WireGuard VPN: сильные стороны и слабые места

Процедура 1Суть в двух предложениях

WireGuard - современный протокол ВПН с жёстко заданным набором алгоритмов и передачей данных только по UDP. Его сила в простоте и предсказуемости, слабость - в том, что у него нет выбора, и всё, что вас не устраивает, приходится решать на уровне сервиса.

Perigei использует не его, а VLESS. Ниже мы объясняем, чем они различаются, а не пытаемся выставить свой выбор единственно правильным.

Процедура 2Из чего он построен

• Шифрование данных: ChaCha20 с аутентификацией Poly1305.
• Обмен ключами: Curve25519.
• Хеширование: BLAKE2s.
• Транспорт: UDP, согласно описанию протокола, все пакеты идут по нему.
• Конфигурация: пара ключей у каждого участника и список адресов, которым разрешено идти через туннель.

Процедура 3Где он силён

Жёсткий набор алгоритмов означает, что нельзя случайно выбрать слабый шифр или забыть включить проверку подлинности. Выбор уже сделан за вас. Для сервиса и для клиента это меньше настроек и меньше поводов для ошибки.

Ещё одно достоинство - работа поверх UDP. Данные идут без дополнительного слоя подтверждений, и при смене сети клиент переподключается; как быстро, проверьте на себе: переключитесь с Wi-Fi на мобильную сеть и посмотрите, сколько секунд клиент приходит в себя.

Процедура 4Где он ограничен

Первое: только UDP. В сети, которая UDP не пропускает, WireGuard не поднимется, а менять транспорт в нём нельзя. У OpenVPN и у VLESS в этом смысле больше свободы.

Второе: ключи и адреса нужно заводить на каждого участника заранее. В конфигурации у каждого клиента есть постоянный адрес внутри туннеля, и сервис, который хочет говорить о приватности, должен объяснить, как с этими данными поступает. Спросите об этом в описании: это нормальный вопрос и ответ на него существует.

Третье: нет единой строки-ключа, которую можно вставить в любой клиент. Вы получаете файл настроек или QR-код.

Процедура 5Когда он просто хороший выбор

Если вы настраиваете соединение между домашним компьютером и своим сервером, у вас одно-два устройства и вы готовы разобраться с файлами настроек, WireGuard подойдёт отлично. Он удобен, когда сервер ваш и вы сами знаете, что на нём хранится.

Хуже он подходит, когда доступ нужно выдавать нескольким людям быстро и без технической подготовки: каждому нужен свой ключ и свой файл, и кто-то должен вести этот учёт.

Процедура 6Как проверить сервис на WireGuard

1. 1

   Найдите в описании, какие именно шифры и версия протокола используются. Расплывчатое «современное шифрование» не ответ.

2. 2

   Спросите или найдите, хранятся ли у сервиса постоянные адреса клиентов и как долго.

3. 3

   Проверьте, умеет ли клиент переподключаться при смене сети и после сна.

4. 4

   Проверьте на пробном периоде: дом, мобильная сеть, чужой Wi-Fi.

5. 5

   Убедитесь, что на вашем устройстве есть клиент, а на роутере поддержка прошивки.

Процедура 7Что выбираем мы и почему

Perigei выдаёт ключ VLESS. Ключ - это строка vless://, бот может прислать и QR-код с той же строкой, а файла настроек нет. Строка подходит клиентам Happ, Hiddify, V2Box и v2rayNG. Нам было важно, чтобы сервису не нужна была собственная программа, а вам не нужно было хранить конфигурации.

Мы не утверждаем, что WireGuard хуже. Он хорош, если вы поднимаете соединение между своими устройствами или хотите простой и быстрый туннель на роутере. Для сервиса, который выдаёт доступ людям через бота, нам удобнее ключ.

Наш выбор не нейтрален: мы продаём ключ VLESS, поэтому сравнение читайте с этой поправкой. Разбор WireGuard составил ИИ: он читал открытое описание протокола и данные о нашем сервисе.