OpenVPN vai WireGuard? Izlemiet pēc identitātes un transporta

Šo divu protokolu salīdzināšana ir lietderīga tikai tad, ja tā salīdzina to, ko jūs patiešām pārvaldīsit. WireGuard atpazīst partnerus pēc publiskās atslēgas un pārraida savu protokolu UDP, bet OpenVPN piedāvā plašāku autentifikācijas veidu klāstu un var darboties UDP vai TCP, ja serveris piedāvā abus. Šīs atšķirības veido izvietošanu un rezerves ceļu daudz agrāk, nekā veido caurlaidspēju. Veiciet četras zemāk minētās pārbaudes pēc kārtas; pirmās divas parasti izlemj izvēli, bet pēdējās divas pasaka, vai lēmums bija pareizs.

Sāciet ar identitāti, nevis šifru sarakstu

WireGuard partneris glabā vienu privāto atslēgu un uzskaita publiskās atslēgas, kuras tas var sasniegt. Pakalpojumu sniedzējs var ap to aptīt konta portālu, taču pašam protokolam nav lietotājvārda un paroles apmaiņas, tāpēc konta dzīves cikls dzīvo tajā, kas izplata atslēgas. OpenVPN var izmantot sertifikātus, spraudni pret esošu direktoriju vai pārbaudes skriptu, un tāpēc organizācijas ar identitātes sistēmu to bieži izvēlas. Neviens no abiem risinājumiem neatceļ jautājumu, kā tiek noņemta pazaudētā ierīce.

Īsa konfigurācija nav tas pats, kas vienkārša izvietošana. Vienas privātās atslēgas nodošana vairākiem cilvēkiem padara vēlāku noņemšanu neviennozīmīgu, jo tās atsaukšana noņem visus uzreiz. Pirms izvēles pierakstiet personas atbilstību atslēgai vai sertifikātam, un lēmums par protokolu kļūst ievērojami vienkāršāks.

Pēc tam apskatiet, ko pieļauj transports

WireGuard protokols izmanto UDP. OpenVPN pakalpojumi var piedāvāt gan UDP, gan TCP profilus, un tīklā, kas bloķē vai pasliktina UDP, šī otrā iespēja ir praktisks rezerves ceļš, nevis teorētisks. Serverim jāatbalsta izvēlētais profils, un porta numura maiņa nepārvērš tuneli par HTTPS un nepārliecina ugunsmūri to ielaist.

TCP pārvade TCP iekšienē arī maina uzvedību zaudējumu laikā, jo abi slāņi neatkarīgi atkārto un pārkārto. TCP profils, kas darbojas ierobežojošā tīklā, tomēr var darboties slikti tīklā ar zaudējumiem, un tas ir iemesls turēt abus profilus pieejamus, nevis pasludināt vienu pārāku.

Pēc tam pārbaudiet maršrutēšanu un nosaukumu izšķiršanu

WireGuard AllowedIPs kartē adrešu diapazonus uz partneriem un darbojas kā maršrutēšanas lēmums protokola iekšienē, un apkārtējie rīki izmanto šos diapazonus, kad instalē maršrutus. OpenVPN no servera spiež maršrutus un DNS opcijas. Abos gadījumos klients var pacelties, kamēr paredzētā politika ir piemērota tikai pa pusei.

ip route show
ip -6 route show
resolvectl status
wg show

Izlasiet izvadi pirms uzticēšanās savienojuma indikatoram. ip route show uzskaita, ko klients instalēja IPv4, un IPv6 variants noķer tuneli, kas pārvada tikai vienu saimi. resolvectl status parāda, kuram atrisinātājam klients patiešām jautās, un wg show izdrukā AllowedIPs, ko WireGuard uzskata par saviem. Ja atrisinātājs joprojām rāda uz vietējo tīklu, kamēr maršruti apgalvo pilnīgu pārklājumu, DNS iziet ārpus tuneļa.

Pēc tam izmēriet uzdevumu, kas jums svarīgs

Turiet ierīci, tīklu un galamērķi nemainīgus un pierakstiet izmantotos klientus un galapunktus. Ja divi pakalpojumi iziet dažādās pilsētās vai darbojas uz atšķirīgas aparatūras, sakiet to, jo tad rezultāts raksturo šos pakalpojumus, nevis protokolus.

iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20

Izpildiet abas komandas divreiz, vienreiz katram profilu pārim, tajā pašā tīklā un tajā pašā ierīcē. iperf3 dod caurlaidspējas skaitli, un mtr dod ceļu un to, kur parādās zaudējumi, ko viens lejupielādes skaitlis nevar parādīt. Lejupielādes skaitlis arī palaiž garām to, ko pamana zvans: pievienoto latentumu, drebēšanu un cik ilgi ilgst atkārtota savienošana. Pierakstiet tos atsevišķi, jo protokols, kas uzvar caurlaidspējā, joprojām var zaudēt uzdevumā, kuru jūs patiešām izpildāt.

Pārvaldītam savienojumam saderība, atbalsts un atjaunošanas pūles var nosvērt vairāk par nelielu mērījuma atšķirību. Personīgai izejai operatora žurnāli un jurisdikcija ir svarīgāki par protokola etiķeti. Abi protokoli var nest labu savienojumu; pakalpojums un tā konfigurācija izlemj, ko jūs iegūstat.

Pierakstiet profilu pāri pirms testa

Pirms mērīšanas izvēlieties vienu profilu katram protokolam un pierakstiet, ko kuram jādara: tikai privāti apakštīkli vai viss trafiks ar konkrētu izeju. Tests, kas salīdzina sadalītā tuneļa profilu ar pilna tuneļa profilu, mēra profilus, nevis protokolus. Ielieciet klienta nosaukumu, klienta versiju un izejas atrašanās vietu tajā pašā piezīmē.

Pēc tam izpildiet to pašu uzdevumu abos, tajā pašā tīklā, tajā pašā sesijā. Ja viens vispār nevar savienoties, šī neveiksme ir rezultāts, un tai kopā ar iemeslu jābūt ierakstā. Glabājiet ierakstu kopā ar pakalpojuma dokumentāciju, lai nākamais cilvēks salīdzinātu to pašu pāri, nevis sāktu no jauna.