OpenVPN aŭ WireGuard? Decidu laŭ identeco kaj transporto

Kompari ĉi tiujn du protokolojn nur utilas se ĝi komparas tion, kion vi vere funkciigos. WireGuard identigas kunulojn per publika ŝlosilo kaj portas sian protokolon super UDP, dum OpenVPN proponas pli larĝan aron de aŭtentikigaj aranĝoj kaj povas funkcii super UDP aŭ TCP kiam la servilo disponigas ambaŭ. Tiuj diferencoj formas la provizadon kaj la rezervan vojon longe antaŭ ol ili formas la trairon. Plenumu la kvar kontrolojn sube laŭorde; la unuaj du kutime decidas la elekton, kaj la lastaj du diras ĉu la decido estis ĝusta.

Komencu per identeco, ne per la ĉifra listo

WireGuard-kunulo tenas unu privatan ŝlosilon kaj listigas la publikajn ŝlosilojn kiujn ĝi povas atingi. Provizanto povas ĉirkaŭigi tion per konta portalo, sed la protokolo mem ne havas interŝanĝon de uzantnomo kaj pasvorto, do la vivociklo de la konto vivas en tio, kio disdonas la ŝlosilojn. OpenVPN povas uzi atestilojn, kromaĵon kontraŭ ekzistanta dosierujo aŭ kontrolan skripton, kaj tial organizoj kun identeca sistemo ofte preferas ĝin. Neniuj el la du dezajnoj forigas la demandon kiel forigi perditan aparaton.

Mallonga agordo ne samas kiel simpla provizado. Doni unu privatan ŝlosilon al pluraj homoj igas postan forigon ambigua, ĉar revoko forigas ĉiujn samtempe. Skribu la mapadon de persono al ŝlosilo aŭ atestilo antaŭ ol elekti, kaj la protokola decido fariĝas konsiderinde pli facila.

Poste rigardu, kion la transporto permesas

La protokolo de WireGuard uzas UDP. OpenVPN-servoj povas proponi kaj UDP kaj TCP profilojn, kaj en reto kiu blokas aŭ malbone traktas UDP tiu dua opcio estas praktika rezerva vojo, ne teoria. La servilo devas subteni la profilon kiun vi elektas, kaj ŝanĝi pordan numeron ne igas la tunelon HTTPS nek konvinkas fajroŝirmilon permesi ĝin.

Porti TCP ene de TCP ankaŭ ŝanĝas la konduton dum perdo, ĉar ambaŭ tavoloj denove provas kaj reordigas sendepende. TCP-profilo kiu funkcias en limiga reto tamen povas malbone prezenti en perda reto, kaj tio estas kaŭzo teni ambaŭ profilojn haveblaj anstataŭ deklari unu supera.

Poste kontrolu vojigon kaj nomrezolucion

AllowedIPs de WireGuard mapas adresajn gamojn al kunuloj kaj agas kiel vojiga decido ene de la protokolo, kaj la ĉirkaŭaj iloj uzas tiujn gamojn kiam ili instalas vojojn. OpenVPN puŝas vojojn kaj DNS-opciojn de la servilo. En ambaŭ kazoj la kliento povas ekfunkcii dum la celata politiko nur duone aplikiĝis.

ip route show
ip -6 route show
resolvectl status
wg show

Legu la eligon antaŭ ol fidi la konektitan indikilon. ip route show listigas kion la kliento instaligis por IPv4, kaj la IPv6-variaĵo kaptas tunelon kiu portas nur unu familion. resolvectl status montras kiun solvilon la kliento vere demandos, kaj wg show presas la AllowedIPs kiujn WireGuard kredas posedi. Se la solvilo ankoraŭ montras al la loka reto dum la vojoj asertas plenan kovron, DNS eliras ekster la tunelon.

Poste mezuru la taskon kiu gravas al vi

Tenu la aparaton, la reton kaj la celon senŝanĝaj, kaj notu la klientojn kaj finpunktojn kiujn vi uzis. Se la du servoj eliras en malsamaj urboj aŭ funkcias sur malsama aparataro, diru tion, ĉar tiam la rezulto priskribas tiujn servojn, ne la protokolojn.

iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20

Plenumu ambaŭ komandojn dufoje, unufoje por ĉiu profilparo, en la sama reto kaj aparato. iperf3 donas trairan nombron, kaj mtr donas la vojon kaj kie perdo aperas, kion unu elŝuta nombro ne povas montri. Elŝuta nombro ankaŭ maltrafas tion, kion rimarkas alvoko: aldonan latenton, ĵiteron kaj kiom longe daŭras rekonekto. Notu tion aparte, ĉar protokolo kiu venkas en trairo povas tamen malvenki en la tasko kiun vi vere plenumas.

Por administrata konekto, kongrueco, subteno kaj renoviga peno povas superi malgrandan diferencon en mezuro. Por persona elirejo, la protokolado kaj jurisdikcio de la funkciiganto pli gravas ol la protokola etikedo. Ambaŭ protokoloj povas porti bonan konekton; la servo kaj ĝia agordo decidas kion vi ricevas.

Skribu la profilparon antaŭ ol testi

Elektu unu profilon por protokolo antaŭ mezuri, kaj skribu kion ĉiu devus fari: nur privataj subretoj, aŭ la tuta trafiko kun specifa elirejo. Testo kiu komparas disigitan tunelprofilon kun plena tunelprofilo mezuras la profilojn, ne la protokolojn. Metu la klientan nomon, la klientan version kaj la elirejan lokon en la saman noton.

Poste plenumu la saman taskon sur ambaŭ, en la sama reto, en la sama sesio. Se unu tute ne povas konektiĝi, tiu malsukceso estas la rezulto kaj apartenas al la noto kun la kialo. Konservu la noton kun la serva dokumentaro por ke la sekva persono komparu la saman paron anstataŭ komenci denove.