WireGuard или OpenVPN: какой протокол VPN выбрать?

Если коротко о WireGuard и OpenVPN: почти всегда используйте WireGuard или стандартный для вашего VPN-провайдера протокол на его основе, а на OpenVPN по TCP или режим обфускации переключайтесь, только когда сеть вас блокирует. WireGuard новее, намного компактнее и, по опубликованным тестам его автора, намного быстрее. OpenVPN старше, больше и медленнее, но очень хорошо проходит через ограничивающие сети, потому что его трафик может выглядеть как обычный зашифрованный веб-трафик.

За этим коротким ответом скрываются полезные детали. Несколько крупных провайдеров больше не предлагают выбор лишь из этих двух: ExpressVPN продвигает собственный протокол Lightway, NordVPN оборачивает WireGuard в решение под названием NordLynx, а Mullvad полностью отказался от OpenVPN в 2026 году. В этом руководстве мы объясняем, что такое протокол VPN, чем различаются два основных протокола, что представляют собой фирменные протоколы и какую настройку выбрать в приложении для каждой ситуации.

Что такое VPN-протокол?

VPN-протокол — это набор правил, по которым ваше устройство и VPN-сервер договариваются о ключах, шифруют трафик и упаковывают его в пакеты, способные пройти через интернет. VPN-приложение — это руль, а протокол — двигатель.

Любой протокол выполняет одни и те же три задачи. Он должен убедить ваше устройство, что оно общается с настоящим сервером, а не с подставным (аутентификация). Он должен согласовать новые ключи шифрования так, чтобы никто, прослушивающий канал, не смог их вычислить (обмен ключами). И он должен шифровать каждый пакет и проверять, что по дороге его не подменили (транспорт). От того, как протокол справляется с этими задачами, зависят его скорость, простота аудита и то, насколько легко сеть может его обнаружить и заблокировать.

Для потребительского VPN на практике выбирают между WireGuard, OpenVPN, IKEv2 и собственными вариантами провайдеров. Если вы хотите получить более полное представление о том, что VPN скрывает, а что нет, начните с материала что такое VPN и как он работает.

Что такое WireGuard?

WireGuard — это протокол VPN, который разработал Джейсон Доненфельд, стремясь сделать его небольшим, быстрым и простым для проверки. Он вошёл в ядро Linux в версии 5.6 в марте 2020 года и теперь работает на всех основных платформах.

В технической статье проекта¹ (её версия была представлена на конференции по безопасности NDSS в 2017 году) говорится, что реализация для Linux написана «менее чем в 4000 строк кода (не считая криптографических примитивов)», так что проверить её на уязвимости под силу одному человеку. Анонс выпуска WireGuard 1.0.0³ отметил его появление в основной ветке ядра Linux 5.6, вышедшей в конце марта 2020 года.

WireGuard намеренно не предлагает выбора шифров. На его главной странице² указан один фиксированный набор: фреймворк протоколов Noise, Curve25519 для обмена ключами, ChaCha20 и Poly1305 для шифрования и аутентификации, BLAKE2 для хеширования, SipHash24 и HKDF. Если какой-то из этих компонентов когда-нибудь взломают, все просто перейдут на новую версию, а не будут согласовывать более слабый вариант, и это исключает целый класс атак с понижением версии, от которых страдали старые протоколы.

Он также использует простую идею, которую проект называет «криптоключевой маршрутизацией»: открытый ключ каждого пира привязан к IP-адресам туннеля, которые тому разрешено использовать. Для исходящих пакетов этот список работает как таблица маршрутизации, а для входящих — как список контроля доступа. Именно эта простота во многом делает протокол быстрым и лёгким в настройке, но она же служит источником единственной серьёзной проблемы приватности для коммерческих VPN, о чём речь пойдёт ниже.

Что такое OpenVPN?

OpenVPN — это программа VPN с открытым исходным кодом, на которой почти два десятилетия работало большинство потребительских VPN. Она впервые вышла в 2001 году, её написал Джеймс Йонан, и она использует протокол TLS (то же семейство шифрования, что защищает сайты по HTTPS) через библиотеку OpenSSL.

Согласно краткому описанию проекта в Википедии⁴, OpenVPN — это свободное программное обеспечение под лицензией GPLv2 (доступны и коммерческие лицензии), работающее в пользовательском пространстве, а не внутри ядра операционной системы, и способное передавать трафик как по UDP, так и по TCP; порт 1194 закреплён за ним в IANA. В собственном руководстве проекта⁵ OpenVPN описан как реализация защищённого сетевого расширения «на основе отраслевого стандарта SSL/TLS», где клиенты подключаются «через один порт TCP или UDP».

Его сильные стороны — зрелость и гибкость. Он поддерживает множество шифров и методов аутентификации, годами изучался исследователями и может работать по TCP на любом выбранном вами порту, что важно, когда сеть пропускает наружу только веб-трафик. Слабые стороны — оборотная сторона тех же качеств: гораздо более объёмный код по сравнению с WireGuard, больше параметров конфигурации, в которых легко ошибиться, и издержки работы в пользовательском пространстве.

WireGuard быстрее OpenVPN?

Да: в опубликованном тесте автора WireGuard оказался примерно в четыре раза быстрее OpenVPN на том же оборудовании и с меньшей задержкой. Относитесь к этим цифрам как к лабораторному результату разработчика протокола, а не как к прогнозу того, как поведёт себя ваш VPN.

В тесте из технической статьи¹ запускался iperf3 между двумя ноутбуками (Intel Core i7-3820QM и Core i7-5200U) по гигабитному Ethernet, результаты усреднялись за тридцать минут. WireGuard передал 1011 мегабит в секунду; две конфигурации IPsec показали 881 и 825; OpenVPN с AES-256 и HMAC-SHA2-256 по UDP — 258. Время отклика шло в том же порядке: 0,403 миллисекунды у WireGuard против 1,541 у OpenVPN. В статье отмечено, что процессор был загружен на 100% во время тестов OpenVPN и IPsec, но не WireGuard; авторы объяснили это тем, что WireGuard полностью загружает гигабитный канал.

Авторы объясняют разницу устройством протоколов: OpenVPN работает как приложение в пользовательском пространстве, поэтому пакеты по нескольку раз копируются между ядром и программой, что добавляет задержку и нагрузку на процессор. WireGuard работает внутри ядра Linux.

В реальном VPN-сервисе скорость зависит не столько от протокола, сколько от расстояния до сервера, его загруженности, вашего подключения и устройства. Мы не проводили тесты скорости и не публикуем оценок скорости. Тест показывает лишь то, что у WireGuard больше запаса по производительности: это заметнее всего на быстрых домашних подключениях и на телефонах, где важна меньшая нагрузка на процессор.

WireGuard так же безопасен, как OpenVPN?

Оба протокола считаются безопасными при правильной настройке. Доводы в пользу WireGuard: современная фиксированная криптография и кодовая база, которую можно целиком проверить. Доводы в пользу OpenVPN: многолетнее использование и множество хорошо изученных настраиваемых параметров.

Разница в основном в том, сколько всего может пойти не так. OpenVPN позволяет провайдеру выбирать шифры, версии TLS, схемы аутентификации и десятки других настроек, поэтому безопасность зависит от удачного выбора провайдера. WireGuard убирает этот выбор. Слабого устаревшего шифра, к которому можно откатиться, нет, потому что согласования шифров нет вовсе.

Если хотите независимое мнение по этому принципу: Агентство национальной безопасности США и CISA в своём руководстве по выбору и защите VPN⁷ для организаций (2021) советовали покупателям выбирать продукты на основе стандартов, а не проприетарные. Это руководство рассчитано на корпоративные VPN для удалённого доступа, а не на потребительские сервисы, но основная мысль применима и здесь: понятному, широко проверенному протоколу доверять проще, чем закрытому. И WireGuard, и OpenVPN полностью открыты.

Есть ли у WireGuard проблема с приватностью?

В обычном WireGuard сервер должен хранить постоянную таблицу, связывающую ключ каждого пользователя с IP-адресом в туннеле, а VPN без логов такие данные хранить не хочет. Коммерческие провайдеры, использующие WireGuard, добавляют собственный слой, чтобы не хранить эту связь.

NordVPN прямо описывает проблему на своей странице NordLynx⁸: исходная архитектура WireGuard «требовала, чтобы серверы хранили статическую таблицу IP-адресов, связывающую пользователей с их внутренними IP-адресами». Решение, NordLynx, это «система двойного NAT». Один интерфейс присваивает всем пользователям сервера один и тот же локальный IP-адрес, второй назначает уникальный адрес для каждой туннельной сессии, причём это назначение «действует только пока сессия активна», а аутентификация выполняется через отдельную базу данных. По словам NordVPN, это значит, что на VPN-сервере не хранится данных, позволяющих identифицировать пользователя; это описание самой компании, которое должны подтверждать её отчёты о проверке политики no-logs (см. наш обзор NordVPN).

У других провайдеров есть свои варианты того же решения. Если вы сами запускаете WireGuard на домашнем сервере, всё это не имеет значения: вы единственный пользователь и сами управляете таблицей.

А что насчёт IKEv2?

IKEv2 — это часть IPsec, отвечающая за обмен ключами. IPsec — более старый набор протоколов на основе стандартов, встроенный в большинство операционных систем, поэтому некоторые приложения всё ещё предлагают его, в основном на iPhone и Mac.

Актуальная спецификация — RFC 7296⁶, опубликованная в октябре 2014 года; в ней IKEv2 описан как компонент IPsec, который выполняет взаимную аутентификацию и создаёт ассоциации безопасности, защищающие трафик. В приведённом выше тесте WireGuard две конфигурации IPsec оказались между WireGuard и OpenVPN. IKEv2 — разумный запасной вариант на устройствах Apple, но он использует фиксированные порты, которые сети легко блокируют, и большинство провайдеров теперь по умолчанию предлагают WireGuard.

Что такое NordLynx, Lightway, Stealth и другие фирменные протоколы?

Большинство из них — это либо WireGuard с дополнительным уровнем приватности, либо собственный протокол провайдера, созданный для скорости или для обхода блокировок VPN. Вот что на самом деле используют основные провайдеры, по их собственной документации.

Источники для таблицы: NordVPN Help Center⁹, ExpressVPN¹¹, Proton VPN¹³, Surfshark Help Center¹⁶ и Surfshark’s Dausos announcement¹⁷, Mullvad¹⁴ и its obfuscation post¹⁵, а также IVPN¹⁸.

• NordLynx — это WireGuard плюс уровень двойного NAT от NordVPN, описанный выше. На той же странице⁸ NordVPN сообщает, что в 2025 году добавила в NordLynx постквантовое шифрование.
• Lightway — собственный протокол ExpressVPN, построенный на криптографической библиотеке wolfSSL. ExpressVPN переписала его на Rust; в её публикации за февраль 2025 года¹⁰ сказано, что новый код проверяли Praetorian (сентябрь 2024) и Cure53 (октябрь 2024): Praetorian выявила две проблемы низкого риска, Cure53 — пять замечаний, ни одно не оценено как критическое, а после исправлений в декабре 2024 года проведена повторная проверка. Поскольку ExpressVPN не предлагает WireGuard, ради скорости там используют Lightway.
• Stealth — протокол Proton VPN для сетей с цензурой. В октябрьском объявлении 2022 года¹² Proton описывает его как «обфусцированное TLS-туннелирование поверх TCP», рассчитанное на обход «большинства межсетевых экранов и методов блокировки VPN».
• NordWhisper — аналог от NordVPN для сетей, блокирующих VPN; он указан на её справочной странице о протоколах⁹.
• Dausos — собственный протокол Surfshark, запущенный в апреле 2026 года¹⁷; пока он доступен только в приложении из macOS App Store.

Почему Mullvad отказался от OpenVPN?

Mullvad решил использовать один современный протокол. О плане было объявлено в ноябре 2024 года, в конце 2025 года OpenVPN убрали из приложений, а 15 января 2026 года назначили отключение последних серверов OpenVPN, после чего остался только WireGuard.

В декабрьской публикации 2025 года¹⁴ объясняется удаление протокола из приложения. Чтобы пользователи в сетях с блокировками могли подключаться без OpenVPN, компания полагается на обфускацию поверх WireGuard, включая Shadowsocks, UDP-over-TCP, QUIC и режим, представленный в ноябре 2025 года под названием Lightweight WireGuard Obfuscation¹⁵. Если вы используете OpenVPN на роутере или старом устройстве, Mullvad вам больше не подходит; альтернативы, которые его еще поддерживают, смотрите в нашем сравнении Mullvad и Proton VPN.

WireGuard и OpenVPN: коротко

Какой протокол VPN выбрать?

Оставьте в приложении автоматический режим или протокол по умолчанию на основе WireGuard. Меняйте его, только чтобы решить конкретную проблему.

• Повседневное использование, стриминг, игры, смартфоны: WireGuard или версия протокола от вашего провайдера (NordLynx в NordVPN, Lightway в ExpressVPN). Соединение быстрее, а батарея разряжается меньше.
• VPN не подключается через Wi-Fi в отеле, школе или офисе: попробуйте OpenVPN по TCP или режим обфускации провайдера (Proton Stealth, NordWhisper, UDP-over-TCP или Shadowsocks у Mullvad). Такой трафик больше похож на обычный веб-трафик.
• Поездка в страну, где VPN ограничены: режим обфускации создан именно для этого, но сначала проверьте законы страны, в которую едете: в некоторых странах VPN ограничены, и ничто здесь не является юридической консультацией.
• Роутер или старое устройство: OpenVPN — самый широко поддерживаемый вариант для роутеров и старых прошивок. Убедитесь, что ваш провайдер его еще предлагает.
• Соединение обрывается при переходе между Wi-Fi и мобильным интернетом: оставайтесь на WireGuard: согласно whitepaper¹, он позволяет узлам «свободно перемещаться между разными внешними IP-адресами»; IKEv2 — более старая альтернатива на устройствах Apple.

Выбор протокола — самая простая часть. Гораздо важнее решение, чья компания управляет серверами. Для этого прочитайте как проверить заявление VPN о политике «без логов», а затем сравните провайдеров в наших очных сравнениях, начиная с NordVPN и ExpressVPN (NordLynx против Lightway) и Proton VPN и NordVPN.