WireGuard กับ OpenVPN ต่างกันอย่างไร

ลองค้นคำว่า "WireGuard vs OpenVPN" แล้วคุณจะเจอกราฟที่ใส่ตัวเลขอย่างมั่นใจ ซึ่งส่วนใหญ่วัดบนคอมพิวเตอร์ เครือข่าย และเซิร์ฟเวอร์ของคนอื่น ตัวเลขเหล่านั้นบอกน้อยมากว่าคุณจะได้ประสบการณ์แบบไหน สิ่งที่มีประโยชน์กว่าคือเข้าใจว่าทำไมสองโพรโทคอลจึงต่างกัน และวิธีทดสอบด้วยตัวเอง

บทความนี้เป็นคู่หูของ ภาพรวม WireGuard กับ OpenVPN ซึ่งวางสองตัวเทียบกันรอบด้าน ส่วนบทความนี้เน้นสองคำถามในชื่อเรื่องโดยเฉพาะ คือความเร็วกับความปลอดภัย ดูว่าอะไรทำให้ความเร็วต่างกันจริง คำว่า "ปลอดภัยกว่า" ของโพรโทคอลหมายถึงอะไรได้และหมายถึงอะไรไม่ได้ และวิธีเทียบอย่างแฟร์ เนื้อหาอธิบายโพรโทคอลในภาพรวม ไม่ได้พูดถึงว่าบริการใดมีโพรโทคอลอะไรให้เลือก

ตัดสินก่อนว่า "ความเร็ว" และ "ความปลอดภัย" ของคุณหมายถึงอะไร

คนใช้สองคำนี้อย่างหลวม ๆ ทำให้การเปรียบเทียบไร้ความหมาย ก่อนเทียบอะไร ให้แยกแต่ละคำเป็นส่วน ๆ

ความเร็วมีอย่างน้อยห้าส่วน

1. ปริมาณงาน (throughput) คืออัตราดาวน์โหลดและอัปโหลดของการโอนไฟล์ขนาดใหญ่
2. ความหน่วง (latency) คือดีเลย์ของแต่ละรอบไปกลับ สำคัญกับการโทร เกม และรีโมตเดสก์ท็อป บทความของ Cloudflare เรื่อง latency อธิบายแนวคิดนี้
3. เวลาเริ่มต้น คือเวลาตั้งแต่กดเชื่อมต่อจนถึงเริ่มส่งทราฟฟิกได้
4. เวลากู้คืน คืออุโมงค์กลับมาเร็วแค่ไหนหลังสลับจาก Wi-Fi เป็นข้อมูลมือถือ หรือหลังตื่นจากโหมดหลับ
5. ต้นทุนแบตเตอรี่และซีพียู ซึ่งตัดสินว่าโพรโทคอลนั้นใช้สบายบนมือถือหรือโน้ตบุ๊กรุ่นเก่าหรือไม่

ความปลอดภัยมีอย่างน้อยห้าส่วน

1. ความแข็งแรงทางการเข้ารหัส คืออัลกอริทึมพื้นฐานถูกศึกษามาดีและมั่นคงหรือไม่
2. พื้นที่ถูกโจมตี (attack surface) คือโค้ดมีมากแค่ไหนและมีตัวเลือกมากแค่ไหนที่ผู้โจมตีเล็งได้
3. ความเสี่ยงจากการตั้งค่าผิด คือง่ายแค่ไหนที่จะลงเอยด้วยการตั้งค่าอ่อน
4. ประวัติการใช้งาน คือดีไซน์และโค้ดถูกตรวจสอบต่อสาธารณะมานานเท่าไร
5. การจัดการความเป็นส่วนตัว คือระบบรอบข้างเก็บอะไรเกี่ยวกับว่าใครเชื่อมต่อ ซึ่งขึ้นกับผู้ให้บริการพอ ๆ กับโพรโทคอล

ไม่มีโพรโทคอลใดชนะทุกข้อ คำถามที่มีประโยชน์คือข้อไหนสำคัญกับคุณ

ความต่างของความเร็วมาจากไหนจริง ๆ

เมื่อ WireGuard เร็วกว่า มีเหตุผลเป็นรูปธรรม การรู้เหตุผลบอกคุณได้ว่าเมื่อไรความต่างจะหดเหลือศูนย์

• ตำแหน่งในระบบ WireGuard ออกแบบให้อยู่ในโค้ดเครือข่ายของระบบปฏิบัติการบนแพลตฟอร์มที่รองรับ ส่วน OpenVPN ทำงานเป็นโปรแกรมธรรมดา แต่ละแพ็กเก็ตจึงต้องข้ามระหว่างเคอร์เนลกับโปรแกรมไปมา การข้ามนี้เสียเวลา โดยเฉพาะบนสายเร็วหรือซีพียูธรรมดา
• การจับมือสั้นและตายตัว WireGuard เริ่มด้วยการแลกเปลี่ยนสั้น ๆ ไม่กี่ข้อความ ส่วน OpenVPN ทำการเจรจา TLS เต็มรูปแบบ ผลปรากฏในเวลาเริ่มต้นและเวลาเชื่อมต่อใหม่มากกว่าปริมาณงาน
• รายการอัลกอริทึมเล็กและคงที่ WireGuard ใช้ชุดอัลกอริทึมสมัยใหม่ชุดเดียวที่ผู้ออกแบบเลือกไว้ จึงไม่เสียเวลาเจรจา และไม่มีตัวสำรองที่ช้ากว่า OpenVPN ใช้ได้หลายแบบ และตัวที่ใช้จริงขึ้นกับการตั้งค่า
• พฤติกรรมตอนว่าง WireGuard เงียบจนกว่าจะมีข้อมูลต้องส่ง ช่วยประหยัดแบตเตอรี่และทำให้การย้ายระหว่างเครือข่ายเร็ว บทความ VPN กินแบตเตอรี่ไหม ครอบคลุมภาพรวม
• การใช้หลายแกน การทำงานจริงของแต่ละตัวแบ่งงานไปยังหลายแกนซีพียูได้ไม่เท่ากัน แกนเดียวที่ทำงานหนักเป็นขีดจำกัดที่พบบ่อยของอุโมงค์แบบ user space

ต่อไปคือเหตุผลที่ความต่างอาจหายไป

• สายอินเทอร์เน็ตของคุณเป็นคอขวด บนการเชื่อมต่อ 50 Mbps ไม่มีโพรโทคอลใดเป็นตัวจำกัด ความต่างไม่กี่เปอร์เซ็นต์จมหายไปในความผันผวนปกติ
• ภาระและระยะทางของเซิร์ฟเวอร์ครอบงำ เซิร์ฟเวอร์ที่คนใช้มากหรืออยู่ไกลเสียหายมากกว่าการเลือกโพรโทคอลใด ๆ ดู ทำไมความเร็วอินเทอร์เน็ตเปลี่ยนเมื่อใช้ VPN
• อุปกรณ์ไม่มีตัวเร่งสำหรับอัลกอริทึมหนึ่ง ชิปบางตัวเร่ง AES ได้ ขณะที่บางตัวจัดการ ChaCha20 ได้ดีกว่า ผลจึงขึ้นกับฮาร์ดแวร์ ไม่ใช่ยี่ห้อโพรโทคอล
• คุณภาพ Wi-Fi สัญญาณอ่อนหรือช่องแออัดทำให้แพ็กเก็ตหายและจิตเตอร์ ซึ่งกลบความต่างของโพรโทคอล

สรุปคือคาดว่าความต่างจะมากที่สุดบนสายเร็ว อุปกรณ์มือถือ และเวลาสลับเครือข่าย และน้อยที่สุดบนสายช้าและ Wi-Fi ที่คับคั่ง

"ปลอดภัยกว่า" หมายถึงอะไรได้และไม่ได้

คำกล่าวเรื่องความปลอดภัยของโพรโทคอลง่ายที่จะถูกทำให้ง่ายเกินจริง นี่คือความต่างที่แท้จริงในดีไซน์

Attack surface

ผู้สร้าง WireGuard อธิบายว่ามันเป็นโค้ดขนาดเล็ก เล็กพอให้คนคนเดียวอ่านและตรวจได้ และเอกสาร whitepaper อธิบายดีไซน์ไว้ โค้ดน้อยหมายถึงบั๊กซ่อนตัวได้น้อยลงและตรวจสอบถูกลง OpenVPN เป็นโครงการที่ใหญ่กว่า ส่วนหนึ่งเพราะรองรับตัวเลือกมากมายและพึ่งไลบรารี TLS แยกต่างหาก พื้นที่ที่ใหญ่กว่าไม่ได้เป็นข้อบกพร่องในตัวเอง แต่แปลว่ามีสิ่งที่ต้องคอยแพตช์มากกว่า

ทางเลือกให้ตั้งผิดน้อยกว่า

กับ OpenVPN การตั้งค่าหนึ่งอาจเลือกอัลกอริทึมเก่า ข้ามการตรวจใบรับรอง หรือเปิดฟีเจอร์ที่ทำให้อุโมงค์อ่อนลง WireGuard ตัดการตัดสินใจเหล่านั้นไปเกือบหมด มีชุดอัลกอริทึมชุดเดียวและไม่มีอะไรให้เจรจา จึงตั้งค่าแย่ได้ยากกว่า ด้านกลับคือความแข็งทื่อ ถ้าวันหนึ่งพบว่าอัลกอริทึมใดอ่อน คำตอบของ WireGuard คือออกโพรโทคอลเวอร์ชันใหม่ ไม่ใช่สลับการตั้งค่า ผู้ให้บริการและไคลเอนต์จึงต้องอัปเกรดไปพร้อมกัน

ประวัติการใช้งาน

OpenVPN ถูกใช้งานมานานมากและใช้กันหนัก ข้อบกพร่องถูกพบและแก้ต่อสาธารณะตลอดหลายปี และผู้ดูแลระบบรู้นิสัยของมันดี WireGuard ใหม่กว่าแต่ผ่านการตรวจสอบ และดีไซน์ด้านการเข้ารหัสถูกนักวิจัยวิเคราะห์แล้ว ทั้งสองข้อไม่ได้แปลว่า "ทำลายไม่ได้" แปลเพียงว่ามีสายตามากขึ้นที่เคยมอง

เรื่องตัวตนและการจัดการกุญแจ

OpenVPN มักยืนยันตัวตนด้วยใบรับรองและมักมีชื่อผู้ใช้กับรหัสผ่านด้วย WireGuard ระบุอุปกรณ์แต่ละเครื่องด้วยกุญแจสาธารณะ และเซิร์ฟเวอร์ต้องรู้กุญแจของไคลเอนต์แต่ละตัวล่วงหน้า โมเดลนี้เรียบง่ายและแข็งแรง แต่ก็หมายความว่าเซิร์ฟเวอร์เก็บรายการกุญแจและที่อยู่ภายในที่กำหนดให้แต่ละราย วิธีที่บริการจัดการรายการนี้ เช่นกำหนดที่อยู่แบบเปลี่ยนไปเรื่อย ๆ หรือคงที่ต่อผู้ใช้ เป็นการตัดสินใจของผู้ให้บริการที่กระทบความเป็นส่วนตัว เป็นคำถามสำหรับผู้ให้บริการ ไม่ใช่คุณสมบัติโดยธรรมชาติของโพรโทคอล

สิ่งที่ไม่มีโพรโทคอลใดตัดสิน

ทั้งสองโพรโทคอลเข้ารหัสทราฟฟิกระหว่างอุปกรณ์กับเซิร์ฟเวอร์ ไม่มีตัวไหนตัดสินว่าผู้ให้บริการบันทึกอะไร ใครเป็นเจ้าของเซิร์ฟเวอร์ จะเกิดอะไรเมื่อมีคำร้องทางกฎหมาย หรือ DNS รั่วออกนอกอุโมงค์หรือไม่ เรื่องเหล่านั้นขึ้นกับความเชื่อใจและการตั้งค่า ซึ่งอยู่ใน ผู้ให้บริการ VPN เห็นอะไรของคุณบ้าง โพรโทคอลแข็งแรงบนบริการที่สะเพร่าก็ยังเป็นบริการที่สะเพร่า

ทดสอบเองให้แฟร์ได้อย่างไร

คุณไม่จำเป็นต้องเชื่อกราฟของใคร การทดสอบนี้ใช้เวลาราวสามสิบนาที ต้องมีเว็บหรือแอปวัดความเร็ว และแอป VPN ที่ให้สลับระหว่างสองโพรโทคอลได้ ถ้าแอปของคุณมีให้เลือกเพียงแบบเดียว คุณเปรียบเทียบไม่ได้และไม่ควรเดา ให้ใช้ค่าเริ่มต้น ขั้นตอนนี้ไว้วัดบนการเชื่อมต่อของคุณเอง จึงให้ถือว่าตัวเลขที่ได้เป็นของการตั้งค่านั้นเท่านั้น

1. ตรึงเงื่อนไข ใช้อุปกรณ์เดียวกัน เครือข่ายเดียวกัน และที่ตั้งเซิร์ฟเวอร์เดียวกันทุกครั้ง ปิดการดาวน์โหลดหนักและ Streaming บนอุปกรณ์อื่น
2. วัดค่าฐานตอนปิด VPN รันการทดสอบความเร็วสามครั้งห่างกันหนึ่งนาที จดดาวน์โหลด อัปโหลด และความหน่วงทุกครั้ง
3. เปิด VPN ด้วยโพรโทคอลแรก รอจนรายงานว่าเชื่อมต่อแล้ว แล้วรันการทดสอบเดิมสามครั้ง
4. ทำซ้ำกับโพรโทคอลที่สอง ตัดการเชื่อมต่อให้สมบูรณ์ เปลี่ยนการตั้งค่า เชื่อมต่อใหม่ แล้วทดสอบอีกสามครั้ง
5. จับเวลาการเชื่อมต่อ ใช้นาฬิกาจับเวลาตั้งแต่กดเชื่อมต่อจนหน้าเว็บโหลดได้ สามครั้งต่อโพรโทคอล
6. ทดสอบเมื่อเปลี่ยนเครือข่าย ขณะ VPN เชื่อมต่ออยู่ ปิด Wi-Fi ให้โทรศัพท์ไปใช้ข้อมูลมือถือ นับวินาทีจนหน้าเว็บโหลดอีกครั้ง ทำสามครั้งต่อโพรโทคอล
7. ทำซ้ำในเวลาอื่นของวัน ภาระของเซิร์ฟเวอร์เปลี่ยนไปตลอดวัน รอบที่สองในตอนเย็นหรือเช้าจะบอกว่าผลรอบแรกเป็นแค่เหตุบังเอิญหรือไม่
8. จดการใช้แบตเตอรี่ถ้าทำได้ บนมือถือ จดเปอร์เซ็นต์แบตเตอรี่และเวลาเปิดหน้าจอก่อนและหลังการใช้งานปกติหนึ่งชั่วโมงกับแต่ละโพรโทคอล

ตัวอย่างพร้อมตัวเลขสมมติ

ตัวเลขด้านล่างสมมติขึ้นเพื่อแสดงวิธีอ่านผล ไม่ใช่ค่าวัดของบริการใด

การทดสอบ (เฉลี่ย 3 ครั้ง)	ปิด VPN	โพรโทคอล A	โพรโทคอล B
ดาวน์โหลด (Mbps)	92	78	71
อัปโหลด (Mbps)	41	35	33
ความหน่วง (ms)	14	32	36
เวลาเชื่อมต่อ (วินาที)	ไม่มี	2	6
กู้คืนหลัง Wi-Fi หลุด (วินาที)	ไม่มี	3	9

วิธีอ่าน ทั้งสองโพรโทคอลเสียความเร็วเมื่อเทียบกับไม่ใช้ VPN ซึ่งเป็นเรื่องปกติ เพราะทราฟฟิกเดินทางไกลขึ้นและถูกเข้ารหัส โพรโทคอล A นำ B ราว 9 เปอร์เซ็นต์ในการดาวน์โหลด จริงแต่เล็ก และอาจหดหรือกลับด้านเมื่อทดสอบซ้ำ ความต่างที่ใหญ่กว่ามากคือเวลาเริ่มต้นและเวลากู้คืน ซึ่งสำคัญที่สุดกับคนที่ย้ายระหว่าง Wi-Fi กับข้อมูลมือถือทั้งวัน สำหรับคนที่นั่งโต๊ะเดียวและเปิด VPN ครั้งเดียว ความต่างแทบไม่มีความหมาย

อ่านผลการทดสอบอย่างสมเหตุสมผล

• ข้ามความต่างเล็ก ๆ การวัดความเร็วผันผวนตามธรรมชาติหลายเปอร์เซ็นต์ระหว่างรอบ ให้ถือว่าต่างกันไม่ถึงราว 10 เปอร์เซ็นต์คือเสมอ เว้นแต่ซ้ำสม่ำเสมอ
• มองรูปแบบข้ามการทดสอบ โพรโทคอลที่เชื่อมต่อใหม่เร็วกว่าเสมอคือข้อค้นพบจริง ส่วนตัวที่ชนะการดาวน์โหลดครั้งเดียวคือสัญญาณรบกวน
• เทียบกับค่าฐาน ไม่ใช่แค่เทียบกันเอง ถ้าค่าตอนปิด VPN ก็ต่ำอยู่แล้ว ปัญหาอยู่ที่การเชื่อมต่อพื้นฐาน คู่มือ ทำไม VPN ช้า ไล่สาเหตุที่พบบ่อยให้
• สังเกตความเสถียร โพรโทคอลที่ช้ากว่าเล็กน้อยแต่ไม่เคยหลุด อาจรู้สึกดีกว่าตัวที่เร็วกว่าแต่สะดุด
• ทดสอบสิ่งที่คุณทำจริง ถ้าคุณมักวิดีโอคอล ความหน่วงและจิตเตอร์สำคัญกว่ายอดดาวน์โหลด ถ้าคุณโหลดไฟล์ใหญ่ ปริมาณงานสำคัญที่สุด
• ทดสอบใหม่หลังอัปเดต แอปและเซิร์ฟเวอร์เปลี่ยนไป ผลของปีที่แล้วอาจไม่ถูกต้องแล้ว
• ตรวจการรั่วไหลและ kill switch ด้วย อุโมงค์ที่เร็วแต่รั่วไม่ใช่อุโมงค์ที่ดี วิธีทดสอบ VPN ครอบคลุมการทดสอบการรั่ว ความเร็ว และ kill switch ไว้ด้วยกัน

แบบไหนเหมาะกับสถานการณ์ไหน

นี่คือแนวโน้ม ไม่ใช่กฎ และสมมติว่าแอปของคุณมีให้เลือกทั้งสอง

สถานการณ์	โน้มไปทาง	เหตุผล
มือถือที่สลับระหว่าง Wi-Fi กับข้อมูลมือถือบ่อย	WireGuard	เริ่มและกู้คืนเร็ว ประหยัดแบตเตอรี่
ไฟเบอร์ที่บ้านเร็วและโน้ตบุ๊กแรงพอ	WireGuard	ส่วนเกินที่ต่ำกว่าสำคัญที่สุดบนสายเร็ว
Wi-Fi ที่ใช้ร่วมกันและช้า	ตัวไหนก็ได้	เครือข่ายเป็นขีดจำกัด ไม่ใช่โพรโทคอล
เครือข่ายที่โพรโทคอลหนึ่งเชื่อมต่อไม่ได้	อีกตัวหนึ่ง	ความเข้ากันได้ชนะความชอบ
ต้องการตัวเลือกการตั้งค่าเฉพาะทางมาก	OpenVPN	ปุ่มปรับมากกว่าและเครื่องมือที่ใช้กันมานาน
อุปกรณ์หรือเราเตอร์เก่าที่ไม่รองรับ WireGuard	OpenVPN	สิ่งที่มีให้ใช้เป็นตัวตัดสิน
อยากได้การตั้งค่าที่ผิดพลาดได้น้อยที่สุด	WireGuard	อัลกอริทึมคงที่ มีอะไรให้ตั้งผิดน้อย

เมื่อแอปมีค่าเริ่มต้นที่สมเหตุสมผล ให้ใช้ค่านั้น ค่าเริ่มต้นมักถูกเลือกเพราะใช้ได้กับอุปกรณ์และเครือข่ายหลากหลายที่สุด

ข้อจำกัดและสิ่งที่ควรระวัง

• การเลือกโพรโทคอลเป็นเพียงปัจจัยหนึ่งของความเร็ว ภาระเซิร์ฟเวอร์ ระยะทาง อุปกรณ์ และเครือข่ายมักสำคัญกว่า
• โพรโทคอลทำให้บริการที่ไม่น่าไว้ใจกลายเป็นบริการที่ไว้ใจได้ไม่ได้ ดู ผู้ให้บริการ VPN เห็นอะไรของคุณบ้าง ว่าอะไรยังอยู่กับผู้ให้บริการ
• เบนช์มาร์กที่คุณไม่ได้รันเอง หรือไม่อธิบายวิธีวัด คือการตลาด ถามเสมอว่าใครทดสอบ บนฮาร์ดแวร์อะไร และกี่ครั้ง
• การป้องกันในยุคควอนตัมเป็นอีกหัวข้อที่เกี่ยวกับการแลกเปลี่ยนกุญแจ ไม่ใช่การเลือกระหว่างสองชื่อนี้ ดู การเข้ารหัส VPN หลังยุคควอนตัม
• บางเครือข่ายบล็อกหรือหน่วงทราฟฟิกบางชนิด หากโพรโทคอลหนึ่งเชื่อมต่อบนเครือข่ายนั้นไม่ได้ ให้ถามเจ้าของเครือข่ายหรือสลับไปใช้การเชื่อมต่ออื่น
• นี่เป็นความรู้ทั่วไป ไม่ใช่คำกล่าวเกี่ยวกับการรองรับโพรโทคอล ความเร็ว หรือความปลอดภัยของบริการใด

สรุป

WireGuard มักเร็วกว่าในการเริ่มต้น การเชื่อมต่อใหม่ และบนสายเร็ว เพราะมันเล็ก ทำงานใกล้ระบบปฏิบัติการ และใช้ชุดอัลกอริทึมสมัยใหม่คงที่ ส่วน OpenVPN มีประวัติยาวนานกว่าและยืดหยุ่นกว่า แลกกับโค้ดที่มากกว่าและการตั้งค่าที่ตั้งผิดได้มากกว่า ไม่มีตัวไหนตัดสินว่าผู้ให้บริการบันทึกอะไร การเลือกโพรโทคอลจึงเป็นปัจจัยหนึ่งในหลายปัจจัย วิธีที่เชื่อถือได้ที่สุดในการตัดสินเรื่องความเร็วสำหรับกรณีของคุณคือการทดสอบที่ทำซ้ำได้ ใช้เงื่อนไขเดียวกัน ทดสอบหลายรอบ ดูค่าเฉลี่ย และใส่ใจเวลาเริ่มต้นกับเวลากู้คืนไม่น้อยกว่าความเร็วดาวน์โหลดดิบ

หากอยากได้พาสที่ทดสอบบนเครือข่ายของตัวเองได้ก่อนพึ่งพา หน้าราคา แสดงให้เห็นว่าตัวเลือกทำงานอย่างไร