WireGuard vs OpenVPN: порівняння продуктивності для малого офісу

Коли потрібно налаштувати віддалену роботу для співробітників з дому або об’єднати кілька офісів чи складів в одну мережу, майже завжди постає питання: що вибрати — старий добрий OpenVPN чи відносно новий WireGuard? Обидва варіанти чудово справляються з шифруванням трафіку, але під капотом у них абсолютно різні технології. Як приватний системний адміністратор, я регулярно стикаюся з обома протоколами на практиці. У цій статті я простими словами розберу їхню реальну продуктивність у реальних умовах невеликих компаній, щоб ви могли зробити усвідомлений вибір і не переплачувати за непотрібне залізо.

Коротко

Якщо вам потрібна швидка відповідь без занурення в технічні деталі: WireGuard майже завжди виграє за всіма статтями. Він набагато швидший, практично не навантажує процесор вашого роутера чи сервера і миттєво відновлює з’єднання, якщо ви, наприклад, вийшли з офісу з ноутбуком і переключилися з робочого Wi-Fi на мобільний інтернет у дорозі. OpenVPN натомість працює значно повільніше через свою застарілу архітектуру та роботу в просторі користувача (user space). Проте у нього є свій козир — він надзвичайно гнучкий у налаштуваннях і вміє маскувати трафік під звичайний HTTPS (через TCP-порт 443), що рятує при жорстких блокуваннях інтернету. Для більшості типових завдань сучасного малого офісу WireGuard зараз є найкращим та найбільш логічним вибором.

Кому актуально

Цей матеріал я писав насамперед для тих, хто безпосередньо стикається з організацією робочих процесів і хоче розібратися в деталях:

• Власників невеликих компаній та керівників, які втомилися слухати скарги від співробітників на те, що “база постійно висить”, а “файли з офісного сервера відкриваються цілу вічність”.
• Бухгалтерів та фінансистів, які працюють з дому чи з іншого міста і змушені щодня підключатися до M.E.Doc, програм лінійки 1С/BAS або спільних мережевих папок на Windows Server.
• Керівників складів, магазинів та віддалених філій, яким критично важливо мати стабільний зв’язок з центральною базою для обліку товарів, виписки накладних та швидкого друку документів.
• ФОПів та невеликих ТОВ, де немає власного штатного ІТ-спеціаліста, но є гостра потреба навести лад у мережевій інфраструктурі та зробити роботу безпечною і комфортною.

Якщо ви якраз плануєте впровадити MikroTik VPN для малого офісу, правильний вибір протоколу допоможе зберегти нерви вашим працівникам та вбереже від купівлі занадто дорогого обладнання.

Типові симптоми

У своїй практиці я регулярно бачу одну й ту саму картину: бізнес працює, але через невдало налаштований або застарілий VPN-тунель усі процеси гальмують. Ось класичні ознаки того, що ваша мережа працює не так, як мала б:

• Швидкість копіювання файлів падає в рази: у вас в офісі та вдома стоїть хороший інтернет, але при спробі скопіювати документ з офісного сервера швидкість не піднімається вище за кілька мегабіт. Тест швидкості без VPN показує чудові результати, а всередині тунелю все ледве повзає.
• Роутер в офісі працює на межі можливостей: коли кілька людей починають активно качати файли або працювати в базах даних, офісний роутер завантажується під зав’язку. Інтернет в самому офісі починає “тупити”, а в панелі керування роутером видно, що процесор завантажений на повну.
• Постійні “замерзання” термінальних сесій (RDS): ви працюєте на віддаленому робочому столі, і раптом картинка завмирає на кілька секунд. Курсор мишки рухається ривками, а якщо на мобільному інтернеті хоча б на мить зникне сигнал, сесія повністю обривається і доводиться підключатися заново.
• Довге очікування при підключенні: ви запускаєте VPN-клієнт, натискаєте кнопку старту і чекаєте тривалий час, поки відбудеться магія авторизації та обміну ключами.
• Батарея смартфона чи ноутбука тане на очах: якщо віддалений працівник постійно тримає увімкненим VPN, його пристрій помітно нагрівається і швидко розряджається через те, що процесор постійно зайнятий важкими обчисленнями для шифрування трафіку.

Що перевірити

Не поспішайте відразу купувати нове залізо або повністю переробляти мережу. Спочатку варто провести невелику діагностику поточної інфраструктури. Ось що я рекомендую перевірити в першу чергу:

• Завантаження процесора (CPU) на вашому роутері: підключіться до офісного маршрутизатора (наприклад, через Winbox, якщо у вас MikroTik) у розпал робочого дня, коли всі працюють. Запустіть копіювання великого файлу через VPN і подивіться на графік процесора. Якщо він завантажений повністю, ваш поточний VPN-протокол (найчастіше це OpenVPN без апаратної підтримки) просто “душить” залізо.
• Режим роботи OpenVPN (TCP чи UDP): загляньте в конфігураційні файли. Якщо там прописано використання протоколу TCP, це серйозна проблема. Робота TCP всередині іншого TCP-каналу створює так званий ефект “TCP meltdown”, коли пакети починають безкінечно дублюватися і забивати канал, створюючи величезні затримки. Перехід на UDP може суттєво покращити ситуацію.
• Налаштування розміру MTU (Maximum Transmission Unit): якщо цей параметр виставлений неправильно, пакети даних не поміщаються в стандартний розмір кадру і починають фрагментуватися. Роутеру доводиться витрачати ресурси на те, щоб розрізати кожен пакет на шматки, а потім збирати їх назад. Це сильно б’є по швидкості.
• Версію операційної системи вашого обладнання: наприклад, якщо ви використовуєте MikroTik, то повноцінна і стабільна підтримка WireGuard з’явилася тільки в RouterOS версії 7. Якщо ваш пристрій досі працює на старій 6-й версії, налаштувати цей швидкий протокол просто не вийде без попереднього оновлення.
• Наявність апаратного прискорення шифрування: перевірте специфікації процесора вашого роутера або сервера. Якщо залізо не підтримує апаратне шифрування (наприклад, AES-NI), то важкі алгоритми OpenVPN будуть прораховуватися програмно, що завжди повільно і ресурсомістко.

Типові помилки

Навіть хороші технології можна налаштувати так, що вони принесуть лише головний біль. Ось найпоширеніші помилки, які я бачу під час аудитів мереж у малому бізнесі:

• Використання налаштувань OpenVPN за замовчуванням: стандартні конфігурації в багатьох інструкціях з інтернету націлені на те, щоб підключення просто запрацювало на будь-якому, навіть найдавнішому залізі. Про оптимізацію швидкості та безпеки там зазвичай не йдеться, тому мережа працює вкрай повільно.
• Спроби працювати з важкими базами даних напряму через VPN: це класика. Користувачі намагаються відкривати файли баз даних (наприклад, файлову 1С або великі таблиці Excel) безпосередньо через мережеву папку по VPN. Мало того, що це працює неймовірно повільно, так ще й при найменшому збої зв’язку база даних гарантовано “б’ється” і ламається. Для таких завдань набагато правильніше використовувати налаштування Windows Server, RDS та M.E.Doc. У цьому сценарії через VPN передається лише картинка робочого столу, а всі важкі обчислення та робота з файлами відбуваються локально на сервері.
• Купівля дорогого обладнання замість зміни протоколу: замість того, щоб просто змінити важкий OpenVPN на легкий WireGuard, компанії часто витрачають солідні бюджети на купівлю потужних багатоядерних роутерів. Хоча старе залізо могло б чудово працювати далі, якби на ньому налаштували сучасніший протокол.
• Один загальний ключ або сертифікат для всіх співробітників: це величезна діра в безпеці. Якщо один працівник звільняється зі скандалом або просто губить свій ноутбук, вам доведеться переналаштовувати підключення абсолютно всім іншим колегам. Кожен користувач і кожен пристрій повинні мати свій власний унікальний конфіг (у WireGuard) або окремий сертифікат (в OpenVPN), який можна відкликати в один клік.

Як краще зробити

Якщо ви хочете побудувати дійсно швидку, надійну та зручну мережу для віддаленої роботи, я раджу підходити до процесу системно:

1. Зрозумійте різницю в архітектурі протоколів.
Чому WireGuard такий швидкий? Секрет криється в його архітектурі. Він інтегрований безпосередньо в ядро операційної системи (Linux, а також підтримується на рівні ядра в сучасних версіях RouterOS від MikroTik). OpenVPN працює в так званому просторі користувача (user space). Це означає, що при передачі кожного пакету операційній системі доводиться постійно перемикати контекст між ядром та програмою, копіюючи дані в пам’яті туди-сюди. Це створює колосальні накладні витрати, які особливо помітні на слабких процесорах роутерів.

2. Переведіть мобільних та віддалених працівників на WireGuard.
WireGuard використовує сучасну і дуже швидку криптографію (зокрема, алгоритм ChaCha20-Poly1305), яка чудово працює навіть на недорогих смартфонах та роутерах без спеціальних чіпів апаратного шифрування. Крім того, у WireGuard немає класичного поняття “встановленого з’єднання” чи сесії. Якщо ваш співробітник їде в машині чи метро, і його телефон постійно перемикається між різними вишками зв’язку або Wi-Fi мережами, WireGuard просто продовжує надсилати пакети на нову IP-адресу. Користувач взагалі не помічає перебоїв — для нього все працює безперервно, без довгих очікувань перепідключення.

3. Тонко налаштуйте розмір MTU.
Для стабільної роботи WireGuard дуже важливо правильно підібрати розмір MTU. У більшості випадків оптимальним значенням є 1420. Якщо ж ваші співробітники часто підключаються через мобільний інтернет (3G/4G), де оператори додають свої службові заголовки, краще знизити MTU до 1412 або навіть 1360. Це повністю виключить фрагментацію пакетів і забезпечить максимальну швидкість без втрат.

4. Залиште OpenVPN як надійний резервний варіант.
Оскільки WireGuard працює виключно за протоколом UDP, його набагато простіше заблокувати. Деякі провайдери в готелях, публічних мережах або за кордоном можуть обмежувати UDP-трафік. Тому гарною практикою є налаштування резервного каналу на базі OpenVPN, який працює через TCP-порт 443. З боку провайдера такий трафік виглядає як звичайне відвідування безпечного сайту (HTTPS), тому заблокувати його практично неможливо без повного відключення інтернету.

5. Не забувайте про загальну безпеку інфраструктури.
Швидкий та стабільний VPN-тунель — це лише половина справи. Важливо, щоб сервер, до якого підключаються користувачі, сам по собі був надійно захищений. Потрібно регулярно оновлювати операційну систему, закривати всі зайві порти ззовні та обов’язково налаштувати резервні копії та базова безпека. Це захистить ваші дані від вірусів-вимагачів, які можуть потрапити в мережу через заражений домашній комп’ютер когось із працівників.

Коли звертатись до адміністратора

Звичайно, підняти найпростіший VPN за інструкцією з інтернету може практично кожен, хто хоч трохи дружить з технікою. Але є завдання, де помилки коштують надто дорого, і краще залучити досвідченого спеціаліста:

• Коли потрібно оновити критично важливе обладнання: перехід MikroTik з RouterOS v6 на v7 (що необхідно для роботи WireGuard) на діючому офісному роутері — це завжди ризик. Якщо у вас налаштовані складні правила маршрутизації, скрипти або кілька інтернет-провайдерів, оновлення може “зламати” мережу, і офіс залишиться без зв’язку.
• Коли швидкість все одно низька: якщо ви налаштували WireGuard, канали зв’язку у всіх швидкі, але робота все одно гальмує. Тут потрібна глибока діагностика: аналіз таблиць маршрутизації, пошук конфліктів IP-адрес, перевірка затримок на стороні провайдерів та оптимізація налаштувань операційної системи.
• Коли потрібно об’єднати кілька офісів чи складів (Site-to-Site): побудова стабільного тунелю між кількома роутерами з автоматичним перемиканням на резервних провайдерів вимагає розуміння динамічної маршрутизації (наприклад, OSPF) та правильного налаштування правил файрволу, щоб мережі не заважали одна одній.
• Коли потрібно налаштувати безпечний доступ до робочих столів: якщо вам потрібно інтегрувати VPN з Active Directory, розмежувати права доступу для різних відділів (щоб менеджери не мали доступу до бухгалтерії) та надійно захистити RDP-підключення.

Якщо вам потрібна професійна допомога з налаштуванням серверів, віддалених робочих столів або бухгалтерських програм, ви можете детальніше ознайомитися з моєю послугою налаштування Windows Server, RDS та M.E.Doc.

FAQ

1. Чи правда, що WireGuard менш безпечний, ніж OpenVPN, бо він новіший?
Ні, це абсолютно не так. WireGuard використовує сучасні та перевірені криптографічні алгоритми (наприклад, Curve25519, ChaCha20, Poly1305), які сьогодні є стандартом індустрії. Головна перевага WireGuard — лаконічність його коду. Він містить близько 4 000 рядків коду, тоді як у OpenVPN їх більше 100 000. Маленький обсяг коду означає, що його набагато легше перевірити на наявність помилок, уразливостей чи бекдорів. Тому з точки зору безпеки WireGuard є надзвичайно надійним.

2. Що робити, якщо провайдер блокує WireGuard?
Таке іноді трапляється в деяких готелях, публічних Wi-Fi мережах або за кордоном, оскільки WireGuard працює виключно по протоколу UDP. Найкраще вирішення цієї проблеми — тримати на офісному сервері або роутері резервний тунель OpenVPN, налаштований на роботу через TCP-порт 443. Такий трафік практично неможливо відрізнити від звичайного перегляду веб-сайтів, тому він легко проходить через будь-які обмеження.

3. Чи можна налаштувати WireGuard на старому роутері?
Якщо ми говоримо про обладнання MikroTik, то підтримка цього протоколу з’явилася лише в RouterOS v7. Якщо ваш роутер занадто старий і не підтримує сьому версію системи (наприклад, через брак оперативної чи флеш-пам’яті), запустити WireGuard безпосередньо на ньому не вийде. Проте є вихід: тунель можна підняти на будь-якому офісному сервері або комп’ютері (на базі Windows або Linux), а на роутері просто зробити прокидання портів.

4. Як перехід на WireGuard вплине на роботу термінального сервера (RDS)?
Вплив буде дуже помітним і позитивним. Завдяки низьким затримкам та швидкій обробці пакетів, відгук інтерфейсу на віддаленому робочому столі стане значно швидшим — зникне відчуття “важкого” курсора. Крім того, якщо у користувача на секунду пропаде зв’язок на мобільному інтернеті, WireGuard миттєво відновить тунель без повторної авторизації, і сесія RDS навіть не встигне обірватися.

5. Чи потрібно купувати якісь ліцензії для використання WireGuard?
Ні, WireGuard — це повністю безкоштовний проект з відкритим вихідним кодом. Вам не потрібно платити за ліцензії чи підписки, незалежно від кількості підключених пристроїв чи серверів. Ви платите лише за саме налаштування, якщо залучаєте для цього спеціаліста.