Какой протокол VPN выбрать: сравнение, скорость, безопасность и обход DPI

Что такое VPN-протокол и почему он важен

VPN-протокол — это набор правил, по которым ваше устройство и VPN-сервер устанавливают защищённое соединение. Он определяет, как стороны проверяют подлинность друг друга, какой алгоритм шифрования используется и как данные упаковываются в интернет-пакеты. Если представить VPN как туннель, то протокол — это материал и конструкция этого туннеля: от них зависит, насколько он прочен, быстр и заметен для посторонних.

Выбор протокола напрямую влияет на три ключевых параметра: скорость соединения, уровень безопасности и способность обходить сетевые ограничения. Некоторые протоколы оптимизированы для максимальной производительности, другие — для совместимости с устаревшими устройствами, третьи — для маскировки трафика под обычный HTTPS. Понимание этих различий помогает выбрать оптимальный вариант для конкретной задачи: стриминга, игр, работы или просто безопасного сёрфинга.

Важно различать протокол и шифрование. AES-256 — это алгоритм шифрования, то есть конкретный способ закрытия данных. OpenVPN или WireGuard — это полные процедуры, внутри которых могут использоваться разные шифры. Два сервиса могут одинаково заявлять поддержку AES-256, но давать совершенно разное соединение из-за различий в протоколе.

Основные задачи VPN-протокола: рукопожатие, шифрование, передача данных

Любой VPN-протокол выполняет три последовательные задачи. Первая — рукопожатие: до отправки первого байта трафика приложение и сервер проверяют друг друга и договариваются о временных ключах шифрования. Этот шаг гарантирует, что вы подключаетесь к настоящему серверу, а не к поддельному, встроенному в середину соединения.

Вторая задача — применение шифрования. Протокол указывает, какой шифр закрывает данные и как ключи обновляются в течение сессии. Третья — передача данных: зашифрованный трафик упаковывается в обычные интернет-пакеты, и протокол описывает эту упаковку, используемые порты и поведение при потере пакетов.

На практике при нажатии кнопки «Подключиться» происходит следующее: приложение обращается к VPN-серверу по определённому порту, стороны проходят аутентификацию и обмениваются ключами, открывается туннель, и весь трафик устройства шифруется и направляется через сервер. Разница между протоколами заключается в том, как именно выполняются эти шаги: какие порты используются, насколько сложное рукопожатие, какой объём служебных данных добавляется.

Классические протоколы: PPTP, L2TP/IPSec, SSTP — почему они устарели

PPTP — один из первых VPN-протоколов, разработанный Microsoft для Windows 95. Его главное преимущество — высокая скорость, но достигается она за счёт крайне слабого шифрования MPPE с ключом 128 бит, которое было взломано ещё в 2012 году. Исследователь безопасности Мокси Марлинспайк опубликовал сервис, позволяющий подобрать ключ MS-CHAPv2 в течение суток. Apple полностью убрала поддержку PPTP из macOS Sierra и iOS 10 в 2016 году, а Microsoft объявила его устаревшим. Использовать PPTP сегодня — значит оставлять свой трафик открытым для перехвата.

L2TP/IPSec — гибрид двух технологий: L2TP создаёт туннель, а IPSec шифрует его. Протокол появился в 1999 году и долго использовался в корпоративных сетях. Его недостатки — двойная инкапсуляция, которая снижает скорость, и зависимость от фиксированных UDP-портов 500 и 4500, которые легко блокируются DPI-системами. Microsoft также объявила L2TP устаревшим в Windows Server.

SSTP — разработка Microsoft, появившаяся в Windows Vista SP1 в 2008 году. Он работает поверх TCP на порту 443, что позволяет ему смешиваться с обычным HTTPS-трафиком и проходить через многие фаерволы. Однако протокол закрытый и проприетарный, его код никто независимо не проверял, а поддержка вне Windows ограничена. Кроме того, он наследует проблему TCP-over-TCP, которая может приводить к значительному падению скорости.

OpenVPN: проверенная классика с гибкостью и надёжностью

OpenVPN — это золотой стандарт VPN-протоколов, выпущенный в 2001 году. Он имеет открытый исходный код, прошёл больше независимых аудитов, чем любой другой протокол, и поддерживает широкий спектр алгоритмов шифрования, включая AES-256-GCM. Его главное преимущество — гибкость: OpenVPN может работать поверх UDP для скорости или поверх TCP на порту 443, что делает его трафик неотличимым от обычного HTTPS и позволяет обходить многие фаерволы.

Однако у OpenVPN есть и существенные недостатки. Он работает в пространстве пользователя, а не в ядре операционной системы, что создаёт дополнительные накладные расходы. В независимых тестах падение скорости относительно незащищённого соединения составляло 20–30%, а WireGuard оказывался быстрее на 10–20%. Кроме того, кодовая база OpenVPN вместе с OpenSSL превышает 100 000 строк, что увеличивает поверхность для потенциальных уязвимостей.

Несмотря на это, OpenVPN остаётся отличным выбором для торрентов и обфускации. Многие сервисы используют его для скрытия факта использования VPN в странах с жёсткой цензурой. Если вам нужна максимальная совместимость и проверенная временем безопасность, OpenVPN — надёжный вариант, особенно если скорость не является критическим фактором.

WireGuard: современный стандарт скорости и простоты

WireGuard — это один из самых новых VPN-протоколов, выпущенный в 2015 году Джейсоном Доненфелдом и включённый в ядро Linux в 2020 году. Его главная особенность — невероятно компактный код: всего около 4 000 строк против 100 000 у OpenVPN и 400 000 у типичного стека IPsec. Меньше кода означает меньше мест для уязвимостей и более быстрый аудит. WireGuard использует современную криптографию: шифрование ChaCha20, обмен ключами Curve25519 и аутентификацию Poly1305.

Протокол обеспечивает очень высокую скорость — от 100 до 500 Мбит/с — и минимальную задержку, что делает его идеальным для стриминга, игр и повседневного использования. Он также отлично справляется со сменой сети: соединение переживает переход между Wi-Fi и мобильным интернетом без обрыва.

Однако у WireGuard есть нюанс с приватностью. Чистый протокол выдаёт каждому пользователю статический внутренний IP-адрес и хранит его в памяти сервера, что противоречит политике отсутствия логов. Многие VPN-сервисы решают эту проблему, добавляя дополнительный слой, который динамически переназначает адреса. Например, NordVPN использует собственную модификацию NordLynx с системой двойного NAT, а AmneziaWG добавляет «мусор» в заголовки пакетов для усложнения обнаружения. В России чистый WireGuard блокируется DPI-системами из-за предсказуемых UDP-пакетов фиксированного размера.

IKEv2/IPSec: лучший выбор для мобильных устройств

IKEv2/IPSec — протокол, разработанный Cisco и Microsoft и стандартизированный как RFC 7296. Он встроен в iOS, macOS и Windows, поэтому не требует установки дополнительного программного обеспечения. Его главное преимущество — исключительная стабильность при смене сети: сопутствующий стандарт MOBIKE позволяет туннелю «переехать» при переходе с Wi-Fi на мобильный интернет без разрыва соединения. Это делает IKEv2 идеальным для смартфонов, которые постоянно переключаются между сетями.

Протокол обеспечивает высокую скорость (80–200 Мбит/с) и сильное шифрование AES-256-GCM. Однако у него есть слабое место: он использует фиксированные UDP-порты 500 и 4500, которые DPI-системы проверяют в первую очередь. В сетях с агрессивной фильтрацией IKEv2 обычно отваливается первым. Кроме того, код протокола закрытый, что ограничивает возможности независимого аудита.

Для пользователей за пределами стран с жёсткой цензурой IKEv2 — отличный выбор для мобильных устройств. Если вы часто перемещаетесь и вам важно, чтобы VPN не отключался при переключении сетей, этот протокол будет лучшим вариантом. Но в России или Китае он, скорее всего, не заработает.

Протоколы с маскировкой: Shadowsocks, VLESS Reality, XHTTP и Trojan

В странах с активной DPI-фильтрацией, таких как Россия и Китай, обычные протоколы быстро блокируются. Для обхода цензуры были созданы протоколы с маскировкой, которые делают VPN-трафик неотличимым от обычного HTTPS или HTTP/2. Они не просто шифруют данные, а скрывают сам факт использования VPN.

Shadowsocks — прокси-протокол, разработанный в Китае для обхода Великого файрвола. Он маскирует трафик под обычный зашифрованный поток и поддерживает плагины для дополнительной обфускации. Однако это не полноценный VPN, а только прокси, и продвинутые DPI-системы могут его выявлять.

VLESS Reality — протокол из экосистемы Xray, который использует технологию маскировки Reality. Вместо того чтобы прятать VPN-трафик, он делает его визуально неотличимым от HTTPS-соединения с реальным легитимным сайтом, например microsoft.com. DPI видит обычный TLS-трафик с настоящим сертификатом, и отличить его от обычного веб-сёрфинга крайне сложно. Скорость достигает 200–800 Мбит/с, а настройка проста — достаточно импортировать QR-код или ссылку.

XHTTP — эволюция VLESS, использующая HTTP/2 для маскировки. Трафик инкапсулируется в HTTP/2-фреймы, что делает его неотличимым от трафика YouTube или Twitter. Протокол пока экспериментальный, но считается будущим стандартом. Trojan — ещё один протокол с маскировкой под HTTPS, но менее устойчив к DPI, чем VLESS Reality.

Сравнительная таблица протоколов: скорость, безопасность, устойчивость к DPI

Чтобы выбрать подходящий протокол, полезно сравнить их ключевые характеристики. Вот сводная таблица на основе данных из нескольких источников:

| Протокол | Скорость | Безопасность | Устойчивость к DPI | Открытый код | |----------|----------|--------------|---------------------|--------------| | PPTP | Высокая | Сломан | Нет | Нет | | L2TP/IPSec | Низкая | Средняя | Нет | Частично | | SSTP | Средняя | Средняя | Средняя | Нет | | OpenVPN | Высокая | Высокая | Средняя (с обфускацией) | Да | | WireGuard | Очень высокая | Высокая | Низкая | Да | | IKEv2/IPSec | Высокая | Высокая | Низкая | Нет | | Shadowsocks | Средняя | Средняя | Средняя | Да | | VLESS Reality | Очень высокая | Высокая | Высокая | Да | | XHTTP | Высокая | Высокая | Очень высокая | Да |

Важно понимать, что скорость зависит не только от протокола, но и от серверов VPN-провайдера, расстояния до них и текущей нагрузки. А устойчивость к DPI может меняться со временем, так как методы блокировок постоянно совершенствуются. Ни один протокол не даёт гарантий вечной работы в условиях жёсткой цензуры.

TCP или UDP: как выбрать транспортный протокол

Рядом с выбором VPN-протокола в приложениях часто есть настройка TCP или UDP. Это два транспортных протокола, которые определяют, как данные передаются по сети. UDP отправляет пакеты без проверки доставки, что обеспечивает более высокую скорость и меньшую задержку. Он идеален для стриминга, видеозвонков и игр, где потеря одного пакета не критична.

TCP, наоборот, подтверждает доставку каждого пакета и переотправляет потерянные. Это делает его более надёжным, но медленным. Однако TCP на порту 443 неотличим от обычного HTTPS-трафика, поэтому он лучше проходит через фаерволы, которые блокируют всё остальное.

Существует эффект TCP meltdown: когда TCP-соединение туннелируется внутри другого TCP-соединения, оба слоя начинают независимо восстанавливаться после одной и той же потери, что приводит к резкому падению скорости. Поэтому по умолчанию рекомендуется использовать UDP, а TCP включать только тогда, когда UDP не работает из-за сетевых ограничений.

Как выбрать протокол для разных сценариев: стриминг, игры, публичный Wi-Fi, обход блокировок

Выбор протокола зависит от ваших задач и условий сети. Для стриминга и игр лучшим выбором будет WireGuard или его модификации, так как они обеспечивают максимальную скорость и минимальную задержку. Если вы находитесь в стране без жёсткой цензуры, WireGuard — оптимальный вариант.

Для публичного Wi-Fi в кафе или аэропорту подойдёт любой современный протокол, так как основную угрозу представляют другие пользователи сети, а не оператор. Важнее, чтобы VPN был включён до того, как вы введёте пароль или данные банковской карты.

Для обхода блокировок в России или Китае необходимо использовать протоколы с маскировкой, такие как VLESS Reality или XHTTP. Они позволяют обходить DPI-системы, которые блокируют WireGuard и OpenVPN. Однако стоит помнить, что ни один протокол не даёт гарантий, и методы блокировок постоянно обновляются.

Для мобильных устройств с частой сменой сети IKEv2/IPSec — лучший выбор благодаря функции автоподключения. Для торрентов хорошо подходит OpenVPN, так как он сочетает хорошую скорость, конфиденциальность и безопасность. Если вы не уверены, какой протокол выбрать, оставьте настройки по умолчанию — VPN-сервисы обычно устанавливают оптимальный вариант для вашей платформы.

Вопросы и ответы