OpenVPN vai WireGuard? Ratkaise identiteetin ja siirron perusteella

Näiden kahden protokollan vertailu on hyödyllistä vain, jos se vertaa sitä, mitä todella tulet käyttämään. WireGuard tunnistaa vertaiset julkisella avaimella ja kuljettaa protokollansa UDP:n yli, kun taas OpenVPN tarjoaa laajemman joukon todennusjärjestelyjä ja voi toimia UDP:n tai TCP:n yli, kun palvelin tarjoaa molemmat. Nämä erot muovaavat käyttöönottoa ja varareittiä paljon aikaisemmin kuin ne muovaavat läpimenoa. Tee alla olevat neljä tarkistusta järjestyksessä; kaksi ensimmäistä ratkaisevat yleensä valinnan, ja kaksi viimeistä kertovat, oliko päätös oikea.

Aloita identiteetistä, älä salausluettelosta

WireGuard-vertaisella on yksi yksityinen avain, ja se luettelee julkiset avaimet, joihin se voi päästä. Palveluntarjoaja voi kääriä ympärille tiliportaalin, mutta protokollassa itsessään ei ole käyttäjätunnuksen ja salasanan vaihtoa, joten tilin elinkaari elää siinä, mikä jakaa avaimet. OpenVPN voi käyttää varmenteita, olemassa olevaan hakemistoon nojaavaa liitännäistä tai varmennusskriptiä, ja siksi identiteettijärjestelmän omaavat organisaatiot suosivat sitä usein. Kumpikaan suunnittelu ei poista kysymystä siitä, miten kadonnut laite poistetaan.

Lyhyt kokoonpano ei ole sama asia kuin yksinkertainen käyttöönotto. Yhden yksityisen avaimen antaminen usealle ihmiselle tekee myöhemmästä poistamisesta monitulkintaisen, koska sen peruuttaminen poistaa kaikki kerralla. Kirjoita henkilön ja avaimen tai varmenteen vastaavuus ylös ennen valintaa, ja protokollapäätöksestä tulee selvästi helpompi.

Katso sitten, mitä siirto sallii

WireGuardin protokolla käyttää UDP:tä. OpenVPN-palvelut voivat tarjota sekä UDP- että TCP-profiileja, ja verkossa, joka estää tai heikentää UDP:tä, tuo toinen vaihtoehto on käytännöllinen varareitti eikä teoreettinen. Palvelimen on tuettava valitsemaasi profiilia, eikä portin numeron vaihtaminen tee tunnelista HTTPS:ää tai saa palomuuria sallimaan sitä.

TCP:n kuljettaminen TCP:n sisällä muuttaa myös käyttäytymistä häviöiden aikana, koska molemmat kerrokset yrittävät uudelleen ja järjestävät itsenäisesti. TCP-profiili, joka toimii rajoittavassa verkossa, voi silti suoriutua huonosti häviöitä kokevassa verkossa, ja siksi molemmat profiilit kannattaa pitää saatavilla sen sijaan, että julistaisi toisen paremmaksi.

Tarkista sitten reititys ja nimien selvitys

WireGuardin AllowedIPs kartoittaa osoitealueet vertaisille ja toimii reitityspäätöksenä protokollan sisällä, ja ympäröivät työkalut käyttävät näitä alueita asentaessaan reittejä. OpenVPN työntää reitit ja DNS-vaihtoehdot palvelimelta. Molemmissa tapauksissa asiakas voi nousta pystyyn, kun taas aiottu käytäntö on vain puoliksi sovellettu.

ip route show
ip -6 route show
resolvectl status
wg show

Lue tuloste ennen kuin luotat yhdistetty-tilaan. ip route show luettelee, mitä asiakas asensi IPv4:lle, ja IPv6-muunnos nappaa tunnelin, joka kuljettaa vain yhtä perhettä. resolvectl status näyttää, miltä selvittäjältä asiakas todella kysyy, ja wg show tulostaa AllowedIPs-arvot, joiden WireGuard uskoo omistavansa. Jos selvittäjä osoittaa edelleen paikalliseen verkkoon samalla kun reitit väittävät täyttä kattavuutta, DNS lähtee tunnelin ulkopuolelle.

Mittaa sitten tehtävä, jolla on sinulle merkitystä

Pidä laite, verkko ja kohde muuttumattomina ja kirjaa käyttämäsi asiakkaat ja päätepisteet. Jos kaksi palvelua lähtevät eri kaupungeista tai toimivat eri laitteistolla, kerro se, sillä silloin tulos kuvaa näitä palveluja eikä protokollia.

iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20

Aja molemmat komennot kahdesti, kerran kutakin profiiliparia kohden, samassa verkossa ja samalla laitteella. iperf3 antaa läpimenoluvun ja mtr antaa polun ja sen, missä häviöitä ilmenee, mitä yksittäinen latausluku ei voi näyttää. Latausluku jättää myös huomaamatta sen, minkä puhelu huomaa: lisääntynyt viive, värinä ja kuinka kauan uudelleenyhdistäminen kestää. Kirjaa ne erikseen, sillä läpimenossa voittava protokolla voi silti hävitä tehtävässä, jota todella ajat.

Hallitussa yhteydessä yhteensopivuus, tuki ja uusimistyö voivat painaa enemmän kuin pieni ero vertailussa. Henkilökohtaisessa ulostulossa operaattorin lokitus ja lainkäyttövalta merkitsevät enemmän kuin protokollan nimi. Molemmat protokollat voivat kuljettaa hyvää yhteyttä; palvelu ja sen kokoonpano ratkaisevat, mitä saat.

Kirjoita profiilipari ylös ennen testiä

Valitse yksi profiili protokollaa kohden ennen mittaamista ja kirjoita ylös, mitä kunkin pitäisi tehdä: vain yksityiset aliverkot tai kaikki liikenne tietyn ulostulon kautta. Testi, joka vertaa jaetun tunnelin profiilia täystunnelin profiiliin, mittaa profiileja, ei protokollia. Laita asiakkaan nimi, asiakasversio ja ulostulon sijainti samaan muistiinpanoon.

Aja sitten sama tehtävä molemmilla, samassa verkossa, samassa istunnossa. Jos toinen ei saa yhteyttä lainkaan, se epäonnistuminen on tulos ja kuuluu muistiinpanoon syyn kanssa. Säilytä muistiinpano palvelun dokumentaation kanssa, jotta seuraava vertaa samaa paria sen sijaan, että aloittaisi alusta.