VPN protokolleri karşılaştırması: WireGuard, OpenVPN, IKEv2 ve VLESS

WireGuard küçük, modern ve bilinçli olarak kararlı görüşlü bir protokoldür. Kriptografisini pazarlık etmek yerine sabitler; bu, bütün bir sürüm düşürme sorunları sınıfını ortadan kaldırır ve uygulamayı düzgün denetlenebilecek kadar küçük tutar. Çoğu platformda çekirdek alanında çalışır ve gerçekten hızlıdır — kendisine dokunulmayan bir ağda genellikle en hızlı seçenektir.

• Güçlü yanları: olağanüstü aktarım hızı, çok düşük işlemci ve pil maliyeti, ağ değişiminden sonra neredeyse anında yeniden bağlanma, düzgün incelenebilecek kadar küçük bir kod tabanı.
• Filtrelenen bir ağdaki zayıflıkları: ilk el sıkışma mesajı sabit boyutludur ve bilinen bir konumda sabit bir tür baytı taşır. Tanımak tek bir karşılaştırma gerektirir. Ayrıca yalnızca UDP'dir ve bazı ağlar UDP'yi varsayılan olarak kısıtlar.
• Gizlilik notu: sade bir WireGuard eş yapılandırması istemcinin açık anahtarını sunucuda durağan olarak saklar; bazı kurulumlar yalnızca bu sebeple bile onu ek katmanlara sarar.

Bunların hiçbiri WireGuard'ın tasarımına yönelik bir eleştiri değildir. Yazarları sansürcülerden gizlenmenin bir hedef olmadığını açıkça belirtti. Hem performansına hem filtrelemeye dirence ihtiyaç duyan kurulumlar onu başka bir taşıyıcıya sarar ve bunun bedelini ek yükle öder.

OpenVPN köklü çok yönlü seçenektir: olgun, taşınabilir, her yerde desteklenen ve neredeyse fazlasıyla yapılandırılabilir. Kullanıcı alanında çalışır; bu, WireGuard'a kıyasla performans kaybettirir ama çekirdek modülünün seçenek olmadığı platformlarda kullanılabilir kılar.

443 portundaki TCP kipi, kısıtlayıcı ağları aşmanın yolu olarak sıkça önerilir. Yalnızca porta göre filtreleyen ağlarda gerçekten yardımcı olur, inceleme yapan ağlarda ise hiç yardımcı olmaz. Kontrol kanalının tanınabilir bir işlem kodu yapısı vardır ve TCP içinde TCP çalıştırmak, kayıplı bir hatta iki yeniden iletim zamanlayıcısının birbiriyle kavga ettiği bilinen çöküş etkisini üretir.

• Güçlü yanları: neredeyse her yerde çalışır, son derece iyi anlaşılmıştır, sıra dışı gereksinimlere uyacak kadar esnektir.
• Zayıf yanları: aynı donanımda WireGuard'dan yavaştır, yapılandırması ağırdır ve seçilen porttan bağımsız olarak inceleme ile tespit edilebilir.

IKEv2 iOS, Android, Windows ve macOS'a gömülüdür; yani üçüncü taraf bir istemciye gerek yoktur. Ağ değişimini buradaki her protokolden iyi yönetir: Wi-Fi'dan mobil veriye geçerken tünel MOBIKE sayesinde gözle görülür bir kesinti olmadan hayatta kalır.

Filtrelemeye karşı bu grubun en zayıfıdır. UDP 500 ve 4500'de yaşar ve IKE alışverişi şaşmaz biçimde tanınır. VPN'leri engellemeye niyetli her ağ önce onu engeller ve bunu değiştiren hiçbir yapılandırma yoktur.

Shadowsocks baştan itibaren farklı bir tehdit modeli için tasarlandı: trafiği hiçbir tanınabilir el sıkışma taşımayan ve mümkün olduğunca rastgele baytlara benzeyen şifreli bir vekil. Uzun süre bu yeterliydi.

Geçmişi, bu yarışın nasıl ilerlediğinin iyi bir örneğidir. İlk sürümler etkin sondalamayla doğrulanabiliyordu — sunucu, bilerek bozulmuş girdiye ayırt edici bir yanıt veriyordu — ve AEAD şifreleri ile sonrasındaki AEAD-2022 revizyonu tam da buna bir karşılıktı. Bugünkü tasarım ilkinden belirgin biçimde daha sağlamdır.

Kalan sınırlaması yapısaldır: rastgele görünen trafik, HTTPS gibi görünen trafik değildir. Tanımlayamadığı her şeyi düşüren bir ağda, sınıflandırılamaz olmak çözüm değil sorunun kendisidir.

VLESS, taşıyıcıdan bağımsız bir tünel protokolüdür ve belirleyici kararı, neyi dışarıda bıraktığıdır. Kendi şifrelemesini yapmaz ve neredeyse hiç çerçeveleme eklemez: güvenlik tümüyle üzerinde taşındığı katmandan, normalde TLS'ten gelir. Selefi VMess kendi şifrelemesini ve zaman damgasına dayalı bir kimlik doğrulama şemasını taşıyordu; bu hem ek yük getiriyordu hem de zaman damgası söz konusu olduğunda tanımlayıcı bir tuhaflık yaratıyordu.

Protokol kendinden bu kadar az yapı kattığı için, bir sınıflandırıcının onu saran TLS'in ötesinde tutunacağı pek bir şey kalmaz. Bu, tüm yükü TLS'in inandırıcı olmasına yıkar — zaten amaç da budur ve VLESS'in tek başına eksiksiz bir yanıt olmamasının sebebi de.

• Güçlü yanları: asgari ek yük, hat üzerinde protokole özgü hiçbir şey yok, altındaki taşıyıcı konusunda esneklik.
• Zayıf yanları: tek başına hiçbir gizlilik sağlamaz — TLS ya da eşdeğeri üzerinde taşınmak zorundadır ve bunu atlayan bir yapılandırma bir performans takası değil ciddi bir hatadır.

1. 1

   Çalışan en hızlı seçenekle başlayın

   Karışmayan bir ağda WireGuard ya da IKEv2, TLS'e sarılmış her şeyden iyi performans verir ve ihtiyacınız olmayan bir korumanın bedelini ödemek için bir sebep yoktur.

2. 2

   Başarısız olursa nasıl olduğunu belirleyin

   Hiç kurulmayan bir bağlantı, kurulup ölen bir bağlantı ve çalışıp da sürünen bir bağlantı üç farklı sorundur ve üç farklı yanıtı vardır. Bunları ayırt etmeyi sorun giderme rehberi anlatıyor.

3. 3

   Maskeyi ağa uydurun

   Desen eşleştirmeye karşı sabit el sıkışması olmayan her şey yardımcı olur. HTTPS'in HTTPS gibi görünmesini bekleyen bir ağa karşı yalnızca sadık bir TLS taklidi yardımcı olur. Etkin sondalamaya karşı yalnızca bir yabancıya sıradan bir web sunucusu gibi yanıt veren bir sunucu yardımcı olur.

4. 4

   Yerleşip kalmak yerine yeniden değerlendirin

   Filtreleme politikası değişir, onu aşmak için gereken de. Altı ay önce zorunlu olan bir yapılandırma şimdi boşuna aktarım hızı harcıyor olabilir.