IPsec vs OpenVPN vs WireGuard: сравнение VPN-протоколов

🥊 IPsec vs OpenVPN vs WireGuard: технический спарринг без поверхностных клише

IPsec, OpenVPN и WireGuard часто сравнивают, сводя все к фразам вроде «один быстрый, а другой надежный». Но если копнуть глубже, это абсолютно разные архитектуры. Давайте проведем настоящий технический разбор на уровне сетевого стека, чтобы понять, за что на самом деле отвечает каждый из них.

🛠 Фундаментальная разница: Уровни и «пространства»

Главное отличие кроется в месте, где они работают.

• IPsec (IKEv2, ESP/AH): Работает на сетевом уровне (L3). Он жестко встроен в маршрутизацию и шифрует IP-пакеты целиком. Благодаря этому он поддерживается практически любым сетевым оборудованием (Cisco, Mikrotik) и может использовать аппаратное ускорение шифрования.
• OpenVPN: Работает в пользовательском пространстве (userspace), поверх TCP или UDP (на уровне L4+). По сути, это обычный процесс, который эмулирует сетевой адаптер (TUN/TAP). Это дает ему огромную гибкость в маскировке, но создает высокие накладные расходы на CPU.
• WireGuard: Работает в ядре ОС (L3), но, в отличие от IPsec, не является «протоколом-фреймворком», а представляет собой сверхлегкий модуль. Он использует современную криптографию (ChaCha20-Poly1305, Curve25519), оптимизированную для слабых устройств и исключающую раздутые переговоры.

🔍 Раунд 1: Противостояние DPI и цензуре

Здесь критически важна «скрытность». Российские провайдеры активно внедряют DPI (Deep Packet Inspection), который распознает VPN-трафик по сигнатурам.

• IPsec: Для DPI это красный флаг. Его протоколы (ESP и AH) маркируются отдельными номерами (50 и 51) и выглядят абсолютно чужеродно на фоне обычного HTTPS. Никакая маскировка из коробки не работает.
• OpenVPN: Это непревзойденный «хамелеон». Он умеет работать через TCP-порт 443, притворяясь обычным защищенным сайтом. Провайдеры не могут заблокировать 443-й порт, иначе отключат интернет всему городу. Правда, у этого метода есть минус — «TCP meltdown» (вложение TCP в TCP), которое сильно режет скорость.
• WireGuard: Он быстрый, но абсолютно «голый» — его трафик детектируется по характерным размерам пакетов и отсутствию TLS-рукопожатия. Однако это легко решается добавлением обфускации (например, AmneziaWG или Xray-Reality), которая прячет его внутри обычного HTTPS.

Вывод: Для «из коробки» победа у OpenVPN. Для гибридной маскировки с AmneziaWG — у WireGuard.

⚡ Раунд 2: Скорость и нагрузка на процессор

Скорость упирается не в шифрование, а в оверхед на контекстные переключения.

• IPsec: Поддерживает аппаратное ускорение на маршрутизаторах, но его протокол обмена ключами (IKE) тяжелый. Мгновенного переподключения нет.
• OpenVPN: Каждый пакет проходит через копирование из ядра в пользовательское пространство и обратно. На мощном CPU он выдает 300–500 Мбит/с, но на слабом роутере это убивает всю производительность. Особенно деградирует скорость при работе через TCP.
• WireGuard: Молния. Работает в ядре, использует легкие алгоритмы, не требует пересчета хэшей и копирования контекста. На 1 Гбит/с канале он может выжать почти 100% пропускной способности даже на среднем VPS.

Вывод: WireGuard — абсолютный чемпион по скорости и минимальной задержке (пингу). Это выбор для геймеров и стримеров.

📱 Раунд 3: Мобильность (Реальные кейсы для телефонов)

Вы постоянно переключаетесь между Wi-Fi и 4G/5G. Старые протоколы обрываются, приложение зависает.

• IPsec/IKEv2: Решает эту проблему через протокол MOBIKE. Туннель переживает смену IP-адреса практически мгновенно, не разрываясь. Это лучший вариант для мобильного интернета.
• OpenVPN: При смене сети ему нужно полностью перестраивать TLS-хэндшейк. Это занимает секунды и часто приводит к обрыву соединения.
• WireGuard: Хэндшейк занимает миллисекунды, поэтому он идеально переживает даже агрессивную смену сетей.

Вывод: Для нестабильной мобильной сети выбор стоит между WireGuard (скорость) и IPsec/IKEv2 (стабильность).

🏢 Раунд 4: Офис, железо и корпоративные сети

Забудьте про приложения. Директор требует соединить два филиала.

• IPsec: Это евангелие для сетевых инженеров. Он умеет объединять подсети, работает на роутерах без установки ПО и считается индустриальным стандартом для Site-to-Site VPN.
• OpenVPN и WireGuard: Требуют дополнительной настройки софта на каждом устройстве и мощного центрального сервера, поэтому для сложных корпоративных топологий они менее удобны.

Вывод: В корпоративном мире IPsec вне конкуренции.

🏆 Экспертный вердикт

Не существует универсального «лучшего» протокола. На современном рынке побеждает мульти-протокольность. Лучшие VPN-сервисы используют WireGuard для быстрого соединения (обычно по умолчанию), но автоматически переключаются на OpenVPN (или модифицированный WireGuard с обфускацией), как только пользователь пытается обойти блокировки, и предлагают IKEv2 для нестабильного мобильного интернета.

Просто выберите протокол, исходя из конкретной задачи:

• Обход блокировок и цензуры → OpenVPN (TCP 443) или AmneziaWG.
• Игры, стриминг, максимальная скорость → WireGuard.
• Стабильный офисный туннель → IPsec/IKEv2.
• Мобильный интернет с постоянной сменой сети → IKEv2 или WireGuard.

В следующих статьях мы разберем конкретные примеры настройки этих протоколов на оборудовании.