WireGuard กับ IKEv2 เลือกอะไรดี

เมื่อแอป VPN มีทั้ง WireGuard และ IKEv2 ให้เลือก การตัดสินใจมักลงเอยที่เรื่องเดียวที่คนใช้มือถือสนใจ คือการเชื่อมต่อรอดไหมในโลกจริงของ Wi-Fi ข้อมูลมือถือ รถไฟ ลิฟต์ และหน้าจอที่ดับ ทั้งสองโพรโทคอลถูกออกแบบโดยคำนึงถึงโลกนี้ และเดินทางคนละเส้นทางอย่างเห็นได้ชัดเพื่อไปสู่เป้าหมายเดียวกัน

บทความนี้เป็นคู่มือตัดสินใจ ไม่ใช่การเจาะลึกทางเทคนิค หากอยากรู้กลไกภายใน พื้นฐานของทุกโพรโทคอลอยู่ใน โพรโทคอล VPN คืออะไร และบทความเปรียบเทียบรุ่นก่อน WireGuard กับ OpenVPN แสดงให้เห็นว่าแนวคิดเดียวกันเล่นออกมาอย่างไรเมื่อเจอคู่แข่งอีกตัว ที่นี่เราเปรียบเทียบสองตัวในประเด็นที่เปลี่ยนประสบการณ์ของคุณ ให้แบบประเมินสั้น ๆ และเสนอแผนทดลองหนึ่งสัปดาห์ เนื้อหาอธิบายโพรโทคอลในภาพรวม ไม่ได้บอกว่าบริการใดมีให้เลือกอะไรบ้าง

เทียบหน้าต่อหน้าอย่างรวดเร็ว

คำถาม	WireGuard	IKEv2/IPsec
ปรัชญาการออกแบบ	เล็ก คงที่ มีจุดยืนชัด	กว้าง เป็นมาตรฐาน ตัวเลือกมาก
เมื่อเครือข่ายเปลี่ยน	อัปเดตที่อยู่ของอีกฝั่งเมื่อมีแพ็กเก็ตที่ถูกต้องมาจากที่อยู่ใหม่	ใช้ส่วนขยายที่ประกาศการเปลี่ยนที่อยู่อย่างชัดเจน
พอร์ตที่ใช้	พอร์ต UDP หนึ่งพอร์ตที่ผู้ให้บริการเลือก	UDP 500 กับ 4500 บางครั้งมี ESP เป็นโพรโทคอลแยก
อัลกอริทึม	ชุดสมัยใหม่ชุดเดียวที่คงที่	เจรจาจากรายการ ตั้งค่าได้
ฝังในระบบปฏิบัติการหรือไม่	บางแพลตฟอร์ม	หลายแพลตฟอร์มหลัก
ที่ที่พบบ่อย	แอปสำหรับผู้ใช้ทั่วไป การติดตั้งเอง	เครือข่ายบริษัท ไคลเอนต์ในระบบ
จุดที่ตั้งค่าพลาดได้	น้อย เพราะมีอะไรให้ตั้งน้อย	บ่อยกว่า มีการตั้งค่าและวิธียืนยันตัวตนมาก
ระบุอุปกรณ์อย่างไร	กุญแจสาธารณะต่อเครื่อง	ใบรับรอง หรือข้อมูลล็อกอินในการแลกเปลี่ยนที่ปกป้อง หรือความลับร่วม
พฤติกรรมตอนว่าง	เงียบจนกว่าจะมีข้อมูล	ส่ง keepalive เป็นระยะเพื่อรักษาการแมปบนอุปกรณ์ NAT

อ่านตารางเป็นแนวโน้ม แอปหนึ่ง ๆ อาจทำโพรโทคอลใดโพรโทคอลหนึ่งได้ดีหรือแย่ และเครือข่ายรอบตัวสำคัญอย่างน้อยพอ ๆ กับชื่อที่เขียนในการตั้งค่า

การสลับเครือข่าย สองคำตอบต่อปัญหาเดียวกัน

โทรศัพท์เปลี่ยนที่อยู่ตลอดเวลา เดินออกจากร้านกาแฟ Wi-Fi ก็เปลี่ยนเป็นข้อมูลมือถือ ทุกครั้งที่เปลี่ยน ที่อยู่เดิมใช้ไม่ได้อีก อุโมงค์ต้องหาที่อยู่ใหม่ให้เจอ ไม่เช่นนั้นก็ตาย

IKEv2 จัดการด้วยกลไกที่ชัดเจน ไคลเอนต์ส่งข้อความที่ลงนามผ่านช่องที่ปกป้องอยู่แล้ว บอกว่าที่อยู่ของตนเปลี่ยน และเซิร์ฟเวอร์ปรับข้อมูลของตน เพราะเป็นขั้นตอนที่กำหนดไว้ในโพรโทคอล พฤติกรรมจึงคาดเดาได้ ซึ่งองค์กรชอบ ราคาที่ต้องจ่ายคือกระบวนการใช้เวลาครู่หนึ่งและขึ้นกับทั้งสองฝั่งที่ต้องรองรับส่วนขยายนี้

WireGuard จัดการแบบโดยนัย เซิร์ฟเวอร์จำที่อยู่ล่าสุดที่รับแพ็กเก็ตที่ยืนยันตัวตนถูกต้องจากอุปกรณ์แต่ละเครื่อง เมื่อโทรศัพท์ของคุณปรากฏจากที่อยู่ใหม่และส่งแพ็กเก็ตที่ยืนยันถูกต้อง เซิร์ฟเวอร์ก็เริ่มตอบกลับไปที่นั่นเลย ไม่มีประกาศพิเศษที่อาจหายไป ดีไซน์เรียบง่ายและเร็ว แต่ต้องอาศัยให้โทรศัพท์ส่งอะไรออกไปก่อน จึงมีการตั้งค่า keepalive สำหรับอุปกรณ์ที่อยู่หลังอุปกรณ์ NAT บางแบบ

ในทางปฏิบัติทั้งสองทำได้ดี และการใช้งานที่ดีของตัวใดตัวหนึ่งมักทำให้การเปลี่ยนแทบมองไม่เห็น ความต่างโผล่ที่ขอบ เช่นพฤติกรรมหลังหลับนาน ในลิฟต์ที่ไม่มีสัญญาณยี่สิบวินาที หรือเมื่อสองเครือข่ายซ้อนกัน ถ้าคุณเจอการสะดุดบ่อยกับตัวหนึ่ง การลองอีกตัวเป็นเรื่องสมเหตุสมผล และคู่มือ เชื่อมต่อใหม่เมื่อ VPN หลุด บอกขั้นตอนอื่นที่ควรทำก่อน

ไฟร์วอลล์ เครือข่ายมองเห็นอะไร

ปัญหา VPN จำนวนมากไม่เกี่ยวกับโพรโทคอลเลย แต่เกี่ยวกับสิ่งที่เครือข่ายหนึ่ง ๆ ปล่อยให้ผ่าน

• IKEv2 ประกาศตัวด้วยพอร์ตตายตัวที่รู้จักกันดี และในบางเส้นทางมีโพรโทคอล ESP ด้วย เครือข่ายใดที่ต้องการจำกัดทราฟฟิก VPN มองเห็นสิ่งเหล่านี้ได้ง่าย เราเตอร์ตามบ้านบางตัวก็จัดการ ESP ได้ไม่ดี ทำให้การเชื่อมต่อล้มเหลวโดยไม่มีเหตุผลชัดเจน
• WireGuard ทำงานบน UDP ที่พอร์ตซึ่งผู้ให้บริการเลือก ไม่มีหมายเลขโพรโทคอลแยกให้จัดการผิด และเพราะพอร์ตเป็นค่าที่ตั้งได้ ไม่ใช่มาตรฐาน จึงไม่เป็นแบบเดียวกันทุกที่ ทำให้ใส่เข้ากับเครือข่ายหนึ่งได้ง่ายกว่า แต่ไม่ได้ทำให้มองไม่เห็น เครือข่ายเข้มงวดบล็อก UDP ทั้งหมดได้และก็ทำจริง

การอ่านที่สมเหตุสมผลคือ ไม่มีโพรโทคอลใดถูกสร้างมาเพื่อเอาชนะเครือข่ายที่ตั้งใจบล็อกทราฟฟิก VPN และบทความนี้ไม่ได้สอนวิธีเลี่ยงข้อจำกัดเช่นนั้น หากโรงแรม โรงเรียน หรือออฟฟิศไม่อนุญาตทราฟฟิก VPN ทางตรงไปตรงมาคือถามผู้ดูแลหรือใช้การเชื่อมต่ออื่น เช่นข้อมูลมือถือ แต่เมื่อเครือข่ายแค่จัดการโพรโทคอลหนึ่งไม่ดี เช่นเราเตอร์ตามบ้านที่รับมือ ESP แย่ การสลับไปอีกโพรโทคอลก็เป็นทางแก้ที่เหมาะสม

อัลกอริทึมและนโยบาย

ตรงนี้คือจุดที่ปรัชญาแตกต่างกันมากที่สุด

WireGuard เลือกชุดอัลกอริทึมสมัยใหม่หนึ่งชุดและไม่เปิดให้เจรจา ตัดความผิดพลาดทั้งหมวด เพราะไม่มีอัลกอริทึมเก่าให้ถอยไปใช้ และทำให้โค้ดเล็ก ข้อแลกเปลี่ยนคือความแข็งทื่อ ถ้าวันหนึ่งพบจุดอ่อนในอัลกอริทึมใด คำตอบของ WireGuard คือโพรโทคอลเวอร์ชันใหม่ และทุกคนต้องอัปเกรดไปพร้อมกัน

IKEv2/IPsec เจรจาจากรายการ ผู้ดูแลระบบอนุญาตเฉพาะอัลกอริทึมที่นโยบายของตนยอมรับ และเลิกใช้ตัวเก่าเมื่อจำเป็น ความยืดหยุ่นนี้มีค่ากับองค์กรที่ต้องทำตามกฎการปฏิบัติตามข้อกำหนดซึ่งระบุอัลกอริทึมที่ได้รับอนุมัติ ชุดคงที่ของ WireGuard โดยทั่วไปไม่อยู่ในรายการที่ได้รับอนุมัติเหล่านั้น ซึ่งอาจมีความหมายต่อบริษัท แม้จะไม่ได้พูดถึงตัวการเข้ารหัสในแง่ลบเลย คู่มือ IPsec VPN ของ NIST แสดงข้อเสนอแนะประเภทที่องค์กรอาจปฏิบัติตาม

สำหรับบุคคลทั่วไป เรื่องเหล่านี้มักไม่ตัดสินอะไร คุณไม่ได้เขียนนโยบายการปฏิบัติตามข้อกำหนด สิ่งที่คุณรับมาคือผลลัพธ์ จะเป็นโพรโทคอลที่ตั้งผิดยาก หรือแบบยืดหยุ่นที่ดีเท่ากับการตั้งค่า สำหรับบริษัทหรือโรงเรียน คำถามมักเป็นว่าโพรโทคอลนั้นอยู่ในรายการที่อนุมัติหรือไม่ และคำตอบมาจากฝ่ายไอที ไม่ใช่บทความเปรียบเทียบ ความต่างของสองโลกนี้อธิบายไว้ใน VPN ธุรกิจกับ VPN ส่วนตัว

ฝังในระบบ หรือเป็นแอป

ที่ที่โพรโทคอลอยู่ส่งผลต่อวิธีที่คุณใช้

• IKEv2 ฝังอยู่ในระบบปฏิบัติการหลักหลายระบบ มักเพิ่มการเชื่อมต่อในการตั้งค่าระบบได้โดยไม่ต้องติดตั้งอะไร และระบบปฏิบัติการจัดการการเชื่อมต่อใหม่กับพลังงาน ข้อเสียคือฟีเจอร์ที่ผู้ใช้คาดหวังจากแอปที่ขัดเกลา เช่น kill switch ที่มองเห็นได้หรือการสลับเซิร์ฟเวอร์ง่าย ๆ อาจไม่มีหรือจำกัด
• WireGuard รองรับในตัวบนบางแพลตฟอร์ม และโดยทั่วไปมาในรูปแอปที่อื่น แอปให้หน้าตาที่สะอาดได้ แต่คุณพึ่งพาคุณภาพและการอัปเดตของแอป

สำหรับผู้ใช้ทั่วไปส่วนใหญ่ สถานการณ์จริงเหมือนกันไม่ว่าแบบไหน คือบริการให้แอป คุณเข้าสู่ระบบ แล้วกดเชื่อมต่อ แอปเป็นผู้ตัดสินว่าจะมีโพรโทคอลอะไรให้เลือก ถ้ามีการตั้งค่าโพรโทคอล ค่าเริ่มต้นเป็นที่ที่เหมาะจะอยู่ และการเปลี่ยนควรเป็นการทดลองที่ตั้งใจ ไม่ใช่นิสัย

แบบประเมินห้าข้อ

ตอบอย่างซื่อสัตย์ แล้วนับว่าคำตอบเอนไปทางฝั่งไหน นี่เป็นเครื่องช่วยคิด ไม่ใช่สูตร และสมมติว่าแอปของคุณมีให้เลือกทั้งสอง

1. คุณสลับเครือข่ายหลายครั้งต่อวันไหม ถ้าใช่ ทั้งสองดี ให้เอนไปทางตัวที่การทดสอบของคุณเองแสดงว่าเชื่อมต่อใหม่ได้ราบรื่นกว่า
2. แบตเตอรี่เป็นเรื่องกังวลไหม พฤติกรรมเงียบตอนว่างของ WireGuard มักช่วยบนโทรศัพท์ แต่ให้วัดบนเครื่องของคุณเองก่อนสรุป
3. คุณใช้เครือข่ายที่เข้มงวดกับทราฟฟิก VPN ไหม ถ้าโพรโทคอลหนึ่งเชื่อมต่อที่ไหนไม่ได้ ใช้อีกตัวที่นั่น อย่าพยายามอ้อมการห้ามที่ประกาศชัด
4. โรงเรียน นายจ้าง หรือสถาบันกำหนดอัลกอริทึมหรือซอฟต์แวร์ไหม ถ้าใช่ ทำตามกฎของเขา ซึ่งมักชี้ไปที่ IKEv2/IPsec เพราะความเป็นมาตรฐานและอัลกอริทึมที่ตั้งค่าได้
5. คุณอยากได้การตั้งค่าที่ผิดพลาดได้น้อยที่สุดไหม ถ้าใช่ เอนไปทาง WireGuard ถ้าไม่ ใช้ค่าเริ่มต้นของแอป

ตัวอย่างสี่กรณี

นักศึกษามหาวิทยาลัยที่ใช้ Wi-Fi หอพักร่วมกับแพ็กเกจมือถือ เธอย้ายระหว่างเครือข่ายหอพัก Wi-Fi ในมหาวิทยาลัย และข้อมูลมือถือ ความสำคัญอันดับแรกคือการเชื่อมต่อที่นิ่งบนโทรศัพท์และโน้ตบุ๊กที่ผ่านการหลับได้ เธอใช้ค่าเริ่มต้นของแอป และสลับโพรโทคอลก็ต่อเมื่อเห็นการหลุดซ้ำ ๆ ในอาคารหนึ่ง

คนทำงานทางไกลที่เข้าเครือข่ายแขกของลูกค้า เครือข่ายแขกปฏิเสธโพรโทคอลที่แอปของเขาใช้เป็นค่าเริ่มต้น การเชื่อมต่อไม่เคยสำเร็จ เขาสลับไปโพรโทคอลอีกตัวบนเครือข่ายนั้น เชื่อมต่อได้ และสลับกลับเมื่ออยู่บ้าน การตัดสินใจถูกขับเคลื่อนด้วยสิ่งที่เครือข่ายอนุญาตเท่านั้น

เจ้าของออฟฟิศเล็กที่มีพนักงานไม่กี่คน บริษัทประกันขอให้เธอใช้การทำอุโมงค์ที่ตั้งค่าได้และอิงมาตรฐานสำหรับพนักงานที่ทำงานระยะไกล คำถามไม่ใช่ความเร็วอีกต่อไป แต่เป็นนโยบาย และ IKEv2/IPsec ที่ใช้ใบรับรองหรือข้อมูลล็อกอินที่แข็งแรงตอบโจทย์นี้ เป็นเรื่องของไอที เธอจึงถามผู้ให้บริการไอทีของเธอ แทนที่จะพึ่งบทความทั่วไป

ครอบครัวที่ใช้เราเตอร์บ้านร่วมกัน เราเตอร์จัดการ ESP ได้แย่ โปรไฟล์ IKEv2 บนโทรศัพท์เครื่องหนึ่งจึงค้างบน Wi-Fi บ้านแต่ใช้ได้บนข้อมูลมือถือ การสลับโทรศัพท์เครื่องนั้นไปอีกโพรโทคอลแก้ปัญหาได้ ไม่มีใครต้องเข้าใจการเข้ารหัส สาเหตุคือเราเตอร์ที่ซุ่มซ่าม

แผนทดลองหนึ่งสัปดาห์

เพราะความเสถียรขึ้นกับเครือข่ายของคุณเอง การใช้งานปกติหนึ่งสัปดาห์บอกคุณได้มากกว่ากราฟใด ๆ นี่ต่างจากการทดสอบความเร็วแบบห้องแล็บ แทนที่จะวัดค่าสูงสุด คุณสังเกตความฝืดในชีวิตประจำวัน

1. วันที่ 1 ถึง 3 ใช้ค่าเริ่มต้น ปล่อยแอปไว้ที่โพรโทคอลเริ่มต้น ทุกครั้งที่รู้สึกว่าผิดปกติ เช่นหน้าเว็บค้าง สายหลุด หรือเครื่องร้อน จดบันทึกหนึ่งบรรทัดพร้อมเวลาและสถานที่
2. วันที่ 4 เปลี่ยนหนึ่งอย่าง สลับไปโพรโทคอลอีกตัว อย่าเปลี่ยนอย่างอื่น เช่นที่ตั้งเซิร์ฟเวอร์หรือเวอร์ชันแอป
3. วันที่ 4 ถึง 7 จดบันทึกต่อ ทำกิจวัตรเดิมซ้ำ การเดินทาง ที่ทำงาน บ้าน และร้านกาแฟที่แวะ
4. เทียบบันทึก นับเหตุการณ์ต่อวันของแต่ละโพรโทคอล ใส่ใจสถานที่ที่เกิด เพราะรูปแบบที่ผูกกับเครือข่ายหนึ่งคือปัญหาเครือข่าย ไม่ใช่ปัญหาโพรโทคอล
5. ตรวจแบตเตอรี่ในการตั้งค่า เทียบสัดส่วนการใช้แบตเตอรี่ของแอป VPN บนหน้าแบตเตอรี่ของโทรศัพท์ในวันที่ใกล้เคียงกัน บทความ VPN กินแบตเตอรี่ไหม อธิบายวิธีอ่าน
6. ตัดสินใจ ถ้าโพรโทคอลหนึ่งมีเหตุการณ์น้อยกว่าชัดเจน ใช้ตัวนั้น ถ้าต่างกันเล็กน้อย กลับไปที่ค่าเริ่มต้น เพราะมันถูกเลือกไว้เนื่องจากใช้ได้กว้าง

ข้อจำกัดและสิ่งที่ควรระวัง

• โพรโทคอลชดเชยสัญญาณอ่อน ช่อง Wi-Fi แออัด หรือเซิร์ฟเวอร์ไกลไม่ได้ ถ้าทุกโพรโทคอลรู้สึกแย่ที่จุดหนึ่ง สาเหตุคือเครือข่าย
• ไม่มีโพรโทคอลใดตัดสินว่าผู้ให้บริการเก็บหรือเห็นอะไรเกี่ยวกับทราฟฟิกของคุณ นั่นเป็นเรื่องความเชื่อใจ ดู ผู้ให้บริการ VPN เห็นอะไรของคุณบ้าง
• คุณภาพการใช้งานต่างกันได้ แอปที่ทำดีกับโพรโทคอลที่คุณคิดว่าแย่กว่าอาจชนะแอปหยาบ ๆ ที่ใช้ตัวที่คุณคิดว่าดีกว่า
• ความเร็วในการเชื่อมต่อใหม่ไม่เท่ากับปริมาณงาน โพรโทคอลที่กลับมาเร็วอาจไม่ได้ส่งไฟล์ใหญ่เร็วกว่า
• อย่าอ่านบทความนี้เป็นคำกล่าวว่าบริการใดรองรับอะไร หรือเป็นคำสัญญาว่าโพรโทคอลจะใช้ได้ในทุกเครือข่ายหรือทุกประเทศ
• นี่เป็นความรู้ทั่วไปและไม่ใช่คำแนะนำทางกฎหมาย

สรุป

WireGuard กับ IKEv2 ต่างรับมือโทรศัพท์ที่เปลี่ยนเครือข่ายได้ดี ด้วยวิธีต่างกัน WireGuard อัปเดตที่อยู่ของอีกฝั่งโดยนัย ส่วน IKEv2 ประกาศด้วยส่วนขยายที่ชัดเจน ทั้งสองต่างกันมากกว่าในเรื่องพฤติกรรมต่อไฟร์วอลล์ นโยบายอัลกอริทึม และที่ที่มันอยู่ WireGuard กะทัดรัดและคงที่ ส่วน IKEv2/IPsec กว้าง ตั้งค่าได้ และฝังอยู่ในระบบปฏิบัติการหลายระบบ สำหรับคนส่วนใหญ่ คำตอบที่ถูกคือใช้ค่าเริ่มต้นของแอป และสลับเฉพาะเมื่อบันทึกของคุณเองแสดงรูปแบบปัญหา หรือเมื่อเครือข่ายหรือสถาบันตัดสินใจแทนคุณ

หากอยากลองพาสเติมเงินสั้น ๆ บนโทรศัพท์และเครือข่ายของคุณเองก่อนตัดสินอะไร หน้าราคา อธิบายว่าตัวเลือกทำงานอย่างไร