WireGuard 与 IKEv2：该选哪个协议

当 VPN 应用里同时列出 WireGuard 和 IKEv2 时，选择通常归结为手机用户最在意的一件事：在 Wi-Fi、移动数据、地铁、电梯和息屏的真实世界里，连接能不能撑住？两种协议都是针对这样的世界设计的，而且走了明显不同的路径去达到同一个目标。

本文是一份选择指南，而不是技术深潜。如果想了解内部机制，所有协议的基础知识都在 什么是 VPN 协议 里，更早的对比文章 WireGuard 与 OpenVPN 则展示了同样的思路面对另一位对手时的样子。这里我们就会改变体验的几点对两者进行比较，给出一份简短的评分表，并提供一个为期一周的试用计划。内容只讲协议的一般原理，不说明任何具体服务提供哪些协议。

一表看清正面对比

问题	WireGuard	IKEv2/IPsec
设计理念	小巧、固定、有明确主张	广泛、标准化、选项多
网络变化时	收到来自新地址的有效数据包时，更新对端地址	用显式扩展来通告地址变化
使用的端口	运营方选定的一个 UDP 端口	UDP 500 和 4500，有时还有独立协议的 ESP
算法	一套固定的现代组合	从清单中协商，可配置
是否常内置于系统	部分平台	多个主流平台
常见应用场景	面向普通用户的应用、自建环境	企业网络、系统自带客户端
配置容易出错的地方	很少，可调的东西少	较多，设置和认证方式多
如何识别设备	每台设备一个公钥	证书，或受保护交换中的凭据，或共享秘密
空闲时的行为	没数据就保持安静	定期发送保活消息，维持 NAT 设备上的映射

请把这张表当作倾向性描述。某个应用可能把其中任意一种协议实现得很好或很糟，周围的网络至少和设置里写的名字同样重要。

切换网络：同一个问题的两种答案

手机的地址在不断变化。走出咖啡馆，Wi-Fi 让位于移动数据。每次变化都会让旧地址失效，隧道必须找到新地址，否则就中断。

IKEv2 用显式机制处理。 客户端通过已有的受保护通道发送一条签名消息，说明自己的地址变了，服务器随之更新记录。因为这是协议里规定的步骤，行为可预测，而企业喜欢可预测的行为。代价是这个过程需要片刻，并且依赖双方都实现了这个扩展。

WireGuard 用隐式方式处理。 服务器记住从每台设备收到最后一个有效认证数据包的地址。当你的手机从新地址出现并发出认证正确的数据包，服务器就开始向那里回复。没有可能丢失的特别通告。设计简单而快速，但它依赖手机先发出点什么，所以对于位于某些 NAT 设备后面的设备，才有保活设置。

实际上两者都表现良好，任何一种的良好实现通常都能让这一变化几乎不被察觉。差异出现在边缘情形：长时间休眠之后、在电梯里二十秒没有信号，或者两个网络重叠时的表现。如果你用其中一个经常卡顿，试试另一个是合理的做法，而帮助文章 VPN 断开后如何重新连接 列出了应当先尝试的其他步骤。

防火墙：网络看到了什么

许多 VPN 问题与协议根本无关，而是关于某个网络放行了什么。

• IKEv2 以固定且众所周知的端口亮明身份，在某些路径上还有 ESP 协议。任何想限制 VPN 流量的网络都很容易发现它们。一些家用路由器处理 ESP 的能力也很差，导致连接无缘无故失败。
• WireGuard 在运营方选定端口的 UDP 上运行。没有可能被误处理的独立协议号，而且由于端口是设置项而不是标准，它不那么统一。这让它更容易适配某个网络，但并不会让它隐形。严格的网络完全可以、也确实会整体阻断 UDP 流量。

合理的理解是：两种协议都不是为了击败刻意阻断 VPN 流量的网络而设计的，本文也不涉及绕过此类限制的方法。如果酒店、学校或办公室不允许 VPN 流量，直接的办法是询问管理方，或改用移动数据等其他连接。而当网络只是对其中一种协议处理得笨拙时，比如家用路由器对 ESP 处理不佳，换到另一种协议是合适的解决办法。

算法与政策

这里是两种理念分歧最大的地方。

WireGuard 选定一套现代算法，不提供协商。这消除了一整类错误，因为没有可以退回的旧算法，也让代码保持精小。代价是僵硬：如果哪天某个算法被发现有弱点，WireGuard 的答案是发布新的协议版本，所有人都必须一起升级。

IKEv2/IPsec 从清单中协商。管理员可以只允许其政策接受的算法，并在需要时淘汰旧算法。这种灵活性对必须遵循合规规定、规定了认可算法的组织很有价值。WireGuard 的固定组合通常不在那些认可清单中，这可能对公司有意义，尽管这对密码学本身并没有任何负面评价。NIST 的 IPsec VPN 指南展示了组织可能遵循的那类建议。

对个人而言，这些通常决定不了什么。你并不是在编写合规政策，你继承的只是结果：要么是难以配置错的协议，要么是灵活但只能取决于配置质量的协议。对公司或学校来说，问题往往是该协议是否在认可清单上，这个答案来自 IT 部门，而不是某篇对比文章。这两个世界的差别在 企业 VPN 与个人 VPN 中有解释。

系统内置，还是应用

协议所处的位置会影响你如何使用它。

• IKEv2 内置于多个主流操作系统。通常可以在系统设置里添加连接，无需安装任何东西，重连和电量由操作系统管理。代价是用户期待精心打磨的应用具备的功能，比如显眼的断线保护或便捷的服务器切换，可能缺失或受限。
• WireGuard 在部分平台上有原生支持，其他地方一般通过应用提供。应用可以提供清爽的界面，但你要依赖应用本身的质量和更新。

对多数普通用户来说，实际情况无论哪种都一样：服务给你一个应用，你登录，然后点击连接。提供哪些协议由应用决定。如果它显示协议设置，默认值是合适的停留之处，任何更改都应当是有意识的实验，而不是习惯。

五个问题的评分表

请诚实作答，并数一数你的答案倾向于哪一边。这是辅助思考的工具，不是公式，并假定你的应用两种都提供。

1. 你一天内会多次切换网络吗？ 如果是，两者都不错；倾向于你自己的测试中重连更顺畅的那一个。
2. 电量是个问题吗？ WireGuard 空闲时安静的特点往往对手机有帮助，但下结论前先在自己的设备上测量。
3. 你用的网络对 VPN 流量很严格吗？ 如果某种协议在某处连不上，就在那里用另一种。不要试图绕过明确的禁令。
4. 学校、雇主或机构是否规定了算法或软件？ 如果是，遵守他们的规定。由于标准化和可配置的算法，这往往指向 IKEv2/IPsec。
5. 你希望可能出错的设置越少越好吗？ 如果是，倾向于 WireGuard；否则保持应用的默认值。

四个具体例子

用宿舍共享 Wi-Fi 和手机套餐的大学生。 她在宿舍网络、校园 Wi-Fi 和移动数据之间来回切换。她最看重手机上稳定的连接，以及休眠后仍能保持的笔记本。她保持应用默认值，只有在某栋楼里反复掉线时才切换协议。

接入客户访客网络的远程工作者。 访客网络拒绝了他的应用默认使用的协议，连接始终无法完成。他在那个网络上换成另一种协议，连上了，回家后再换回来。这个决定完全由网络允许什么来驱动。

有几名员工的小办公室老板。 保险公司要求她为远程员工使用可配置、基于标准的隧道方案。问题不再是速度，而是政策，使用证书或高强度凭据的 IKEv2/IPsec 符合这一需求。这属于 IT 范畴，她向自己的 IT 供应商咨询，而不是依赖一篇泛泛的文章。

共用一台家用路由器的一家人。 路由器处理 ESP 很差，因此一部手机上的 IKEv2 配置在家里的 Wi-Fi 上卡住，但在移动数据下正常。把这部手机换成另一种协议就解决了问题。没有人需要理解密码学，原因只是一台笨拙的路由器。

一周试用计划

因为稳定性取决于你自己的网络，一周的日常使用比任何图表都更能说明问题。这不同于实验室式的测速。你不是去测量峰值，而是留意日常生活中的摩擦。

1. 第 1 到 3 天：使用默认值。 让应用保持默认协议。每当感觉不对劲，比如网页卡住、通话中断或手机发热，写下一行笔记，注明时间和地点。
2. 第 4 天：只改一样。 切换到另一种协议。不要改动其他任何东西，比如服务器位置或应用版本。
3. 第 4 到 7 天：继续记笔记。 重复同样的日常路线：通勤、工作地点、家里，以及你去的任何咖啡馆。
4. 比较笔记。 数一数每种协议每天出现问题的次数。留意发生的地点，因为与某个网络绑定的规律是网络问题，而不是协议问题。
5. 在设置里查看电量。 在条件相近的日子里，对比手机自带电量页面中 VPN 应用的耗电占比。文章 VPN 会耗电吗 解释了怎么看。
6. 做出决定。 如果某种协议的问题明显更少，就用它；如果差别很小，就回到默认值，因为默认值是因其适用范围广而被选中的。

局限与注意事项

• 协议无法弥补信号弱、Wi-Fi 信道拥挤或服务器遥远。如果在某个地点所有协议感觉都差，原因在网络。
• 两种协议都不决定运营方保留或看到你流量的哪些信息。那是信任问题，请看 VPN 服务商能看到你的什么信息。
• 实现质量参差不齐。一个做得好的应用搭配你以为较差的协议，可能胜过粗糙的应用搭配你以为更好的协议。
• 重连速度不等于吞吐量。回来得快的协议，传大文件未必更快。
• 请不要把本文读作对任何服务支持什么的说明，也不要当作某种协议在每个网络或每个国家都能使用的承诺。
• 本文属于一般性科普，不构成法律建议。

小结

WireGuard 与 IKEv2 都能很好地应对手机切换网络，只是方式不同：WireGuard 隐式更新对端地址，IKEv2 则用显式扩展通告。它们更大的差别在于防火墙下的表现、算法政策和所处的位置。WireGuard 精小而固定，IKEv2/IPsec 广泛、可配置，并内置于多个操作系统。对多数人来说，正确的答案是保持应用默认值，只有当你自己的笔记显示出问题的规律，或者网络、机构替你做出决定时，才去切换。

如果你想在做出任何决定之前，先在自己的手机和网络上试一张短期预付费通行证，价格页面 说明了各选项的运作方式。