WireGuard: честный разбор плюсов и минусов

WireGuard часто называют лучшим VPN-протоколом современности. Во многом справедливо — но у него есть область, где он проигрывает начисто.

Чем он хорош

Размер кода

В OpenVPN примерно 70 тысяч строк, в WireGuard — около четырёх тысяч. Это не придирка к стилю: меньше кода означает меньше мест, где может прятаться уязвимость, и возможность прочитать весь протокол целиком за вечер. Аудит такого проекта реален, аудит OpenVPN — задача на месяцы.

Скорость

Протокол работает в ядре операционной системы, а не в пользовательском пространстве. Данные не копируются туда-сюда между слоями. На практике это даёт заметно более высокую пропускную способность и меньшие задержки, особенно на слабом железе вроде роутеров.

Поведение при смене сети

Вот где WireGuard действительно блистает. Он не имеет понятия «сессия» в привычном смысле: каждый пакет самодостаточен и содержит всё нужное для расшифровки. Вы переходите из Wi-Fi в мобильную сеть — соединение просто продолжается. Переподключаться не надо, скачивание не обрывается.

Экономия батареи

Нет постоянного обмена служебными сообщениями. Когда трафика нет, протокол молчит. Для телефона это заметная разница.

Чем он плох

Его легко опознать

Главный недостаток в условиях фильтрации. Первый пакет handshake имеет фиксированную длину 148 байт и характерную структуру. Правило для блокировки пишется элементарно, и системы фильтрации давно его применяют.

Обойти это внутри самого протокола нельзя — нужна внешняя обёртка, которая сводит на нет часть преимуществ в скорости.

Статические адреса

Каждому клиенту назначается постоянный внутренний IP, и сервер хранит соответствие «ключ — адрес». Это удобно для домашней сети, но означает, что сервер по умолчанию знает, кто есть кто.

UDP и только UDP

Некоторые корпоративные и публичные сети режут UDP целиком. В таком окружении WireGuard не заработает, а протоколы поверх TCP — заработают.

Когда брать

• Своя инфраструктура, связь между офисами или домашняя сеть
• Нужна максимальная скорость и стабильность на мобильном интернете
• Сеть без агрессивной фильтрации
• Роутер со слабым процессором

Когда не брать

• Жёсткая фильтрация трафика — распознают и заблокируют
• Сеть, где режут UDP

Практичный подход — держать WireGuard как быстрый вариант для спокойных периодов и VLESS с Reality как устойчивый на случай блокировок. У нас в подписке есть и то, и другое: WireGuard-конфиг генерируется отдельно, а VLESS-конфигурации идут списком, и переключаться между ними можно в пару нажатий.

Читайте также