В личном кабинете две кнопки. WireGuard и OpenVPN. Я примерно знаю, что делает большинство: смотрит на них секунду, жмёт первую попавшуюся и идёт по делам: снаружи результат одинаковый.
Пока работает, разницы нет. Я и сам о ней не думаю. Она вылезает потом.
И вылезает, как обычно, в самый неподходящий момент: скорость ни с того ни с сего просела вдвое, или туннель отваливается ровно тогда, когда вы выходите из подъезда и телефон перепрыгивает с Wi-Fi на мобильную сеть, а вы минуты три тыкаете в экран, прежде чем сообразить, что дело не в операторе. Я развожу эти два протокола по разным углам лет пять, и вопрос «wireguard или openvpn» слышу чаще прочих. Отвечу длинно. Короткий ответ («берите WireGuard, он быстрее») верен процентов на шестьдесят, а оставшиеся сорок — это ровно те люди, которые через неделю пишут в поддержку.
Если совсем коротко: один быстрее, другой пролезает в щели
WireGuard — это скорость, копеечная нагрузка на железо и подключение, которого вы не успеваете заметить. Его делали люди, думавшие примерно то же, что думал я, когда впервые открыл конфиг OpenVPN: зачем здесь столько всего.
OpenVPN — это совместимость. Он старше на полтора десятилетия, умеет крутиться поверх TCP, умеет сесть на порт 443 и пролезть туда, куда WireGuard не пролезает. Цена известна: скорость ниже, процессор греется сильнее, конфиг толще раз в десять.
И ещё одно, до всех таблиц. Если ваша задача — обойти российские блокировки, честный ответ звучит так: оба справляются с этим плохо. Не потому что кривые, а потому что к нынешним фильтрам оказались повёрнуты боком. Об этом отдельный раздел, и, скажем так, он важнее половины предыдущих.
[Изображение: сравнительная таблица WireGuard и OpenVPN по ключевым параметрам]
Четыре тысячи строк против семидесяти тысяч: почему размер кода вообще важен
Обычно это подают как маркетинговый факт: у WireGuard около четырёх тысяч строк кода, у OpenVPN — под семьдесят. Эффектно. И непонятно, что мне с этим делать.
Попробую перевести на человеческий. Представьте два замка: в первом четыре детали, вы разложили их на столе и убедились, что лишних рычагов нет; во втором сорок деталей и переходники под разные двери — универсальнее, спору нет, но проверить его целиком вы не сможете. Вот, если честно, и вся разница. Компактную базу аудируют целиком, аудит OpenVPN — проект на месяцы. Отсюда следует не «WireGuard безопаснее», а то, что у него меньше поверхность атаки. Не одно и то же. Но на практике близко.
Обратная сторона компактности — жёсткость, и тут начинается то, за что WireGuard многие не любят: он не даёт выбрать шифр, не даёт выбрать режим, не умеет TCP и вообще не собирается обсуждать свою конфигурацию, он делает одну вещь хорошо, а всё остальное считает не своей проблемой. Именно поэтому его конфиг так легко испортить — причём так, что он останется рабочим, но небезопасным. Я видел конфиги с отключённой проверкой сертификата сервера. Хозяин был уверен, что всё защищено, значок же горит. Кстати, такие файлы обычно не пишут сами, а наследуют: кто-то скачал рабочий пример с форума, он завёлся, и дальше эта штука годами кочует по офису. Никто не перечитывает то, что работает.
Скорость и задержки: откуда берётся разрыв и насколько он честный
WireGuard быстрее. Это не предмет спора, это воспроизводится на любом стенде, и я обратного не видел. Спорный вопрос — насколько.
Сразу оговорюсь про методику, потому что по интернету гуляют проценты непонятного происхождения, и я сам когда-то честно пытался свести чужие замеры в одну табличку, пока не понял, что свожу несводимое. Результат зависит от канала, его загруженности, процессора, MTU и времени суток. Гигабитный канал и свежий ноутбук дают одни числа, мобильный интернет и старый телефон — другие. Обе цифры честные, и обе бесполезны как универсальная истина.
Поэтому скажу качественно. На быстром канале, от сотни мегабит, разрыв видно невооружённым глазом: WireGuard выжимает заметно больше, иногда в полтора-два раза. А на медленном разница почти пропадает.
Причин у разрыва три, и все, к слову, скучные. WireGuard в Linux живёт прямо в ядре, а не в приложении, то есть пакет не таскают между уровнями. Криптография подобрана так, чтобы хорошо ложиться на реальные процессоры, включая слабые мобильные. И хендшейк — это буквально пара пакетов, тогда как OpenVPN поднимает полную TLS-сессию со всеми расшаркиваниями: «мгновенно» против «секунда-три». Мелочь. Но когда вы за день дёргаете туннель раз двадцать, мелочь становится характером.
[Изображение: условный график скорости и задержки для WireGuard и OpenVPN с оговоркой о методике замера]
Криптография: жёсткий набор против шкафа с настройками
WireGuard не спрашивает, чем шифровать. Набор алгоритмов зашит в протокол: его нельзя поменять, нельзя ослабить ради старой железки и нельзя случайно выбрать что-нибудь позапрошлогоднее из списка, потому что списка нет. Разработчики выбрали за вас и выбрали современно. Минус ровно один, зато принципиальный: если в одном из алгоритмов найдут дыру, менять придётся сам протокол, а не галочку в конфиге.
OpenVPN открывает перед вами шкаф: шифр, режим, хеш, длина ключа, способ аутентификации. Нужна своя криптография под корпоративную политику — настроите. Гибкость не выдуманная, и я знаю конторы, которые именно из-за неё сидят на OpenVPN. Та же гибкость, впрочем, — источник половины бед.
Телефон в кармане: что происходит при переходе с Wi-Fi на LTE
А вот здесь WireGuard выигрывает не на проценты, а качественно, и это, пожалуй, моя любимая его часть.
Разница в том, как протокол понимает, кто вообще с ним разговаривает. OpenVPN держит сессию, привязанную к соединению, и когда у вас меняется IP, сессия ломается: надо переподключаться, заново поднимать TLS, ждать. Хуже другое. Приложение не всегда замечает, что туннель умер, и вы узнаёте об этом через минуту по молчащему мессенджеру. WireGuard сессию в привычном смысле не держит вовсе: он знает публичный ключ пира и принимает от него пакеты с любого адреса — расшифровалось правильно, значит, это тот самый пир, просто пришёл с другой стороны улицы. Называется это роумингом. Вышли из метро, сеть сменилась, видео даже не дёрнулось. Для телефона это, по моему опыту, главный аргумент — сильнее скорости.
Нюанс, о котором пишут редко, а он сожрал у меня целый вечер и остатки веры в себя. WireGuard молчит, когда трафика нет, и это вроде бы прекрасно: батарея целее. Но за NAT провайдера запись о соединении спокойно протухает, и входящие пакеты перестают доходить — туннель как бы есть, а ничего не работает. Лечится параметром PersistentKeepalive со значением 25 секунд. В готовых конфигах он уже прописан. Но если собираете туннель руками — не забудьте, иначе будете, как я тогда, полночи подозревать роутер, провайдера и мировое устройство.
Неудобная правда про IP в конфиге WireGuard
Этот раздел в сравнениях обычно пропускают. Зря, и мне это не нравится.
Каждому пиру в WireGuard назначается фиксированный внутренний адрес — не «выдаётся на время», а закреплён с обеих сторон, и это не недосмотр, а часть архитектуры: на этой связке держатся и роуминг, и опознание пира по ключу. Следствие простое: на сервере постоянно лежит пара «публичный ключ — внутренний IP», а интерфейс, к слову, помнит ещё и последний внешний адрес, с которого вы приходили. То есть WireGuard знает о вас больше, чем хотелось бы человеку, купившему VPN ровно ради обратного. OpenVPN здесь аккуратнее: раздаёт адреса из пула, и связка живёт только на время сессии.
Решается это на стороне сервиса: перед WireGuard ставят прослойку, которая тасует соответствия и не пишет долгоживущих журналов. Спрашивать об этом у провайдера — нормально, а ответ «мы не храним логи» без деталей — так себе ответ. Как устроено у нас — в политике конфиденциальности.
DPI: почему OpenVPN на порту 443 иногда проезжает, а WireGuard — нет
Самое болезненное место для российского пользователя. Тут я ничего не приукрашу.
WireGuard работает только поверх UDP, и TCP он не умеет принципиально: авторы считают, что туннель поверх TCP порождает знаменитую проблему «TCP внутри TCP»: два механизма повторной передачи мешают друг другу, и канал схлопывается на ровном месте. Технически они правы. Нам от этой правоты, впрочем, ни тепло ни холодно.
Потому что UDP на нестандартных портах фильтруют первым делом, а хендшейк WireGuard вдобавок имеет почерк: характерные длины первых пакетов и предсказуемая последовательность. Расшифровывать содержимое не нужно. Достаточно посмотреть на форму.
У OpenVPN история другая, и когда-то я сам считал её решением вопроса. Он умеет TCP, а значит, умеет сесть на порт 443 — тот самый, где живёт весь HTTPS планеты. Отсюда и популярность запроса «openvpn tcp 443 обход блокировок»: приём рабочий, и года три-четыре назад работал прекрасно. Ключевое слово — «работал». Похож не значит неотличим, и разница нашлась там, где её и стоило искать: у OpenVPN свой TLS-фингерпринт — порядок расширений в приветствии клиента, набор шифров, тайминги первых пакетов. Браузер здоровается с сайтом не так. Разница мелкая, но стабильная, а стабильная мелочь — это то, что фильтры ловят лучше всего. Плюс поведение: браузер забрал страницу и отвалился, а туннель часами держит соединение и гонит ровный поток в обе стороны.
Вывод неприятный, но честный. OpenVPN по TCP/443 даёт фору — иногда недели, иногда месяцы. Только это не маскировка. Это камуфляж на открытой местности, и советовать его как основное решение я перестал тогда же, когда сам на нём обжёгся.
Таблица на десять параметров и что из неё следует
Сравнение vpn протоколов удобнее смотреть одним куском — WireGuard vs OpenVPN по пунктам, на осень 2026 года.
| Параметр | WireGuard | OpenVPN |
|---|---|---|
| Год появления | 2016, в ядре Linux с 2020 | 2001, зрелый и обкатанный |
| Объём кода | Около четырёх тысяч строк | Десятки тысяч строк |
| Транспорт | Только UDP | UDP и TCP на выбор |
| Скорость на быстром канале | Выше, разрыв заметный | Ниже, упирается в CPU |
| Задержка и джиттер | Ниже, ровнее | Выше, особенно по TCP |
| Нагрузка на устройство | Минимальная, батарея живёт дольше | Ощутимая на слабом CPU |
| Криптография | Жёстко зашита, современная | Настраивается, можно испортить |
| Смена сети Wi-Fi ↔ LTE | Бесшовно, роуминг из коробки | Разрыв и переподключение |
| Устойчивость к DPI | Низкая, опознаётся по хендшейку | Средняя по TCP/443, низкая по UDP |
| Поддержка на роутерах | Широкая, часто встроена | Широкая, но медленная |
Какой протокол vpn лучше — зависит от того, что у вас болит, и никакого другого ответа у меня нет.
Нужна скорость. WireGuard, без вариантов: разница в скорости WireGuard на хорошем канале видна сразу.
Нужна стабильность на телефоне. Тоже WireGuard, из-за роуминга. Подробнее — VPN для мобильного интернета.
Старое железо и корпоративный контроль. Здесь OpenVPN, и спорить не буду: древний роутер или промышленный контроллер, который страшно трогать, — там он уже стоит. Плюс сертификаты и политики: для удалённого доступа сотрудников это до сих пор рабочая схема.
Нужно обойти блокировку. Ни тот, ни другой. Следующий раздел.
[Изображение: дерево решений «какой протокол под какую задачу»]
А если не подходит ни тот, ни другой
Ситуация, в которой сидит половина пользователей в России, выглядит так: WireGuard детектируется, OpenVPN держится чуть дольше, но тоже уезжает, а вы жмёте то одну кнопку, то другую, потом обе по очереди ещё раз, и ни одна не помогает. Причина обидно простая: оба протокола проектировались в мире, где никто не пытается их специально искать.
Решает её другой класс протоколов. VLESS с XTLS-Reality не прячет туннель — он делает так, чтобы соединение было обычным HTTPS с живым популярным сайтом: не похожим, а неотличимым, потому что сертификат берётся настоящий, чужой, и при проверке всё сходится. Первые двое прячутся. Этот растворяется в потоке. Подробный разбор — в материале про VLESS.
Практический расклад для протоколов vpn для России такой: дома на проводном, где не фильтруют, — WireGuard ради скорости, а у оператора, который режет всё подряд, — VLESS. Между ними надо уметь переключаться, а не выбирать один раз и навсегда. И если всё отваливается, а почему — непонятно, начните с проверки соединения: полминуты, и видно, меняется ли адрес и нет ли утечек DNS. Общая картина по тому, что и как блокируют, — на странице про обход блокировок РКН.
Что запомнить, если вы листали по диагонали
WireGuard быстрее, легче, лучше держит смену сети и проще в аудите. Мой протокол по умолчанию везде, где нет фильтрации.
OpenVPN медленнее и тяжелее, зато умеет TCP, заводится на любом железе и даёт корпоративный контроль, которого у WireGuard нет.
И главное, чему меня научили эти пять лет: не привязывайтесь к одному протоколу. То, что летало в январе, в июне может не подняться вообще.
В HubHide доступны оба протокола плюс VLESS, переключение в один клик. Тест на 14 дней идёт без карты: попробуйте все три на своём провайдере — единственный честный способ узнать, что у вас работает. Клиенты — в разделе загрузок.
Частые вопросы
Что быстрее: WireGuard или OpenVPN?
WireGuard, и на быстром канале разрыв заметный — иногда в полтора-два раза. Причины: работа в ядре, лёгкая криптография, короткий хендшейк. На медленном канале разница сглаживается: узкое место уже не в протоколе. Точные цифры зависят от железа и провайдера, так что универсальные проценты из интернета я бы смело делил пополам.
Какой протокол безопаснее?
При грамотной настройке оба дают стойкую защиту, и выбирать между ними по критерию «безопаснее», мне кажется, вообще бессмысленно. У WireGuard меньше кода и негде ошибиться в настройках, у OpenVPN больше гибкости и, соответственно, больше способов настроить его неправильно. Отдельный нюанс WireGuard — постоянная привязка ключа к внутреннему адресу, которую сервис обязан компенсировать на своей стороне.
Почему WireGuard блокируют?
Он работает только поверх UDP и имеет узнаваемый хендшейк: первые пакеты всегда одной длины и идут в предсказуемом порядке. Содержимое расшифровывать не нужно, достаточно формы трафика. Поэтому фильтры опознают его быстро, а UDP на нестандартных портах и без того под подозрением.
Какой протокол выбрать для телефона?
Если фильтрации у оператора нет — WireGuard: он бесшовно переживает переход с Wi-Fi на мобильную сеть и бережнее к батарее. Если же соединение постоянно отваливается, то проблема не в выборе между этими двумя — пробуйте VLESS с Reality. Переключаться удобнее через клиенты из раздела загрузок.
