WireGuard vs OpenVPN: którego protokołu VPN powinieneś używać?

Na pytanie WireGuard czy OpenVPN jest krótka odpowiedź: prawie zawsze używaj WireGuarda albo domyślnego ustawienia opartego na WireGuardzie u twojego dostawcy VPN, a na OpenVPN przez TCP lub tryb z obfuskacją przełączaj się tylko wtedy, gdy sieć cię blokuje. WireGuard jest nowszy, dużo mniejszy i, według opublikowanych testów jego autora, znacznie szybszy. OpenVPN jest starszy, większy i wolniejszy, ale bardzo dobrze przechodzi przez restrykcyjne sieci, bo może wyglądać jak zwykły szyfrowany ruch webowy.

Ta krótka odpowiedź pomija kilka przydatnych szczegółów. Kilku dużych dostawców nie oferuje już wyboru tylko między tymi dwoma: ExpressVPN promuje własny protokół Lightway, NordVPN opakowuje WireGuarda w coś, co nazywa NordLynx, a Mullvad w 2026 roku całkowicie zrezygnował z OpenVPN. Ten poradnik wyjaśnia, czym właściwie jest protokół VPN, czym różnią się dwa główne protokoły, czym są protokoły o markowych nazwach i jakie ustawienie wybrać w aplikacji w każdej sytuacji.

Czym jest protokół VPN?

Protokół VPN to zestaw reguł, według których twoje urządzenie i serwer VPN uzgadniają klucze, szyfrują twój ruch i pakują go w pakiety, które mogą przejść przez internet. Aplikacja VPN to kierownica, a protokół to silnik.

Każdy protokół musi wykonać te same trzy zadania. Musi udowodnić twojemu urządzeniu, że rozmawia z prawdziwym serwerem, a nie z oszustem (uwierzytelnianie). Musi uzgodnić nowe klucze szyfrowania tak, by nikt podsłuchujący nie mógł ich odtworzyć (wymiana kluczy). I musi zaszyfrować każdy pakiet oraz sprawdzić, czy nie został po drodze zmodyfikowany (transport). Sposób, w jaki protokół wykonuje te zadania, decyduje o tym, jak jest szybki, jak łatwo go zaudytować i jak łatwo sieć może go wykryć i zablokować.

W przypadku VPN-a dla zwykłych użytkowników praktyczne opcje to WireGuard, OpenVPN, IKEv2 oraz własne warianty dostawców. Jeśli chcesz zobaczyć szerszy obraz tego, co VPN ukrywa, a czego nie, zacznij od tego, czym jest VPN i jak działa.

Czym jest WireGuard?

WireGuard to protokół VPN zaprojektowany przez Jasona Donenfelda tak, by był mały, szybki i łatwy do przeglądu. Trafił do jądra Linuksa w wersji 5.6 w marcu 2020 roku i działa dziś na wszystkich głównych platformach.

Whitepaper¹ projektu (jego wersja pojawiła się na konferencji bezpieczeństwa NDSS w 2017 roku) podaje, że implementacja dla Linuksa liczy „mniej niż 4000 linii kodu (z wyłączeniem prymitywów kryptograficznych)”, więc przejrzenie jej pod kątem błędów bezpieczeństwa jest realne dla jednej osoby. Ogłoszenie wydania WireGuard 1.0.0³ oznaczało jego pojawienie się w głównej gałęzi jądra Linuksa 5.6, wydanego pod koniec marca 2020 roku.

WireGuard celowo nie oferuje menu szyfrów. Jego strona główna² podaje jeden stały zestaw: framework protokołów Noise, Curve25519 do wymiany kluczy, ChaCha20 i Poly1305 do szyfrowania i uwierzytelniania, BLAKE2 do haszowania, SipHash24 i HKDF. Jeśli któryś z nich zostanie kiedyś złamany, wszyscy przechodzą na nową wersję zamiast negocjować słabszą opcję, co eliminuje całą klasę ataków typu downgrade, na które cierpiały starsze protokoły.

Wykorzystuje też prosty pomysł, który projekt nazywa „cryptokey routing”: klucz publiczny każdego peera jest powiązany z adresami IP tunelu, których może on używać. Dla pakietów wychodzących ta lista działa jak tablica routingu, a dla przychodzących jak lista kontroli dostępu. Ta prostota jest dużą częścią powodu, dla którego protokół jest szybki i łatwy w konfiguracji, a zarazem źródłem jego jedynego poważnego problemu z prywatnością w komercyjnych VPN-ach, opisanego niżej.

Czym jest OpenVPN?

OpenVPN to otwartoźródłowy program VPN, który przez prawie dwie dekady napędzał większość VPN-ów dla konsumentów. Został wydany po raz pierwszy w 2001 roku, napisał go James Yonan, a wykorzystuje protokół TLS (z tej samej rodziny szyfrowania, która zabezpiecza strony HTTPS) przez bibliotekę OpenSSL.

Według podsumowania projektu na Wikipedii⁴ OpenVPN to wolne oprogramowanie na licencji GPLv2 (z dostępnymi licencjami komercyjnymi), które działa w przestrzeni użytkownika, a nie wewnątrz jądra systemu, i może przesyłać ruch przez UDP lub TCP; port 1194 jest jego portem przypisanym przez IANA. Własny how-to⁵ projektu opisuje go jako implementację bezpiecznego rozszerzenia sieci „przy użyciu standardowego w branży protokołu SSL/TLS”, z klientami łączącymi się „przez pojedynczy port TCP lub UDP”.

Jego mocne strony to dojrzałość i elastyczność. Obsługuje wiele szyfrów i metod uwierzytelniania, od lat jest dokładnie analizowany przez badaczy i może działać przez TCP na dowolnym wybranym porcie, co ma znaczenie, gdy sieć wypuszcza tylko ruch webowy. Jego słabe strony to druga strona medalu: znacznie większa baza kodu niż w WireGuardzie, więcej opcji konfiguracji, w których łatwo się pomylić, oraz narzut związany z działaniem w przestrzeni użytkownika.

Czy WireGuard jest szybszy od OpenVPN?

Tak, w opublikowanym teście od autora WireGuarda był około czterokrotnie szybszy niż OpenVPN na tym samym sprzęcie, z mniejszym opóźnieniem. Traktuj dokładne liczby jako wynik laboratoryjny od twórcy protokołu, a nie prognozę tego, jak będzie działał twój VPN.

Test z whitepapera¹ uruchomił iperf3 między dwoma laptopami (Intel Core i7-3820QM i Core i7-5200U) przez gigabitowy Ethernet, ze średnią z trzydziestu minut. WireGuard przesłał 1011 megabitów na sekundę; dwie konfiguracje IPsec osiągnęły 881 i 825; OpenVPN, używający AES-256 z HMAC-SHA2-256 przez UDP, osiągnął 258. Czasy ping układały się w tej samej kolejności: 0,403 milisekundy dla WireGuarda wobec 1,541 dla OpenVPN. Praca zauważa, że procesor osiągnął 100% obciążenia podczas testów OpenVPN i IPsec, ale nie podczas testu WireGuarda, co autorzy zinterpretowali jako nasycenie łącza gigabitowego przez WireGuarda.

Autorzy artykułu tłumaczą tę różnicę konstrukcją: OpenVPN to aplikacja działająca w przestrzeni użytkownika, więc pakiety są kilkukrotnie kopiowane między jądrem a programem, co zwiększa opóźnienia i obciążenie procesora. WireGuard na Linuksie działa wewnątrz jądra.

W prawdziwej usłudze VPN twoja prędkość zależy znacznie bardziej od odległości do serwera, jego obciążenia, twojego łącza i urządzenia niż od samego protokołu. Nie robiliśmy testów prędkości i nie publikujemy wyników prędkości. Test porównawczy pokazuje jedno: WireGuard zostawia większy zapas wydajności, co najbardziej widać na szybkich łączach domowych i w telefonach, gdzie mniejsze obciążenie procesora ma największe znaczenie.

Czy WireGuard jest tak samo bezpieczny jak OpenVPN?

Oba uchodzą za bezpieczne, jeśli są poprawnie skonfigurowane. Atutem WireGuarda jest nowoczesna, ustalona na stałe kryptografia i baza kodu na tyle mała, że da się ją przejrzeć; atutem OpenVPN jest długi staż i wiele konfigurowalnych, dobrze zbadanych opcji.

Różnica dotyczy głównie tego, ile rzeczy może pójść nie tak. OpenVPN pozwala dostawcy wybierać szyfry, wersje TLS, schematy uwierzytelniania i dziesiątki innych ustawień, więc bezpieczeństwo zależy od tego, czy dostawca wybierze mądrze. WireGuard te wybory odbiera. Nie ma słabego, starszego szyfru, na który można się cofnąć, bo w ogóle nie ma negocjowania szyfrów.

Jeśli chcesz drugiej opinii na temat samej zasady: amerykańska Agencja Bezpieczeństwa Narodowego (NSA) i CISA w swoich wytycznych dotyczących wyboru i zabezpieczania VPN⁷ z 2021 roku dla organizacji zalecały kupującym produkty oparte na standardach, a nie własnościowe. Wytyczne dotyczą firmowych VPN do zdalnego dostępu, a nie usług konsumenckich, ale sedno jest takie samo: dobrze znany, szeroko przeglądany protokół łatwiej obdarzyć zaufaniem niż tajny. Zarówno WireGuard, jak i OpenVPN są w pełni open source.

Czy WireGuard ma problem z prywatnością?

Czysty WireGuard wymaga, by serwer przechowywał stałą tabelę łączącą klucz każdego użytkownika z adresem IP tunelu, a VPN bez logów nie chce czegoś takiego trzymać. Komercyjni dostawcy używający WireGuarda dodają własną warstwę, żeby nie zapisywać tego powiązania.

NordVPN wyjaśnia ten problem wprost na stronie NordLynx⁸: pierwotna architektura WireGuarda „wymagała, by serwery przechowywały statyczną tabelę IP łączącą użytkowników z ich wewnętrznymi adresami IP”. Jego rozwiązanie, NordLynx, to „system podwójnego NAT”. Jeden interfejs nadaje wszystkim użytkownikom na serwerze ten sam lokalny adres IP; drugi przydziela unikalny adres dla każdej sesji tunelu, a to przypisanie „trwa tylko, dopóki sesja jest aktywna”, przy czym uwierzytelnianie obsługuje osobna baza danych. NordVPN twierdzi, że dzięki temu na serwerze VPN nie są przechowywane żadne dane pozwalające kogokolwiek zidentyfikować; to opis samej firmy, który mają potwierdzać jej raporty z audytów polityki no-logs (zobacz nasz test NordVPN).

Inni dostawcy mają własne wersje tego samego rozwiązania. Jeśli sam uruchamiasz WireGuarda na domowym serwerze, nic z tego nie ma znaczenia: jesteś jedynym użytkownikiem i kontrolujesz tę tabelę.

A co z IKEv2?

IKEv2 to część IPsec odpowiedzialna za wymianę kluczy; IPsec to starszy pakiet protokołów oparty na standardach, wbudowany w większość systemów operacyjnych, dlatego niektóre aplikacje nadal go oferują, głównie na iPhone’ach i Macach.

Obecna specyfikacja to RFC 7296⁶, opublikowana w październiku 2014 roku, która opisuje IKEv2 jako element IPsec odpowiedzialny za wzajemne uwierzytelnianie i ustanawianie skojarzeń bezpieczeństwa chroniących ruch. W powyższym teście WireGuarda dwie konfiguracje IPsec uplasowały się między WireGuardem a OpenVPN. IKEv2 to rozsądna opcja zapasowa na urządzeniach Apple, ale używa stałych portów, które sieci łatwo blokują, a większość dostawców domyślnie stawia dziś na WireGuarda.

Czym są NordLynx, Lightway, Stealth i inne markowe protokoły?

Większość to albo WireGuard z dodatkową warstwą prywatności, albo własny protokół dostawcy stworzony z myślą o szybkości lub o obchodzeniu blokad VPN. Oto, co najwięksi dostawcy faktycznie uruchamiają, według ich własnej dokumentacji.

Ćrodła do tabeli: NordVPN Help Center⁹, ExpressVPN¹¹, Proton VPN¹³, Surfshark Help Center¹⁶ i ogĆoszenie Surfshark o Dausos¹⁷, Mullvad¹⁴ i jego wpis o obfuskacji¹⁵ oraz IVPN¹⁸.

• NordLynx to WireGuard plus warstwa podwójnego NAT w NordVPN, opisana powyżej. NordVPN podaje na tej samej stronie⁸, że w 2025 roku dodaĆ do NordLynx szyfrowanie postkwantowe.
• Lightway to własny protokół ExpressVPN, zbudowany na bibliotece kryptograficznej wolfSSL. ExpressVPN przepisał go w Ruście; we wpisie z lutego 2025¹⁰ firma podaje, że nowy kod audytowali Praetorian (wrzesień 2024) i Cure53 (październik 2024): Praetorian wskazał dwa problemy niskiego ryzyka, Cure53 pięć uwag, żadna nie została oceniona jako krytyczna, a po poprawkach w grudniu 2024 przeprowadzono ponowne testy. Ponieważ ExpressVPN nie oferuje WireGuarda, to Lightway jest tam wyborem, gdy liczy się szybkość.
• Stealth to protokół Proton VPN dla sieci objętych cenzurą. W ogłoszeniu z października 2022¹² Proton opisuje go jako „zaciemniony tunel TLS przez TCP”, zaprojektowany tak, by przechodzić przez „większość zapór sieciowych i metod blokowania VPN”.
• NordWhisper to odpowiednik w NordVPN dla sieci blokujących VPN, wymieniony na jego stronie pomocy o protokołach⁹.
• Dausos to własny protokół Surfshark, uruchomiony w kwietniu 2026¹⁷, na razie dostępny tylko w jego aplikacji na macOS z App Store.

Dlaczego Mullvad zrezygnował z OpenVPN?

Mullvad postanowił używać jednego, nowoczesnego protokołu. Plan ogłosił w listopadzie 2024, usunął OpenVPN ze swoich aplikacji pod koniec 2025 roku i wyznaczył 15 stycznia 2026 na wyłączenie ostatnich serwerów OpenVPN, zostawiając tylko WireGuarda.

Jego wpis z grudnia 2025 roku¹⁴ wyjaśnia usunięcie protokołu z aplikacji. Żeby użytkownicy w sieciach z blokadami mogli łączyć się bez OpenVPN, Mullvad opiera się na obfuskacji opakowującej WireGuard, w tym na Shadowsocks, UDP-over-TCP, QUIC oraz trybie wprowadzonym w listopadzie 2025 roku, nazwanym Lightweight WireGuard Obfuscation¹⁵. Jeśli korzystasz z OpenVPN na routerze lub starszym urządzeniu, Mullvad przestaje być opcją. Alternatywy, które nadal go obsługują, znajdziesz w naszym porównaniu Mullvad vs Proton VPN.

WireGuard i OpenVPN w skrócie

Którego protokołu VPN powinienem używać?

Zostaw w aplikacji ustawienie automatyczne lub domyślne oparte na WireGuardzie. Zmieniaj je tylko po to, by rozwiązać konkretny problem.

• Codzienne używanie, streaming, gry, telefony: WireGuard lub wersja dostawcy (NordLynx w NordVPN, Lightway w ExpressVPN). Szybsze połączenia i mniejsze zużycie baterii.
• VPN nie łączy się w Wi-Fi hotelowym, szkolnym lub firmowym: spróbuj OpenVPN przez TCP albo trybu obfuskacji dostawcy (Proton Stealth, NordWhisper, UDP-over-TCP lub Shadowsocks w Mullvadzie). Wyglądają bardziej jak zwykły ruch webowy.
• Podróż w miejsce, gdzie VPN-y są ograniczane: do tego służy tryb obfuskacji, ale najpierw sprawdź przepisy w kraju, do którego jedziesz: niektóre kraje ograniczają VPN-y, a nic tutaj nie jest poradą prawną.
• Router lub stare urządzenie: OpenVPN jest najszerzej obsługiwaną opcją na routerach i starszym oprogramowaniu układowym. Sprawdź, czy twój dostawca nadal go oferuje.
• Połączenie ciągle się zrywa, gdy przełączasz się między Wi-Fi a danymi komórkowymi: zostań przy WireGuard, który według whitepaper¹ pozwala węzłom „swobodnie przemieszczać się między różnymi zewnętrznymi adresami IP”. IKEv2 to starsza alternatywa na urządzeniach Apple.

Wybór protokołu to łatwa część. Ważniejsza jest decyzja, jaka firma obsługuje serwery. Przeczytaj w tej sprawie jak sprawdzić deklarację no-logs VPN-a, a potem porównaj dostawców w naszych pojedynkach, zaczynając od NordVPN vs ExpressVPN (NordLynx kontra Lightway) i Proton VPN vs NordVPN.