WireGuard vs OpenVPN：速度、安全性与差异对比

核心结论: WireGuard 更快、更精简,也更容易审计,是当下大多数用户的正确选择。OpenVPN 仍是兼容性与灵活性方面的标杆,在限制较多的网络中尤其如此——当 UDP 被过滤时,它可以通过可运行在 443 端口上的 TCP 模式连通。目前大多数主流 VPN 服务商同时支持这两种协议。

VPN 可以加密你的网络流量、隐藏你的 IP，并保护数据免受黑客、网络服务提供商和监控的威胁。它们能在公共 Wi-Fi 下保护隐私，也有助于绕过地理限制。请参阅我们的最佳 VPN 对比，找到同时支持两种协议的服务商。

OpenVPN 和 WireGuard 是目前部署最广泛的两种 VPN 协议。OpenVPN 自 2001[1] 年起就已存在，并在 2017 年接受过独立安全审计[2]。WireGuard 于 2017 年 NDSS 论文[3] 中被描述，据其作者的基准测试，它以少得多的代码实现了更快的速度。下面，我们将从速度、安全性、代码库规模和实际使用场景等方面对二者进行比较。

快速对比：WireGuard 与 OpenVPN 一览

特性	WireGuard	OpenVPN
首次发表	2017年（NDSS论文）	2001年
代码规模	不到 4,000 行[3]（Linux 实现）	大得多；基于 OpenSSL 构建
典型速度	通常更快；取决于您的网络连接和服务器距离	通常比 WireGuard 慢；取决于您的网络连接和服务器距离
连接时间	1-RTT 握手	基于 TLS 的多步密钥协商
加密方式	ChaCha20、Poly1305、Curve25519、BLAKE2s[4]	默认使用 AES-256-GCM（同时支持 AES-128-GCM 和 ChaCha20-Poly1305），通过 SSL/TLS 实现
传输协议	仅 UDP	TCP 和 UDP[5]
绕过审查	有限（仅 UDP）	成功几率较高（TCP 模式可使用 443 端口）
设置复杂度	简单	复杂
CPU 占用	较低：在作者的基准测试[3]中，千兆线速下 CPU 未饱和	较高：同一测试中 CPU 已饱和
设备兼容性	官方客户端支持 Windows 10/11、macOS、iOS、Android 和 Linux[6]；自 5.6[7] 起已集成到 Linux 内核中	支持大多数主流操作系统平台
独立审计	协议已通过形式化验证[8]（符号证明与计算证明）	2017年对 OpenVPN 2.4 的审计[2]（Quarkslab、Cryptography Engineering）
最适合	流媒体、游戏、移动设备、日常浏览	受限网络、企业环境、旧设备

上表概括了两者的核心差异。下文将逐项详细说明。

什么是 OpenVPN?

OpenVPN 是一种稳健的开源 VPN 协议。发布于 2001 年,它是仍在积极使用的最古老的协议之一。其开源代码库允许任何人检查、审计并贡献改进,多年来的公众审视使 OpenVPN 成为个人和企业都可信赖的选择。

OpenVPN 如何工作?

OpenVPN 使用 SSL/TLS(安全套接层/传输层安全)进行加密和身份验证,其参考手册[5]指出它与 OpenSSL 库紧密集成。TLS 与保护 HTTPS 网站[9]所用的加密框架相同。

当连接建立时,OpenVPN 会执行握手。在 SSL/TLS 模式下,客户端和服务器通过证书[5]相互认证。随后,数据通过 AES-256-GCM 等密码算法传输。AES-256-GCM 是手册密码列表中的默认首选[5],它使用的是 NIST 在 FIPS 197[10] 中标准化的 AES 密码算法。

OpenVPN 可以同时运行在 TCP 和 UDP[5] 上。TCP 保证数据包的可靠传输，但会牺牲一定速度；UDP 优先考虑速度，但可能丢失数据包。用户可以根据自己的需求选择合适的模式。

OpenVPN 的优点与缺点

优点

→ 强大的安全性与加密: OpenVPN 的 SSL/TLS 实现和 AES-256-GCM 加密算法提供了经过验证、久经考验的安全保障。 → 广泛的兼容性: 其手册列出了它可在大多数主流操作系统平台上运行。 → 高度可配置: 高级用户可以调整端口号、加密套件列表[5]、身份验证方式以及路由行为。

缺点

→ 速度较慢: OpenVPN 是用户空间应用程序,数据包需要在用户空间与内核之间来回复制,WireGuard 论文指出这会带来额外的延迟和开销[3]。实际速度取决于你的网络连接、硬件和服务器距离。 → 设置复杂: 手动配置需要编辑 .ovpn 文件、管理证书,并理解一定的网络知识。 → 资源消耗较大: 在 WireGuard 作者的基准测试中,OpenVPN 占满了 100% 的 CPU,而吞吐量却低于 WireGuard,这意味着在手机上可能更快耗尽电量。

提供 OpenVPN 的 VPN

多款热门 VPN 服务将 OpenVPN 作为协议选项：

→ NordVPN： 提供强大的 OpenVPN 支持，具备自动服务器选择和 AES-256-GCM 加密。 → ExpressVPN： 在其专有的 Lightway 协议之外，还提供 OpenVPN 作为基础协议选项。 → Surfshark： 在所有主流平台上都将 OpenVPN 作为默认选项之一。 → Private Internet Access（PIA）： 以丰富的 OpenVPN 配置选项著称，适合希望精细控制的高级用户。 → CyberGhost： 在其桌面和移动应用中都集成了 OpenVPN，界面友好。

这些服务会通过应用自动处理 OpenVPN 配置。用户只需在设置中选择协议，然后一键连接。

什么是 WireGuard?

WireGuard 是一种现代的开源 VPN 协议，设计目标是兼顾速度、简洁性和密码学的严谨性。其设计者希望超越 OpenVPN 和 IPsec 的表现，同时把代码库保持在足够小的规模，用项目方的话说，它小到可以由单个人全面审阅[11]。

WireGuard 的作者表示，其 Linux 实现不到 4,000 行代码[3]，而他们认为 OpenVPN 要复杂得多，因为它需要承载完整的 TLS 功能。这种精简的架构减少了攻击面，也简化了维护工作。Linux 内核自5.6 版本[7]（发布于 2020 年 3 月 29 日）起原生包含了 WireGuard。

WireGuard 工作原理

WireGuard 基于 Noise 协议框架[12](具体为 Noise_IK 握手)实现安全通信。它结合了 Curve25519 用于密钥交换、ChaCha20 用于对称加密、Poly1305 用于消息认证、BLAKE2s 用于哈希运算,具体列出见协议文档[4]。ChaCha20-Poly1305 的定义见 RFC 8439[13]。

WireGuard有意不具备密码和协议的灵活性[3],因此不存在密码协商。其密钥交换只需一次往返(1-RTT),使连接建立保持简短。数据传输的开销极小,从而最大化吞吐量。

WireGuard 将所有数据包通过 UDP 发送[4]。这能保持较低的延迟，适合视频通话、游戏和流媒体等实时应用。

WireGuard 的优点与缺点

优点

→ 更快的速度: 在 WireGuard 作者自己论文中的基准测试[3] 里,WireGuard 在吞吐量和 ping 时间上都优于 OpenVPN。这些是作者的测试,因此你的实际结果取决于你的网络连接、硬件和服务器距离。 → 易于审计的代码库: Linux 实现不到 4,000 行代码,单个审阅者就能切实地通读全部内容。 → 更简单的设置: 配置只需要密钥、对等端点和允许的 IP,正如快速入门指南[14]所示。无需证书管理。 → 更低的资源占用: 在作者的基准测试中,WireGuard 在千兆线速下并未使 CPU 饱和,这在资源受限的设备上留出了更多余量(和电量)。

缺点

→ 协议较新: WireGuard 于 2017 年被描述,并于 2020 年进入 Linux 内核,因此其经受真实世界检验的时间比自 2001 年起使用的 OpenVPN 要短。 → 静态 IP 分配的隐私顾虑: WireGuard 为每个对等端分配固定的允许 IP,而服务器会从最近一次经过认证的数据包中获知每个对等端的端点[3],因此简单的部署方式会在内存中保留客户端地址。服务商表示会通过额外措施来解决这一问题,例如 NordVPN 在 NordLynx 中采用的双重 NAT 系统。 → 对旧设备的支持有限: 较旧的操作系统和部分企业路由器缺乏对 WireGuard 的原生支持。

支持 WireGuard 的 VPN

目前大多数主流 VPN 服务商都提供 WireGuard：

→ NordVPN： 通过其 NordLynx 实现支持 WireGuard，并加入双重 NAT 以增强隐私。 → ExpressVPN： 在其专有的 Lightway 协议之外提供 WireGuard。 → Surfshark： 在大多数平台上将 WireGuard 作为默认协议。 → Private Internet Access（PIA）： 在其桌面和移动应用中支持 WireGuard，并提供完整的配置选项。 → Mullvad VPN： 最早采用 WireGuard 的服务商之一，将其作为首选推荐协议。

WireGuard 与 OpenVPN 的关键差异

上文的对比表概括了高层差异。下面我们逐一详细说明各个类别。

速度：WireGuard 提供更高的吞吐量

✔️ WireGuard： 在其作者的测试中通常更快。其精简的握手流程、内核实现以及 ChaCha20 加密，共同减少了处理延迟。 ❌ OpenVPN： 在相同条件下通常更慢。作为一个带有 TLS 协议栈的用户态应用，它会增加延迟和额外开销。

WireGuard 项目自己的性能测试[15]也呈现相同的趋势,不过该项目本身表示这些数据已经过时,需要替换。

安全性:思路不同,效果都好

✔️ WireGuard: 采用固定的现代密码学原语。其协议经过形式化验证[8],包括 Tamarin 安全证明(这只涵盖协议设计,并不涵盖实现的每一行代码)。 ❌ OpenVPN: 依赖可配置的 SSL/TLS 协议栈。代码库更庞大,使全面审计更耗时,但它于 2017 年经过独立审计[2],并会针对已修复的问题发布安全公告[16]。

两种协议在正确实施并保持更新的情况下，都被认为是安全的。

代码库规模：可审计性至关重要

✔️ WireGuard： Linux 实现不到 4,000 行代码。一位审查者即可通读全部代码，代码行数越少，隐藏漏洞的地方也越少。 ❌ OpenVPN： 代码库大得多，并依赖 OpenSSL。完整审计需要更多审查人员和更长时间，而且更大的攻击面意味着更多未被发现的漏洞可能潜藏其中。

配置复杂度

✔️ WireGuard: 设置只需要一个密钥对、一个端点和允许的 IP 范围,配置很简短。 ❌ OpenVPN: 在 SSL/TLS 模式下需要生成证书、编写服务器和客户端配置文件、选择加密套件并配置端口,因此典型的设置过程更长。

移动设备和嵌入式设备上的资源占用

✔️ WireGuard: 在其作者的基准测试中,在千兆线速下并未使 CPU 满载,这为始终在线的移动 VPN 连接留出了更多余量。 ❌ OpenVPN: 在同一基准测试中,以更低的吞吐量使 CPU 占用达到 100%,因此在长时间使用时可能会明显更耗电。

技术深入解析:加密方法

✔️ WireGuard: 采用 Curve25519(密钥交换)、ChaCha20(加密)、Poly1305(认证)和 BLAKE2s(哈希)。不进行密码协商。如果底层原语中发现漏洞,所有端点都必须更新[3]。 ❌ OpenVPN: 使用 OpenSSL 库以及可配置的协商密码列表[5]。这种灵活性既可能是优势,也可能是劣势。密码选择配置不当会削弱安全性。

连接建立

✔️ WireGuard: 只需一次往返即可完成密钥交换。由于对等端通过公钥识别,并根据最新的已认证数据包更新端点[3],在网络之间切换(从 Wi-Fi 切换到蜂窝网络)是内置支持的。 ❌ OpenVPN: 通过多步骤的 TLS 握手协商密钥。切换网络时需要依赖诸如--float[5]之类的选项,以允许对等端更改其地址。

传输协议

✔️ WireGuard: 仅使用 UDP。这能让开销保持最低,但可能被限制 UDP 流量的防火墙拦截。 ❌ OpenVPN: 同时支持 TCP 和 UDP。TCP 模式可以使用 443 端口(HTTPS 所用的端口),正如 官方参考手册中的示例连接配置[5] 所示,这使它在过滤 UDP 的网络中有更好的通过机会。但这并不能保证不被拦截。

WireGuard 与 OpenVPN 的相似之处

尽管架构不同，两种协议都具有使其成为可信 VPN 连接选择的基本特性。

安全的加密连接

两种协议都会在用户设备与 VPN 服务器之间建立加密隧道。它们的主要功能是保护数据不被第三方截获，无论是黑客、网络服务提供商还是政府监控。

强加密标准

WireGuard 和 OpenVPN 都使用强加密算法，目前没有已知的实际暴力破解方法。WireGuard 使用 ChaCha20-Poly1305[13]。OpenVPN 通常使用 AES-256-GCM，它基于美国国家标准与技术研究院（NIST）在 2000 年选定的高级加密标准[10]。目前尚未公布对这两者的实际破解。

IP 地址隐藏

两种协议都会用 VPN 服务器的 IP 替换用户的真实 IP。这提供了网络匿名性，并防止网站、广告商和网络运营商将浏览活动追踪到用户的实际位置。

开源透明

WireGuard 和 OpenVPN 都公开发布源代码。任何人都可以检查、审计或为两个项目做出贡献。这种透明度是注重隐私的用户和安全研究人员的核心信任因素。

哪种协议的加密更好？

这是一个存在细微差别的问题，并没有简单的赢家。

WireGuard 的现代密码学设计

WireGuard 使用 Curve25519、ChaCha20、Poly1305 和 BLAKE2s。这些原语的选择基于其对已知攻击向量的抵抗力，以及在现代硬件上的性能表现。RFC 8439 指出，在纯软件实现中，ChaCha20 明显快于 AES，在缺少专用 AES 硬件的平台上速度约为其三倍[13]。

OpenVPN 久经考验的记录

OpenVPN 的 SSL/TLS 实现自 2001 年起公开部署,并在 2017 年接受了独立审计[2]。AES-256-GCM 所属的密码算法家族 AES,是美国国家标准与技术研究院(NIST)发布的美国联邦标准[10]。

加密的结论

两种协议提供的加密目前都没有已知的实际攻击可以破解。WireGuard 的代码库更小，使漏洞更容易被发现和修复。OpenVPN 的部署历史更长，积累了更长的实践记录。对大多数用户而言，两者在安全性上的实际差异很小。

如何选择适合你需求的协议

速度与稳定性

→ 在处理流媒体、大文件下载和视频通话等高带宽任务时,请选择 WireGuard。它通常具有更高的吞吐量,更适合对性能要求高的应用。 → 当网络稳定性比原始速度更重要时,请选择 OpenVPN。OpenVPN 的 TCP 模式可以在不可靠的连接上保证数据包的送达。

易用性与高级配置

→ WireGuard 的配置简短，适合希望即插即用的用户。 → OpenVPN 的精细设置适合需要自定义路由、分应用隧道（split tunneling）或特定加密套件配置的网络管理员。

设备兼容性

在做决定之前,请先确认您的设备支持哪种协议。WireGuard 的安装页面[6]列出了适用于 Windows 10 和 11、macOS、iOS 和 Android 的应用,而 Linux 自 5.6[7] 版本起已内置该协议。较旧的系统可能只支持 OpenVPN。

绕过审查与防火墙限制

→ 基于 TCP 的 OpenVPN 使用 443 端口，与 HTTPS 相同，因此在过滤 UDP 或非常规端口的网络中可能更容易通过。在积极封锁 VPN 流量的国家，这并不能保证成功。 → WireGuard 仅使用 UDP，没有 TCP 备用方案，因此在严格过滤的环境中灵活性较差。

流媒体最佳协议

→ 在流媒体方面，WireGuard 通常具有更高的吞吐量和更低的延迟，是更好的选择。 → OpenVPN 可以应付日常的流媒体观看，但在较慢的网络连接下，其额外开销可能更为明显。

游戏场景最佳协议

→ WireGuard 在游戏方面更胜一筹。在作者的基准测试中,其低延迟的 UDP 传输比 OpenVPN 获得了更低的 ping 值。 → OpenVPN 的用户态设计会增加延迟,这在竞技类网络游戏中可能很关键。

WireGuard 会取代 OpenVPN 吗？

在可预见的未来，WireGuard 不会取代 OpenVPN。两种协议服务于不同的应用场景，彼此都无法完全覆盖对方。

WireGuard的普及速度正在加快。它被纳入Linux内核，获得主流VPN服务商的支持，并在Surfshark和Mullvad等服务中成为默认协议，这些都表明行业正在发生明显转变。对于消费级VPN用途而言，WireGuard如今已是事实上的标准。

OpenVPN 的灵活性使其依然不可或缺。其 TCP 模式、密码算法的可配置性以及普遍的设备支持，使其在企业环境、旧系统和审查严重的地区无可替代。

两种协议将长期共存

VPN 行业已形成双协议模式。大多数服务商同时提供 WireGuard 和 OpenVPN，让用户根据当前情况切换。在家看流媒体？使用 WireGuard。在某个限制严格国家的酒店网络中连接？切换到 TCP 443 上的 OpenVPN。

这种共存对用户有利。两种协议之间的竞争也推动了两个项目的创新。

如何评估 VPN 服务商的协议实现

并非所有 VPN 服务商都以同样的方式实现这些协议。选择 VPN 时，请检查以下指标：

→ WireGuard 的隐私补丁： 服务商是否解决了 WireGuard 的静态 IP 问题？NordVPN 的双重 NAT（NordLynx）以及 Mullvad 删除连接数据的做法是很好的例子。 → OpenVPN 的密码配置： 服务商默认是否使用 AES-256-GCM，还是会回退到较弱的密码？请查看他们的文档。 → 协议切换： 你能否在应用内在 WireGuard 与 OpenVPN 之间切换？最好的服务商会将其设计为一键设置。 → 终止开关集成： 终止开关能否在两种协议下都可靠工作？如果终止开关只在一种协议下有效，你的保护就会存在漏洞。 → 独立审计记录： 服务商的协议实现是否经过第三方安全机构审计？请查看已发布的审计报告，而不仅仅是营销宣传。

在 VPN.com，我们会根据这些标准评估每一家服务商。我们的VPN 对比页面会重点列出同时实现两种协议且具备适当安全措施的服务。

最终结论

WireGuard 和 OpenVPN 都是性能出色、持续维护良好的 VPN 协议。WireGuard 通常能提供更快的速度、更低的延迟，并且代码库更精简（Linux 实现不到 4,000 行），更便于进行安全审计。OpenVPN 则提供更广泛的设备兼容性、更细致的配置选项，以及 WireGuard 无法匹敌的基于 TCP 的审查绕过能力。

对大多数用户而言，WireGuard 是更好的默认选择。它更快、更省资源，配置也更简单。当你遇到被封锁的 UDP 流量、需要 TCP 的可靠性，或从旧设备连接时，再切换到 OpenVPN。

最好的 VPN 服务商同时支持两种协议，并允许你自由切换。请访问我们的VPN 对比页面，找到实现了 WireGuard 和 OpenVPN、具备适当隐私保障并经过独立审计验证的服务商。

参考资料

1. FreeBSD Foundation | A non-profit organization dedicated to supporting and building the FreeBSD Project. 2024. if_ovpn or OpenVPN. 检索于 2026年10月16日，来源：https://freebsdfoundation.org/our-work/journal/browser-based-edition/networking-10th-anniversary/if_ovpn-or-openvpn/.已归档：Wayback Machine 快照
2. Openvpn. 日期不详. QuarkslabAndCryptographyEngineerAudits. 检索于 2026年10月16日，来源：https://community.openvpn.net/openvpn/wiki/QuarkslabAndCryptographyEngineerAudits.已归档：Wayback Machine 快照
3. J. A. Donenfeld. 2017. WireGuard: Next Generation Kernel Network Tunnel. Proceedings 2017 Network and Distributed System Security Symposium. DOI: https://doi.org/10.14722/ndss.2017.23160.
4. J. A. Donenfeld. 日期不详. Protocol & Cryptography. 检索于 2026年10月16日，来源：https://www.wireguard.com/protocol/.
5. OpenVPN. 日期不详. OpenVPN 2.6 Manual. 检索于 2026年10月16日，来源：https://openvpn.net/community-resources/reference-manual-for-openvpn-2-6/.已归档：Wayback Machine 快照
6. J. A. Donenfeld. 日期不详. Installation. 检索于 2026年10月16日，来源：https://www.wireguard.com/install/.
7. Kernel. 日期不详. ChangeLog 5.6. 检索于 2026年10月16日，来源：https://cdn.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.6.已归档：Wayback Machine 快照
8. J. A. Donenfeld. 日期不详. Formal Verification. 检索于 2026年10月16日，来源：https://www.wireguard.com/formal-verification/.
9. Rfc-editor. 日期不详. Rfc8446. 检索于 2026年10月16日，来源：https://www.rfc-editor.org/rfc/rfc8446.html.
10. NIST. 日期不详. NIST.FIPS.197 Upd1. 检索于 2026年10月16日，来源：https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197-upd1.pdf.已归档：Wayback Machine 快照
11. J. A. Donenfeld. 日期不详. WireGuard: fast, modern, secure VPN tunnel. 检索于 2026年9月30日，来源：https://www.wireguard.com/.已归档：Wayback Machine 快照
12. Trevor Perrin (noise@trevp.net). 2018. The Noise Protocol Framework. 检索于 2026年10月16日，来源：https://noiseprotocol.org/noise.html.已归档：Wayback Machine 快照
13. Rfc-editor. 日期不详. Rfc8439. 检索于 2026年10月16日，来源：https://www.rfc-editor.org/rfc/rfc8439.html.
14. J. A. Donenfeld. 日期不详. Quick Start. 检索于 2026年10月16日，来源：https://www.wireguard.com/quickstart/.
15. J. A. Donenfeld. 日期不详. Performance. 检索于 2026年10月16日，来源：https://www.wireguard.com/performance/.
16. Openvpn. 日期不详. Security Announcements. 检索于 2026年10月16日，来源：https://community.openvpn.net/openvpn/wiki/SecurityAnnouncements.已归档：Wayback Machine 快照

本页资源

来自我们研究的图表和参考图片，可免费查看和分享。

• 

• WireGuard 与 OpenVPN 练习单PDF · 0.7 MB

常见问题

全部工作原理速度与流媒体安全和隐私设置与支持

WireGuard 与 OpenVPN 的根本区别是什么?

WireGuard 是一种现代协议,发布于 2017 年,其 Linux 实现的代码量不到 4,000 行。OpenVPN 则可追溯到 2001 年,代码库规模大得多,基于为 HTTPS 网站提供安全保障的 SSL/TLS 框架。WireGuard 采用固定的密码学原语,不进行密码套件协商;OpenVPN 使用 OpenSSL,并支持可配置的密码套件列表,以简洁性换取灵活性。

WireGuard 在实际使用中为何比 OpenVPN 更快?

WireGuard 精简的握手流程、内核级实现以及 ChaCha20 加密,在其作者自己的论文基准测试中表现优于 OpenVPN,不过这些结果来自作者本人的测试。NordVPN 在我们的信任评分中排名第 1 位(共 22 家),该评分汇总自已发布的第三方测试,其运行于基于 WireGuard 的 NordLynx 之上。

WireGuard 作为较新的协议，安全性是否足够？

基本足够，但需要注意几点限制。WireGuard 的协议已经过形式化验证，其精简的代码库（Linux 实现不到 4,000 行）使单个审阅者就能通读全部代码。它的主要局限在于实际部署历史远不如 OpenVPN 长，不过两种协议只要正确实现并保持更新，都被视为安全的。

WireGuard 的静态 IP 问题是否意味着它不安全?

不一定。WireGuard 服务器会从对端最近一次通过认证的数据包中获知其端点,而对端的允许 IP 是固定的,因此如果部署方式简单粗暴,客户端地址就会长期保存在内存中。各服务商表示会采取措施加以缓解:NordVPN 的 NordLynx 采用双重 NAT 系统,为每个会话分配一个临时地址;Mullvad 则表示会删除连接数据。请查看您的服务商是否记录了具体的解决方案。

哪种协议的代码库更容易审计漏洞?

WireGuard 远胜一筹。其 Linux 实现代码不足 4,000 行,单个审查者即可完整阅读;而 OpenVPN 的代码库大得多,并依赖 OpenSSL。OpenVPN 曾接受独立审计,包括由 OSTIF 资助的 2017 年 OpenVPN 2.4 审计,但其更大的攻击面意味着仍有更多未被发现的漏洞存在空间。

两种协议实际使用哪些加密算法?

WireGuard 组合使用 Curve25519 进行密钥交换、ChaCha20 进行加密、Poly1305 进行身份验证、BLAKE2s 进行哈希,所有算法都是固定的,不进行协商。OpenVPN 默认使用 AES-256-GCM,通过 SSL/TLS 协议栈和 OpenSSL 库实现,同时也支持 AES-128-GCM 和 ChaCha20-Poly1305。两种协议的加密算法目前都没有公开已知的实际可行破解方法。

在限制性国家（如中国或伊朗）访问互联网，哪种协议效果更好？

OpenVPN 通常是更好的备选方案，具体来说是其 TCP 模式下的 443 端口（也就是 HTTPS 所用的端口），它有机会穿过过滤 UDP 流量的网络。WireGuard 仅支持 UDP，没有 TCP 备用方案。在当局主动封锁 VPN 流量的地方，两者都无法保证可用，这种灵活性也是两种协议在大多数 VPN 应用中并存的主要原因。

哪种协议在 4K 流媒体和在线游戏中表现更好?

WireGuard 凭借其在作者基准测试中通常更高的吞吐量和更低的延迟胜出。WireGuard 的低延迟 UDP 传输适合竞技游戏,而 OpenVPN 仍能应付日常流媒体,但会带来更多开销。NordVPN 基于 WireGuard 的 NordLynx 在我们的信任评分中排名第 1 位(共 22 家),该评分汇总自已发布的第三方测试。

WireGuard 能在我的设备上使用吗,还是需要改用 OpenVPN?

这取决于你的操作系统。WireGuard 官方安装页面列出了适用于 Windows 10 和 11、macOS、iOS 和 Android 的应用,Linux 则从 5.6 版本(2020 年 3 月)起将其内置于内核中。较旧的操作系统和部分老式企业路由器可能不支持 WireGuard,因此对于过时的硬件,OpenVPN 仍是备选方案。

如何在 VPN 应用中切换 WireGuard 与 OpenVPN？

大多数主流服务商允许你在设置菜单中选择协议，无需重新安装任何东西。NordVPN 通过其 NordLynx（WireGuard）实现以及 OpenVPN 和 IKEv2/IPsec 提供此功能；ExpressVPN 在其专有的 Lightway 协议之外提供 WireGuard；Surfshark 将 WireGuard 设为默认，同时仍包含 OpenVPN。请在应用的连接设置中查找一键切换协议的选项。

如果 WireGuard 在受限网络上被阻止,我该怎么办?

将 VPN 应用的协议设置切换为 OpenVPN,并选择 TCP 模式、端口 443(HTTPS 所使用的端口)。这样在过滤 UDP 的网络中可能更容易连通。这是酒店网络和企业防火墙上常见的备用方案,但并不能保证一定不被阻止。

为什么从 Wi-Fi 切换到移动数据时连接会断开?

这取决于您使用的协议。WireGuard 通过公钥识别对等端,并根据最新的已认证数据包更新端点,因此在 Wi-Fi 和蜂窝网络之间切换的漫游功能已内置于该协议中。OpenVPN 依赖 TLS 会话,并借助 —float 等选项来处理地址变化。因此,对于经常在不同网络之间移动的用户,WireGuard 是更好的默认选择。