Wyjaśnienie protokołów VPN: który z nich jest najlepszy?

Wybór protokołu VPN zależy od tego, z jakiej usługi VPN korzystasz.

Niektóre usługi VPN pozwalają Ci wybrać jeden z wielu protokołów, inne nie dają takiej możliwości.

Każdy protokół ma swoje mocne i słabe strony, dlatego musisz zrozumieć różnice między nimi, aby wybrać odpowiedni protokół dla swojej aktywności internetowej.

Poniżej przedstawiamy siedem najczęściej używanych protokołów VPN i ich zalety:

 

1. OpenVPN: protokół VPN numer 1

OpenVPN, stworzony w 2001 roku przez Jamesa Yonana, jest uważany za najbezpieczniejszy protokół VPN, jaki istnieje.

Oprogramowanie jest dostępne na licencji open-source i funkcjonuje od ponad dwóch dekad, co oznacza, że badacze bezpieczeństwa mieli wystarczająco dużo czasu, aby przetestować go pod kątem słabych punktów i zabezpieczeń.

Obecnie OpenVPN nie ma żadnych znanych luk w zabezpieczeniach, więc możesz mieć pewność, że używając go, Twoje połączenie VPN jest bezpieczne, a prywatność chroniona.

Protokół jest zgodny z szeroką gamą algorytmów szyfrowania, w tym AES, Blowfish i ChaCha20.

OpenVPN to protokół oferujący ogromne możliwości konfiguracji. Prawie każda aplikacja VPN obsługuje protokół OpenVPN na większości głównych platform, w tym Microsoft Windows, Apple macOS, Android, Linux i iOS.

W przypadku nieobsługiwanych platform zazwyczaj można pobrać plik konfiguracyjny, który pozwoli na ręczne skonfigurowanie połączenia przy użyciu OpenVPN.

OpenVPN może pracować z dwoma różnymi protokołami komunikacyjnymi TCP i UDP. Są to protokoły warstwy transportowej, które określają, jak ostrożnie dane są przesyłane przez sieć.

Podstawowa różnica między nimi polega na tym, że protokół OpenVPN UDP jest szybki, za to OpenVPN TCP zapewnia niezawodne połączenie, ponieważ lepiej radzi sobie z omijaniem zapór sieciowych.

Radzimy, aby zawsze próbować połączenia VPN za pomocą protokołu UDP. Jeśli okaże się, że nie działa, przełącz się na protokół TCP.

Główną wadą protokołu OpenVPN jest to, że nie jest tak szybki, lekki i wydajny jak inne protokoły VPN. Jego prędkość jest dobra, ale nie tak szybka, jak WireGuard czy IKEv2.

To również protokół VPN o największym zapotrzebowaniu na przepustowość. Jak pokazują nasze testy wykorzystania danych przez VPN, OpenVPN zużywa znacznie więcej danych niż jakikolwiek inny protokół VPN. Oznacza to, że jeśli używasz usługi VPN na telefonie komórkowym, osiągniesz limit danych przewidziany w umowie około 20% szybciej.

Kiedy używać OpenVPN:

• Jeśli prywatność i bezpieczeństwo są dla Ciebie absolutnym priorytetem, wybierz OpenVPN, kiedy tylko jest to możliwe.

Kiedy nie używać OpenVPN:

• Jeśli szybkość jest kluczowa dla twojej aktywności (np. gry).
• Jeśli używasz VPN w połączeniu korzystającym z transmisji komórkowej (np. 3G/4G), szybciej osiągniesz swój maksymalny limit i zapłacisz więcej za roaming za granicą.

2. WireGuard: nowy, imponujący protokół

WireGuard to nowy protokół tunelowania o otwartym kodzie źródłowym, zaprojektowany jako szybszy i bardziej wydajny niż popularny protokół OpenVPN. Aby porównać oba protokoły, przeczytaj nasz szczegółowy przewodnik porównujący WireGuard i OpenVPN.

Wydany w 2019 roku protokół WireGuard wywarł duże wrażenie na branży VPN. Mnóstwo firm VPN szybko podjęło działania, by zintegrować WireGuard ze swoimi usługami i wiele z nich uczyniło go swoim domyślnym protokołem.

WireGuard spełnia wiele obietnic swojego twórcy Jasona A. Donenfelda:

• Jest niezwykle szybki. Według wewnętrznych testów firmy WireGuard ich protokół działa ponad trzykrotnie szybciej niż OpenVPN. Podobne wyniki zaobserwowaliśmy podczas naszych własnych testów, zwłaszcza w przypadku połączeń na większe odległości.
• Baza kodu jest imponująco wydajna. WireGuard ma tylko 4000 linii kodu, czyli około 100 razy mniej niż OpenVPN i IKEv2. Jest to nie tylko korzystne z punktu widzenia wydajności, ale także powinno poprawić bezpieczeństwo. Mniejsza baza kodu sprawia, że protokół jest łatwiejszy do skontrolowania i zmniejsza pole ataku dla hakerów.
• Zużycie danych jest minimalne. Nasze testy wykazały, że WireGuard jest zdecydowanie najmniej obciążającym przepustowość protokołem VPN. W porównaniu z 20% zużyciem danych przez OpenVPN, WireGuard dodaje tylko 4% zużycia danych do Twojej normalnej aktywności. Przeczytaj więcej na ten temat w naszym przewodniku po VPN-ach i danych komórkowych.

Głównym czynnikiem przemawiającym na niekorzyść WireGuard jest jego młody wiek. Choć jego standardy wydajności są doskonałe i nie ma jeszcze żadnych śladów luk w zabezpieczeniach, minie trochę czasu, zanim zdobędzie on prawdziwe zaufanie użytkowników.

Dotyczy to także jego algorytmu szyfrowania. WireGuard nie jest kompatybilny ze sprawdzonymi algorytmami szyfrowania, takimi jak AES-256. Zamiast tego używa stosunkowo nowego szyfru ChaCha20. Wszystko wskazuje na to, że ChaCha20 jest bardzo bezpieczny i potencjalnie nawet szybszy niż AES, ale użytkownicy dbający o prywatność zawsze potrzebują czasu, aby zapoznać się z nowymi technologiami szyfrowania.

Domyślna konfiguracja WireGuard budzi również pewne obawy dotyczące prywatności. Serwery VPN muszą przechowywać tymczasowy rejestr Twojego adresu IP, aby protokół mógł działać. Nie jest to wymóg w przypadku innych protokołów VPN, co może być niepokojące, jeśli nie zostanie zaadresowane.

Na szczęście można zastosować środki zaradcze, aby rozwiązać ten problem. Na przykład NordVPN integruje WireGuard z własnym systemem Double NAT, tworząc bezpieczniejszy, autorski protokół o nazwie NordLynx. Podobnie Mullvad usuwa Twój adres IP po dziesięciu minutach bezczynności.

Kiedy używać WireGuard:

• Wszystko wskazuje na to, że WireGuard jest tak samo bezpieczny, jak OpenVPN, a do tego znacznie szybszy. Jeśli nie masz problemu, by zaufać nowszemu protokołowi, zalecamy używanie WireGuard do wszelkich działań w sieci.
• WireGuard jest szczególnie dobry dla użytkowników VPN na urządzeniach mobilnych ze względu na niskie zużycie przepustowości.

Kiedy nie używać WireGuard:

• Jeśli zachowujesz szczególną ostrożność w kwestii swojej prywatności oraz bezpieczeństwa w sieci, możesz dać protokołowi WireGuard więcej czasu na sprawdzenie się. Warto też uważać na usługi VPN, które nie podejmują działań mających na celu przezwyciężenie wymogu rejestrowania adresu IP w protokole.
• WireGuard nie jest tak dobry w obchodzeniu zapór sieciowych, jak inne protokoły VPN, ponieważ jest kompatybilny tylko z protokołem UDP. Jeśli chcesz obejść cenzurę, inne protokoły sprawdzą się lepiej.

3. PPTP: przestarzały i niebezpieczny

Point-to-Point Tunneling Protocol (PPTP) to oryginalny protokół VPN opracowany w 1996 roku przez inżyniera firmy Microsoft, Gurdeepa Singh-Palla, który wyznaczył narodziny technologii VPN.

Obecnie PPTP jest przestarzały i bardzo niebezpieczny w konsumenckich sieciach VPN.

Nie zalecamy używania protokołu PPTP, jeśli nie jest to absolutnie konieczne. Jest on przestarzały zarówno jako narzędzie ochrony prywatności, jak i bezpieczeństwa.

PPTP zapewnia duże prędkości, ale jest to częściowo spowodowane tym, że najsilniejszy klucz szyfrowania, jakiego może użyć, jest 128-bitowy. Nie jest kompatybilny z wojskowym szyfrem AES-256, którego używają najbezpieczniejsze usługi VPN.

Protokół uzyskuje szybkość kosztem bezpieczeństwa, co sprawia, że ma kilka znanych słabych punktów. Na przykład wykazano, że wykwalifikowany haker może włamać się do szyfrowanego przez PPTP połączenia VPN w ciągu zaledwie kilku minut.

Podobno NSA również wykorzystała słabe zabezpieczenia PPTP do zebrania ogromnych ilości danych od użytkowników VPN.

Choć nadal bywa stosowany w biznesowych sieciach VPN, zdecydowanie należy unikać używania PPTP w sieciach osobistych. Niektórzy dostawcy VPN postanowili nawet całkowicie zaprzestać obsługi PPTP ze względu na jego słabe punkty.

Kiedy używać PPTP:

• Nie zalecamy używania PPTP. Jedynym wyjątkiem może być sytuacja, w której szukasz wysokich prędkości i nie zależy Ci na prywatności czy bezpieczeństwie.

Kiedy nie używać PPTP:

• Szczególnie ważne jest, aby nigdy nie używać PPTP do działań związanych z poufnymi informacjami, takimi jak dane bankowe czy hasła.

4. IKEv2/IPSec: świetny protokół dla użytkowników urządzeń mobilnych

Internet Key Exchange version 2 (IKEv2) to protokół VPN, który jest szczególnie popularny wśród użytkowników urządzeń mobilnych.

Oferuje bardzo dużą szybkość połączenia i wykorzystuje protokół MOBIKE, aby bezproblemowo radzić sobie ze zmianą sieci. Dzięki temu IKEv2 jest świetnym rozwiązaniem dla użytkowników usług VPN na urządzeniach mobilnych, którzy często przełączają się między sieciami komórkowymi a Wi-Fi.

IKEv2 został opracowany przez Microsoft we współpracy z Cisco i jest następcą oryginalnego protokołu IKEv1.

IKEv2/IPSec jest obsługiwany przez większość usług VPN, ale niestety jego baza kodu oparta jest na licencji closed-source.

Z zewnątrz protokół wydaje się bezpieczny, ale bez przejrzystości otwartego kodu źródłowego nie można sprawdzić, czy Microsoft nie wbudował w niego backdoorów lub innych luk.

Badacze bezpieczeństwa, jak Edward Snowden, sugerują również, że IPSec został celowo osłabiony podczas jego tworzenia. Choć nie jest to potwierdzone, powszechnie podejrzewa się, że każdy protokół VPN oparty na IPSec może zostać złamany przez NSA.

Nie ma dowodów na to, że IKEv2/IPSec jest podatny na działanie mniej wyrafinowanych przeciwników, takich jak hakerzy czy dostawcy usług internetowych. Jest to szybki, elastyczny i raczej bezpieczny protokół VPN, który będzie dobrze działał na Twoim telefonie komórkowym.

IKEv2 działa tylko na porcie UDP 500. Jest on łatwy do zablokowania przez zapory sieciowe i administratorów sieci Wi-Fi, co oznacza, że IKEv2/IPSec nie jest skutecznym protokołem VPN do omijania cenzury w takich miejscach jak Chiny czy Rosja.

Kiedy używać IKEv2/IPSec:

• Jeśli korzystasz z usługi VPN w telefonie komórkowym i regularnie przełączasz się między siecią Wi-Fi a siecią komórkową (np. 3G/4G).

Kiedy nie używać IKEv2/IPSec:

• Jeśli próbujesz ominąć zapory sieciowe w szkole lub w pracy albo obejść cenzurę w autorytarnym kraju.
• Jeśli szczególnie zabiegasz o swoją prywatność i anonimowość, zamknięty kod źródłowy IKEv2 oraz możliwe powiązania IPSec z NSA powinny być wystarczającym powodem, aby podać w wątpliwość prywatność protokołu IKEv2/IPSec.

5. L2TP/IPSec: powolny i niewart używania

Layer 2 Tunneling Protocol (L2TP), stworzony w 1999 roku jako następca PPTP, to łatwy w użyciu protokół, który jest natywnie obsługiwany przez większość usług VPN i na większości urządzeń.

Podobnie jak IKEv2, L2TP łączy się z IPSec, tworząc hybrydowy protokół VPN L2TP/IPSec. Niestety, oznacza to, że jest podatny na te same problemy dotyczące prywatności – zgłoszone przez Edwarda Snowdena – co IPSec, który rzekomo został naruszony przez NSA.

L2TP ma także osobną wadę bezpieczeństwa, która pojawia się, gdy jest używany z usługą VPN wykorzystującą klucze współdzielone.

Jeśli klucze szyfrujące VPN są dostępne do pobrania online, potencjalni napastnicy mają możliwość sfałszowania danych uwierzytelniających, podszycia się pod Twój serwer VPN i podsłuchania Twojego połączenia. Jest to znane jako atak man-in-the-middle.

L2TP oferuje funkcję podwójnej hermetyzacji, która chroni dane użytkownika za pomocą dwóch warstw zabezpieczeń. Chociaż zwiększa to bezpieczeństwo protokołu, znacznie go spowalnia.

Starsze protokoły, takie jak L2TP, bywają niekompatybilne z NAT, co może powodować problemy z łącznością. W takim przypadku, aby połączyć się z usługą VPN za pomocą protokołu L2TP, konieczne będzie skorzystanie z funkcji VPN passthrough na routerze.

L2TP/IPSec to najwolniejszy protokół VPN na naszej liście.

Kiedy używać L2TP/IPSec:

• Zalecamy, aby w ogóle nie używać protokołu L2TP/IPSec.

Kiedy nie używać L2TP/IPSec:

• Nie używaj L2TP, jeśli ujawniasz dane osobowe, obawiasz się inwigilacji ze strony NSA lub korzystasz z usługi VPN, która publicznie udostępnia swoje klucze szyfrujące w sieci.

6. SSTP: zamknięty kod źródłowy i potencjalne zagrożenia

Secure Socket Tunneling Protocol (SSTP) to protokół zastrzeżony, którego właścicielem i operatorem jest firma Microsoft. Jest to protokół o zamkniętym kodzie źródłowym, więc szczegóły jego implementacji są niejasne.

Wiemy, że SSTP opiera się na standardach szyfrowania SSL/TLS.

Jest to dobre rozwiązanie, ponieważ pozwala SSTP korzystać z portu TCP 443. Przez ten port przepływa cały zwykły ruch HTTPS, co sprawia, że jest on bardzo trudny do zablokowania przez zapory sieciowe.

W rezultacie SSTP jest skutecznym protokołem VPN, który możesz zastosować, jeśli próbujesz ominąć cenzurę, taką jak Wielki Chiński Firewall.

Z drugiej strony, SSL 3.0 jest podatny na szczególny rodzaj ataku man-in-the-middle, znany jako POODLE. Nie potwierdzono, czy SSTP również posiada tę lukę, ale naszym zdaniem nie warto ryzykować.

Istnieje również kwestia współpracy firmy Microsoft z NSA w przeszłości. Ponieważ jest to protokół o zamkniętym kodzie źródłowym, stworzony przez Microsoft, istnieje możliwość, że NSA ma do niego własne wejście (tzw. backdoor).

Kiedy używać SSTP:

• Jeśli próbujesz ominąć szkolne, służbowe lub rządowe zapory sieciowe, a nie masz dostępu do żadnego lepszego protokołu.

Kiedy nie używać SSTP:

• Biorąc pod uwagę możliwość ataku POODLE lub inwigilacji przez NSA, nie używaj SSTP do żadnych działań, podczas których prywatność, bezpieczeństwo lub anonimowość są najważniejsze.

7. SoftEther: dobry do omijania cenzury

SoftEther to protokół VPN o otwartym kodzie źródłowym, który został opracowany w ramach pracy magisterskiej na Uniwersytecie w Tsukubie.

Wprowadzony w 2014 roku SoftEther jest jednym z nowszych protokołów VPN. Jak na razie wszystko wskazuje na to, że zapewnia dobry poziom bezpieczeństwa bez kompromisów w kwestii prędkości.

SoftEther obsługuje silne algorytmy szyfrowania, w tym AES-256 i RSA-4096. Może też pochwalić się prędkością rzekomo 13x większą niż OpenVPN.

Jest również dobrze zaprojektowany, aby ominąć rygorystyczną cenzurę internetową. SoftEther opiera swoje protokoły szyfrowania i uwierzytelniania na OpenSSL. Podobnie jak SSTP i OpenVPN, oznacza to, że może używać portu TCP 433, który jest bardzo trudny do zablokowania przez zapory sieciowe i systemy cenzury.

W 2018 roku SoftEther przeszedł 80-godzinny audyt bezpieczeństwa, który ujawnił 11 luk w zabezpieczeniach. Zostały one załatane w kolejnej aktualizacji, ale badacze z Uniwersytetu Aalto odkryli ostatnio, że SoftEther jest czasem podatny na ataki man-in-the-middle.

Dzieje się tak dlatego, że w domyślnej konfiguracji klienci nie weryfikują certyfikatu serwera. Atakujący mogą więc podszyć się pod serwer VPN i uzyskać dostęp do danych użytkownika oraz jego aktywności w sieci.

Podczas korzystania z protokołu SoftEther należy pamiętać o zaznaczeniu pola wyboru. Zawsze sprawdzaj certyfikat serwera w ustawieniach nowego połączenia VPN.

Protokół SoftEther nie jest obsługiwany natywnie przez żaden system operacyjny i obecnie stosuje go bardzo niewielu dostawców VPN. Z usług VPN, które testowaliśmy, tylko Hide.me i CactusVPN obsługują protokół SoftEther.

Kiedy używać SoftEther:

• Jeśli Twoja usługa VPN to umożliwia, możesz wykorzystać SoftEther do szybkiego i bezpiecznego przeglądania stron internetowych.
• Jest szczególnie skuteczny w pokonywaniu zapór sieciowych i omijaniu cenzury.

Kiedy nie używać SoftEther:

• Nie używaj protokołu SoftEther, dopóki nie włączysz opcji „Zawsze sprawdzaj certyfikat serwera”.

Autorskie protokoły VPN

Wiele usług VPN oferuje nie tylko protokoły wymienione powyżej, ale także tworzy własne. Są one określane jako zastrzeżone protokoły VPN.

Używanie zastrzeżonego protokołu VPN ma zarówno zalety, jak i wady. Główną zaletą jest to, że prawdopodobnie będzie szybszy niż inne oferowane opcje.

Po poświęceniu czasu i pieniędzy na stworzenie nowego protokołu naturalne jest, że usługa VPN przeznaczy swoje najlepsze serwery i infrastrukturę, aby uczynić go jak najszybszym. Dostawcy często zapewniają, że jest on również bezpieczniejszy.

Z drugiej strony, protokoły te są zazwyczaj prawie całkowicie nieprzejrzyste.

Protokoły o otwartym kodzie źródłowym, takie jak OpenVPN, były analizowane przez tysiące ludzi, aby upewnić się, że są bezpieczne, pewne i robią dokładnie to, co obiecują. Zastrzeżone protokoły VPN mają zwykle zamknięty kod źródłowy, więc bardzo trudno powiedzieć, co dokładnie dzieje się za ich kulisami.

Wybór najlepszego protokołu VPN zależy od tego, dlaczego potrzebujesz VPN-u i jakie cechy cenisz sobie najbardziej.

Oto tabela podsumowująca porównanie różnych protokołów:

Protokół	Szyfrowanie	Prędkość	Niezawodność	Słabości
OpenVPN TCP	256-bitowy	Umiarkowana	Bardzo wysoka	Nieznane
OpenVPN UDP	256-bitowy	Szybka	Wysoka	Nieznane
PPTP	128-bitowy	Bardzo szybka	Umiarkowana	Znane
L2TP/IPSec	256-bitowy	Umiarkowana	Umiarkowana	Podejrzewane
SSTP	256-bitowy	Szybka	Bardzo wysoka	Podejrzewane
SoftEther	256-bitowy	Bardzo szybka	Bardzo wysoka	Wymagają naprawy
IKEv2/IPSec	256-bitowy	Bardzo szybka	Wysoka	Podejrzewane
WireGuard	256-bitowy	Bardzo szybka	Wysoka	Nieznane

 

OpenVPN jest najbezpieczniejszym protokołem VPN. Najlepiej używać go, gdy prywatność i bezpieczeństwo są najważniejsze, a Ty nie masz nic przeciwko mniejszym prędkościom i uniwersalności.

Wybierz OpenVPN, jeżeli chcesz uzyskać dostęp do wolnego Internetu w krajach o wysokiej cenzurze lub pobierać torrenty.

Jeśli OpenVPN nie jest dostępny, SoftEther to kolejna dobra opcja pozwalająca ominąć cenzurę.

WireGuard to najszybszy protokół VPN, jaki widzieliśmy. Wydaje się również niezwykle bezpieczny i pewny, chociaż jego niedojrzałość oznacza, że nadal preferujemy OpenVPN do bardziej poufnych zadań. Spokojnie używaj WireGuard do wszelkich działań, w których szybkość ma kluczowe znaczenie, takich jak granie czy streaming.

WireGuard to także najbardziej wydajny protokół VPN. Jeśli używasz usługi VPN na telefonie komórkowym i martwisz się o zużycie danych, użyj WireGuard. Dzięki niemu ograniczysz je do minimum.

IKEv2 to kolejny dobry protokół dla użytkowników VPN na urządzeniach mobilnych. Jego protokół MOBIKE sprawia, że świetnie radzi sobie z obsługą częstych i nagłych zmian sieci (np. między Wi-Fi a danymi komórkowymi).

Zużycie danych przez IKEv2 nie jest tak niskie, jak w przypadku WireGuard, ale i tak jest znacznie lepsze niż dla innych protokołów VPN, takich jak OpenVPN.

Większość usług VPN umożliwia zmianę protokołu VPN w menu ustawień aplikacji VPN.

Po prostu otwórz menu ustawień i wybierz protokół VPN, którego chcesz używać.

Jeśli w aplikacji niestandardowej nie ma możliwości wyboru protokołu, możesz zainstalować alternatywne protokoły, korzystając z ręcznej konfiguracji.

NordVPN to przykład usługi VPN, która korzysta z protokołu OpenVPN, ale pozwala na ręczne zainstalowanie IKEv2.

Jeśli Twoja usługa VPN obsługuje konfigurację alternatywnych protokołów, pamiętaj, aby dokładnie przestrzegać instrukcji podanych na jej stronie internetowej.

Miej jednak na uwadze, że nawet VPN wykorzystujący najbezpieczniejsze protokoły i algorytmy szyfrowania na rynku może narażać Twoje dane osobowe na ryzyko w inny sposób.

Aby dowiedzieć się więcej, przeczytaj nasz przewodnik po politykach przechowywania logów przez usługi VPN lub zapoznaj się.