OpenVPN eller WireGuard? Avgjer ut frå identitet og transport

Å samanlikne desse to protokollane er berre nyttig om samanlikninga gjeld det du faktisk skal drifte. WireGuard identifiserer partar med offentleg nøkkel og ber protokollen sin over UDP, medan OpenVPN tilbyr eit breiare sett autentiseringsordningar og kan køyre over UDP eller TCP når serveren tilbyr begge. Desse skilnadene formar klargjeringa og reservevegen lenge før dei formar gjennomstrøyminga. Gjer dei fire kontrollane nedanfor i rekkjefølgje; dei to første avgjer vanlegvis valet, og dei to siste seier om avgjerda var rett.

Start med identitet, ikkje med chifferlista

Ein WireGuard-part lagrar éin privat nøkkel og listar opp dei offentlege nøklane han kan nå. Ein leverandør kan leggje ein kontoportal rundt det, men protokollen sjølv har inga utveksling av brukarnamn og passord, så kontolivssyklusen lever i det som distribuerer nøklane. OpenVPN kan bruke sertifikat, ein plugin mot ein eksisterande katalog eller eit verifiseringsskript, og difor føretrekkjer organisasjonar med eit identitetssystem det ofte. Ingen av dei to designa fjernar spørsmålet om korleis ein mista eining blir fjerna.

Ein kort konfigurasjon er ikkje det same som enkel klargjering. Å gje éin privat nøkkel til fleire personar gjer seinare fjerning tvitydig, fordi tilbakekalling fjernar alle på ein gong. Skriv ned koplinga frå person til nøkkel eller sertifikat før du vel, og protokollavgjerda blir monaleg enklare.

Sjå deretter på kva transporten tillèt

WireGuard-protokollen brukar UDP. OpenVPN-tenester kan tilby både UDP- og TCP-profilar, og på eit nettverk som blokkerer eller forringar UDP er det andre alternativet ein praktisk reserveveg og ikkje ein teoretisk. Serveren må støtte profilen du vel, og eit endra portnummer gjer ikkje tunnelen til HTTPS eller overtyder ein brannmur om å tillate han.

Å bere TCP inne i TCP endrar òg åtferda ved tap, fordi begge laga prøver på nytt og omordnar uavhengig. Ein TCP-profil som verkar på eit restriktivt nettverk kan framleis gjere det dårleg på eit tapande nettverk, og det er grunn til å halde begge profilane tilgjengelege i staden for å erklære den eine overlegen.

Kontroller deretter ruting og namneoppslag

WireGuards AllowedIPs koplar adresseområde til partar og verkar som ei rutingsavgjerd inne i protokollen, og verktya rundt brukar desse områda når dei installerer ruter. OpenVPN skyv ruter og DNS-alternativ frå serveren. I begge tilfelle kan klienten kome opp medan den tiltenkte policyen berre er halvvegs brukt.

ip route show
ip -6 route show
resolvectl status
wg show

Les utdata før du stolar på tilkoplingsindikatoren. ip route show listar opp kva klienten installerte for IPv4, og IPv6-varianten fangar ein tunnel som berre ber éin familie. resolvectl status viser kva resolver klienten faktisk vil spørje, og wg show skriv ut AllowedIPs som WireGuard meiner han eig. Om resolveren framleis peikar på det lokale nettverket medan rutene hevdar full dekning, forlèt DNS tunnelen.

Mål deretter oppgåva du bryr deg om

Hald eininga, nettverket og målet fast, og noter klientane og endepunkta du brukte. Om dei to tenestene går ut i ulike byar eller køyrer på ulik maskinvare, sei det, fordi resultatet då skildrar tenestene og ikkje protokollane.

iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20

Køyr begge kommandoane to gonger, éin gong per profilpar, på same nettverk og eining. iperf3 gir eit gjennomstrøymingstal, og mtr gir ruta og kvar tap oppstår, noko eit enkelt nedlastingstal ikkje kan vise. Eit nedlastingstal overser òg det ein samtale merkar: auka latens, jitter og kor lang tid ei attilkopling tek. Noter det separat, fordi ein protokoll som vinn på gjennomstrøyming framleis kan tape på oppgåva du faktisk køyrer.

For ei administrert tilkopling kan kompatibilitet, støtte og fornyingsarbeid vege tyngre enn ein liten benchmark-skilnad. For ein personleg utgang betyr loggføringa og jurisdiksjonen til leverandøren meir enn protokolletiketten. Begge protokollane kan bere ei god tilkopling; tenesta og konfigurasjonen avgjer kva du får.

Skriv ned profilparet før du testar

Vel éin profil per protokoll før du måler, og skriv ned kva kvar skal gjere: berre private subnett eller all trafikk med ein bestemd utgang. Ein test som samanliknar ein splitt-tunnelprofil med ein fulltunnelprofil, måler profilane og ikkje protokollane. Set klientnamnet, klientversjonen og plasseringa til utgangen i same notat.

Køyr deretter same oppgåve på begge, på same nettverk, i same økt. Om éin ikkje får tilkopling i det heile, er den feilen resultatet og høyrer heime i notatet saman med årsaka. Oppbevar notatet saman med tenestedokumentasjonen, så neste person samanliknar same paret i staden for å byrje på nytt.