OpenVPN mi WireGuard mı? Kimlik ve taşıma üzerinden karar verin

Bu iki protokolü karşılaştırmak yalnızca gerçekten işleteceğiniz şeyi karşılaştırdığında yararlıdır. WireGuard eşleri açık anahtarla tanır ve protokolünü UDP üzerinden taşır, oysa OpenVPN daha geniş bir kimlik doğrulama yöntemleri kümesi sunar ve sunucu ikisini de sağladığında UDP veya TCP üzerinden çalışabilir. Bu farklar, aktarım hızını şekillendirmeden çok önce kurulumu ve yedek yolu şekillendirir. Aşağıdaki dört kontrolü sırayla yapın; ilk ikisi genellikle seçimi belirler, son ikisi kararın doğru olup olmadığını söyler.

Şifre listesiyle değil, kimlikle başlayın

Bir WireGuard eşi tek bir özel anahtar saklar ve erişebileceği açık anahtarları listeler. Bir sağlayıcı bunun etrafına hesap portalı sarabilir, ancak protokolün kendisinde kullanıcı adı ve parola alışverişi yoktur, bu yüzden hesabın yaşam döngüsü anahtarları dağıtan şeyin içinde yaşar. OpenVPN sertifikalar, mevcut bir dizine karşı eklenti veya doğrulama betiği kullanabilir, bu yüzden kimlik sistemi olan kuruluşlar onu sık sık tercih eder. İki tasarımın hiçbiri kaybolan cihazın nasıl kaldırılacağı sorusunu ortadan kaldırmaz.

Kısa bir yapılandırma basit kurulumla aynı şey değildir. Tek bir özel anahtarı birkaç kişiye vermek sonraki kaldırmayı belirsizleştirir, çünkü anahtarı iptal etmek herkesi aynı anda kaldırır. Seçim yapmadan önce kişiden anahtara veya sertifikaya eşlemeyi yazın, protokol kararı çok daha kolay olacaktır.

Sonra taşımanın neye izin verdiğine bakın

WireGuard protokolü UDP kullanır. OpenVPN hizmetleri hem UDP hem de TCP profilleri sunabilir ve UDP'yi engelleyen veya bozan bir ağda ikinci seçenek teorik değil pratik bir yedek yoldur. Sunucu seçtiğiniz profili desteklemek zorundadır ve bağlantı noktası numarasını değiştirmek tüneli HTTPS yapmaz veya bir güvenlik duvarını buna izin vermeye ikna etmez.

TCP'yi TCP içinde taşımak kayıp sırasındaki davranışı da değiştirir, çünkü iki katman da bağımsız olarak yeniden dener ve yeniden sıralar. Kısıtlayıcı bir ağda çalışan bir TCP profili kayıplı bir ağda yine de kötü performans gösterebilir ve bu, birini üstün ilan etmek yerine iki profili de kullanılabilir tutmak için bir nedendir.

Sonra yönlendirmeyi ve ad çözümlemesini kontrol edin

WireGuard'daki AllowedIPs adres aralıklarını eşlere eşler ve protokolün içinde bir yönlendirme kararı olarak işlev görür, çevredeki araçlar da rotaları kurarken bu aralıkları kullanır. OpenVPN rotaları ve DNS seçeneklerini sunucudan iter. Her iki durumda da istemci ayağa kalkabilir, oysa amaçlanan ilke yalnızca yarı yarıya uygulanmıştır.

ip route show
ip -6 route show
resolvectl status
wg show

Bağlı göstergesine güvenmeden önce çıktıyı okuyun. ip route show istemcinin IPv4 için ne kurduğunu listeler ve IPv6 varyantı yalnızca tek bir aileyi taşıyan tüneli yakalar. resolvectl status istemcinin gerçekte hangi çözümleyiciye soracağını gösterir ve wg show WireGuard'ın kendisine ait saydığı AllowedIPs değerlerini yazdırır. Rotalar tam kapsam iddia ederken çözümleyici hâlâ yerel ağa işaret ediyorsa, DNS tünelin dışına çıkar.

Sonra önemsediğiniz görevi ölçün

Cihazı, ağı ve hedefi sabit tutun ve kullandığınız istemcileri ve uç noktaları kaydedin. İki hizmet farklı şehirlerden çıkıyorsa veya farklı donanımda çalışıyorsa bunu söyleyin, çünkü o zaman sonuç protokolleri değil o hizmetleri tanımlar.

iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20

Her iki komutu iki kez çalıştırın, her profil çifti için bir kez, aynı ağda ve cihazda. iperf3 bir aktarım hızı sayısı verir ve mtr yolu ve kaybın nerede göründüğünü verir; tek bir indirme sayısı bunu gösteremez. Bir indirme sayısı ayrıca bir aramanın fark ettiğini de kaçırır: eklenen gecikme, titreme ve yeniden bağlanmanın ne kadar sürdüğü. Bunları ayrı ayrı kaydedin, çünkü aktarım hızında kazanan bir protokol gerçekte çalıştırdığınız görevde yine de kaybedebilir.

Yönetilen bir bağlantıda uyumluluk, destek ve yenileme çabası küçük bir kıyas farkından daha ağır basabilir. Kişisel bir çıkışta operatörün günlüklemesi ve yargı yetkisi protokol etiketinden daha önemlidir. Her iki protokol de iyi bir bağlantı taşıyabilir; ne alacağınızı hizmet ve yapılandırması belirler.

Test etmeden önce profil çiftini yazın

Ölçmeden önce her protokol için bir profil seçin ve her birinin ne yapması gerektiğini yazın: yalnızca özel alt ağlar mı, yoksa belirli bir çıkışla tüm trafik mi. Bölünmüş tünel profilini tam tünel profiliyle karşılaştıran test, protokolleri değil profilleri ölçer. İstemci adını, istemci sürümünü ve çıkış konumunu aynı nota yazın.

Sonra aynı görevi ikisinde de, aynı ağda, aynı oturumda çalıştırın. Biri hiç bağlanamıyorsa, o başarısızlık sonuçtur ve nedeniyle birlikte kayda aittir. Kaydı hizmet belgeleriyle birlikte saklayın ki sonraki kişi baştan başlamak yerine aynı çifti karşılaştırsın.