WireGuard 与 OpenVPN 有什么区别

当 VPN 应用让你选择协议时，最常出现的两个名字就是 WireGuard 和 OpenVPN。两者都会在你的设备与 VPN 服务器之间建立加密隧道，都受到信任并被广泛使用，但做法差别很大，会影响速度、耗电、兼容性以及配置的难易程度。

本文用通俗的语言比较二者，只泛泛介绍这些协议，不说明任何具体服务使用哪一种。如果你刚接触这个词，请先阅读什么是 VPN 协议。

协议是做什么的

VPN 协议是设备与 VPN 服务器建立隧道时遵循的一套规则：如何证明身份、如何协商加密密钥、如何封装传输中的数据。协议决定了加密的基本组件、重连的方式，以及设备需要多少处理能力。关于加密方面的通俗介绍，见什么是 VPN 加密。

WireGuard 简介

WireGuard 是较新的协议，介绍见 wireguard.com 及其发表的白皮书。它的设计目标是简单和攻击面小。

• 代码量小。 参考实现比大多数老牌 VPN 软件小得多。代码越少，越容易阅读、审查和审计。
• 固定的现代密码学。 WireGuard 使用数量有限的当代算法，而不是让你从长长的菜单里挑选。这避免了选到薄弱组合的风险，但也意味着，如果将来某个算法需要更换，协议本身就得更新。
• 仅使用 UDP。 它运行在 UDP 之上，不用 TCP。
• 重连快。 握手很短，在 Wi-Fi 与移动数据等网络间切换时也很顺畅，适合手机。
• 以公钥作为身份。 通信双方由密钥对标识，有点像 SSH 密钥。这很高效，但动态分配地址、用户管理等功能不在协议内，由 VPN 服务商自己的工具来处理。

OpenVPN 简介

OpenVPN 已使用多年，社区庞大，资料见 OpenVPN 社区资源。

• 成熟且灵活。 可配置项很多，认证、加密算法和路由都有丰富的选项。
• 基于 TLS。 它用 TLS 来建立密钥，这与保护 HTTPS 网站的是同一类技术。TLS 1.3 的定义见 RFC 8446。
• UDP 或 TCP。 两种都可以运行。UDP 通常更快，而 443 端口上的 TCP 看起来更像普通网页流量。
• 代码量大。 功能多意味着代码多，也需要更多配置才能做对。
• 支持广泛。 大多数操作系统、路由器和许多其他设备都有客户端。

并排比较

	WireGuard	OpenVPN
诞生时间	较新	历史悠久
代码规模	小	大
加密算法选择	固定的现代组合	选项很多（基于 TLS）
传输方式	UDP	UDP 或 TCP
一般性能	通常快且轻	良好，通常略重
切换网络	顺畅	可用，恢复可能稍慢
配置	简单，但需手动管理密钥	灵活，需要理解的设置更多
对 UDP 的依赖	若 UDP 被过滤可能连不上	TCP 模式在部分情况下有帮助
设备与路由器支持	广泛且在增加	非常广泛

实际差异很大程度上取决于具体实现，以及你与服务器之间的网络状况。

速度、耗电与稳定性

WireGuard 的紧凑设计意味着每个数据包的处理量更小，这通常对手机和电池续航有利。许多人会发现它建立连接更快，在 Wi-Fi 与移动数据之间切换时问题更少。OpenVPN 在良好的连接上也能同样快，但对设置和设备性能更敏感，重连也可能更慢。

举个例子：你在火车上，手机在基站之间切换，偶尔会有几秒钟失去信号。握手快、重连容忍度高的协议在这种场景下通常感觉更顺畅。而在书桌前使用稳定的家庭光纤，你可能完全感觉不到差别。

使用 VPN 时的速度还取决于服务器距离、负载和你自己的网络，详见为什么使用 VPN 后网速会变化。换协议并不能解决服务器拥堵的问题。

安全性：证据到底说明了什么

只要配置得当并保持更新，两种协议都被认为是可靠的。关键在于：

• 使用最新版本的软件。 修复通过更新到来。
• 使用强度足够的设置。 OpenVPN 给你的自由更大，糟糕的配置可能削弱它；WireGuard 固定的选择限制了这一点。
• 认真审查。 WireGuard 体量小，审查更容易；OpenVPN 受益于多年来的广泛检验。
• 协议之外的一切。 密钥处理、服务器安全和运营方的政策对风险的影响不亚于隧道格式。没有哪种协议能保护你免受疏忽或不可信的运营方之害，也不能防范发生在隧道之外的威胁。

对“协议 X 牢不可破”这类简单说法要保持警惕。安全来自设计、实现和运营的共同作用。

如何选择

1. 用应用提供的选项。 大多数人只在应用内的几个选项中选择。查看 My Pass 页面或应用，了解有哪些可用，因为并非每种协议在每个地方都提供。
2. 从默认选项或较新的选项开始。 如果有 WireGuard，日常使用可先试它。
3. 出问题就切换。 如果在某个网络（如办公室或学校网络）上连不上，可以试试另一种协议或传输方式。
4. 测试并比较。 每种选项在一天中的同一时间做相同的速度测试，保留稳定的那个，而不是只看某一次最快的结果。参见如何检查 VPN 是否正常工作。
5. 保持更新。 应用更新比协议选择更重要。

局限与注意事项

• 协议只是因素之一。 服务器质量、位置和你自己的设备，比大多数人想象的更重要。
• 基准测试结果会有差异。 公开的对比往往基于理想条件，只能当作参考，而不是承诺。
• 不要只追名字。 运营良好、使用任一协议的服务，胜过运营糟糕、使用另一种协议的服务。
• 有些网络会过滤 VPN 流量。 如果某个协议被阻断，换一种可能有帮助，但不能保证任何协议在所有网络上都能用。
• 术语可能混乱。 有些应用用品牌名称称呼协议或模式，请弄清应用指的是什么，不要想当然。

小结

WireGuard 小巧、现代、重连快；OpenVPN 成熟、灵活、支持广泛，并多了 TCP 这一选项。两者都受到尊重，你的体验取决于配置、服务器和网络，至少与名字同样重要。使用应用提供的选项，在自己的连接上测试，并保持软件更新。

如果想在决定之前了解预付 VPN 套餐如何运作，运作方式页面介绍了流程，帮助中心提供设备设置指南。