Содержание:
- Что такое VPN-протокол и для чего он нужен
- Как работают VPN-протоколы
- По каким параметрам различаются VPN-протоколы
- Основные виды VPN-протоколов
- Чем TCP отличается от UDP при работе VPN
- Сравнение популярных VPN-протоколов
- Какие VPN-протоколы считаются устаревшими
- ГОСТ-VPN и требования регуляторов
- Какой VPN-протокол выбрать
- От чего зависит безопасность VPN-соединения
- VPN-шлюз в виртуальной инфраструктуре
- Главное по теме
VPN (виртуальная частная сеть) создает защищенный канал между устройством и удаленным сервером. Его свойства определяет VPN-протокол: он задает порядок подключения, обмен ключами, проверку подлинности сторон, шифрование и передачу пакетов. Поэтому протокол выбирают по задаче, устройству, качеству сети и требованиям к защите.
Что такое VPN-протокол и для чего он нужен
VPN-протокол — набор правил, по которым клиентское устройство и VPN-сервер создают, поддерживают и завершают защищенное соединение. Он определяет способ туннелирования, аутентификации, обмена ключами и контроля целостности данных. Протокол не следует путать с VPN-сервисом, приложением или алгоритмом шифрования: сервис предоставляет серверы, приложение управляет подключением, а алгоритм защищает содержимое трафика.
VPN применяют для удаленного доступа сотрудников, объединения офисов и облачных сетей, безопасного администрирования серверов и защиты трафика в общественных беспроводных сетях. Один и тот же сценарий можно реализовать разными протоколами, но скорость, задержка, устойчивость и совместимость будут отличаться.
Как работают VPN-протоколы
Клиент обращается к VPN-серверу. Стороны согласуют параметры соединения, проверяют сертификат, учетные данные или заранее установленный ключ, затем создают сеансовые ключи. Исходные пакеты помещаются внутрь новых пакетов — это называется инкапсуляцией. Получившийся поток передается через защищенный туннель.
Не все протоколы работают так. WireGuard пропускает этап согласования алгоритмов: набор криптографии в нем зафиксирован, а стороны опознают друг друга по заранее обменянным открытым ключам.
Сервер снимает внешний заголовок, расшифровывает данные и направляет их в корпоративную сеть или к интернет-ресурсу. Ответ проходит обратный путь. Такая схема защищает участок между клиентом и VPN-шлюзом. Дальше по маршруту трафик идет в открытом виде, поэтому конечные серверы защищают отдельно.
Надежное соединение включает четыре процесса:
- аутентификацию сторон;
- безопасный обмен ключами;
- шифрование содержимого;
- проверку целостности пакетов.
По каким параметрам различаются VPN-протоколы
Протоколы нельзя сравнивать только по скорости. Быстрое решение может не работать в ограниченной сети, а совместимый вариант — создавать лишнюю нагрузку. Важно учитывать безопасность, задержку, стабильность, поддержку устройств и прохождение межсетевых экранов.
Безопасность и алгоритмы шифрования
Современный протокол должен поддерживать надежное шифрование, безопасный обмен ключами и проверку целостности. WireGuard применяет ChaCha20-Poly1305 и передает пакеты через UDP. OpenVPN использует TLS (протокол защиты транспортного уровня) для управления защищенным соединением. IKEv2 является протоколом согласования внутри стека IPsec. Он выполняет аутентификацию сторон и создает ассоциации безопасности, после чего ESP шифрует и проверяет целостность IP-пакетов. Запись IKEv2/IPsec указывает на эту связку, а не на объединение двух отдельных протоколов — в отличие от L2TP/IPsec, где L2TP разработан независимо.
Название алгоритма не гарантирует безопасность. Важны проверка сертификата, хранение ключей, запрет устаревших настроек, обновление программ и качество реализации. Открытый исходный код облегчает независимую проверку, но не заменяет полноценный анализ безопасности.
Скорость, стабильность и совместимость
Скорость зависит от объема служебных данных, количества уровней инкапсуляции, мощности процессора, расстояния до сервера, загрузки канала и потерь пакетов. WireGuard обычно дает небольшую задержку. OpenVPN через UDP чаще быстрее режима TCP. L2TP/IPsec создает дополнительный уровень обработки пакетов. Поэтому скорость измеряют на своем оборудовании и своем маршруте. Чужие тесты дают только порядок величин.
Для смартфонов важна устойчивость при смене сети. Расширение MOBIKE позволяет IKEv2/IPsec сохранять сеанс при переходе с Wi-Fi на мобильную связь. Для работы IPsec за маршрутизаторами применяется NAT-T — передача защищенных пакетов через UDP-порт 4500.
Основные виды VPN-протоколов
PPTP
PPTP — ранний протокол с простой настройкой и небольшой нагрузкой. Однако он использует устаревшие механизмы аутентификации и защиты. Известные слабости MS-CHAPv2 делают его непригодным для передачи паролей, документов, платежных данных и организации корпоративного доступа. На старом оборудовании PPTP еще встречается, но для новой инфраструктуры его выбирать не следует.
SSTP
SSTP передает трафик внутри HTTPS-соединения и обычно использует TCP-порт 443. Это помогает подключаться из сетей, где разрешен защищенный веб-трафик. SSTP был разработан Microsoft и спецификации протокола остаются закрытыми до сих пор. В Windows он встроен в систему и работает надежно. За ее пределами клиентов мало, а независимо проверить код нельзя. Использование порта 443 не гарантирует полной маскировки, а TCP может увеличить задержку при потерях пакетов.
L2TP/IPsec и IKEv2/IPsec
L2TP создает туннель второго уровня, но сам не обеспечивает надежного шифрования, поэтому его объединяют с IPsec. Такая схема широко поддерживается старыми системами, однако двойная обработка пакетов повышает накладные расходы. Фиксированные порты также могут упростить блокировку соединения.
IKEv2 выполняет взаимную аутентификацию, согласует параметры и создает ассоциации безопасности, а IPsec шифрует и проверяет IP-пакеты. Это сочетание быстро устанавливает соединение, поддерживает сертификаты и хорошо подходит для мобильных устройств. MOBIKE помогает сохранять сеанс при смене адреса или сетевого интерфейса.
OpenVPN
OpenVPN — гибкий протокол с открытым исходным кодом. Он работает через UDP или TCP, поддерживает сертификаты, учетные данные и различные схемы маршрутизации. В руководстве OpenVPN 2.6 режимом по умолчанию указан UDP. Для TCP одна сторона настраивается как сервер, другая — как клиент.
UDP подходит для большинства задач, чувствительных к задержке. TCP используют, когда UDP ограничен. OpenVPN поддерживается основными настольными и мобильными системами, а также многими маршрутизаторами. Его недостатки — более сложная настройка и зависимость скорости от выбранных параметров.
WireGuard
WireGuard — современный протокол с компактной архитектурой и фиксированным набором криптографических механизмов. Все пакеты передаются через UDP, а для защиты применяется ChaCha20-Poly1305. Такой подход уменьшает сложность согласования алгоритмов и обычно снижает накладные расходы.
WireGuard подходит для повседневной работы, потокового видео, видеосвязи, игр и мобильного доступа. Собственного режима TCP у него нет. Если сеть полностью блокирует UDP, потребуется другой протокол или дополнительный способ маскировки.
Чем TCP отличается от UDP при работе VPN
TCP (протокол управления передачей) контролирует порядок пакетов, подтверждает доставку и повторно отправляет потерянные данные. UDP (протокол пользовательских датаграмм) передает отдельные сообщения без такого контроля, поэтому создает меньше служебных расходов. OpenVPN поддерживает оба варианта, WireGuard работает только через UDP.
TCP-режим VPN не всегда стабильнее. Когда обычный TCP-трафик помещают в туннель, который тоже работает через TCP, два уровня независимо реагируют на потери. Повторные передачи накладываются друг на друга и повышают задержку. Поэтому OpenVPN TCP выбирают прежде всего при блокировке UDP.
Практическая схема выбора:
- UDP — игры, видеосвязь, потоковое видео и удаленный рабочий стол;
- TCP — сети с жесткими правилами, где UDP запрещен;
- смена порта — способ повысить доступность, но не гарантия скрытия VPN-трафика.
Сравнение популярных VPN-протоколов
Значения ниже — ориентир для быстрого сравнения. Колонку скорости читайте как порядок величин: точный результат зависит от оборудования и сети
| Протокол | Защита | Скорость | Совместимость | Основной сценарий |
| PPTP | Низкая | Высокая: мало служебных данных, легкий шифр MPPE | Старые системы | Не использовать для защищенных данных |
| SSTP | Высокая при современной настройке | Средняя | Прежде всего Windows | Сети с доступным TCP 443 |
| L2TP/IPsec | Достаточная при надежной настройке | Средняя | Широкая встроенная поддержка | Совместимость со старыми системами |
| IKEv2/IPsec | Высокая | Высокая | Мобильные и корпоративные устройства | Смартфоны, удаленный доступ |
| OpenVPN UDP | Высокая | Высокая | Очень широкая | Универсальное подключение |
| OpenVPN TCP | Высокая | Ниже из-за TCP | Очень широкая | Сети, блокирующие UDP |
| WireGuard | Высокая | Высокая | Современные платформы | Видео, игры, мобильный доступ |
Показатели в таблице относительны. Итог зависит от сервера, процессора, маршрута, MTU — максимального размера пакета без фрагментации, потерь и загрузки канала.
Какие VPN-протоколы считаются устаревшими
Однозначно устаревшим считается PPTP. Его слабая аутентификация перечеркивает преимущества простоты и скорости.
L2TP/IPsec нельзя ставить с PPTP в один ряд по безопасности: трафик в этом сочетании защищает IPsec. Для новых систем L2TP/IPsec обычно выбирают только ради совместимости. Он уступает WireGuard, OpenVPN и IKEv2/IPsec по эффективности.
SSTP не становится небезопасным только из-за возраста. Его ограничения — зависимость от TCP, ориентация на Windows и менее универсальная программная среда. В существующей инфраструктуре он может оставаться рабочим решением.
ГОСТ-VPN и требования регуляторов
В государственных информационных системах и при защите персональных данных выбор протокола ограничен не только техникой. Требования 152-ФЗ и приказов ФСТЭК, а для криптографии — требования ФСБ, предполагают средства защиты с действующим сертификатом. Такие продукты используют алгоритмы ГОСТ Р 34.12-2015 («Кузнечик», «Магма») и ГОСТ Р 34.10-2012 и строят туннель поверх собственной реализации IPsec или TLS с ГОСТ-наборами шифров.
Практический вывод: WireGuard, OpenVPN и IKEv2/IPsec закрывают внутренние и корпоративные задачи, где нет требования к сертифицированной криптографии. Там, где оно есть, протокол выбирают не из этого списка, а из перечня сертифицированных решений.
Какой VPN-протокол выбрать
Выбор зависит от модели угроз, устройства, типа сети, требуемой скорости, способа аутентификации и поддержки на сервере. Универсального лучшего протокола для всех условий нет.
Для компьютеров и мобильных устройств
Для современного компьютера базовым выбором обычно становится WireGuard. OpenVPN UDP подойдет, когда нужны гибкая маршрутизация, разные способы аутентификации или совместимость с существующим сервером.
Для смартфона подходят WireGuard и IKEv2/IPsec. Последний особенно удобен при частых переходах между Wi-Fi и мобильной сетью благодаря MOBIKE. L2TP/IPsec имеет смысл только при отсутствии более современных вариантов.
Для удаленного доступа и корпоративной сети
В корпоративной среде важны управление сертификатами, учетными записями, правами и отзывом ключей. IKEv2/IPsec подходит для управляемых устройств и сертификатной аутентификации. OpenVPN удобен для смешанного парка техники и сложных правил маршрутизации. WireGuard дает высокую производительность, но централизованное управление пользователями обычно реализуется внешней системой. Кроме того, WireGuard не назначает адреса динамически: пару «открытый ключ — внутренний IP» задают в конфигурации. При парке в сотни устройств это требует системы автоматической выдачи конфигураций.
Для соединения офисов выбор зависит от шлюзов. При встроенной поддержке IPsec его проще интегрировать. Для программного туннеля между серверами практичны WireGuard и OpenVPN.
Для высокой скорости и стабильного соединения
Для небольшой задержки обычно выбирают WireGuard или OpenVPN UDP. IKEv2/IPsec хорошо работает в мобильных сетях. OpenVPN TCP используют как запасной вариант, когда UDP заблокирован.
Перед сменой протокола нужно проверить:
- расстояние до сервера и его загрузку;
- потери пакетов и качество маршрута;
- значение MTU и наличие фрагментации;
- мощность процессора маршрутизатора;
- правила межсетевого экрана и преобразования сетевых адресов;
- дополнительную маскировку или двойное туннелирование.
От чего зависит безопасность VPN-соединения
Безопасность определяет вся система, а не только протокол. WireGuard, OpenVPN или IKEv2/IPsec можно ослабить неверной настройкой, слабым паролем, ошибкой проверки сертификата или устаревшей программой.
При оценке соединения важно проверить:
- современность шифрования и обмена ключами;
- проверку сертификата и имени сервера;
- многофакторную аутентификацию для корпоративного доступа;
- правила выдачи, хранения и отзыва ключей;
- защиту DNS-запросов и IPv6-трафика;
- блокировку обычного доступа при разрыве туннеля;
- своевременное обновление клиента и сервера;
- результаты независимой проверки конкретной реализации.
VPN-шлюз в виртуальной инфраструктуре
VPN-шлюз можно вынести на отдельное железо, а можно развернуть виртуальной машиной внутри кластера. Второй вариант снимает привязку к конкретному серверу, но добавляет факторы, которых нет у аппаратного шлюза.
Шифрование упирается в процессор. Скорость туннеля ограничивает не канал, а способность vCPU шифровать поток. AES ускоряется инструкциями AES-NI: если хост их поддерживает и они проброшены в ВМ, OpenVPN и IPsec с AES работают на аппаратной скорости. Там, где ускорения AES нет, WireGuard с ChaCha20-Poly1305 обгоняет их, этот шифр рассчитан на программное исполнение.
Виртуальная сеть становится узким местом. Трафик шлюза проходит через виртуальный коммутатор хоста, и на нем теряется часть пропускной способности. Для нагруженного шлюза сетевой адаптер пробрасывают в ВМ напрямую или задействуют SR-IOV, тогда виртуальная машина работает с физической картой в обход коммутатора.
Отказоустойчивость решается на уровне платформы. Аппаратный шлюз при отказе сервера выходит из строя целиком. Шлюз-ВМ переносят на другой узел кластера, и сетевой доступ восстанавливается без замены оборудования.
Платформа виртуализации SpaceVM (реестр российского ПО №16085, разработчик ДАКОМ М) размещает VPN-шлюз как виртуальную машину и переносит ее между узлами кластера. Кластер масштабируется до 96 хостов, поэтому шлюзы разносят по разным узлам и балансируют нагрузку. Такая схема закрывает задачу импортозамещения сетевой инфраструктуры: шлюз, гипервизор и система управления работают на решении из реестра отечественного ПО.
Главное по теме
Для большинства пользовательских сценариев разумной отправной точкой остается WireGuard. OpenVPN подходит для разных платформ и сложных сетей. IKEv2/IPsec удобен на мобильных устройствах и в корпоративной инфраструктуре. L2TP/IPsec стоит сохранять ради совместимости, SSTP — для отдельных сценариев Windows, а PPTP следует исключить из вариантов для защищенной передачи данных.
