WireGuard vs OpenVPN

WireGuard is ontworpen met snelheid in gedachten. OpenVPN was dat niet. Daarom is WireGuard aanzienlijk sneller dan OpenVPN.

Het WireGuard protocol is geoptimaliseerd om meerdere processorkernen tegelijk te gebruiken en het gebruikt snellere encryptiemethoden.

WireGuard’s eigen metingen suggereren dat hun protocol minstens 3 keer sneller is dan OpenVPN – met een doorvoersnelheid van 1011Mbps, vergeleken met OpenVPN’s 258Mbps.

Het WireGuard team geeft echter toe dat deze resultaten “oud en roestig en niet super goed uitgevoerd” zijn.

Daarom hebben we de tests zelf uitgevoerd om te zien welk protocol sneller is.

WireGuard is sneller dan OpenVPN bij de meeste VPN’s

NordVPN is een uitstekende VPN-aanbieder die als een van de eersten zowel WireGuard als OpenVPN ondersteunde. Het is daarom ideaal om een snelheidstest mee uit te voeren.

We maakten verbinding met NordVPN servers over de hele wereld met het OpenVPN (UDP) protocol of het NordLynx (WireGuard) protocol en registreerden onze verbindingssnelheden.

Hier is een samenvatting van onze OpenVPN versus WireGuard snelheidsbevindingen:

Serverlocatie	OpenVPN (UDP)	WireGuard (NordLynx)
Verenigde Staten	142Mbps	254Mbps (79% sneller)
Verenigd Koninkrijk	135Mbps	286Mbps (112% sneller)
Duitsland	131Mbps	277Mbps (111% sneller)
Japan	139Mbps	269Mbps (94% sneller)
Australië	118Mbps	207Mbps (75% sneller)

Als alternatief is hier een visuele weergave van onze OpenVPN- versus WireGuard-snelheidsbevindingen:

 

Uit onze resultaten bleek dat WireGuard consequent meer dan 75% sneller was dan OpenVPN, ongeacht waar ter wereld we verbinding maakten.

Bij verbindingen over kortere afstanden was het verschil zelfs nog groter, waarbij WireGuard meer dan twee keer zo snel was als OpenVPN.

Deze resultaten komen overeen met wat NordVPN zelf zag bij het vergelijken van NordLynx en OpenVPN. Ze voerden een maand lang dagelijks 8.200 geautomatiseerde tests uit en kwamen tot de conclusie dat NordLynx tot 2 keer sneller is dan OpenVPN.

Vervolgens hebben we soortgelijke tests uitgevoerd met andere VPN-aanbieders die beide protocollen ondersteunen. Hier zijn de resultaten:

	Surfshark VPN		Mullvad VPN		Private Internet Access
Land	OpenVPN	WireGuard	OpenVPN	WireGuard	OpenVPN	WireGuard
Verenigde Staten	110Mbps	261Mbps	64Mbps	331Mbps	92Mbps	28Mbps
Verenigd Koninkrijk	121Mbps	286Mbps	345Mbps	345Mbps	228Mbps	181Mbps
AUS	78Mbps	235Mbps	261Mbps	269Mbps	111Mbps	18Mbps

Net als bij NordVPN is WireGuard duidelijk het snellere protocol voor zowel Surfshark als Mullvad VPN gebruikers.

De snelheidstestresultaten van Private Internet Access (PIA) zijn echter belangrijk om op te merken. Vanwege de relatieve onvolwassenheid bieden verschillende VPN-aanbieders momenteel WireGuard aan, maar hebben hun service nog niet volledig geoptimaliseerd om de prestaties te maximaliseren.

Mullvad is hiervoor een goede casestudy. Eind april 2021 bracht het een update uit die WireGuard beter in de service integreerde.

Voor de update was de VPN ongeveer 70% langzamer op WireGuard dan op OpenVPN. Na de update is WireGuard nu het snelste protocol dat je kunt gebruiken met Mullvad.

We verwachten een soortgelijke trend te zien bij andere VPN’s, zoals PIA, nu ze werken aan het verbeteren van WireGuard als onderdeel van hun service.

In de video hierboven kun je in real-time het verschil zien tussen OpenVPN (UDP) en WireGuard terwijl we beide testen met Proton VPN. Het verschil in downloadsnelheden was weer eens duidelijk: OpenVPN haalde gemiddeld 250Mbps terwijl WireGuard gemiddeld 335Mbps haalde.

Tijd om verbinding te maken

WireGuard maakt ook veel sneller verbinding dan OpenVPN. Dit is belangrijk, want als de verbinding wegvalt of de VPN-tunnel om de een of andere reden verbreekt, wil je dat je VPN snel weer verbinding maakt.

Uit een Ars Technica onderzoek bleek dat het wel 8 seconden kan duren voordat een OpenVPN verbinding tot stand komt, terwijl WireGuard verbindingen ongeveer 100 milliseconden nodig hebben.

	OpenVPN	WireGuard
Encryptiecijfers en authenticatieprotocollen	Vaak gebruikt: AES, Blowfish, Camellia Ook ondersteund: ChaCha20, Poly1305 (plus nog veel meer)	ChaCha20, Poly1035
Perfect Forward Secrecy	Ondersteund	Ondersteund
Bekende kwetsbaarheden	Geen	Geen

Met OpenVPN kun je een breed scala aan encryptiecijfers en authenticatiealgoritmen gebruiken, terwijl WireGuard slechts een vaste set heeft voor elke release.

Dit betekent dat als er een beveiligingslek wordt gevonden in een algoritme, OpenVPN snel geconfigureerd kan worden om iets anders te gebruiken. Terwijl WireGuard een software-update zou vereisen voor alle apparaten. Dat is vervelend, maar het zorgt ervoor dat er nooit apparaten zijn die onveilige code gebruiken.

Er zijn momenteel geen bekende beveiligingsproblemen in zowel WireGuard als OpenVPN.

Keuze vs beveiliging

Een van de belangrijkste verschillen tussen OpenVPN en WireGuard is de afweging tussen keuze en beveiliging.

OpenVPN gebruikt de OpenSSL bibliotheek voor encryptie, die voor het eerst werd uitgebracht in 1998 en grondig is getest over een lange periode. De bibliotheek ondersteunt een groot aantal encryptiecijfers, waaronder AES, Blowfish en ChaCha20.

WireGuard biedt daarentegen geen keuze in encryptie. In plaats daarvan dwingt het je om ChaCha20 te gebruiken voor encryptie en Poly1305 voor authenticatie.

Als gevolg hiervan heeft WireGuard veel minder code nodig dan OpenVPN: ruwweg 4.000 regels code vergeleken met 70.000 (minstens).

Deze kleinere voetafdruk maakt het veel eenvoudiger voor beveiligingsonderzoekers om de code van WireGuard te controleren en te verifiëren dan die van OpenVPN. Het maakt het mogelijke aanvalsoppervlak van WireGuard ook veel kleiner dan dat van OpenVPN.

Bovendien vermindert minder code de kans op bugs in Wireguard aanzienlijk.

Zijn nieuwe encryptie algoritmen veilig?

Over het algemeen geven beveiligingsonderzoekers de voorkeur aan encryptietechnologie die al een tijdje bestaat. Dit komt omdat nieuwere algoritmen soms kwetsbaarheden bevatten die nog niet ontdekt zijn. Het is daarom vaak veiliger om te kiezen voor een meer beproefde optie.

In dit geval is OpenVPN verreweg de meest beproefde optie. Het werd 18 jaar voor WireGuard uitgebracht en de AES-sleutel die het gebruikt is bijna een decennium ouder dan de ChaCha20 en Poly1035 algoritmen die WireGuard gebruikt.

In de praktijk blijkt de relatieve onvolwassenheid van WireGuard echter geen enorm beveiligingsrisico te zijn. Hier zijn drie hoofdredenen voor:

1. WireGuard’s minimale codebasis betekent dat het zeer snel kan worden gecontroleerd. Dit vermindert veel van de zorgen over het gebrek aan rigoureuze testen van het protocol, omdat experts het veel sneller kunnen controleren dan de code van OpenVPN.
2. ChaCha20 is zeer veilig. De ’20’ in ‘ChaCha20’ betekent dat er 20 encryptierondes zijn om de gegevens te beschermen. In 2008 werd ChaCha7 (met zeven rondes) gebroken, maar ChaCha8 is tot op de dag van vandaag ongebroken. Je kunt er dus op vertrouwen dat ChaCha20 een hoog beveiligingsniveau biedt.
3. Goedkeuringen van Linux en Google. Linus Torvalds, de oorspronkelijke bedenker van Linux, zei: “Mag ik nogmaals mijn liefde uitspreken voor [WireGuard]… Misschien is de code niet perfect, maar ik heb het doorgenomen en vergeleken met de verschrikkingen die OpenVPN en IPSec zijn, is het een kunstwerk.” WireGuard is sindsdien opgenomen in de Linux kernel, wat een sterke ondersteuning betekent voor de beveiligingskwaliteiten. Google is ook overgestapt op het gebruik van ChaCha20 en Poly1305 voor encryptie van verkeer op zijn Android apparaten.

OpenVPN en WireGuard zijn beide zeer betrouwbare VPN-protocollen die onder de meeste omstandigheden een stabiele internetverbinding leveren.

Alleen OpenVPN geeft je echter de optie om het TCP communicatieprotocol te gebruiken. Dit is handig om strenge internetblokkades te omzeilen, omdat TCP-verbindingen poort 443 kunnen gebruiken, dezelfde poort die normaal HTTPS-verkeer gebruikt.

Het is zeer onwaarschijnlijk dat censuursystemen in landen als China, Rusland en Turkije poort 443 zouden blokkeren, omdat het essentiële activiteiten zoals online bankieren en winkelen zou tegenhouden.

Kortom, OpenVPN TCP is effectiever in het omzeilen van censuur dan WireGuard, omdat WireGuard alleen met UDP kan worden gebruikt.

Hier is een korte samenvatting van hoe UDP en TCP zich tot elkaar verhouden:

	User Datagram Protocol (UDP)	Transmission Control Protocol (TCP)
WireGuard Support	✓	✗
OpenVPN Support	✓	✓
Betrouwbaarheidsfuncties	✗	✓
Snelheid	Sneller	Trager

We raden meestal aan om waar mogelijk UDP te gebruiken omdat het sneller, efficiënter en even stabiel is binnen een VPN-tunnel. Voor het omzeilen van firewalls en het omzeilen van censuur is een TCP-protocol echter te verkiezen.

Dit wordt weerspiegeld in de optie die VPN-aanbieders standaard gebruiken wanneer je probeert verbinding te maken in China.

We ontdekten dat, in bijna alle gevallen, wanneer een VPN provider zowel WireGuard als OpenVPN aanbiedt, de service standaard het OpenVPN protocol gebruikt wanneer je probeert verbinding te maken vanuit China.

We hebben ook een paar VPN-aanbieders getest waarvan we weten dat ze goed werken in China om te zien of OpenVPN of WireGuard beter was in het omzeilen van de Chinese Great Firewall:

• Astrill VPN was in staat om de censuur te omzeilen door zowel OpenVPN als WireGuard te gebruiken
• Private Internet Access (PIA) kon alleen verbinding maken met OpenVPN en niet met WireGuard.

Apparaten wisselen tegenwoordig vaak tussen mobiele en WiFi-netwerken. Een goed VPN-protocol moet die overstap efficiënt en effectief kunnen maken.

WireGuard is veel beter dan OpenVPN voor mobiliteit. Het gaat naadloos om met netwerkveranderingen, terwijl OpenVPN het historisch moeilijk heeft wanneer gebruikers regelmatig wisselen tussen netwerken. Veel VPN-aanbieders hebben er zelfs voor gekozen om een ander protocol, IKEv2, te gebruiken voor mobiele apparaten.

IKEv2 is een redelijk goed VPN-protocol, maar het is closed source en sommige mensen maken zich zorgen dat het mogelijk gecompromitteerd is door de NSA. In plaats daarvan presenteert WireGuard een nieuwe, open-source oplossing voor het probleem van welk VPN-protocol te gebruiken op mobiele apparaten.

Als je een VPN gebruikt terwijl je onderweg bent, raden we je sterk aan om WireGuard te gebruiken in plaats van OpenVPN.

Het gebruik van een VPN verhoogt altijd de totale hoeveelheid gegevens die je verbruikt. Dat komt omdat het tunnelproces vereist dat je extra informatie over het internet verstuurt, wat leidt tot een toename van het gegevensgebruik.

De data-overhead kan de snelheid van je VPN beïnvloeden. Als je een pay-as-you-go mobiele telefoon contract hebt, kun je ook meer geld uitgeven en/of je geplande datalimiet eerder bereiken.

Het VPN-protocol dat je gebruikt heeft invloed op hoe groot de data-overhead is. Uit ons onderzoek bleek dat WireGuard veel minder gegevens verbruikt dan OpenVPN. Hier is een samenvatting van de bevindingen:

 

Om het dataverbruik van elk protocol te testen, gebruikten we de Linux WireGuard en OpenVPN applicaties en berekenden we hoeveel extra data ze toevoegden aan onze verbinding, vergeleken met het niet gebruiken van een VPN. Voor elke test kopieerden we een testbestand van 209 MB tussen twee virtuele servers. We voerden elke test drie keer uit en berekenden de gemiddelde gegevenstoename.

WireGuard heeft eigenlijk de kleinste gegevensoverhead van alle VPN-protocollen die we hebben getest, inclusief IKEv2 en PPTP. OpenVPN heeft daarentegen de grootste.

Je kunt de volledige resultaten van dit onderzoek bekijken en meer te weten komen over het gebruik van VPN-gegevens in onze gids voor mobiele gegevens en VPN’s.

Protocol	Registratie	Mitigaties
OpenVPN	Geen	Niet vereist
WireGuard	IP-adres opgeslagen op server totdat deze opnieuw opstart	Beschikbaar bij de meeste commerciële VPN-providers

Een essentieel kenmerk van een veilige VPN-aanbieder is dat deze geen persoonlijk identificeerbare informatie over je opslaat. Dit geldt ook voor het gebruikte VPN-protocol.

Terwijl OpenVPN werkt zonder een IP-adres te registreren, vereist WireGuard dat toegestane IP-adressen op de server worden opgeslagen totdat de server opnieuw opstart.

Dit is zorgwekkend vanuit het oogpunt van privacy, want als de server wordt gecompromitteerd, kan het IP-adres worden gebruikt om je te linken aan je activiteit en daarmee het belangrijkste voordeel van het gebruik van een VPN wegnemen.

Wees je er dus van bewust dat als je de standaard implementatie van WireGuard gebruikt, het waarschijnlijk is dat je IP-adres wordt geregistreerd voor tenminste de duur van je sessie.

Gelukkig hebben de meeste commerciële VPN-aanbieders die WireGuard ondersteunen workarounds geïmplementeerd om deze privacyrisico’s te minimaliseren. Enkele voorbeelden zijn:

• NordVPN: NordVPN heeft WireGuard gecombineerd met zijn eigen Double Network Address Translation (NAT) technologie om NordLynx te creëren. In plaats van je statische IP-adres op te slaan totdat de server opnieuw opstart, wijst NordLynx een uniek dynamisch IP-adres toe aan elke VPN-tunnel, zodat elke sessie een ander IP-adres heeft dat slechts zolang duurt als de sessie.
• Mullvad: Om de privacy bij het gebruik van WireGuard te maximaliseren, verwijdert Mullvad je IP-adres van de servers na 10 minuten inactiviteit. Als extra stap raadt Mullvad je ook aan om de Multihop-functie te gebruiken om je verkeer via twee of meer servers te routeren wanneer je WireGuard gebruikt.
• IVPN: IVPN verwijdert je IP-adres na drie minuten inactiviteit. Het genereert ook elke 24 uur willekeurig een nieuw IP-adres om problemen met het gebruik van een statisch IP-adres te voorkomen.

Deze maatregelen zullen voor de meeste gebruikers voldoende zijn. Als je echter in een land bent met strenge censuur of een land waar ambtenaren kunnen proberen VPN-gebruikers te vervolgen, is het waarschijnlijk niet het risico waard om te nemen.

We raden je ook aan om bij je VPN-provider na te vragen welke maatregelen ze hebben genomen voor WireGuard-gebruikers, als je je zorgen maakt over je privacy.

OpenVPN wordt standaard ondersteund door bijna elke commerciële VPN-aanbieder, terwijl WireGuard veel minder beschikbaar is.

WireGuard is echter bezig met een snelle inhaalslag. Ondanks het feit dat het protocol pas in 2019 is uitgebracht, is het al geïmplementeerd in veel toonaangevende VPN’s – vaak in zowel desktop- als mobiele apps.

Hier is een overzicht van welke protocollen worden ondersteund op 15 van de populairste VPN’s:

VPN Protocol	ExpressVPN	NordVPN	CyberGhost	IPVanish	Surfshark	PrivateVPN	PIA	Windscribe	Proton VPN	Astrill	VPNArea	Hotspot Shield	Mullvad	TunnelBear	PureVPN
OpenVPN	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓
WireGuard	✗	✓	✓	✓	✓	✗	✓	✓	✓	✓	✗	✓	✓	✗	✓

Traditioneel gebruiken de meeste VPN’s OpenVPN als standaardprotocol, vooral op desktop.

We zien nu echter dat steeds meer providers overstappen op WireGuard.

CyberGhost gebruikt nu bijvoorbeeld standaard WireGuard op Android en iOS, en NordVPN gebruikt zijn NordLynx-versie van WireGuard als standaard in de meeste van zijn apps.

Gebruiksgemak

Om het protocol zelf handmatig te configureren is WireGuard veel eenvoudiger dan OpenVPN. Nogmaals, dit komt door de gestroomlijnde code van WireGuard en het gebrek aan keuze als het gaat om encryptieconfiguraties, waardoor het heel eenvoudig te installeren is.

De lichte codebase van WireGuard is ook een sterk punt voor het gebruik van een VPN op kleine computers en embedded apparaten. OVPN bevat bijvoorbeeld een WireGuard-compatibele command-line applicatie voor Raspberry Pi single-board computers.

Desondanks is OpenVPN makkelijker te gebruiken voor de meeste VPN-gebruikers, simpelweg omdat het door meer VPN-aanbieders wordt ondersteund. Download gewoon de VPN van je keuze en in bijna alle gevallen is het OpenVPN protocol ingesteld en klaar voor gebruik.

OpenVPN en WireGuard zijn twee VPN-protocol types. Een VPN-protocol is een technologie die wordt gebruikt om een veilige tunnel te creëren tussen je apparaat en een VPN-server.

Met andere woorden, een VPN-protocol is een belangrijk onderdeel van hoe een VPN werkt.

Je kunt zowel OpenVPN als WireGuard onafhankelijk gebruiken om je eigen VPN-verbinding te maken. Ze worden echter vaker gebruikt als onderdeel van persoonlijke VPN-aanbieders.

Hier volgt een overzicht van de belangrijkste kenmerken van elk protocol:

Kenmerk	OpenVPN	WireGuard
Datum vrijgegeven	Mei 2001	September 2019
Encryptie	AES, Blowfish, Camellia	ChaCha20, Poly1305
Code lengte	Meer dan 70.000 regels	~4,000 regels
Open Source	Ja	Ja
Beveiliging	Sterk	Sterk
Privacy	Sterk	Behoefte aan mitigaties
Snelheid	Matig	Snel

OpenVPN

De oorspronkelijke OpenVPN software werd in 2001 gemaakt door James Yonan.

Yonan maakte OpenVPN om er zeker van te zijn dat zijn verbinding privé was terwijl hij door Centraal-Azië reisde en gebruik maakte van Aziatische en Russische internetverbindingen.

Tegenwoordig is Yonan de CTO van OpenVPN Inc. Het bedrijf levert zowel business-to-business diensten als OpenVPN.

De CEO en oprichter van het bedrijf is Francis Dinha, die in Irak is opgegroeid en de zorgen van Yonan deelt over het beschermen van zijn privacy tegen staatsbewaking.

De OpenVPN software is nu meer dan 60 miljoen keer gedownload en bijna elke VPN gebruikt het protocol.

OpenVPN is beschikbaar onder een open-source licentie, wat betekent dat iedereen de onderliggende code kan bekijken.

Al meer dan tien jaar wordt OpenVPN beschouwd als het summum van VPN-beveiliging. Maar met de introductie van WireGuard is er een nieuwe mededinger voor die toppositie.

WireGuard

WireGuard is gemaakt door Jason A. Donenfeld van Edge Security, en had zijn eerste stabiele release in september 2019.

WireGuard is ontworpen om bestaande VPN-protocollen te verbeteren door eenvoudiger, en sneller in gebruik te zijn.

In tegenstelling tot OpenVPN is WireGuard “cryptografisch opiniërend”, om de woorden van Donenfeld te gebruiken. Dat betekent dat hij één oplossing heeft gekozen voor elk aspect van de beveiliging van de VPN.

Daardoor heeft WireGuard minder keuze dan OpenVPN, maar het is ook veel minder complex.

Net als OpenVPN is WireGuard ook open source.

Ondanks dat WireGuard pas in september 2019 is uitgebracht, is het al opgenomen in een aantal VPN-aanbieders. NordVPN heeft er bijvoorbeeld zijn eigen NordLynx-protocol bovenop gebouwd.

Dus welke is beter, OpenVPN of WireGuard? Laten we beginnen met het vergelijken van hun snelheden.