OpenVPN әлде WireGuard? Сәйкестік пен тасымал арқылы шешіңіз
Кілттер, кіру ағындары және тек UDP арқылы тасымалдау таңдауды өткізу қабілетінен әлдеқайда бұрын қалыптастырады. Төрт тексеру жасап, өлшеуді адал ұстаңыз.
Бұл екі хаттаманы салыстыру тек шын мәнінде басқаратын нәрсеңізді салыстырғанда ғана пайдалы. WireGuard серіктестерді ашық кілт арқылы таниды және өз хаттамасын UDP арқылы тасымалдайды, ал OpenVPN аутентификациялаудың кеңірек жиынтығын ұсынады және сервер екеуін де ұсынса, UDP немесе TCP арқылы жұмыс істей алады. Бұл айырмашылықтар өткізу қабілетін қалыптастырғанға дейін әлдеқайда бұрын орнату мен сақтық жолды қалыптастырады. Төмендегі төрт тексеруді ретімен жасаңыз; алғашқы екеуі әдетте таңдауды шешеді, соңғы екеуі шешімнің дұрыс болғанын айтады.
Сәйкестіктен бастаңыз, шифрлар тізімінен емес
WireGuard серіктесі бір жеке кілт сақтайды және жете алатын ашық кілттерді тізіп шығады. Провайдер оның айналасына аккаунт порталын орай алады, бірақ хаттаманың өзінде пайдаланушы аты мен құпиясөз алмасуы жоқ, сондықтан аккаунттың өмірлік циклі кілттерді тарататын нәрсенің ішінде өмір сүреді. OpenVPN сертификаттарды, бар каталогқа қарсы плагинді немесе тексеру скриптін пайдалана алады, сондықтан сәйкестік жүйесі бар ұйымдар оны жиі қалайды. Екі шешімнің ешқайсысы жоғалған құрылғының қалай алынатыны туралы сұрақты жоймайды.
| Decision | OpenVPN | WireGuard |
|---|---|---|
| Identity | Certificates, plugins or scripts against an existing directory | One private key per peer, public keys listed for the peers it may reach |
| Transport | UDP or TCP profiles when the server offers both | UDP only in the native protocol |
| Routing and DNS | Server pushes routes and DNS options | AllowedIPs maps ranges to peers, and tooling installs the routes |
| Where it usually breaks | Profile mismatch, expired certificate, failing plugin | Blocked UDP, wrong AllowedIPs, key not installed |
Қысқа конфигурация қарапайым орнатумен бірдей емес. Бір жеке кілтті бірнеше адамға беру кейінгі алып тастауды екіұшты етеді, өйткені оны кері қайтару барлығын бірден алып тастайды. Таңдау алдында адамның кілтке немесе сертификатқа сәйкестігін жазып қойыңыз, сонда хаттама туралы шешім әлдеқайда жеңіл болады.
Содан кейін тасымалдаудың неге рұқсат беретінін қараңыз
WireGuard хаттамасы UDP пайдаланады. OpenVPN қызметтері UDP және TCP профильдерін ұсына алады, ал UDP-ні блоктайтын немесе нашарлататын желіде бұл екінші нұсқа теориялық емес, практикалық сақтық жолы. Сервер сіз таңдаған профильді қолдауы керек, ал порт нөмірін өзгерту туннельді HTTPS-ке айналдырмайды және өртқабырғаны оған рұқсат беруге көндірмейді.
TCP-ні TCP ішінде тасымалдау да жоғалту кезіндегі әрекетті өзгертеді, өйткені екі қабат та тәуелсіз түрде қайталап әрекет етеді және қайта реттейді. Шектеулі желіде жұмыс істейтін TCP профилі жоғалтуы бар желіде бәрібір нашар жұмыс істеуі мүмкін, және бұл біреуін үздік деп жариялаудың орнына екі профильді де қолжетімді ұстаудың себебі.
Содан кейін маршруттау мен атауларды шешуді тексеріңіз
WireGuard-тың AllowedIPs мекенжай ауқымдарын серіктестерге сәйкестендіреді және хаттама ішіндегі маршруттау шешімі ретінде әрекет етеді, ал айналадағы құралдар маршруттарды орнатқанда сол ауқымдарды пайдаланады. OpenVPN серверден маршруттар мен DNS параметрлерін итереді. Екі жағдайда да клиент көтеріле алады, ал көзделген саясат тек жартылай қолданылған болады.
ip route show
ip -6 route show
resolvectl status
wg showҚосылған индикаторға сенбес бұрын шығысты оқыңыз. ip route show клиенттің IPv4 үшін не орнатқанын тізіп шығады, ал IPv6 нұсқасы тек бір отбасын тасымалдайтын туннельді ұстайды. resolvectl status клиент шын мәнінде қай шешушіден сұрайтынын көрсетеді, ал wg show WireGuard өзінікі деп санайтын AllowedIPs мәндерін басып шығарады. Егер маршруттар толық қамтуды мәлімдеп жатқанда шешуші әлі де жергілікті желіге нұсқаса, DNS туннельден тыс шығады.
Содан кейін өзіңізге маңызды тапсырманы өлшеңіз
Құрылғыны, желіні және межені тұрақты ұстап, пайдаланған клиенттер мен шеткі нүктелерді жазып алыңыз. Егер екі қызмет түрлі қалалардан шықса немесе түрлі жабдықта жұмыс істесе, соны айтыңыз, өйткені онда нәтиже хаттамаларды емес, сол қызметтерді сипаттайды.
iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20Екі команданы да екі рет орындаңыз, әр профиль жұбы үшін бір рет, сол желіде және сол құрылғыда. iperf3 өткізу қабілетінің санын береді, ал mtr жолды және жоғалту қайда пайда болатынын береді, мұны бір жүктеу саны көрсете алмайды. Жүктеу саны қоңырау байқайтын нәрсені де жіберіп алады: қосымша кідіріс, діріл және қайта қосылу қанша уақыт алатыны. Оларды бөлек жазыңыз, өйткені өткізу қабілетінде жеңетін хаттама шын мәнінде орындайтын тапсырмада жеңілуі мүмкін.
Басқарылатын қосылым үшін үйлесімділік, қолдау және жаңарту күші шағын өлшеу айырмашылығынан басым болуы мүмкін. Жеке шығу үшін оператордың журналдауы мен юрисдикциясы хаттама жапсырмасынан маңыздырақ. Екі хаттама да жақсы қосылымды тасымалдай алады; қызмет пен оның конфигурациясы не алатыныңызды шешеді.
Тестілеу алдында профиль жұбын жазып қойыңыз
Өлшеу алдында әр хаттамаға бір профиль таңдап, әрқайсысы не істеуі керегін жазыңыз: тек жеке қосымша желілер ме, әлде нақты шығуы бар барлық трафик пе. Бөлінген туннель профилін толық туннель профилімен салыстыратын тест профильдерді өлшейді, хаттамаларды емес. Клиент атауын, клиент нұсқасын және шығу орнын бір жазбаға қосыңыз.
Содан кейін сол тапсырманы екеуінде де, сол желіде, сол сессияда орындаңыз. Егер біреуі мүлде қосыла алмаса, сол сәтсіздік нәтиже болып табылады және себебімен бірге жазбаға тиесілі. Жазбаны қызмет құжаттамасымен бірге сақтаңыз, сонда келесі адам басынан бастаудың орнына сол жұпты салыстырады.