OpenVPN või WireGuard? Otsustage identiteedi ja transpordi järgi
Võtmed, sisselogimisvood ja ainult UDP-l põhinev transport kujundavad valiku palju varem kui läbilaskevõime. Tehke neli kontrolli ja hoidke mõõtmine ausana.
Nende kahe protokolli võrdlemine on kasulik ainult siis, kui see võrdleb seda, mida te tegelikult hakkate haldama. WireGuard tuvastab partnerid avaliku võtmega ja kannab oma protokolli UDP kaudu, samas kui OpenVPN pakub laiemat autentimislahenduste valikut ja suudab töötada UDP või TCP kaudu, kui server pakub mõlemat. Need erinevused kujundavad hankimise ja varutee palju varem, kui need kujundavad läbilaskevõime. Tehke allolevad neli kontrolli järjest; kaks esimest otsustavad tavaliselt valiku ja kaks viimast ütlevad, kas otsus oli õige.
Alustage identiteedist, mitte šifriloendist
WireGuardi partner hoiab ühte privaatvõtit ja loetleb avalikud võtmed, milleni see jõuda võib. Teenusepakkuja võib selle ümber ehitada kontoportaali, kuid protokoll ise ei vaheta kasutajanime ja parooli, seega elab konto elutsükkel selles, mis võtmeid jagab. OpenVPN saab kasutada sertifikaate, olemasoleva kataloogi vastu käivat pistikprogrammi või kontrollskripti, mistõttu eelistavad identiteedisüsteemiga organisatsioonid seda sageli. Kumbki lahendus ei kõrvalda küsimust, kuidas kadunud seade eemaldatakse.
| Decision | OpenVPN | WireGuard |
|---|---|---|
| Identity | Certificates, plugins or scripts against an existing directory | One private key per peer, public keys listed for the peers it may reach |
| Transport | UDP or TCP profiles when the server offers both | UDP only in the native protocol |
| Routing and DNS | Server pushes routes and DNS options | AllowedIPs maps ranges to peers, and tooling installs the routes |
| Where it usually breaks | Profile mismatch, expired certificate, failing plugin | Blocked UDP, wrong AllowedIPs, key not installed |
Lühike konfiguratsioon ei ole sama mis lihtne hankimine. Ühe privaatvõtme andmine mitmele inimesele muudab hilisema eemaldamise mitmetähenduslikuks, sest selle tühistamine eemaldab kõik korraga. Kirjutage isiku vastendamine võtme või sertifikaadiga enne valimist üles ja protokolliotsus muutub märgatavalt lihtsamaks.
Seejärel vaadake, mida transport lubab
WireGuardi protokoll kasutab UDP-d. OpenVPN-i teenused võivad pakkuda nii UDP kui ka TCP profiile ja võrgus, mis blokeerib või halvendab UDP-d, on see teine võimalus praktiline varutee, mitte teoreetiline. Server peab toetama teie valitud profiili ja pordi numbri muutmine ei muuda tunnelit HTTPS-iks ega veena tulemüüri seda lubama.
TCP kandmine TCP sees muudab ka käitumist kadude korral, sest mõlemad kihid proovivad ja järjestavad iseseisvalt uuesti. Piiravas võrgus töötav TCP profiil võib kadudega võrgus siiski halvasti toimida, ja see on põhjus hoida mõlemad profiilid saadaval, mitte kuulutada üks paremaks.
Seejärel kontrollige marsruutimist ja nimede tõlgendamist
WireGuardi AllowedIPs vastendab aadressivahemikud partneritega ja toimib protokolli sees marsruudiotusena, ning ümbritsevad tööriistad kasutavad neid vahemikke marsruutide paigaldamisel. OpenVPN lükkab marsruudid ja DNS-i valikud serverist välja. Mõlemal juhul võib klient püsti tulla, samal ajal kui kavatsetud poliitika on vaid poolenisti rakendatud.
ip route show
ip -6 route show
resolvectl status
wg showLugege väljundit enne, kui usaldate ühendatud oleku näidikut. ip route show loetleb, mida klient IPv4 jaoks paigaldas, ja IPv6 variant püüab kinni tunneli, mis kannab ainult üht perekonda. resolvectl status näitab, millist lahendajat klient tegelikult küsib, ja wg show trükib AllowedIPs-id, mida WireGuard enda omaks peab. Kui lahendaja osutab endiselt kohalikule võrgule, samal ajal kui marsruudid väidavad täielikku katvust, väljub DNS tunnelist välja.
Seejärel mõõtke ülesannet, mis teile loeb
Hoidke seade, võrk ja sihtkoht muutumatuna ning kirjutage üles kasutatud kliendid ja lõpp-punktid. Kui kaks teenust väljuvad eri linnades või töötavad erineval riistvaral, öelge seda, sest siis kirjeldab tulemus neid teenuseid, mitte protokolle.
iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20Käivitage mõlemad käsud kaks korda, üks kord iga profiilipaari kohta, samas võrgus ja samas seadmes. iperf3 annab läbilaskevõime numbri ja mtr annab tee ning koha, kus kaod ilmnevad, mida üks allalaadimisnumber näidata ei suuda. Allalaadimisnumber jätab tähelepanuta ka selle, mida kõne märkab: lisanduv latentsus, hõjumine ja kui kaua ühenduse taastamine võtab. Kirjutage need eraldi üles, sest läbilaskevõimes võitev protokoll võib ikkagi kaotada ülesandes, mida te tegelikult käitate.
Hallatava ühenduse puhul võivad ühilduvus, tugi ja uuendamise vaev kaaluda üles väikese võrdlustulemuse erinevuse. Isikliku väljapääsu puhul loevad operaatori logimine ja jurisdiktsioon rohkem kui protokolli silt. Mõlemad protokollid suudavad kanda head ühendust; teenus ja selle konfiguratsioon otsustavad, mida te saate.
Kirjutage profiilipaar enne testimist üles
Valige enne mõõtmist igale protokollile üks profiil ja kirjutage üles, mida kumbki peaks tegema: ainult privaatsed alavõrgud või kogu liiklus kindla väljapääsuga. Test, mis võrdleb jaotatud tunneli profiili täistunneli profiiliga, mõõdab profiile, mitte protokolle. Pange kliendi nimi, kliendi versioon ja väljapääsu asukoht samasse märkmesse.
Seejärel käivitage sama ülesanne mõlemas, samas võrgus, samas sessioonis. Kui üks ei suuda üldse ühendust luua, on see ebaõnnestumine tulemus ja kuulub koos põhjusega kirjesse. Hoidke kirje teenuse dokumentatsiooni juures, et järgmine inimene võrdleks sama paari, mitte ei alustaks otsast peale.