OpenVPN или WireGuard? Одлучете според идентитетот и транспортот
Клучевите, текот на најава и транспортот само преку UDP го обликуваат изборот многу пред пропусната моќ. Направете четири проверки и чувајте го мерењето чесно.
Споредувањето на овие два протокола е корисно само ако го споредува тоа што навистина ќе го управувате. WireGuard ги препознава партнерите по јавен клуч и го пренесува својот протокол преку UDP, додека OpenVPN нуди поширок сет на начини за автентикација и може да работи преку UDP или TCP кога серверот ги нуди обете. Овие разлики го обликуваат поставувањето и резервниот пат многу пред да ја обликуваат пропусната моќ. Направете ги четирите проверки подолу по ред; првите две обично го одлучуваат изборот, а последните две кажуваат дали одлуката била правилна.
Започнете со идентитетот, не со списокот шифри
Партнерот во WireGuard чува еден приватен клуч и ги наведува јавните клучеви до кои може да стигне. Давателот може да го завитка во портал за сметка, но самиот протокол нема размена на корисничко име и лозинка, па животниот циклус на сметката живее во она што ги распределува клучевите. OpenVPN може да користи сертификати, додаток кон постоечки именик или скрипта за проверка, и затоа организациите со систем за идентитет често го претпочитаат. Ниту еден од двата дизајна не го отстранува прашањето како се отстранува изгубен уред.
| Decision | OpenVPN | WireGuard |
|---|---|---|
| Identity | Certificates, plugins or scripts against an existing directory | One private key per peer, public keys listed for the peers it may reach |
| Transport | UDP or TCP profiles when the server offers both | UDP only in the native protocol |
| Routing and DNS | Server pushes routes and DNS options | AllowedIPs maps ranges to peers, and tooling installs the routes |
| Where it usually breaks | Profile mismatch, expired certificate, failing plugin | Blocked UDP, wrong AllowedIPs, key not installed |
Кратката конфигурација не е исто што и едноставно поставување. Давањето еден приватен клуч на повеќе луѓе го прави подоцнежното отстранување двосмислено, бидејќи неговото отповикување ги отстранува сите одеднаш. Запишете го мапирањето од личност кон клуч или сертификат пред да изберете, и одлуката за протоколот станува значително полесна.
Потоа погледнете што дозволува транспортот
Протоколот на WireGuard користи UDP. Услугите на OpenVPN можат да нудат и UDP и TCP профили, а во мрежа што го блокира или влошува UDP таа втора опција е практичен резервен пат, а не теоретски. Серверот мора да го поддржува профилот што ќе го изберете, а промената на бројот на портата не го претвора тунелот во HTTPS и не убедува заштитен ѕид да го дозволи.
Пренесувањето TCP во TCP исто така го менува однесувањето при загуби, бидејќи двата слоја независно обидуваат повторно и прередуваат. TCP профилот што работи на ограничувачка мрежа сепак може да биде слаб на мрежа со загуби, и тоа е причина да ги држите обата профила достапни наместо да прогласите еден за подобар.
Потоа проверете го рутирањето и разрешувањето имиња
AllowedIPs во WireGuard ги мапира опсезите на адреси на партнерите и дејствува како рутирачка одлука во протоколот, а околните алатки ги користат тие опсези кога инсталираат рути. OpenVPN турка рути и DNS опции од серверот. Во двата случаи клиентот може да се крене додека предвидената политика е применета само половично.
ip route show
ip -6 route show
resolvectl status
wg showПрочитајте го излезот пред да му верувате на показателот за поврзаност. ip route show наведува што инсталирал клиентот за IPv4, а варијантата IPv6 фаќа тунел што носи само едно семејство. resolvectl status покажува кој резолвер клиентот навистина ќе го праша, а wg show ги печати AllowedIPs што WireGuard смета дека ги поседува. Ако резолверот сѐ уште покажува кон локалната мрежа додека рутите тврдат целосно покривање, DNS излегува надвор од тунелот.
Потоа измерете ја задачата што ви е важна
Држете го уредот, мрежата и дестинацијата непроменети и запишете ги клиентите и крајните точки што ги користевте. Ако двете услуги излегуваат во различни градови или работат на различен хардвер, кажете го тоа, бидејќи тогаш резултатот ги опишува тие услуги, а не протоколите.
iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20Извршете ги двете команди двапати, еднаш за секој пар профили, на истата мрежа и истиот уред. iperf3 дава бројка за пропусната моќ, а mtr го дава патот и каде се појавуваат загуби, што една бројка за преземање не може да го покаже. Бројката за преземање го пропушта и она што го забележува повикот: дополнителна латентност, треперење и колку трае повторното поврзување. Запишете ги одделно, бидејќи протокол што победува во пропусната моќ сепак може да загуби во задачата што навистина ја извршувате.
За управувана врска, компатибилноста, поддршката и напорот за обновување можат да надминат мала разлика во мерењето. За личен излез, евидентирањето и јурисдикцијата на операторот се поважни од етикетата на протоколот. Двата протокола можат да носат добра врска; услугата и нејзината конфигурација одлучуваат што добивате.
Запишете го парот профили пред тестирањето
Изберете еден профил за секој протокол пред да мерите и запишете што треба да прави секој: само приватни подмрежи или целиот сообраќај со одреден излез. Тестот што споредува профил со поделен тунел со профил со целосен тунел ги мери профилите, а не протоколите. Ставете го името на клиентот, верзијата на клиентот и локацијата на излезот во истата белешка.
Потоа извршете ја истата задача на обете, на истата мрежа, во истата сесија. Ако едниот воопшто не може да се поврзе, тој неуспех е резултатот и припаѓа во записот заедно со причината. Чувајте го записот со документацијата на услугата за следниот човек да го спореди истиот пар наместо да почнува од почеток.