OpenVPN atau WireGuard? Tentukan dari identiti dan pengangkutan

Membandingkan dua protokol ini hanya berguna jika ia membandingkan apa yang benar-benar akan anda kendalikan. WireGuard mengenal pasti rakan melalui kunci awam dan membawa protokolnya melalui UDP, manakala OpenVPN menawarkan set pengesahan yang lebih luas dan boleh berjalan melalui UDP atau TCP apabila pelayan menyediakan kedua-duanya. Perbezaan itu membentuk penyediaan dan laluan sandaran jauh sebelum membentuk daya pemprosesan. Jalankan empat semakan di bawah mengikut urutan; dua yang pertama biasanya menentukan pilihan, dan dua yang terakhir memberitahu sama ada keputusan itu betul.

Mulakan dengan identiti, bukan dengan senarai sifer

Rakan WireGuard menyimpan satu kunci peribadi dan menyenaraikan kunci awam yang boleh dicapainya. Penyedia boleh membalut portal akaun di sekelilingnya, tetapi protokol itu sendiri tidak mempunyai pertukaran nama pengguna dan kata laluan, jadi kitaran hayat akaun hidup dalam apa sahaja yang mengedarkan kunci. OpenVPN boleh menggunakan sijil, pemalam terhadap direktori sedia ada atau skrip pengesahan, dan itulah sebabnya organisasi yang mempunyai sistem identiti sering memilihnya. Kedua-dua reka bentuk tidak menghapuskan persoalan bagaimana peranti yang hilang dikeluarkan.

Konfigurasi pendek bukanlah penyediaan yang mudah. Menyerahkan satu kunci peribadi kepada beberapa orang menjadikan pengeluaran kemudian kabur, kerana membatalkannya mengeluarkan semua orang serentak. Tulis pemetaan orang kepada kunci atau sijil sebelum memilih, dan keputusan protokol menjadi jauh lebih mudah.

Kemudian lihat apa yang dibenarkan pengangkutan

Protokol WireGuard menggunakan UDP. Perkhidmatan OpenVPN boleh menawarkan profil UDP dan TCP, dan pada rangkaian yang menyekat atau merendahkan UDP pilihan kedua itu ialah laluan sandaran yang praktikal dan bukan teori. Pelayan mesti menyokong profil yang anda pilih, dan menukar nombor port tidak menjadikan terowong itu HTTPS atau menyakinkan tembok api untuk membenarkannya.

Membawa TCP di dalam TCP juga mengubah tingkah laku semasa kehilangan, kerana kedua-dua lapisan mencuba semula dan menyusun semula secara berasingan. Profil TCP yang berfungsi pada rangkaian terhad masih boleh berprestasi buruk pada rangkaian yang mengalami kehilangan, dan itulah sebab untuk mengekalkan kedua-dua profil tersedia daripada mengisytiharkan satu lebih unggul.

Kemudian semak penghalaan dan penyelesaian nama

AllowedIPs dalam WireGuard memetakan julat alamat kepada rakan dan bertindak sebagai keputusan penghalaan dalam protokol, dan alat di sekelilingnya menggunakan julat itu apabila memasang laluan. OpenVPN menolak laluan dan pilihan DNS daripada pelayan. Dalam kedua-dua kes klien boleh naik sementara dasar yang dimaksudkan hanya separuh digunakan.

ip route show
ip -6 route show
resolvectl status
wg show

Baca output sebelum mempercayai penunjuk bersambung. ip route show menyenaraikan apa yang dipasang klien untuk IPv4, dan varian IPv6 menangkap terowong yang hanya membawa satu keluarga. resolvectl status menunjukkan penyelesai mana yang benar-benar akan ditanya oleh klien, dan wg show mencetak AllowedIPs yang WireGuard anggap miliknya. Jika penyelesai masih menunjuk ke rangkaian tempatan sementara laluan mendakwa liputan penuh, DNS keluar di luar terowong.

Kemudian ukur tugas yang anda ambil berat

Kekalkan peranti, rangkaian dan destinasi tidak berubah, dan catat klien serta titik akhir yang anda gunakan. Jika kedua-dua perkhidmatan keluar di bandar berbeza atau berjalan pada perkakasan berbeza, katakan begitu, kerana hasilnya kemudian menerangkan perkhidmatan itu dan bukan protokol.

iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20

Jalankan kedua-dua arahan dua kali, sekali bagi setiap pasangan profil, pada rangkaian dan peranti yang sama. iperf3 memberikan angka daya pemprosesan, dan mtr memberikan laluan dan tempat kehilangan muncul, yang tidak dapat ditunjukkan oleh satu angka muat turun. Angka muat turun juga terlepas apa yang disedari panggilan: kependaman tambahan, jitter dan berapa lama penyambungan semula mengambil masa. Catat semuanya secara berasingan, kerana protokol yang menang pada daya pemprosesan masih boleh kalah pada tugas yang anda benar-benar jalankan.

Bagi sambungan terurus, keserasian, sokongan dan usaha pembaharuan boleh mengatasi perbezaan penanda aras yang kecil. Bagi jalan keluar peribadi, pencatatan dan bidang kuasa pengendali lebih penting daripada label protokol. Kedua-dua protokol boleh membawa sambungan yang baik; perkhidmatan dan konfigurasinya menentukan apa yang anda dapat.

Tulis pasangan profil sebelum menguji

Pilih satu profil bagi setiap protokol sebelum mengukur, dan tulis apa yang sepatutnya dilakukan oleh setiap satu: hanya subnet peribadi, atau semua trafik dengan jalan keluar tertentu. Ujian yang membandingkan profil terowong berpecah dengan profil terowong penuh mengukur profil, bukan protokol. Letakkan nama klien, versi klien dan lokasi jalan keluar dalam nota yang sama.

Kemudian jalankan tugas yang sama pada kedua-duanya, pada rangkaian yang sama, dalam sesi yang sama. Jika satu langsung tidak dapat bersambung, kegagalan itu ialah hasilnya dan ia termasuk dalam rekod bersama sebabnya. Simpan rekod dengan dokumentasi perkhidmatan supaya orang seterusnya membandingkan pasangan yang sama dan bukannya bermula semula.