OpenVPN neu WireGuard? Penderfynwch o'r hunaniaeth a'r cludiant
Mae allweddi, ffrydiau mewngofnodi a chludiant UDP yn unig yn llunio'r dewis ymhell cyn trwybwn. Rhedwch bedwar gwiriad a chadwch y mesur yn onest.
Dim ond pan fydd yn cymharu'r hyn y byddwch yn ei weithredu mewn gwirionedd y mae cymharu'r ddau brotocol hyn o unrhyw ddefnydd. Mae WireGuard yn adnabod cymheiriaid drwy allwedd gyhoeddus ac yn cludo ei brotocol dros UDP, tra OpenVPN yn cynnig set ehangach o drefniadau dilysu ac yn gallu rhedeg dros UDP neu TCP pan fo'r gweinydd yn darparu'r ddau. Mae'r gwahaniaethau hyn yn llunio'r ddarpariaeth a'r llwybr wrth gefn ymhell cyn iddynt lunio trwybwn. Rhedwch y pedwar gwiriad isod yn eu trefn; mae'r ddau gyntaf fel arfer yn penderfynu'r dewis, a'r ddau olaf yn dweud a oedd y penderfyniad yn gywir.
Dechreuwch gyda hunaniaeth, nid â'r rhestr seiffrau
Mae cymheiriaid WireGuard yn cadw un allwedd breifat ac yn rhestru'r allweddi cyhoeddus y gall eu cyrraedd. Gall darparwr lapio porth cyfrif o'i gwmpas, ond nid oes gan y protocol ei hun gyfnewid enw defnyddiwr a chyfrinair, felly mae cylch bywyd y cyfrif yn byw yn yr hyn sy'n dosbarthu'r allweddi. Gall OpenVPN ddefnyddio tystysgrifau, ategyn yn erbyn cyfeiriadur sy'n bodoli eisoes, neu sgript wirio, a dyna pam mae sefydliadau â system hunaniaeth yn aml yn ei ffafrio. Nid yw'r naill gynllun na'r llall yn dileu'r cwestiwn sut y tynnir dyfais golledus.
| Decision | OpenVPN | WireGuard |
|---|---|---|
| Identity | Certificates, plugins or scripts against an existing directory | One private key per peer, public keys listed for the peers it may reach |
| Transport | UDP or TCP profiles when the server offers both | UDP only in the native protocol |
| Routing and DNS | Server pushes routes and DNS options | AllowedIPs maps ranges to peers, and tooling installs the routes |
| Where it usually breaks | Profile mismatch, expired certificate, failing plugin | Blocked UDP, wrong AllowedIPs, key not installed |
Nid yw cyfluniad byr yr un peth â darpariaeth syml. Mae rhoi un allwedd breifat i sawl person yn gwneud tynnu'n ôl yn ddiweddarach yn amwys, oherwydd mae ei dirymu yn tynnu pawb ar unwaith. Ysgrifennwch y map o berson i allwedd neu dystysgrif cyn dewis, a daw'r penderfyniad am brotocol yn llawer haws.
Yna edrychwch beth mae'r cludiant yn ei ganiatáu
Mae protocol WireGuard yn defnyddio UDP. Gall gwasanaethau OpenVPN gynnig proffiliau UDP a TCP, ac ar rwydwaith sy'n blocio neu'n diraddio UDP mae'r ail opsiwn yn llwybr wrth gefn ymarferol yn hytrach nag un damcaniaethol. Rhaid i'r gweinydd gefnogi'r proffil a ddewiswch, ac nid yw newid rhif porth yn troi'r tiwnel yn HTTPS nac yn perswadio mur tân i'w ganiatáu.
Mae cludo TCP y tu mewn i TCP hefyd yn newid yr ymddygiad dan golled, oherwydd mae'r ddwy haen yn ailgeisio ac yn aildrefnu'n annibynnol. Gall proffil TCP sy'n gweithio ar rwydwaith gyfyngol berfformio'n wael o hyd ar un â cholled, a dyna reswm dros gadw'r ddau broffil ar gael yn hytrach na datgan bod un yn well.
Yna gwiriwch lwybr a datrys enwau
Mae AllowedIPs WireGuard yn mapio ystodau cyfeiriad at gymheiriaid ac yn gweithredu fel penderfyniad llwybro o fewn y protocol, ac mae'r offerynnau o gwmpas yn defnyddio'r ystodau hynny pan fyddant yn gosod llwybrau. Mae OpenVPN yn gwthio llwybrau a dewisiadau DNS o'r gweinydd. Yn y ddau achos gall y cleient godi tra bo'r polisi a fwriadwyd ond wedi'i hanner gymhwyso.
ip route show
ip -6 route show
resolvectl status
wg showDarllenwch yr allbwn cyn ymddiried yn y dangosydd cysylltiedig. Mae ip route show yn rhestru'r hyn a osododd y cleient ar gyfer IPv4, ac mae'r amrywiad IPv6 yn dal tiwnel sy'n cario un teulu'n unig. Mae resolvectl status yn dangos pa ddatryswr y bydd y cleient yn gofyn iddo mewn gwirionedd, ac mae wg show yn argraffu'r AllowedIPs y mae WireGuard yn credu sy'n eiddo iddo. Os yw'r datryswr yn dal i bwyntio at y rhwydwaith lleol tra bo'r llwybrau'n honni gorchudd llawn, mae DNS yn gadael y tu allan i'r tiwnel.
Yna mesurwch y dasg y gofalu amdani
Cadwch y ddyfais, y rhwydwaith a'r cyrchfan yn gyson, a chofnodwch y cleientiaid a'r penau iddynt a ddefnyddiwyd gennych. Os yw'r ddau wasanaeth yn gadael mewn dinasoedd gwahanol neu'n rhedeg ar galedwedd wahanol, dywedwch hynny, oherwydd yna mae'r canlyniad yn disgrifio'r gwasanaethau hynny yn hytrach na'r protocolau.
iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20Rhedwch y ddau orchymyn ddwywaith, unwaith y pâr o broffiliau, ar yr un rhwydwaith a'r un ddyfais. Mae iperf3 yn rhoi ffigur trwybwn, ac mae mtr yn rhoi'r llwybr a ble mae colled yn ymddangos, rhywbeth na all un ffigur lawrlwytho ei ddangos. Mae ffigur lawrlwytho hefyd yn methu'r hyn y mae galwad yn sylwi arno: oedi ychwanegol, crychdonni a pha mor hir y mae ailgysylltu'n ei gymryd. Cofnodwch y rhain ar wahân, oherwydd gall protocol sy'n ennill ar drwybwn golli o hyd ar y dasg y byddwch yn ei rhedeg mewn gwirionedd.
Ar gyfer cysylltiad a reolir, gall cydnawsedd, cymorth ac ymdrech adnewyddu orffwys gwahaniaeth meincnod bach. Ar gyfer allanfa bersonol, mae logio ac awdurdodaeth y gweithredwr yn bwysicach na label y protocol. Gall y ddau brotocol gario cysylltiad da; y gwasanaeth a'i gyfluniad sy'n penderfynu beth a gewch.
Ysgrifennwch y pâr o broffiliau cyn profi
Dewiswch un proffil ar gyfer pob protocol cyn mesur, ac ysgrifennwch beth y dylai pob un ei wneud: is-rwydweithiau preifat yn unig, neu'r holl draffig gydag allanfa benodol. Mae prawf sy'n cymharu proffil tiwnel hollt â phroffil tiwnel llawn yn mesur y proffiliau, nid y protocolau. Rhowch enw'r cleient, fersiwn y cleient a lleoliad yr allanfa yn yr un nodyn.
Yna rhedwch yr un dasg ar y ddau, ar yr un rhwydwaith, yn yr un sesiwn. Os yw un yn methu cysylltu o gwbl, y methiant hwnnw yw'r canlyniad ac mae'n perthyn i'r cofnod gyda'r rheswm. Cadwch y cofnod gyda dogfennaeth y gwasanaeth fel bod y nesaf yn cymharu'r un pâr yn hytrach na dechrau o'r dechrau.