WireGuard, nie OpenVPN — to dziś domyślny wybór w większości nowych wdrożeń VPN. Prostszy, szybszy, łatwiejszy do zabezpieczenia. Ale żeby zrozumieć, dlaczego, trzeba spojrzeć na oba rozwiązania osobno, bo różnica nie sprowadza się do jednej liczby w benchmarku.
Gdy pada pytanie o VPN dla firmy, prędzej czy później pojawia się drugie: OpenVPN czy WireGuard? Przez dwie dekady OpenVPN był branżowym standardem — i słusznie, bo działał tam, gdzie inne rozwiązania zawodziły. WireGuard, obecny od 2016 roku i wbudowany dziś wprost w jądro Linuksa, szybko go wyprzedza. Sprawdźmy, dlaczego.
OpenVPN — sprawdzony, ale ciężki
OpenVPN opiera się na TLS i jest ogromnie konfigurowalny. Obsługuje mnóstwo trybów pracy i scenariuszy sieciowych — tunel warstwy 2 albo 3, negocjowany zestaw szyfrów, własne skrypty uruchamiane przy połączeniu. Ta elastyczność ma cenę: rozbudowany kod (około 100 tysięcy linii), większą powierzchnię do błędów i zauważalnie wyższy narzut na wydajność — szczególnie na słabszym sprzęcie i połączeniach mobilnych.
Sęk w tym, że OpenVPN negocjuje połączenie na nowo praktycznie za każdym razem — pełny handshake TLS, wymiana certyfikatów, ustalenie szyfrów. Na stabilnym łączu biurowym tego nie widać. Na telefonie przełączającym się z Wi-Fi na LTE w windzie — już tak. Każda taka zmiana adresu IP oznacza zerwanie tunelu i renegocjację od zera — kilka sekund przerwy, zanim połączenie wróci.
Do tego dochodzi MTU i fragmentacja pakietów — enkapsulacja w TLS dokłada narzut, który na niektórych sieciach (podwójny NAT, restrykcyjne firewalle operatorów mobilnych) potrafi powodować gubienie pakietów i konieczność ręcznego strojenia ustawień, żeby tunel w ogóle stabilnie działał.
WireGuard — prostota jako zaleta bezpieczeństwa
WireGuard zaprojektowano od zera z myślą o minimalizmie. Wąski, nowoczesny zestaw sprawdzonych algorytmów (Curve25519, ChaCha20, Poly1305, BLAKE2s) i około 4 tysiące linii kodu — jakieś 25 razy mniej niż OpenVPN. Mniej kodu to łatwiejszy audyt i mniej miejsc, w których może czaić się błąd. To nie jest drobna różnica kosmetyczna: krótszy kod da się realnie przeczytać linia po linii, co dla protokołu odpowiedzialnego za bezpieczeństwo całej sieci firmowej ma ogromne znaczenie.
Największa różnica jest architektoniczna: WireGuard nie negocjuje zestawu szyfrów przy każdym połączeniu — jest on ustalony raz, w samym protokole. Brzmi to jak ograniczenie, ale to świadoma decyzja projektowa: eliminuje całą klasę ataków związanych z wymuszaniem słabszego szyfrowania (downgrade attacks), które od czasu do czasu dotykały bardziej elastyczne protokoły.
Drugi istotny element to obsługa roamingu. WireGuard identyfikuje urządzenie po kluczu kryptograficznym, nie po adresie IP i porcie. Zmiana sieci — z biurowego Wi-Fi na LTE, z LTE na hotelowe Wi-Fi — nie zrywa tunelu. Połączenie po prostu kontynuuje działanie z nowego adresu, bez zauważalnej przerwy. Dla pracownika w podróży to różnica między „VPN działa w tle” a „VPN trzeba co chwilę włączać na nowo”.
Na co dzień widać to od razu: WireGuard pracuje bliżej jądra systemu, łączy się błyskawicznie i zużywa mniej zasobów. Na laptopie pracownika zdalnego ta różnica jest odczuwalna, nie teoretyczna.
Wydajność w liczbach
Niezależne testy przepustowości powtarzają ten sam wzorzec: na identycznym sprzęcie WireGuard regularnie osiąga przepustowość bliską maksimum łącza (rzędu gigabita na sekundę na nowoczesnym sprzęcie), podczas gdy OpenVPN w trybie UDP z szyfrowaniem AES potrafi tracić 30–50% teoretycznej przepustowości ze względu na narzut przetwarzania w przestrzeni użytkownika. Różnica rośnie jeszcze bardziej na słabszych urządzeniach — routerach domowej klasy czy starszych laptopach — gdzie OpenVPN potrafi zjadać znacznie więcej mocy obliczeniowej procesora niż WireGuard przy tym samym ruchu.
Mity, które warto rozbroić
Najczęstszy zarzut wobec WireGuard brzmi: „to zbyt nowe, żeby ufać mu produkcyjnie”. Dziś to już nieaktualny argument. WireGuard trafił do jądra Linuksa w wersji 5.6 (2020 rok) po wielokrotnych, niezależnych audytach bezpieczeństwa. Stoi za nim dziś infrastruktura Cloudflare Warp, Tailscale czy Mullvad — trudno o poważniejsze referencje produkcyjne dla protokołu VPN.
Drugi mit: „WireGuard nie loguje adresów IP, więc jest mniej audytowalny”. To akurat prawda w warstwie samego protokołu — i świadomy wybór twórców, nie przeoczenie. W firmowym środowisku logowanie i audyt realizuje się na poziomie warstwy zarządzania dostępem (np. NetBird), nie samego tunelu kryptograficznego.
Kiedy OpenVPN nadal ma sens
Nie każde środowisko powinno migrować natychmiast. OpenVPN broni się tam, gdzie liczy się maksymalna elastyczność konfiguracji: nietypowe scenariusze routingu, integracja z bardzo starym sprzętem sieciowym bez wsparcia dla WireGuard, albo restrykcyjne wymogi audytowe wymuszające negocjowany, a nie stały zestaw szyfrów. To rzadsze przypadki, ale realne — zwłaszcza w dużych, sformalizowanych organizacjach z ugruntowanymi procedurami bezpieczeństwa.
Porównanie w skrócie
- Bezpieczeństwo: WireGuard — mniejszy kod, nowocześniejsza kryptografia, łatwiejszy audyt, brak podatności na downgrade ataki.
- Wydajność: WireGuard — niższe opóźnienia, wyższa przepustowość, mniejsze zużycie procesora, zwłaszcza na słabszym sprzęcie.
- Roaming i urządzenia mobilne: WireGuard — płynne przełączanie sieci bez zrywania tunelu.
- Elastyczność konfiguracji: OpenVPN — więcej trybów pracy dla nietypowych scenariuszy sieciowych.
- Prostota zarządzania: WireGuard — krótsza konfiguracja, a w połączeniu z NetBird zarządzanie dostępem robi się jeszcze prostsze.
Który wybrać — konkretne scenariusze
- Mała lub średnia firma budująca VPN od zera: WireGuard, najczęściej w formie gotowego rozwiązania jak NetBird — mniej pracy przy konfiguracji, lepsza wydajność od pierwszego dnia.
- Zespół często pracujący zdalnie, w podróży, na słabszym Wi-Fi: WireGuard — roaming i niższy narzut realnie poprawiają codzienną pracę.
- Duża organizacja z istniejącym, dobrze udokumentowanym OpenVPN: migracja ma sens, ale nie musi być pilna — warto zaplanować ją przy okazji wymiany sprzętu albo audytu bezpieczeństwa, nie w pośpiechu.
- Środowisko z bardzo starym sprzętem sieciowym: sprawdzić wsparcie dla WireGuard przed migracją — na nowszym sprzęcie to zwykle formalność, na starszym może wymagać aktualizacji firmware.
Pytanie nie brzmi, który protokół jest teoretycznie lepszy. Brzmi: który da się sensownie utrzymać przez najbliższe lata.
Migracja bez przestoju
Przejście z OpenVPN na WireGuard nie oznacza przerwy w pracy firmy. Nowa sieć staje równolegle do istniejącego VPN-a, a użytkownicy przełączają się stopniowo — stare połączenie działa, dopóki nie przejdzie ostatnia osoba. Cały proces rozkłada się na dni, nie godziny, właśnie po to, żeby nikt nie został odcięty od zasobów firmy w środku pracy.
Zresztą WireGuard rzadko wdraża się dziś w czystej, „gołej” formie. Częściej w postaci gotowego rozwiązania, które dokłada zarządzanie dostępem i urządzeniami. Piszę o tym szerzej w artykule o NetBird, VPN opartym na WireGuard.