OpenVPN

OpenVPN появился в 2001 году, когда защищённые туннели были принадлежностью корпораций и требовали дорогого оборудования. Идея была в том, чтобы собрать то же самое из открытых частей и запустить обычным приложением, без специальной техники и без правок в ядре системы.

Получилось универсально. OpenVPN работает как обычная программа, поэтому его можно перенести куда угодно — на роутер, на сетевое хранилище, на любую систему, для которой есть компилятор. Гибкость настройки шла оттуда же: раз всё делает приложение, оно может делать это как угодно.

Обратная сторона проявилась позже. Приложение работает медленнее ядра, а рукопожатие, спроектированное во времена, когда никто не разбирал трафик на лету, легко опознаётся современными системами фильтрации. За 20 с лишним лет его изучили вдоль и поперёк — и те, кто им пользуется, и те, кто его блокирует.

Настройка приходит с двумя вариантами захода сразу: основной поверх UDP и запасной поверх TCP. Клиент пробует первый, а если тот не прошёл, сам переключается на второй — без вашего участия и без перенастройки.

Запасной заход выручает в сетях, где UDP закрыт целиком: там, где Hysteria2 и WireGuard просто не поднимутся, OpenVPN доедет по TCP, хоть и медленнее.

Маскировки при этом нет ни в одном из вариантов. Рукопожатие у него собственное и хорошо известное; система фильтрации, которая разбирает трафик, опознаёт его так же уверенно, как WireGuard. Переход на TCP помогает против запрета транспорта, но не против разбора содержимого.

Работает везде. Список поддерживающих его устройств шире, чем у любого другого протокола: роутеры, старые системы, корпоративная техника, сетевые хранилища.

Сам переключается на запасной вариант, когда основной не прошёл. Ни один другой протокол на сервере так не умеет — там переключение делаете вы.

Предсказуем и изучен досконально. За долгие годы большинство его слабых мест нашли и закрыли, а на любой симптом уже есть разобранный случай.

Гибко настраивается: маршруты, DNS-серверы, правила для отдельных приложений — всё это описывается в конфигурации, а не подгоняется под ограничения протокола.

Медленнее остальных, и заметно. Он появился до того, как шифрование научились делать дёшево, и работает не в ядре системы, а обычным приложением. На быстром канале упирается в это первым.

Опознаётся системами фильтрации. Там, где трафик разбирают, он отсекается наравне с WireGuard, и запасной заход через TCP от этого не спасает.

Расходует батарею заметно быстрее экономичных протоколов: приложение работает постоянно и не даёт устройству спокойно спать.

Настройка приходит отдельным файлом, а не общей ссылкой со всеми способами сразу.

Клиентские приложения у него тяжелее и старомоднее, а на некоторых системах требуют лишних разрешений при установке.

Берите, когда нужное устройство не умеет ничего другого. Сегодня это главная причина его выбрать, и причина серьёзная: роутеры и старая техника часто как раз такие.

Хорош как последний шанс в незнакомой сети: он сам попробует оба захода, и один из них, скорее всего, пройдёт.

Для телефона и ноутбука предпочитайте что угодно другое: остальные протоколы быстрее, незаметнее и меньше расходуют заряд.

WireGuard и AmneziaWG быстрее OpenVPN и экономнее к батарее: они работают в ядре системы и не тратят время на переговоры о шифрах. OpenVPN выигрывает совместимостью и запасным заходом по TCP: там, где UDP закрыт, WireGuard и AmneziaWG не поднимутся, а OpenVPN переключится сам.

Если нужен именно заход по TCP, а на устройство можно поставить приложение, VLESS + WebSocket справится лучше: он тоже работает поверх TCP, но выглядит как обычный веб, а не как VPN.

• OpenVPN

  Транспорт

  UDP и запасной TCP

  Как выглядит в сети

  узнаваемый OpenVPN

  Сертификат

  выпускается сам

  Если UDP закрыт

  проходит

  Скорость

  низкая

  Батарея

  высокий расход

  Мобильная сеть

  средне

• WireGuard

  Транспорт

  UDP

  Как выглядит в сети

  узнаваемый WireGuard

  Сертификат

  не нужен

  Если UDP закрыт

  не проходит

  Скорость

  самая высокая

  Батарея

  минимальный расход

  Мобильная сеть

  хорошо

• AmneziaWG

  Транспорт

  UDP

  Как выглядит в сети

  неопознанный UDP-поток

  Сертификат

  не нужен

  Если UDP закрыт

  не проходит

  Скорость

  очень высокая

  Батарея

  минимальный расход

  Мобильная сеть

  хорошо

• VLESS + WebSocket

  Транспорт

  TCP

  Как выглядит в сети

  WebSocket поверх HTTPS

  Сертификат

  выпускается сам

  Если UDP закрыт

  проходит

  Скорость

  средняя

  Батарея

  средний расход

  Мобильная сеть

  средне

Скорость и расход батареи — сравнительные оценки, а не замеры. Свой домен не нужен ни одному протоколу: где нужен сертификат, он выпускается на служебное имя сервера автоматически.

Все протоколы в одной таблице — на странице о протоколах.

Приложения бесплатные, ссылки ведут в официальные магазины и на страницы релизов разработчиков.

• Android: OpenVPN Connect
• iPhone и iPad: OpenVPN Connect
• Windows: OpenVPN Connect
• macOS: OpenVPN Connect; подойдут и Tunnelblick
• Linux: OpenVPN Connect; подойдут и openvpn

Как добавить: скачайте файл client.ovpn в личном кабинете и импортируйте его в приложении («+» → «Импорт из файла»), на телефоне можно отсканировать QR-код.

Протоколу нужен настоящий сертификат: он выпускается и продлевается при установке автоматически, от вас тут ничего не требуется.

Пошаговые инструкции по платформам: Android, iPhone и iPad, Windows, macOS, Linux; все вместе — в разделе инструкций.

Протокол прячет содержимое соединения от сети по дороге, но не делает вас анонимным: сайты по-прежнему узнают вас по учётным записям и cookie, хостинг видит трафик своего сервера, а объём и время соединений скрыть нельзя. Что при этом видит сам сервис, разобрано в разделе о безопасности.

Выбирать один протокол не нужно: на сервере поднимаются все сразу, каждый на своём порту, и переключение занимает пару нажатий. Разбор остальных — на странице о протоколах.