OpenVPN sau WireGuard? Decide după identitate și transport

Compararea acestor două protocoale este utilă doar dacă compară ceea ce vei opera de fapt. WireGuard identifică partenerii printr-o cheie publică și își transportă protocolul prin UDP, în timp ce OpenVPN oferă un set mai larg de metode de autentificare și poate rula prin UDP sau TCP atunci când serverul le oferă pe amândouă. Aceste diferențe modelează instalarea și calea de rezervă cu mult înainte de a modela debitul. Efectuează cele patru verificări de mai jos în ordine; primele două decid de obicei alegerea, iar ultimele două spun dacă decizia a fost corectă.

Începe cu identitatea, nu cu lista de cifruri

Un partener WireGuard păstrează o cheie privată și listează cheile publice la care poate ajunge. Un furnizor poate înveli asta într-un portal de cont, dar protocolul în sine nu are schimb de nume de utilizator și parolă, așa că ciclul de viață al contului trăiește în ceea ce distribuie cheile. OpenVPN poate folosi certificate, un modul împotriva unui director existent sau un script de verificare, și de aceea organizațiile cu un sistem de identitate îl preferă adesea. Niciuna dintre cele două construcții nu elimină întrebarea cum se elimină un dispozitiv pierdut.

O configurație scurtă nu este același lucru cu o instalare simplă. Darea unei chei private la mai multe persoane face ca eliminarea ulterioară să fie ambiguă, pentru că revocarea ei îi elimină pe toți deodată. Scrie maparea de la persoană la cheie sau certificat înainte de a alege, iar decizia privind protocolul devine mult mai ușoară.

Apoi uită-te la ce permite transportul

Protocolul WireGuard folosește UDP. Serviciile OpenVPN pot oferi profile UDP și TCP, iar într-o rețea care blochează sau degradează UDP acea a doua opțiune este o cale de rezervă practică și nu una teoretică. Serverul trebuie să suporte profilul pe care îl alegi, iar schimbarea numărului de port nu transformă tunelul în HTTPS și nu convinge un firewall să îl permită.

Transportarea TCP în interiorul TCP schimbă și comportamentul la pierderi, pentru că ambele straturi reîncearcă și reordonează independent. Un profil TCP care funcționează într-o rețea restrictivă poate avea totuși rezultate slabe într-o rețea cu pierderi, și acesta este un motiv să păstrezi ambele profiluri disponibile în loc să declari unul superior.

Apoi verifică rutarea și rezolvarea numelor

AllowedIPs din WireGuard mapează intervale de adrese către parteneri și acționează ca o decizie de rutare în interiorul protocolului, iar uneltele din jur folosesc acele intervale când instalează rute. OpenVPN împinge rute și opțiuni DNS de la server. În ambele cazuri clientul poate urca în timp ce politica dorită este aplicată doar pe jumătate.

ip route show
ip -6 route show
resolvectl status
wg show

Citește rezultatul înainte să ai încredere în indicatorul de conectare. ip route show listează ce a instalat clientul pentru IPv4, iar varianta IPv6 prinde un tunel care transportă doar o familie. resolvectl status arată pe ce rezolvator va întreba clientul de fapt, iar wg show tipărește AllowedIPs pe care WireGuard le consideră ale sale. Dacă rezolvatorul indică în continuare rețeaua locală în timp ce rutele pretind acoperire completă, DNS iese în afara tunelului.

Apoi măsoară sarcina care te interesează

Ține dispozitivul, rețeaua și destinația nemodificate și notează clienții și punctele finale pe care le-ai folosit. Dacă cele două servicii ies în orașe diferite sau rulează pe hardware diferit, spune asta, pentru că atunci rezultatul descrie serviciile, nu protocoalele.

iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20

Rulează ambele comenzi de două ori, o dată pentru fiecare pereche de profiluri, în aceeași rețea și pe același dispozitiv. iperf3 dă o cifră a debitului, iar mtr dă traseul și locul unde apar pierderi, ceea ce o singură cifră de descărcare nu poate arăta. O cifră de descărcare ratează și ce observă un apel: latență adăugată, jitter și cât durează o reconectare. Notează-le separat, pentru că un protocol care câștigă la debit poate pierde la sarcina pe care o rulezi de fapt.

Pentru o conexiune gestionată, compatibilitatea, suportul și efortul de reînnoire pot cântări mai mult decât o mică diferență de măsurare. Pentru o ieșire personală, jurnalizarea și jurisdicția operatorului contează mai mult decât eticheta protocolului. Ambele protocoale pot transporta o conexiune bună; serviciul și configurația lui decid ce obții.

Notează perechea de profiluri înainte de test

Alege câte un profil pentru fiecare protocol înainte de a măsura și notează ce ar trebui să facă fiecare: doar subrețele private, sau tot traficul cu o ieșire anume. Un test care compară un profil cu tunel divizat cu unul cu tunel complet măsoară profilurile, nu protocoalele. Pune numele clientului, versiunea clientului și locația ieșirii în aceeași notă.

Apoi rulează aceeași sarcină pe ambele, în aceeași rețea, în aceeași sesiune. Dacă unul nu se poate conecta deloc, eșecul acela este rezultatul și îi aparține înregistrării împreună cu motivul. Păstrează înregistrarea împreună cu documentația serviciului, ca următoarea persoană să compare aceeași pereche în loc să înceapă de la zero.