OpenVPN أم WireGuard؟ قرار من الهوية والنقل
المفاتيح ومسارات تسجيل الدخول والنقل عبر UDP وحده تحدد الاختيار قبل معدل النقل بكثير. نفّذ أربعة فحوص واجعل القياس صادقًا.
لا تكون مقارنة هذين البروتوكولين مفيدة إلا إذا قارنت ما ستشغّله فعلاً. يعرّف WireGuard الأقران بمفتاح عام وينقل بروتوكوله عبر UDP، في حين OpenVPN يقدّم مجموعة أوسع من ترتيبات المصادقة ويمكنه العمل عبر UDP أو TCP عندما يوفّر الخادم كليهما. هذه الفروق تشكّل التهيئة والبديل قبل أن تشكّل معدل النقل بوقت طويل. نفّذ الفحوص الأربعة أدناه بالترتيب؛ أول فحصين يحدّدان الاختيار عادةً، والفحصان الأخيران يخبرانك هل كان القرار صائبًا.
ابدأ بالهوية لا بقائمة التشفير
يحتفظ قرين WireGuard بمفتاح خاص واحد ويسرد المفاتيح العامة التي قد يصل إليها. يمكن للمزوّد أن يبني بوابة حساب حول ذلك، لكن البروتوكول نفسه لا يتضمن تبادل اسم مستخدم وكلمة مرور، لذا تعيش دورة حياة الحساب في أي شيء يوزّع المفاتيح. يستطيع OpenVPN استخدام الشهادات أو إضافة برنامج مقابل دليل موجود أو سكربت تحقّق، ولهذا تفضّله المؤسسات التي لديها نظام هوية. ولا يزيل أي من التصميمين مسألة كيفية إزالة جهاز مفقود.
| Decision | OpenVPN | WireGuard |
|---|---|---|
| Identity | Certificates, plugins or scripts against an existing directory | One private key per peer, public keys listed for the peers it may reach |
| Transport | UDP or TCP profiles when the server offers both | UDP only in the native protocol |
| Routing and DNS | Server pushes routes and DNS options | AllowedIPs maps ranges to peers, and tooling installs the routes |
| Where it usually breaks | Profile mismatch, expired certificate, failing plugin | Blocked UDP, wrong AllowedIPs, key not installed |
الإعداد القصير ليس كالتهيئة البسيطة. تسليم مفتاح خاص واحد لعدة أشخاص يجعل الإزالة اللاحقة ملتبسة، لأن إبطاله يزيل الجميع دفعة واحدة. اكتب تعيين الشخص إلى المفتاح أو الشهادة قبل الاختيار، وسيصبح قرار البروتوكول أسهل بكثير.
ثم انظر إلى ما يسمح به النقل
يستخدم بروتوكول WireGuard بروتوكول UDP. يمكن لخدمات OpenVPN أن تقدّم ملفي تعريف UDP وTCP، وعلى شبكة تحجب UDP أو تُضعفه يمثّل الخيار الثاني بديلاً عمليًا لا نظريًا. على الخادم أن يدعم الملف الذي تختاره، وتغيير رقم المنفذ لا يحوّل النفق إلى HTTPS ولا يقنع جدار حماية بالسماح به.
نقل TCP داخل TCP يغيّر أيضًا السلوك عند الفقد، لأن الطبقتين تعيدان المحاولة وتعيدان الترتيب باستقلال. قد يعمل ملف TCP على شبكة مقيّدة ويعاني مع ذلك على شبكة مفقودة، وهذا سبب للإبقاء على الملفين متاحين بدلًا من إعلان تفوق أحدهما.
ثم تحقّق من التوجيه وتحليل الأسماء
يربط AllowedIPs في WireGuard نطاقات العناوين بالأقران ويعمل كقرار توجيه داخل البروتوكول، وتستخدم الأدوات المحيطة تلك النطاقات عند تثبيت المسارات. يدفع OpenVPN المسارات وخيارات DNS من الخادم. وفي الحالتين قد يعمل العميل بينما تكون السياسة المقصودة مطبّقة جزئيًا فقط.
ip route show
ip -6 route show
resolvectl status
wg showاقرأ المخرجات قبل أن تثق بمؤشر الاتصال. يسرد ip route show ما ثبّته العميل لعنوان IPv4، ويكشف نسخته IPv6 نفقًا يحمل عائلة واحدة فقط. يعرض resolvectl status المُحلّل الذي سيسأله العميل فعلاً، ويطبع wg show قيم AllowedIPs التي يعتقد WireGuard أنه يملكها. وإذا كان المُحلّل ما زال يشير إلى الشبكة المحلية بينما تدّعي المسارات تغطية كاملة، فإن DNS يخرج خارج النفق.
ثم قِس المهمة التي تهمّك
أبقِ الجهاز والشبكة والوجهة ثابتة، وسجّل العملاء ونقاط النهاية التي استخدمتها. وإذا كانت الخدمتان تخرجان من مدينتين مختلفتين أو تعملان على عتاد مختلف، فاذكر ذلك، لأن النتيجة تصف تلك الخدمات لا البروتوكولات.
iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20نفّذ الأمرين مرتين، مرة لكل زوج ملفات تعريف، على الشبكة والجهاز نفسيهما. يمنحك iperf3 رقم معدل نقل، ويمنحك mtr المسار وأين يظهر الفقد، وهو ما لا يستطيع رقم تنزيل واحد إظهاره. كما يفوت رقم التنزيل ما يلاحظه الاتصال: زمن الاستجابة المضاف والتذبذب وطول إعادة الاتصال. سجّل ذلك منفصلاً، لأن بروتوكولًا يفوز في معدل النقل قد يخسر في المهمة التي تنفّذها فعلاً.
في الاتصال المُدار، قد تفوق التوافقية والدعم وجهد التجديد فرقًا صغيرًا في القياس. وفي مخرج شخصي، تهمّ سجلات المشغّل واختصاصه القضائي أكثر من اسم البروتوكول. يستطيع البروتوكولان حمل اتصال جيد؛ والخدمة وإعدادها يحددان ما تحصل عليه.
اكتب زوج ملفات التعريف قبل أن تختبر
اختر ملف تعريف واحدًا لكل بروتوكول قبل القياس، واكتب ما يفترض أن يفعله كل منهما: شبكات فرعية خاصة فقط، أو كل الحركة عبر مخرج محدد. الاختبار الذي يقارن ملف نفق منقسم بملف نفق كامل يقيس الملفين لا البروتوكولين. ضع اسم العميل وإصداره وموقع المخرج في الملاحظة نفسها.
ثم نفّذ المهمة نفسها على كليهما، على الشبكة نفسها، وفي الجلسة نفسها. وإذا فشل أحدهما في الاتصال كليًا، فذلك الفشل هو النتيجة ويجب تسجيله مع السبب. احفظ السجل مع وثائق الخدمة ليقارن الشخص التالي الزوج نفسه بدل أن يبدأ من جديد.