Сравнение протоколов VPN

Как читать четыре шкалы

Скорость — это пропускная способность на гигабитном канале при спокойной сети. Разброс здесь большой: от 350–500 Мбит/с у OpenVPN до 780–900 у WireGuard. Оценка учитывает и нагрузку на процессор: протокол, упирающийся в одно ядро, на слабом устройстве покажет меньше заявленного.

Незаметность — насколько трудно отличить поток от обычного интернет-трафика без расшифровки. Здесь разрыв ещё сильнее: WireGuard узнаётся правилом в одну строку по первому байту и длинам пакетов рукопожатия, а связка VLESS с Reality проводит подлинное рукопожатие TLS со сторонним сайтом.

Стабильность — способность держать соединение при потерях, смене сети и долгой работе. Простота настройки — сколько параметров нужно ввести правильно и насколько понятна ошибка, если ввели неверно. По этой шкале ядра проигрывают всем: у Xray рабочая конфигурация занимает 150 строк JSON.

Скорость против незаметности: почему нельзя взять оба

Быстрый протокол экономит на всём: минимум служебных полей, никакой лишней криптографии, предсказуемая структура пакета. Ровно эта предсказуемость делает его узнаваемым — экономия и есть сигнатура.

Незаметный протокол работает в обратную сторону. Он проводит полноценное рукопожатие TLS, выравнивает длины пакетов, иногда добавляет паузы. Каждое из этих действий стоит объёма и тактов процессора. Разница между WireGuard и связкой VLESS с Reality на нашем оборудовании составляет около 8% пропускной способности.

Восемь процентов — честная плата за то, что соединение выглядит как обычный визит на сайт. На гигабитном канале это разница между 860 и 790 Мбит/с, которую в реальном использовании не видно. Поэтому по умолчанию мы предлагаем связку VLESS с Reality, а WireGuard оставляем тем, кому важен каждый мегабит.

Что означает IKEv2 в таблице

IKEv2/IPsec включён как точка отсчёта, а не как рекомендация. Это протокол, встроенный в Windows, macOS, iOS и Android: подключение настраивается штатными средствами системы, без установки чего-либо. Отсюда высшая оценка простоты — 88 из 100.

Скорость у него приличная, 78 из 100: реализация работает в ядре системы и умеет пользоваться аппаратным ускорением шифрования. Мобильные устройства он поддерживает хорошо, переход между сетями переживает штатно благодаря механизму MOBIKE.

Провал у него по незаметности — 30 из 100, худший результат в таблице. Протокол работает на фиксированных портах 500 и 4500, его рукопожатие описано в стандартах двадцатилетней давности и распознаётся тривиально. Как способ подключиться к рабочей сети он хорош, как основной вариант в сложной сети — нет.

Ядра и протоколы: не путайте строки таблицы

Xray-core в таблице стоит особняком: это не протокол, а программа, реализующая набор чужих протоколов. Его оценки описывают качество реализации и удобство работы с ней, а не свойства транспорта. Строго говоря, «подключение по Xray» означает «подключение по VLESS средствами Xray».

Sing-box в таблицу не вошёл по той же причине — он ещё универсальнее и говорит почти на всех перечисленных протоколах сразу. Сравнивать его с WireGuard по скорости бессмысленно: sing-box умеет и сам WireGuard тоже.

Практическое правило: выбирайте протокол по задаче, а ядро — по тому, что поддерживает ваше устройство. В большинстве клиентов ядро уже встроено и выбирается за вас, а пользователю остаётся выбор локации и транспорта.