OpenVPN या WireGuard? पहचान और परिवहन से निर्णय लें
कुंजियाँ, लॉगिन प्रवाह और केवल UDP परिवहन थ्रूपुट से बहुत पहले चुनाव तय करते हैं। चार जाँचें करें और मापन को ईमानदार रखें।
इन दो प्रोटोकॉल की तुलना केवल तभी उपयोगी है जब वह उसी की तुलना करे जिसे आप वास्तव में चलाएँगे। WireGuard सार्वजनिक कुंजी से साथियों की पहचान करता है और अपना प्रोटोकॉल UDP पर ले जाता है, जबकि OpenVPN प्रमाणीकरण के अधिक विकल्प देता है और सर्वर दोनों दे तो UDP या TCP पर चल सकता है। ये अंतर थ्रूपुट गढ़ने से बहुत पहले तैयारी और वैकल्पिक मार्ग गढ़ते हैं। नीचे दी गई चार जाँचें क्रम से करें; पहली दो आमतौर पर चुनाव तय करती हैं, और अंतिम दो बताती हैं कि निर्णय सही था या नहीं।
पहचान से शुरू करें, सिफ़र सूची से नहीं
WireGuard साथी एक निजी कुंजी रखता है और उन सार्वजनिक कुंजियों की सूची रखता है जिन तक वह पहुँच सकता है। प्रदाता इसके चारों ओर खाता पोर्टल बना सकता है, पर प्रोटोकॉल में स्वयं उपयोगकर्ता नाम और पासवर्ड का आदान-प्रदान नहीं है, इसलिए खाते का जीवनचक्र उसी में रहता है जो कुंजियाँ बाँटता है। OpenVPN प्रमाणपत्र, मौजूदा डायरेक्टरी के सामने प्लगइन या सत्यापन स्क्रिप्ट का उपयोग कर सकता है, और इसीलिए पहचान प्रणाली वाले संगठन अक्सर इसे पसंद करते हैं। कोई भी रचना यह प्रश्न नहीं हटाती कि खोया हुआ उपकरण कैसे हटाया जाए।
| Decision | OpenVPN | WireGuard |
|---|---|---|
| Identity | Certificates, plugins or scripts against an existing directory | One private key per peer, public keys listed for the peers it may reach |
| Transport | UDP or TCP profiles when the server offers both | UDP only in the native protocol |
| Routing and DNS | Server pushes routes and DNS options | AllowedIPs maps ranges to peers, and tooling installs the routes |
| Where it usually breaks | Profile mismatch, expired certificate, failing plugin | Blocked UDP, wrong AllowedIPs, key not installed |
छोटी कॉन्फ़िगरेशन सरल तैयारी के बराबर नहीं है। एक निजी कुंजी कई लोगों को देने से बाद में हटाना अस्पष्ट हो जाता है, क्योंकि उसे रद्द करने से सभी एक साथ हट जाते हैं। चुनने से पहले व्यक्ति से कुंजी या प्रमाणपत्र का मानचित्र लिख लें, और प्रोटोकॉल का निर्णय काफ़ी आसान हो जाएगा।
फिर देखें कि परिवहन क्या अनुमति देता है
WireGuard का प्रोटोकॉल UDP का उपयोग करता है। OpenVPN सेवाएँ UDP और TCP दोनों प्रोफ़ाइल दे सकती हैं, और जिस नेटवर्क में UDP अवरुद्ध या कमज़ोर हो वहाँ दूसरा विकल्प सैद्धांतिक नहीं बल्कि व्यावहारिक वैकल्पिक मार्ग है। सर्वर को आपकी चुनी प्रोफ़ाइल का समर्थन करना होगा, और पोर्ट नंबर बदलने से सुरंग HTTPS नहीं बनती और न ही फ़ायरवॉल उसे अनुमति देने को मान जाता है।
TCP को TCP के भीतर ले जाने से हानि के समय व्यवहार भी बदलता है, क्योंकि दोनों परतें स्वतंत्र रूप से फिर से प्रयास करती हैं और क्रम बदलती हैं। प्रतिबंधक नेटवर्क पर चलने वाली TCP प्रोफ़ाइल हानि वाले नेटवर्क पर फिर भी खराब प्रदर्शन कर सकती है, और यही एक को श्रेष्ठ घोषित करने के बजाय दोनों प्रोफ़ाइल उपलब्ध रखने का कारण है।
फिर रूटिंग और नाम विभेदन जाँचें
WireGuard का AllowedIPs पता श्रेणियों को साथियों से जोड़ता है और प्रोटोकॉल के भीतर रूटिंग निर्णय की तरह काम करता है, और आसपास के उपकरण रूट लगाते समय उन श्रेणियों का उपयोग करते हैं। OpenVPN सर्वर से रूट और DNS विकल्प धकेलता है। दोनों स्थितियों में क्लाइंट ऊपर आ सकता है जबकि इच्छित नीति आधी ही लागू हो।
ip route show
ip -6 route show
resolvectl status
wg showकनेक्टेड संकेतक पर भरोसा करने से पहले आउटपुट पढ़ें। ip route show सूची देता है कि क्लाइंट ने IPv4 के लिए क्या लगाया, और IPv6 संस्करण उस सुरंग को पकड़ता है जो केवल एक परिवार ले जाती है। resolvectl status दिखाता है कि क्लाइंट वास्तव में किस विभेदक से पूछेगा, और wg show वे AllowedIPs छापता है जिन्हें WireGuard अपना मानता है। यदि रूट पूर्ण कवरेज का दावा करते समय भी विभेदक स्थानीय नेटवर्क की ओर ही इशारा करता है, तो DNS सुरंग से बाहर निकल जाता है।
फिर उस कार्य को मापें जो आपके लिए मायने रखता है
उपकरण, नेटवर्क और गंतव्य को स्थिर रखें, और उपयोग किए गए क्लाइंट और अंतिम बिंदु लिख लें। यदि दोनों सेवाएँ अलग-अलग शहरों से निकलती हैं या अलग हार्डवेयर पर चलती हैं, तो यह बताएँ, क्योंकि तब परिणाम प्रोटोकॉल नहीं बल्कि उन सेवाओं का वर्णन करता है।
iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20दोनों कमांड दो बार चलाएँ, प्रत्येक प्रोफ़ाइल जोड़ी के लिए एक बार, उसी नेटवर्क और उपकरण पर। iperf3 थ्रूपुट का आँकड़ा देता है, और mtr मार्ग और यह कि हानि कहाँ दिखती है, जो एक अकेला डाउनलोड आँकड़ा नहीं दिखा सकता। डाउनलोड आँकड़ा उसे भी छोड़ देता है जो कॉल महसूस करती है: अतिरिक्त विलंबता, जिटर और पुनः कनेक्ट में कितना समय लगता है। इन्हें अलग लिखें, क्योंकि थ्रूपुट में जीतने वाला प्रोटोकॉल उस कार्य में हार सकता है जो आप वास्तव में चलाते हैं।
प्रबंधित कनेक्शन में अनुकूलता, समर्थन और नवीनीकरण का प्रयास छोटे बेंचमार्क अंतर से अधिक भारी पड़ सकते हैं। व्यक्तिगत एग्ज़िट में ऑपरेटर की लॉगिंग और क्षेत्राधिकार प्रोटोकॉल के लेबल से अधिक मायने रखते हैं। दोनों प्रोटोकॉल अच्छा कनेक्शन ले जा सकते हैं; सेवा और उसका कॉन्फ़िगरेशन तय करते हैं कि आपको क्या मिलता है।
परीक्षण से पहले प्रोफ़ाइल जोड़ी लिखें
मापने से पहले प्रत्येक प्रोटोकॉल के लिए एक प्रोफ़ाइल चुनें और लिखें कि प्रत्येक को क्या करना चाहिए: केवल निजी सबनेट, या किसी विशेष एग्ज़िट के साथ सारा ट्रैफ़िक। जो परीक्षण स्प्लिट-टनल प्रोफ़ाइल की तुलना पूर्ण-टनल प्रोफ़ाइल से करता है वह प्रोफ़ाइल मापता है, प्रोटोकॉल नहीं। क्लाइंट का नाम, क्लाइंट संस्करण और एग्ज़िट का स्थान एक ही नोट में डालें।
फिर वही कार्य दोनों पर चलाएँ, उसी नेटवर्क पर, उसी सत्र में। यदि एक बिल्कुल कनेक्ट नहीं हो पाता, तो वह विफलता ही परिणाम है और कारण के साथ रिकॉर्ड में होनी चाहिए। रिकॉर्ड को सेवा के दस्तावेज़ों के साथ रखें ताकि अगला व्यक्ति शुरुआत से करने के बजाय वही जोड़ी तुलना करे।