TCP и UDP: в чём разница и почему это важно для VPN

Любое соединение в интернете идёт либо по TCP, либо по UDP. Разница между ними объясняет половину странностей, которые вы наблюдаете при работе VPN.

TCP: доставка с подтверждением

TCP ведёт себя как заказное письмо с уведомлением. Прежде чем передавать данные, стороны устанавливают соединение — обмениваются тремя пакетами, договариваясь о начальных номерах. Дальше каждый отправленный кусок должен быть подтверждён.

Что это даёт:

• Гарантия доставки. Пакет потерялся — отправитель заметит отсутствие подтверждения и пошлёт заново
• Порядок. Данные придут именно в той последовательности, в какой их отправили
• Контроль перегрузки. При потерях TCP сам снижает скорость, чтобы не добивать канал

Цена — задержки. На установку соединения уходит целый круг туда-обратно, а каждая потеря тормозит весь поток: следующие пакеты ждут, пока доедет потерянный. Это называется head-of-line blocking.

UDP: отправил и забыл

UDP — это открытка. Никакого установления соединения, никаких подтверждений, никакого контроля порядка. Отправили пакет — дальше как получится.

Звучит ненадёжно, но для многих задач это именно то, что нужно:

• Голос и видеозвонки. Лучше потерять один кадр, чем ждать его повтора и получить рассинхрон
• Онлайн-игры. Устаревшая координата игрока бесполезна, нужна свежая
• DNS. Запрос и ответ помещаются в один пакет, устанавливать соединение дороже

Как это касается VPN

WireGuard работает поверх UDP — отсюда его скорость и мгновенное переподключение при смене сети. Но у этого есть обратная сторона: UDP-трафик проще ограничить целиком, и многие корпоративные сети режут его по умолчанию. Плюс системы фильтрации охотнее блокируют UDP, потому что его доля в обычном пользовательском трафике невелика.

VLESS с WebSocket идёт поверх TCP — медленнее на бумаге, зато проходит везде, где работает обычный веб.

Проблема TCP внутри TCP

Отдельный эффект, о котором стоит знать. Если VPN работает поверх TCP, а вы внутри туннеля открываете сайт (тоже TCP), получается два механизма контроля перегрузки один над другим. При потерях они начинают мешать друг другу: внешний замедляется, внутренний тоже, и скорость падает сильнее, чем должна.

На хорошем канале это незаметно. На плохом мобильном интернете — очень даже.

Практический вывод

Если канал стабильный и UDP не режут — берите WireGuard, он будет быстрее. Если интернет капризный или сеть фильтрует — VLESS поверх TCP окажется надёжнее, пусть и с чуть большей задержкой.

Поэтому мы и отдаём в подписке оба варианта: переключиться можно за секунды, не перенастраивая ничего.

Читайте также