OpenVPN ці WireGuard? Рашэнне па ідэнтычнасці і транспарце
Ключы, працэсы ўваходу і транспарт толькі праз UDP вызначаюць выбар значна раней, чым прапускная здольнасць. Прайдзіце чатыры праверкі і трымайце замер сумленным.
Параўноўваць гэтыя два пратаколы варта толькі тады, калі параўноўваеце тое, чым сапраўды будзеце кіраваць. WireGuard пазнае партнёраў па публічным ключы і перадае свой пратакол праз UDP, а OpenVPN прапануе шырэйшы набор варыянтаў аўтэнтыфікацыі і можа працаваць праз UDP або TCP, калі сервер дае абодва. Гэтыя адрозненні фарміруюць наладжванне і рэзервовы шлях значна раней, чым фарміруюць прапускную здольнасць. Прайдзіце чатыры праверкі ніжэй па парадку; першыя дзве звычайна вырашаюць выбар, а апошнія дзве кажуць, ці было рашэнне правільным.
Пачніце з ідэнтычнасці, а не са спісу шыфраў
Партнёр WireGuard захоўвае адзін прыватны ключ і пералічвае публічныя ключы, да якіх можа дасягнуць. Правайдэр можа абгарнуць гэта парталам уліковага запісу, але сам пратакол не мае абмену імем карыстальніка і паролем, таму жыццёвы цыкл уліковага запісу жыве ў тым, што раздае ключы. OpenVPN можа выкарыстоўваць сертыфікаты, плагін да існуючага каталога або скрыпт праверкі, і менавіта таму арганізацыі з сістэмай ідэнтычнасці часта аддаюць яму перавагу. Ніводнае з рашэнняў не здымае пытання, як выдаляецца страчаная прылада.
| Decision | OpenVPN | WireGuard |
|---|---|---|
| Identity | Certificates, plugins or scripts against an existing directory | One private key per peer, public keys listed for the peers it may reach |
| Transport | UDP or TCP profiles when the server offers both | UDP only in the native protocol |
| Routing and DNS | Server pushes routes and DNS options | AllowedIPs maps ranges to peers, and tooling installs the routes |
| Where it usually breaks | Profile mismatch, expired certificate, failing plugin | Blocked UDP, wrong AllowedIPs, key not installed |
Кароткая канфігурацыя не тое самае, што простае наладжванне. Калі адзін прыватны ключ даюць некалькім людзям, наступнае выдаленне робіцца няпэўным, бо адкліканне выдаляе ўсіх адразу. Запішыце адпаведнасць чалавека ключу або сертыфікату перад выбарам, і рашэнне пра пратакол стане значна прасцейшым.
Затым паглядзіце, што дазваляе транспарт
Пратакол WireGuard выкарыстоўвае UDP. Сэрвісы OpenVPN могуць прапаноўваць профілі і UDP, і TCP, і ў сетцы, якая блакуе або пагаршае UDP, другі варыянт — гэта практычны рэзервовы шлях, а не тэарэтычны. Сервер павінен падтрымліваць абраны профіль, і змена нумара порта не ператварае тунель у HTTPS і не пераконвае файрвол прапусціць яго.
Перадача TCP унутры TCP таксама змяняе паводзіны пры стратах, бо абодва ўзроўні незалежна паўтараюць спробы і пераўпарадкоўваюць. Профіль TCP, які працуе ў абмежавальнай сетцы, можа ўсё адно дрэнна сябе паводзіць у сетцы са стратамі, і гэта прычына трымаць абодва профілі даступнымі, а не абвяшчаць адзін лепшым.
Затым праверце маршрутызацыю і развязанне імён
AllowedIPs у WireGuard супастаўляе дыяпазоны адрасоў з партнёрамі і дзейнічае як рашэнне маршрутызацыі ўнутры пратакола, а навакольныя інструменты выкарыстоўваюць гэтыя дыяпазоны, калі ўсталёўваюць маршруты. OpenVPN перадае маршруты і параметры DNS з сервера. У абодвух выпадках кліент можа падняцца, пакуль патрэбная палітыка ўжыта толькі напалову.
ip route show
ip -6 route show
resolvectl status
wg showПрачытайце вывад, перш чым давяраць індыкатару падключэння. ip route show пералічвае, што кліент усталяваў для IPv4, а варыянт IPv6 ловіць тунель, які нясе толькі адну сям’ю. resolvectl status паказвае, да якога рэзалвера кліент сапраўды звернецца, а wg show друкуе AllowedIPs, якія WireGuard лічыць сваімі. Калі рэзалвер усё яшчэ паказвае на лакальную сетку, пакуль маршруты заяўляюць поўнае пакрыццё, DNS выходзіць за тунель.
Затым вымерайце задачу, якая вам важная
Трымайце прыладу, сетку і пункт прызначэння нязменнымі і запішыце кліентаў і канчатковыя пункты, якія выкарыстоўвалі. Калі два сэрвісы выходзяць у розных гарадах або працуюць на рознай апаратнай частцы, скажыце пра гэта, бо вынік тады апісвае гэтыя сэрвісы, а не пратаколы.
iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20Выканайце абедзве каманды двойчы, па адным разе на пару профіляў, у той жа сетцы і на той жа прыладзе. iperf3 дае лічбу прапускной здольнасці, а mtr дае шлях і месца, дзе з’яўляюцца страты, чаго адзіная лічба спампоўкі паказаць не можа. Лічба спампоўкі таксама прапускае тое, што заўважае званок: дадатковую затрымку, дрыжанне і час перападключэння. Запісвайце гэта асобна, бо пратакол, які перамагае па прапускной здольнасці, можа ўсё адно прайграць на задачы, якую вы сапраўды выконваеце.
Для кіраванага злучэння сумяшчальнасць, падтрымка і намаганні на абнаўленне могуць пераважыць невялікую розніцу ў замеры. Для асабістага выхаду журналяванне аператара і юрысдыкцыя важныя больш, чым ярлык пратакола. Абодва пратаколы здольныя несці добрае злучэнне; сэрвіс і яго канфігурацыя вырашаюць, што вы атрымаеце.
Запішыце пару профіляў перад тэстам
Выберыце адзін профіль на пратакол перад замерываннем і запішыце, што кожны павінен рабіць: толькі прыватныя падсеткі або ўвесь трафік з пэўным выхадам. Тэст, які параўноўвае профіль раздзеленага тунеля з поўным тунелем, вымярае профілі, а не пратаколы. Запішыце імя кліента, версію кліента і месца выхаду ў адной і той жа нататцы.
Затым выканайце тую ж задачу на абодвух, у той жа сетцы, у той жа сесіі. Калі адзін зусім не можа падключыцца, гэтая няўдача і ёсць вынік, і яна належыць у запіс разам з прычынай. Трымайце запіс разам з дакументацыяй сэрвісу, каб наступны чалавек параўнаў тую ж пару, а не пачынаў спачатку.