VPN доступ к сервисам: сравнение протоколов по задержке и скорости

OpenVPN TCP — 100–250 Мбит/с.

Разница возникает на уровне архитектуры. WireGuard и IKEv2 в Linux работают ближе к ядру операционной системы. OpenVPN функционирует в пользовательском пространстве. Данные проходят через дополнительные контекстные переключения процессора. Это увеличивает накладные расходы и снижает пропускную способность.

Для VPN-доступа к сервисам одного показателя скорости недостаточно. Нужны стабильность соединения, поведение при смене сети, совместимость с DPI и предсказуемость маршрутизации. Протокол, который быстрее в лабораторном тесте, не всегда обеспечивает лучший результат в мобильной сети или при нестандартной фильтрации трафика.

Архитектурные различия: почему WireGuard быстрее OpenVPN

OpenVPN создан в 2001 году. Он давно поддерживается на маршрутизаторах, рабочих станциях и корпоративных шлюзах. Его архитектура гибкая. Она допускает настройку транспортов, портов, криптографических параметров и схем аутентификации.

Эта гибкость имеет стоимость.

OpenVPN работает в user space. Пакет поступает из сетевого стека в пользовательский процесс. После обработки он возвращается в сетевой стек. На каждом переходе возникают дополнительные операции планирования и переключения контекста. При высокой нагрузке это отражается на загрузке CPU.

WireGuard построен иначе. Проект использует компактную кодовую базу — около 4000 строк. У OpenVPN — более 100 000 строк, а по отдельным оценкам объём может быть значительно выше. Меньший объём не является автоматическим доказательством безопасности. Но он уменьшает поверхность аудита и сокращает количество архитектурных компонентов.

В 2020 году WireGuard вошёл в основную ветку ядра Linux. Это изменило его положение в инфраструктуре. Протокол перестал быть внешним экспериментальным модулем для части систем и стал штатным компонентом ядрового сетевого стека Linux.

Короткая кодовая база влияет и на эксплуатацию:

• меньше компонентов участвует в обработке пакета;
• ниже количество промежуточных операций;
• проще анализировать криптографический контур;
• ниже нагрузка на процессор при высокой пропускной способности;
• быстрее устанавливается туннельное соединение.

Для WireGuard указывается время установки туннеля менее 100 мс. Это не универсальная гарантия. Результат зависит от маршрута, загрузки сервера, DNS, состояния сети и конфигурации клиента. Но сама модель протокола ориентирована на короткую процедуру установления связи.

WireGuard выигрывает не за счёт одной оптимизации. Его преимущество складывается из малого объёма кода, фиксированной криптографии и работы ближе к сетевому стеку ядра.

OpenVPN использует более сложную модель конфигурации. В ней больше возможностей для совместимости и маскировки трафика. Поэтому прямое сравнение по скорости не отменяет эксплуатационные сценарии, где OpenVPN остаётся рациональным выбором.

Пропускная способность VPN на гигабитном канале

В синтетическом сравнении протоколы расходятся по скорости передачи данных. На гигабитной линии показатели выглядят следующим образом:

Это ориентиры, а не SLA протоколов. Фактическая скорость может быть ниже. На неё влияют:

• расстояние между клиентом и VPN-сервером;
• загруженность узла;
• производительность CPU на сервере;
• шифрование на мобильном устройстве;
• качество последней мили;
• потери пакетов;
• настройки MTU;
• ограничения провайдера;
• работа DPI;
• перегрузка буферов на маршрутизаторах.

Гигабитная линия сама по себе не означает гигабитный VPN. Если сервер расположен на другом континенте, физическая задержка и маршрут становятся ограничителями. Если клиент работает на недорогом мобильном устройстве, вычислительная нагрузка шифрования может стать узким местом раньше канала.

WireGuard в этом сценарии имеет наименьшее количество дополнительных операций. Протокол использует фиксированный набор криптографических примитивов:

• ChaCha20 для шифрования;
• Poly1305 для аутентификации;
• Curve25519 для обмена ключами;
• BLAKE2s для хеширования.

Фиксированный набор снижает сложность конфигурации. В OpenVPN можно выбирать разные параметры и режимы. Это полезно для совместимости. Одновременно возрастает риск ошибочной настройки и расширяется поверхность аудита.

Почему OpenVPN TCP заметно медленнее

OpenVPN может работать поверх UDP или TCP. UDP обычно быстрее. Он не выполняет повторную передачу пакетов на уровне транспортного протокола. Потери обрабатываются выше, в зависимости от конкретного механизма.

OpenVPN TCP работает поверх TCP. В результате формируется TCP-соединение внутри другого TCP-соединения. При потерях пакетов оба уровня начинают выполнять собственные процедуры контроля доставки. Возникает эффект TCP-over-TCP. Он способен увеличить задержку и снизить скорость при нестабильном канале.

Это не делает OpenVPN TCP бесполезным. Режим может работать там, где UDP блокируется или ограничивается. Для доступа к сервисам через сети с жёсткой фильтрацией совместимость иногда важнее пропускной способности.

В инфраструктуре нужно разделять два показателя:

1. скорость передачи данных без потерь;

2. скорость в условиях фильтрации и нестабильного маршрута.

WireGuard обычно сильнее в первом сценарии. OpenVPN TCP может оказаться практичнее во втором. Это разные задачи.

Задержка пинга в VPN: что можно сравнивать

Пинг зависит прежде всего от географии и маршрутизации. Протокол добавляет накладные расходы, но не отменяет физическое расстояние до сервера. Универсального значения задержки для WireGuard, IKEv2 или OpenVPN не существует.

Нельзя корректно заявлять, что WireGuard всегда даёт минимальный ping. При высокой загрузке VPN-сервера, переполнении буферов и bufferbloat задержка возрастает независимо от архитектурных преимуществ протокола.

Сравнивать нужно одинаковые условия:

• один VPN-сервер;
• один клиент;
• один провайдер;
• один тип подключения;
• одинаковое время теста;
• одинаковый размер пакета;
• одинаковая схема маршрутизации;
• несколько последовательных замеров, а не один результат.

Показатель ping без контекста не даёт полноценной картины. Для видеосвязи важен не только средний RTT, но и разброс значений. Для потокового видео критичнее устойчивый throughput. Для удалённого рабочего стола важны задержка и потери. Для загрузки больших файлов основным ограничителем становится пропускная способность.

В практическом тесте полезно разделять:

• задержку без VPN;
• задержку до VPN-сервера;
• задержку через VPN до целевого сервиса;
• среднее значение;
• максимальные всплески;
• процент потерь;
• скорость под нагрузкой.

Если базовый канал уже перегружен, VPN только проявит проблему. Дополнительное шифрование не является первопричиной всех задержек. Нередко узкое место находится на домашнем маршрутизаторе или в сети провайдера.

Скорость без VPN показывает потенциал канала. Скорость через VPN показывает результат маршрута, сервера, процессора и фильтрации одновременно.

WireGuard для доступа к зарубежным сервисам

WireGuard подходит для сценариев, где приоритетом являются пропускная способность и простота туннеля. Это касается потокового видео, передачи файлов, удалённой работы и доступа к сервисам, расположенным за пределами локальной сети.

Преимущества протокола:

• высокая пропускная способность;
• короткое время установления туннеля;
• небольшой объём кода;
• фиксированный набор криптографических примитивов;
• низкая нагрузка на CPU по сравнению с более тяжёлой конфигурацией OpenVPN;
• хорошая эффективность на Linux-серверах.

Есть и ограничения. WireGuard по умолчанию не предназначен для сложной маскировки трафика. Если сеть анализирует характер соединения или ограничивает UDP, обычный WireGuard может не пройти фильтрацию. Дополнительные инструменты обфускации меняют профиль нагрузки и усложняют конфигурацию.

С точки зрения управления ключами WireGuard использует статические криптографические идентификаторы узлов. Это удобно для точечной конфигурации. Но отзыв доступа требует корректного удаления или замены ключа на сервере. Ошибки в управлении конфигурациями приводят к сохранению доступа у бывших клиентов.

В корпоративной инфраструктуре это означает необходимость автоматизации:

• централизованного выпуска конфигураций;
• ротации ключей;
• отзыва скомпрометированных узлов;
• контроля активных peer-соединений;
• регистрации изменений;
• ограничения разрешённых подсетей.

Протокол быстрый. Это не отменяет требований к управлению доступом.

IKEv2/IPsec: стабильность при смене сетей

IKEv2 разработан совместно Microsoft и Cisco. Спецификация появилась в 2005 году. Протокол ориентирован на установление и поддержание IPsec-туннеля.

Главное преимущество IKEv2 — поведение при смене сети. Мобильное устройство может перейти с Wi-Fi на сотовую сеть. При корректной реализации туннель способен быстро повторно инициализироваться. Пользовательская сессия при этом с меньшей вероятностью прерывается полностью.

Это делает IKEv2 рациональным выбором для смартфонов и планшетов. В офисе или дома разница с WireGuard может быть несущественной. В дороге она проявляется сильнее.

У IKEv2/IPsec обычно ниже пропускная способность, чем у WireGuard, но выше, чем у OpenVPN в большинстве типовых сравнений. Диапазон 600–800 Мбит/с на гигабитном канале остаётся достаточным для большинства пользовательских задач.

При оценке стабильности нужно смотреть не только на факт переподключения, но и на:

• время восстановления туннеля;
• сохранение маршрутов;
• повторную аутентификацию;
• корректность DNS;
• поведение при смене IP-адреса;
• восстановление доступа к внутренним подсетям;
• наличие кратковременной утечки трафика при реконнекте.

На мобильном устройстве протокол может выигрывать не абсолютной скоростью, а меньшим количеством заметных разрывов. Это другой тип эффективности.

Когда OpenVPN остаётся рабочим инструментом

OpenVPN уступает WireGuard по скорости. Это подтверждается архитектурой и типовыми бенчмарками. Но тезис об устаревании OpenVPN некорректен.

Протокол по-прежнему используется там, где нужны:

• совместимость со старым оборудованием;
• поддержка широкого набора клиентских платформ;
• работа через TCP;
• интеграция с существующими корпоративными профилями;
• обход ограничений UDP;
• дополнительные варианты маскировки трафика;
• готовые конфигурации у провайдеров и администраторов.

OpenVPN может быть оправдан при доступе к сетям, где WireGuard блокируется или не поддерживается. Также он удобен в инфраструктурах, которые уже используют централизованную PKI, сертификаты и существующие политики доступа.

Слабое место — сложность. Чем больше параметров, тем выше вероятность ошибки. Неправильно выбранный MTU, перегруженный шифр, неудачный транспорт или лишняя компрессия могут ухудшить производительность.

В аудитах OpenVPN необходимо проверять не только версию клиента. Поверхность уязвимости включает:

• серверный процесс;
• набор криптографических библиотек;
• конфигурацию TLS;
• права процесса;
• правила маршрутизации;
• DNS-политику;
• параметры компрессии;
• открытые порты;
• доступность административного интерфейса;
• журналы аутентификации.

Сам протокол не устраняет риск компрометации конечного устройства. Если клиент заражён, VPN создаёт защищённый канал для уже скомпрометированной системы.

Что выбрать для разных задач

Выбор протокола должен соответствовать ограничивающему фактору. Универсального победителя нет.

Для зарубежных сервисов также имеет значение не только протокол. Нужен сервер в подходящей юрисдикции и с адекватной маршрутизацией до целевого ресурса. Иногда смена VPN-узла даёт больший эффект, чем переход с одного протокола на другой.

Отдельный риск — ложная интерпретация доступности. Если сервис открывается через VPN, это не означает, что весь трафик устройства защищён. Возможны исключения маршрутов, split tunneling, утечки DNS и прямые соединения отдельных приложений.

При работе с критической инфраструктурой понятие защищённого канала нужно отделять от понятия защищённой системы. Даже управление спутниковыми платформами требует не только канала связи, но и контроля полномочий, журналирования, сегментации и процедур восстановления. Показателен сам контекст передачи управления спутниками мониторинга CO2: изменение ответственной стороны в такой системе означает изменение границ доверия, а не просто замену сетевого маршрута.

Как проводить сравнение без ложных выводов

Один запуск теста не является бенчмарком. Нужна серия замеров.

Минимальная методика:

1. Зафиксировать базовую скорость без VPN.

2. Выбрать один сервер и одну географическую точку.

3. Проверить WireGuard, IKEv2 и OpenVPN в одинаковом временном окне.

4. Провести замеры по кабелю и через Wi-Fi, если оба варианта используются.

5. Повторить тест при низкой и высокой нагрузке.

6. Измерить скорость загрузки и отдачи.

7. Проверить задержку, потери и разброс RTT.

8. Зафиксировать загрузку CPU на клиенте и сервере.

9. Проверить переподключение после смены сети.

10. Проверить DNS и маршруты после установления туннеля.

Результаты нужно читать совместно. Высокая скорость при нестабильном ping не подходит для интерактивных задач. Низкий ping при просадке throughput не подходит для передачи больших файлов. Быстрое соединение, которое обрывается при переходе между сетями, непригодно для мобильного рабочего сценария.

Логи должны подтверждать наблюдение, а не заменять его. В журнале полезны события:

• начало и завершение рукопожатия;
• смена endpoint;
• переподключение;
• ошибки аутентификации;
• потеря keepalive;
• смена маршрута;
• рост числа retransmit;
• изменение MTU;
• отказ DNS через туннель.

Фиктивная строка лога не доказывает наличие проблемы. Если в журнале нет события, его нельзя подставлять в отчёт. Аудит начинается с воспроизводимого наблюдения.

Митигация рисков: итоговый чек-лист

• Выбрать WireGuard для сценариев, где главным ограничением является пропускная способность.
• Использовать IKEv2/IPsec на мобильных устройствах с частой сменой Wi-Fi и сотовой сети.
• Сохранять OpenVPN как резервный вариант для сетей, где UDP ограничен или требуется TCP-транспорт.
• Не сравнивать задержку без фиксации географии сервера и маршрута.
• Проводить тесты на одном узле и в одинаковых условиях.
• Проверять скорость под нагрузкой. Bufferbloat способен увеличить задержку у любого протокола.
• Контролировать MTU и фрагментацию пакетов.
• Разделять защищённость туннеля и безопасность конечного устройства.
• Регулярно отзывать старые ключи и конфигурации WireGuard.
• Проверять сертификаты, библиотеки и права процесса OpenVPN.
• Контролировать DNS после подключения.
• Проверять маршруты при split tunneling.
• Журналировать рукопожатия, реконнекты и смену endpoint.
• Не считать высокий throughput доказательством стабильности.
• Не считать короткий ping доказательством безопасной конфигурации.

WireGuard является наиболее эффективным вариантом по скорости. IKEv2/IPsec сильнее в мобильной устойчивости. OpenVPN сохраняет значение там, где требуется совместимость, TCP-транспорт или дополнительная гибкость.

Для VPN-доступа к сервисам итоговый выбор определяется не рекламным рейтингом. Определяющими становятся маршрут, фильтрация, аппаратные ресурсы и модель угроз. Протокол — только один элемент поверхности атаки.