Какой протокол VPN выбрать?
Пять вопросов — и прямой ответ, включая «маскирующий протокол вам не нужен».
Возьмите
tool.proto.p.wireguard.name
Современный выбор по умолчанию. Небольшая проверенная кодовая база с фиксированной современной криптографией, достаточно быстрая, чтобы редко становиться узким местом.
- В вашей сети ничто не блокирует трафик VPN, значит, платить за маскировку незачем. WireGuard — современный выбор по умолчанию, и узким местом он, как правило, не станет.
Второй вариант · tool.proto.p.openvpn.name
Держите OpenVPN поверх TCP/443 про запас для гостиничных и конференц-сетей, где разрешён только веб-трафик. Он медленнее, но в таких сетях часто это единственное, что вообще соединяется.
В JaguarVPN
Umbra — вариант JaguarVPN по умолчанию и правильный ответ здесь: рассчитан на полную скорость канала, с новыми ключами на каждый сеанс и аварийным выключателем, который при сбое закрывается. MIRAGE, стелс-вариант, тоже быстр, но в сети, которая вас не фильтрует, прямой путь короче, а маскировать соединение, которое никто не разглядывает, значит решать несуществующую проблему.
Как работает Umbra →Сравнить их все рядом
tool.proto.p.wireguard.name
Современный выбор по умолчанию. Небольшая проверенная кодовая база с фиксированной современной криптографией, достаточно быстрая, чтобы редко становиться узким местом.
- Стабильно самый быстрый из массовых вариантов и быстро восстанавливается после обрыва
- Около 4000 строк кода — достаточно мало, чтобы его действительно проверили
- Отлично ведёт себя с батареей телефона — он простаивает, когда простаиваете вы
- Тривиально распознаётся глубоким анализом трафика: характерное рукопожатие и никакой легенды прикрытия
- Только UDP, поэтому сеть, пропускающая лишь TCP/443, блокирует его начисто
- Выдаёт каждому клиенту постоянный внутренний адрес — провайдеру приходится это учитывать, а не игнорировать
Пропустите его, если сеть, в которой вы находитесь, целенаправленно ищет и блокирует трафик VPN.
tool.proto.p.openvpn.name
Двадцатилетний старожил. Медленнее и тяжелее WireGuard, зато работает поверх TCP — и иногда важно только это.
- Работает практически на любой платформе, прошивке маршрутизатора и железке, какая только бывает
- Через TCP-порт 443 проходит сети, где разрешён только веб-трафик
- Много раз проверен и понятен любому сетевому администратору
- Заметно медленнее WireGuard, особенно на скромном железе
- Режим TCP страдает от «расплавления»: надёжный протокол внутри другого надёжного протокола переспрашивает дважды, и на канале с потерями пропускная способность рушится
- Всё равно распознаётся при анализе — работать на порту 443 не значит выглядеть как HTTPS
Пропустите его, если у вас есть клиент с поддержкой WireGuard и UDP ничем не блокируется.
tool.proto.p.ikev2.name
Специалист по мобильным устройствам. Его отличительная черта — пережить смену сети, не уронив туннель.
- MOBIKE сохраняет сессию, пока вы переходите с Wi-Fi на мобильный интернет
- Встроен в iOS, macOS и Windows, поэтому сторонний клиент не нужен
- Быстрый и восстанавливает соединение почти мгновенно после обрыва туннеля
- Использует фиксированные общеизвестные UDP-порты (500 и 4500), которые строгие сети закрывают в первую очередь
- Никакой маскировки вообще
- Качество реализации у разных производителей сильно разнится
Пропустите его, если вам нужно пройти сеть, которая фильтрует по портам.
tool.proto.p.stealth.name
Скорее категория, чем один протокол: решения, задача которых — чтобы анализ трафика не нашёл ничего, что стоило бы блокировать. Именно это нужно там, где фильтруют сами VPN.
- Проходит сети, которые распознают и отбрасывают обычный трафик VPN
- Лучшие решения выдерживают и активное зондирование, когда цензор сам подключается к подозрительному серверу, чтобы посмотреть, как тот ответит
- Обычно единственное, что работает при фильтрации на уровне страны
- Исторически медленнее, порой сильно: старые решения платят за маскировку лишними обменами и накладными расходами, хотя лучшие современные почти догнали остальных
- Больше движущихся частей — больше того, что может сломаться
- В любой нефильтрующей сети избыточен: там это чистые издержки
Пропустите его, если в вашей сети никто не блокирует VPN — лишняя механика ничего вам не даст.
tool.proto.p.legacy.name
Устарело. Приведено здесь, чтобы ответ на вопрос «стоит ли брать PPTP?» был однозначным.
- Встречается в очень старом оборудовании
- Шифрование PPTP практически взламывается с 2012 года и не даёт сколько-нибудь значимой защиты
- L2TP/IPsec медленный, инкапсулирован дважды и заблокирован почти везде
- Оба в современных операционных системах повсеместно отключены или удалены
Пропустите его, если всегда — если только старое устройство не оставляет вам выбора; тогда считайте, что трафик читаем.
Вопрос за вопросом
Почти каждая статья про «лучший протокол VPN» расставляет четыре протокола в таблице и объявляет победителя. Эта рамка неверна вполне определённым образом: протоколы не соревнуются на одной оси. WireGuard быстрее OpenVPN и всегда будет. OpenVPN проходит через гостиничную сеть, отбрасывающую UDP, а WireGuard нет. Ни один факт не побеждает другой, потому что они отвечают на разные вопросы.
Поэтому подборщик выше начинает с сети, в которой вы находитесь, и считает всё остальное поправкой. На практике почти всё решает одно различие: блокирует ли что-нибудь трафик VPN там, где вы есть? Если нет — берите быстрый и не думайте больше. Если да, никакая скорость не поможет, потому что соединение просто не установится.
Для чего на самом деле нужны эти четыре варианта
WireGuard — выбор по умолчанию для большинства
Небольшой, современный и быстрый. Около четырёх тысяч строк кода против сотен тысяч у OpenVPN, и это важно: такую кодовую базу человек в состоянии проверить. Он не согласовывает набор шифров, а использует один набор современных примитивов и не имеет пути к понижению — что убирает целый класс атак.
Слабость его в том, что он безошибочно узнаваем. У рукопожатия фиксированная структура и никакой легенды, поэтому сеть, ведущая глубокий анализ пакетов, опознаёт его мгновенно. WireGuard и не пытался быть невидимым: он пытался быть быстрым и корректным — и таков и есть.
OpenVPN — тот, что всё ещё пролезает
Медленнее, старше и развёрнут несравнимо шире. Держать его под рукой стоит из-за режима TCP на порту 443, который позволяет проходить через сети, пропускающие веб-трафик и больше ничего, — в основном гостиничный и конференц-Wi-Fi.
Стоит понимать, почему этот режим — крайняя мера, а не значение по умолчанию. TCP гарантирует доставку, переотправляя потерянные пакеты. Пустите TCP внутри TCP — и оба слоя переотправляют одну и ту же потерю, каждый ухудшая контроль перегрузки у другого. На чистом канале вы едва заметите; на канале с потерями пропускная способность обрушивается. Это называют TCP meltdown, и потому UDP — верный выбор всякий раз, когда UDP доступен.
IKEv2/IPsec — для телефонов
Его отличительная черта — MOBIKE, позволяющий туннелю пережить смену сетевого адреса клиентом. Вы выходите из здания, соскакиваете с Wi-Fi на мобильную связь, а сессия продолжается вместо того, чтобы оборваться и подняться заново. На iOS он к тому же встроенный, так что в пути не стоит ничего стороннего.
Он использует фиксированные, общеизвестные порты — UDP 500 и 4500, — а их ограничивающая сеть закрывает одними из первых. Отлично там, где работает; и совершенно бесполезен там, где нет.
Обфусцированные протоколы — для фильтруемых сетей
Это категория, а не продукт. Общее у этих решений — цель: чтобы анализ трафика не нашёл ничего, на что стоило бы реагировать. Лучшие из них переживают ещё и активное зондирование, когда цензор сам подключается к подозреваемому серверу и смотрит на ответ: сервер, который под зондированием отвечает странно, опознаётся независимо от того, как выглядит его трафик.
Важно проговорить: это не более стойкое шифрование. Конфиденциальность та же самая. Обфускация покупает лишь то, что соединение не объявляет о себе. За категорией закрепилась заслуженная репутация платить за это скоростью, но это свойство конкретных решений, а не закон, — и о любом конкретном стоит спросить, тянет ли он по-прежнему видеозвонок и большую загрузку одновременно, не разваливая ни того ни другого.
Чего выбор протокола не чинит
Три вещи, которых люди ждут от решения о протоколе и которых никакое решение о протоколе не даёт:
- Что видит ваш провайдер. Все они завершаются на сервере провайдера. Это вопрос о политике журналирования компании и аудитах, а не о криптографии.
- Ваш отпечаток браузера. Ни один из них его не меняет — он берётся из вашего устройства, а не из соединения. Посмотрите, как выглядит ваш.
- Утечку DNS мимо туннеля. Это ошибка конфигурации, а не свойство протокола, и случается она со всеми. Стоит проверить, а не предполагать.
Настройка, которая на деле важнее выбора протокола и обсуждается куда реже, — это аварийное отключение. Туннель, упавший без него, возвращает вас на голую сеть посреди сессии, молча, ровно в тот момент, когда вы меньше всего склонны проверять.
Вопросы о протоколах, которые действительно возникают
Какой протокол VPN самый быстрый?
WireGuard — практически в каждом опубликованном сравнении и практически на любом классе устройств. Он использует фиксированную современную криптографию вместо согласования набора шифров, работает в пространстве ядра там, где платформа это позволяет, и несёт куда меньше служебных данных на пакет, чем OpenVPN. На быстром канале эта разница отделяет VPN, который вы замечаете, от того, которого не замечаете. Оговорка в том, что чистая скорость протокола перестаёт быть ограничителем, как только сервер оказывается далеко: тогда вашим узким местом становится расстояние, а не протокол.
Менее ли приватен WireGuard, чем OpenVPN?
Критика справедлива, но узка, и касается она развёртывания, а не самого протокола. WireGuard выдаёт каждому клиенту постоянный внутренний IP-адрес и сохраняет его на всю сессию, а провайдер мог бы связать по нему активность с учётной записью так, как не позволяет динамическое назначение в OpenVPN. Задача решаемая — провайдеры справляются с ней двойным NAT или ротацией адресов, — но полезно знать, что её надо решать, а не считать решённой по умолчанию. Криптографически WireGuard из этих двух современнее и лучше поддаётся аудиту.
Нужен ли мне обфусцированный или «скрытный» протокол?
Вероятно, нет, и об этом стоит сказать прямо, потому что именно эту опцию чаще всего перепродают. Обфускация существует ради одной задачи: сеть распознаёт трафик VPN и блокирует его. Если ваше соединение работает, такой задачи у вас нет, а в сети, которая вас не досматривает, прямой маршрут просто короче. Там же, где обфускация действительно нужна — национальная фильтрация или корпоративная и университетская сеть, активно рвущая туннели, — надёжно не работает ничто другое, ведь дело не в слабости обычных протоколов, а в их узнаваемости. Старое допущение, что за это непременно платят скоростью, стоит проверить, а не принимать на веру: для одних решений оно верно, для других нет.
Стоит ли когда-нибудь использовать PPTP?
Нет. Его шифрование практически взламывается с 2012 года, и соответствующая атака — это услуга, которую можно арендовать, а не результат исследования. Современные версии Windows, macOS и iOS его удалили или отключили. Если какое-то оборудование не предлагает вам ничего другого, считайте такое соединение незашифрованным и планируйте соответственно.
Меняет ли протокол то, что видит мой VPN-провайдер?
Сколько-нибудь существенно — нет. Любой протокол здесь завершает туннель на сервере провайдера, а значит, провайдер в состоянии видеть ваш трафик на выходе независимо от вашего выбора. Степень раскрытия там определяют политика ведения журналов и наличие независимого аудита — это вопрос о компании, а не о криптографии. Выбор протокола решает, что смогут рассказать сети между вами и сервером, а это другой вопрос.
Почему моё приложение VPN не даёт выбрать протокол?
Часто потому, что предлагать стоит лишь один, а иногда потому, что приложение переключается само, исходя из того, что разрешает сеть. Автоматический выбор обычно и есть правильное поведение по умолчанию: он откатится с быстрого протокола на тот, который переживёт ограничивающую сеть, и вам не придётся разбираться в причинах сбоя. Возможность вмешаться всё же полезна — для случая, когда вы знаете, что ваша сеть фильтрует, и предпочтёте сразу начать с работающего варианта, а не ждать двух неудач.
Both answers exist in the same app.
Umbra is the fast default and what the recommender picks for most people. MIRAGE is the option for networks that filter — it leaves nothing on the wire that reads as a VPN, and it carries games, calls and 4K at the speed of your line rather than asking you to trade one for the other. You do not choose once and live with it: switch in the app when a network stops cooperating, and switch back when it does.
Последняя проверка . Заметили, что что-то устарело? Напишите нам.