VPN 类型对比：WireGuard vs OpenVPN vs IPSec
VPN（虚拟专用网络）把不同地点的网络/设备安全连接起来。选哪个？WireGuard 是新一代首选，OpenVPN 是老牌稳定选择，IPSec 是企业级标准——场景不同，选择不同。
三种主流 VPN 全面对比
特性 WireGuard OpenVPN IPSec/IKEv2
──────────────────────────────────────────────────────────────────────────
代码量 ~4,000 行 ~70,000 行 复杂
加密算法 ChaCha20/Poly1305 AES/多种可选 AES/多种
性能 极快（接近原生） 中等 快（硬件加速）
配置复杂度 简单 中等 复杂
防火墙穿越 UDP（可能被拦截） TCP 443（伪装） UDP 500/4500
NAT 穿越 需要端口映射 好 需要特殊处理
移动端支持 ✅ 官方客户端 ✅ 官方客户端 ✅ 系统原生（iOS/Android）
企业级功能 基础 丰富 丰富
开源 ✅ ✅ 标准协议
内核集成 ✅ Linux 5.6+ 用户空间 ✅ 内核
典型用途 服务器互联/个人 企业VPN/复杂场景 路由器/防火墙/移动接入
选型决策树
flowchart TD
A[需要 VPN？] --> B{主要用途}
B -->|服务器间互联\n员工远程办公| C{性能要求}
B -->|防火墙/路由器\n硬件设备| D[IPSec/IKEv2\n设备原生支持]
B -->|需要 TCP 伪装\n穿越严格防火墙| E[OpenVPN TCP 443]
C -->|高性能\n现代 Linux| F[WireGuard ✅]
C -->|复杂场景\n需要精细控制| G[OpenVPN UDP]
style F fill:#d4edda
style D fill:#cce5ff
style E fill:#fff3cd
WireGuard 核心特点
设计哲学：做好一件事，做到极致
- 只支持 UDP
- 只支持现代加密算法（无法关闭）
- 配置极简：每端只需要公私钥对 + 对端公钥 + IP
- 无连接状态概念：数据包到就处理，停止发包就"断开"
加密套件（固定，不可协商）：
密钥交换：Curve25519
对称加密：ChaCha20
消息认证：Poly1305
哈希：BLAKE2s
握手：Noise 协议框架
性能对比（1 Gbps 链路测试）：
裸线：940 Mbps
WireGuard：900+ Mbps
IPSec（AES-NI）：800+ Mbps
OpenVPN：~200 Mbps（单线程瓶颈）
OpenVPN 核心特点
优势：
- 可以跑在 TCP 443（与 HTTPS 流量混合，难以被识别和封锁）
- 支持多种认证方式（证书/用户名密码/RADIUS/LDAP）
- 成熟稳定，企业级功能完整
- 支持 TUN（三层，路由模式）和 TAP（二层，桥接模式）
局限：
- 单线程性能上限约 200-300 Mbps（无法充分利用多核）
- 配置文件较复杂
- 依赖 OpenSSL，代码量大
适合：
- 需要穿越严格防火墙（TCP 443）
- 需要细粒度访问控制（路由分发、推送 DNS）
- 员工远程办公（配合 OpenVPN Access Server 有 Web 界面）
IPSec/IKEv2 核心特点
组成部分：
AH（Authentication Header）：完整性验证（不加密）
ESP（Encapsulating Security Payload）：加密 + 完整性（常用）
IKE/IKEv2：密钥协商协议
模式：
传输模式（Transport）：只加密载荷，不加密 IP 头（主机到主机）
隧道模式（Tunnel）：加密整个 IP 包，外层加新 IP 头（网络到网络）
适合：
- 路由器/防火墙之间的 Site-to-Site VPN（网络互联）
- 移动设备原生 VPN（iOS/Android/Windows 内置 IKEv2）
- 要求与企业现有 VPN 设备（Cisco/Juniper/Palo Alto）互联
端口：
IKE 协商：UDP 500
NAT-T（NAT 穿越）：UDP 4500
ESP 协议号：50（不是 TCP/UDP，需要在防火墙明确放行）
各场景推荐方案
场景 推荐方案 原因
──────────────────────────────────────────────────────────────────────
多台 Linux 服务器互联 WireGuard 简单高性能
员工远程办公（100人以下） WireGuard + WG-Easy Web 界面管理
员工远程办公（企业级） OpenVPN AS / Pritunl LDAP/MFA 集成
两家公司网络互联 IPSec IKEv2 路由器原生支持
家用 NAS 远程访问 WireGuard 简单够用
需要穿越防火墙/GFW OpenVPN TCP 443 TCP 443 难被识别
手机/平板远程访问公司网络 IKEv2 或 WireGuard 系统原生/官方客户端
云 VPC ↔ 本地机房 IPSec 或 专线 稳定可靠
CCNA 对应考点
考纲位置：Domain 4.1 — Configure and verify inside source NAT using static and pools Domain 4.2 — Configure and verify NTP operating in a client and server mode
WAN 技术相关： - VPN 的分类：Site-to-Site VPN 和 Remote Access VPN - IPSec 的两个协议：AH（认证）和 ESP（加密+认证） - Split Tunneling：只有到公司内网的流量走 VPN，其余走本地网络
下一节：WireGuard 配置实战——WireGuard 是最简单最高效的选择，动手搭一个点对点隧道和星型组网。