WireGuard vs OpenVPN a IKEv2: srovnání VPN protokolů

Při nastavování VPN aplikace se často nabízí volba protokolu, například WireGuard vs OpenVPN. Jde o sadu pravidel, podle které se navazuje a šifruje spojení. Volba může ovlivnit rychlost, spolehlivost i kompatibilitu, ale pro běžné použití rozdíly nebývají dramatické.

Níže popisujeme tři nejrozšířenější. Nejde o hodnocení poskytovatelů. Související informace najdete v kategorii VPN a ve slovníku.

WireGuard

WireGuard je poměrně nový protokol s důrazem na jednoduchost. Má malou kódovou základnu, což usnadňuje kontrolu a snižuje pravděpodobnost chyb, a používá pevně dané moderní kryptografické algoritmy bez možnosti jejich výběru. Je zabudovaný i v jádře některých operačních systémů.

Slabší stránkou u některých implementací bývá způsob, jak se na serveru zachází s IP adresami klientů, což může mít dopad na soukromí. Poskytovatelé to řeší různě, proto si přečtěte, jak to dělá ten váš. Oficiální informace najdete na stránce projektu WireGuard.

OpenVPN

OpenVPN je vyzrálý protokol, který se používá dlouhá léta. Využívá knihovnu TLS a může běžet nad UDP i TCP, díky čemuž se dokáže přizpůsobit různým sítím, i těm, které blokují jiné protokoly. Poskytuje množství možností nastavení.

Nevýhodou je větší kódová základna a složitější konfigurace, která může při nesprávném nastavení snížit bezpečnost. Rychlost bývá nižší než u novějších řešení, v běžném použití to však často není rozhodující.

Pro vlastní server bývá OpenVPN užitečný i proto, že k němu existuje množství dokumentace a ověřených postupů. Zároveň je dobré pravidelně aktualizovat server i klienty.

IKEv2/IPsec

IKEv2 se často spojuje s IPsec a patří ke standardům podporovaným v mnoha operačních systémech bez doplňkové aplikace. Dobře zvládá přepínání sítí, například z Wi-Fi na mobilní data, protože dokáže spojení rychle obnovit.

Nevýhodou může být, že se v některých sítích blokuje a že se implementace liší. Bezpečnost závisí na zvolených algoritmech a na správném nastavení na obou stranách.

Šifrování a klíče

Všechny tři protokoly využívají silnou kryptografii, liší se však způsobem výměny klíčů a výběrem algoritmů. WireGuard má pevnou sadu algoritmů, což snižuje riziko slabého nastavení. OpenVPN a IKEv2 dovolují širší volbu, což je výhoda pro kompatibilitu, ale zároveň prostor pro chybu.

Pro běžného uživatele je podstatné, aby aplikace používala aktuální nastavení a pravidelně se aktualizovala. Staré konfigurace se zastaralými algoritmy mohou být slabší. U vlastního serveru je odpovědnost za nastavení na vás.

Jak se rozhodnout

Pokud aplikace nabízí automatickou volbu, pro většinu uživatelů je rozumné ji ponechat. Pokud chcete vybírat, zvažte potřebu: na mobilu pomůže IKEv2 nebo WireGuard, v omezených sítích OpenVPN přes TCP, obecně je WireGuard dobrou výchozí volbou.

Důležitější než protokol jsou další vlastnosti služby: ochrana před úniky DNS, vypínač připojení, transparentnost poskytovatele a to, kdo má přístup k vašim údajům. Protokol sám o sobě o soukromí nerozhoduje. O dalších kritériích píšeme v samostatném článku a o únicích v kategorii IP, DNS a proxy.