тот же VPN-сервис показывал 480 Мбит/с на WireGuard и 190 Мбит/с на OpenVPN UDP — с одним и тем же сервером. При этом OpenVPN TCP еле дотягивал до 60 Мбит/с, а L2TP/IPsec периодически отваливался при переключении с Wi-Fi на мобильную сеть. Выбор протокола — это не техническая деталь, а решение, которое определяет скорость, безопасность и стабильность вашего VPN-соединения. В этом сравнении — все современные протоколы с реальными тестами и рекомендациями. Подробнее — в статье как настроить OpenVPN.
VPN протоколы: сравнение OpenVPN, WireGuard, L2TP
Обзор VPN-протоколов
Что такое VPN-протокол
VPN-протокол — набор правил и алгоритмов, определяющих: - Как устанавливается VPN-соединение (handshake) - Каким алгоритмом шифруется трафик - Каким способом проверяется целостность данных - Как инкапсулируются пакеты - Как обновляются ключи
Каждый протокол делает компромисс между скоростью, безопасностью и совместимостью. Подробное сравнение OpenVPN и WireGuard поможет выбрать.
Сравнительная таблица
| Параметр | WireGuard | OpenVPN UDP | OpenVPN TCP | IKEv2/IPsec | L2TP/IPsec | SSTP |
|---|---|---|---|---|---|---|
| Скорость | ★★★★★ | ★★★★☆ | ★★★☆☆ | ★★★★☆ | ★★★☆☆ | ★★★☆☆ |
| Безопасность | ★★★★★ | ★★★★★ | ★★★★★ | ★★★★★ | ★★★☆☆ | ★★★★☆ |
| Стабильность | ★★★★☆ | ★★★★☆ | ★★★★★ | ★★★★★ | ★★★☆☆ | ★★★★☆ |
| Совместимость | ★★★★☆ | ★★★★★ | ★★★★★ | ★★★★☆ | ★★★★★ | ★★★☆☆ |
| Обфускация | ★★★☆☆ | ★★★☆☆ | ★★★☆☆ | ★★☆☆☆ | ★☆☆☆☆ | ★★★★☆ |
| Код (строк) | ~4 000 | ~100 000 | ~100 000 | ~40 000 | ~30 000 | ~50 000 |
| Протокол | UDP | UDP | TCP | UDP | UDP | TCP |
| Порт | Произвольный | 1194 | 443 | 500/4500 | 1701 | 443 |
| Шифрование | ChaCha20 | AES-256-GCM | AES-256-GCM | AES-256-GCM | AES-256 | AES-256 |
| PFS | Да | Да | Да | Да | Зависит | Да |
| Год создания | 2016 | 2001 | 2001 | 2005 | 1999 | 2007 |
WireGuard: подробное сравнение
Преимущества
Скорость: WireGuard — самый быстрый VPN-протокол. Минимальный код (~4000 строк) означает меньше вычислений, меньше overhead, выше пропускная способность. В тестах WireGuard на 20–40% быстрее OpenVPN.
Современное шифрование: ChaCha20-Poly1305 для данных, X25519 для обмена ключами, BLAKE2s для хэширования. Все алгоритмы — state of the art криптографии.
Быстрое подключение: handshake WireGuard занимает 1 RTT (один обмен пакетами). OpenVPN — 2+ RTT. На мобильных устройствах с нестабильным соединением это критично.
Roaming: WireGuard автоматически обрабатывает смену IP-адреса (переключение с Wi-Fi на мобильную сеть) без обрыва соединения.
Минимальная поверхность атаки: 4000 строк кода vs. 100 000 строк OpenVPN. Меньше кода = меньше потенциальных уязвимостей.
Недостатки
Обфускация: стандартный WireGuard имеет фиксированный формат пакетов, который DPI может обнаружить. Для обхода DPI нужна обфускация (модифицированные версии WireGuard).
Нет встроенного обхода NAT: WireGuard требует дополнительных механизмов для обхода NAT (NAT-T уже встроен).
Статический IP по умолчанию: WireGuard привязывает публичный ключ к IP-адресу. Это может быть проблемой для некоторых конфигураций (решается на уровне VPN-провайдера).
Когда использовать
- Повседневное использование VPN
- Стриминг и загрузки (максимальная скорость)
- Мобильные устройства (быстрый roaming)
- Онлайн-игры (низкий пинг)
OpenVPN: подробное сравнение
Преимущества
Проверен временем: OpenVPN существует с 2001 года, прошёл множество аудитов и проверок. Код открыт, задокументирован, изучен криптографическим сообществом.
Гибкость: OpenVPN поддерживает множество конфигураций, протоколов транспорта (TCP/UDP), портов, алгоритмов шифрования. Можно настроить под любую задачу.
Обход NAT: OpenVPN отлично работает через NAT, прокси, файрволы. TCP-режим на порту 443 проходит практически через любые ограничения.
Кроссплатформенность: клиенты для Windows, macOS, Linux, Android, iOS, роутеров, NAS. Поддержка практически любых устройств.
TLS-шифрование: использует стандартный TLS 1.2/1.3 для обмена ключами, совместим с существующей инфраструктурой PKI.
Недостатки
Скорость: OpenVPN медленнее WireGuard на 20–40% из-за более сложного кода и overhead TLS.
TCP-over-TCP проблема: OpenVPN over TCP создаёт «TCP meltdown» — двойную ретрансляцию пакетов, что критично снижает скорость при потерях пакетов.
Кодовая база: ~100 000 строк кода — значительно больше, чем у WireGuard. Больше потенциальных уязвимостей.
Медленное подключение: TLS-handshake занимает больше времени, чем Noise-handshake WireGuard.
Когда использовать
- Обход DPI на порту 443 (TCP-режим)
- Совместимость с устаревшими устройствами
- Корпоративные VPN-решения
- Сложные сетевые конфигурации
IKEv2/IPsec: подробное сравнение
Преимущества
Стабильность: IKEv2/IPsec отлично обрабатывает смену сети (MOBIKE — Mobility and Multihoming Protocol). При переключении с Wi-Fi на мобильную сеть соединение восстанавливается за доли секунды.
Нативная поддержка: встроен в iOS, macOS, Windows 10/11, Android. Не требует установки дополнительного ПО.
Скорость: сопоставима с OpenVPN UDP. Немного медленнее WireGuard.
Безопасность: AES-256-GCM, ECDH обмен ключами, полная поддержка PFS.
Недостостатки
Сложность настройки: требует установки серверной части StrongSwan или Libreswan. Конфигурация сложнее, чем у WireGuard или OpenVPN.
UDP-только: IKEv2 использует UDP, который может быть заблокирован某些 файрволами.
DPI-обнаружение: стандартный IKEv2 имеет узнаваемый handshake, который DPI может обнаружить.
Когда использовать
- Мобильные устройства (iOS, Android) — быстрый roaming
- Автоматическое подключение (Connect On Demand на iOS)
- Корпоративные мобильные устройства
L2TP/IPsec: подробное сравнение
Преимущества
Совместимость: встроен практически в каждую операционную систему — Windows, macOS, Linux, iOS, Android, роутеры. Не требует установки ПО.
Простота настройки: минимальная конфигурация — логин, пароль, адрес сервера.
Недостатки
Устаревший: L2TP (Layer 2 Tunneling Protocol) разработан в 1999 году. Сам по себе L2TP не шифрует трафик — шифрование обеспечивается IPsec.
Медленнее: двойная инкапсуляция (L2TP + IPsec) создаёт значительный overhead. На 20–30% медленнее OpenVPN.
UDP-только на порту 1701: легко обнаруживается и блокируется DPI. Нет гибкости в выборе порта.
Уязвимости: обнаружены уязвимости в реализации IKEv1 (используется в некоторых L2TP/IPsec конфигурациях). NSA предположительно способна взломать IPsec при определённых настройках.
Нет PFS по умолчанию: при использовании PSK (pre-shared key) без DH обмена — нет Perfect Forward Secrecy.
Когда использовать
Только если другие протоколы недоступны. L2TP/IPsec — запасной вариант для устройств, не поддерживающих WireGuard или OpenVPN.
SSTP: подробное сравнение
Преимущества
Обход файрволов: SSTP использует TCP порт 443 — тот же порт, что и HTTPS. Файрволы не могут заблокировать SSTP, не заблокировав весь HTTPS.
Встроен в Windows: нативная поддержка в Windows Vista и выше. Не требует установки ПО.
TLS-шифрование: использует TLS 1.2/1.3, обеспечивая надёжное шифрование.
Недостатки
Медленнее: TCP-only режим создаёт TCP-over-TCP проблему. Значительно медленнее WireGuard и OpenVPN UDP.
Плохая кроссплатформенность: нативная поддержка только в Windows. На Linux, macOS, Android требуется сторонний клиент.
Закрытый протокол: SSTP принадлежит Microsoft, спецификация не полностью открыта.
Когда использовать
- Windows-среда, где другие протоколы заблокированы
- Обход файрволов, блокирующих UDP
- Корпоративные сети на базе Microsoft
PPTP: устаревший протокол
PPTP (Point-to-Point Tunneling Protocol) — протокол 1999 года с шифрованием MPPE-128. Уязвимости обнаружены в 2012 году — NSA и другие спецслужбы могут дешифровать PPTP-трафик в реальном времени. Не используйте PPTP ни при каких обстоятельствах.
Какой протокол выбрать
Для большинства пользователей
WireGuard — оптимальный выбор. Самый быстрый, современный, безопасный. Рекомендуется для 90% сценариев.
Для обхода DPI (Россия, Китай)
OpenVPN TCP на порту 443 или модифицированный WireGuard с обфускацией. TCP 443 — стандартный HTTPS порт, его блокировка разрушает половину интернета.
Для мобильных устройств
IKEv2 или WireGuard. IKEv2 лучше обрабатывает смену сети, WireGuard быстрее подключается.
Для максимальной безопасности
OpenVPN UDP с AES-256-GCM или WireGuard. Оба протокола обеспечивают максимальную безопасность при правильной настройке.
Для сложных сетевых условий
OpenVPN TCP на порту 443 — проходит через прокси, файрволы, корпоративные сети. SSTP — альтернатива для Windows.
Сравнение в российских условиях
В России стандартные VPN-протоколы блокируются или замедляются системами DPI. Рекомендации:
- WireGuard с обфускацией — максимальная скорость + маскировка под HTTPS
- OpenVPN TCP 443 — обход DPI через стандартный HTTPS порт
- Собственные протоколы VPN-провайдеров — NordLynx, Lightway с обфускацией
- Shadowsocks/VLESS — протоколы, разработанные для обхода цензуры
Наш VPN поддерживает все современные протоколы с автоматическим выбором оптимального для ваших условий: WireGuard для скорости, OpenVPN для совместимости, а собственные протоколы с обфускацией — для обхода блокировок в России.