VPN protokoly vysvětlené: WireGuard, OpenVPN, IKEv2 a další

VPN protokoly jsou pravidla, podle kterých VPN aplikace vytváří, šifruje a udržuje bezpečné spojení. V tomto článku s názvem VPN protokoly vysvětlené porovnáme WireGuard, OpenVPN, IKEv2/IPsec, L2TP, PPTP a SSL VPN, abyste viděli, co se ve skutečnosti změní, když VPN přepne protokol.

Krátká odpověď: pro většinu běžného používání je nejlepší výchozí volba WireGuard, protože je rychlý, bezpečný, šetrný k baterii a má menší kódovou základnu než starší možnosti. Jiné protokoly ale pořád dávají smysl v určitých prostředích, hlavně ve firemních sítích, na starších zařízeních a ve spravovaných systémech.

Co je VPN protokol?

VPN protokol určuje, jak spolu vaše zařízení komunikuje s VPN serverem. Řeší, jak se tunel vytvoří, jak se vymění klíče, jak se data šifrují, jak spojení přežije změnu sítě a jak se provoz zabalí, než projde internetem.

Pokud začínáte od nuly, podívejte se nejdřív na co je VPN. Zjednodušeně platí, že VPN aplikace posílá váš provoz přes šifrovaný tunel na VPN server a ten ho dál předává webům a aplikacím. Protokol je technický způsob, jak se ten tunel postaví.

Protokoly ovlivňují čtyři věci, které poznáte v běžném provozu:

• Rychlost: o kolik výkonu přijdete oproti běžnému připojení.
• Spolehlivost: jak dobře se VPN znovu připojí po uspání, změně Wi-Fi nebo výpadku mobilního signálu.
• Spotřebu baterie: kolik práce musí telefon nebo notebook odvést, aby tunel běžel.
• Bezpečnostní návrh: jak moderní, přehledný a udržovatelný protokol je.

Žádný protokol vás sám o sobě neudělá anonymními. VPN může chránit provoz mezi vaším zařízením a VPN serverem a může změnit IP adresu, kterou vidí weby. Nezastaví malware, phishing ani sledování ze strany webů, kde jste přihlášeni.

WireGuard vs OpenVPN: moderní rychlost vs ověřená flexibilita

Srovnání wireguard vs openvpn je to, na co se při hledání VPN protokolů lidé ptají nejčastěji. Oba slouží k šifrovaným VPN tunelům, ale pocházejí z jiné doby a dělají jiné kompromisy.

WireGuard

WireGuard je moderní VPN protokol navržený tak, aby byl úsporný, rychlý a snadněji kontrolovatelný. Jeho kódová základna je ve srovnání se staršími VPN systémy malá, což pomáhá snižovat složitost. Používá moderní kryptografii, vyhýbá se řadě starších možností a je navržený tak, aby se po změně sítě rychle znovu připojil.

To je znát hlavně na telefonech a noteboocích. Protokol, který se po přepnutí z Wi-Fi na mobilní data bez problémů obnoví, působí mnohem stabilněji. Menší a efektivní návrh bývá také šetrnější k baterii než těžší starší řešení.

Pro hlubší technický přehled si přečtěte co je WireGuard a jak funguje.

OpenVPN

OpenVPN se používá už mnoho let. Je flexibilní, vyzrálý a dobře konfigurovatelný. Může běžet přes různé transporty a dá se přizpůsobit mnoha síťovým nastavením.

Ta flexibilita ale znamená i větší složitost. OpenVPN mívá větší kódovou základnu a víc možností nastavení než WireGuard. V běžném spotřebitelském použití bývá často pomalejší a méně úsporný na baterii, hlavně na mobilních zařízeních. Pořád může být užitečný ve starších nasazeních nebo v sítích, které byly navržené kolem něj, ale už není nejjednodušší nejlepší výchozí volba pro většinu lidí.

Praktický závěr je jednoduchý: OpenVPN je ověřený a přizpůsobivý, zatímco WireGuard je obvykle rychlejší, čistší a modernější volba pro každodenní VPN aplikace.

IPsec vs WireGuard a kde zapadá IKEv2

IPsec vs WireGuard je další časté srovnání, ale je dobré rozlišit jednotlivé části. IPsec je sada protokolů pro zabezpečení IP provozu. IKEv2, tedy Internet Key Exchange verze 2, se s IPsec často používá k vyjednání klíčů a udržení spojení.

IKEv2/IPsec je oblíbený hlavně na mobilních zařízeních, protože si dobře poradí se změnami sítě. Když telefon přejde z Wi-Fi na mobilní data, IKEv2 často obnoví tunel bez většího zásahu uživatele. Podporuje ho také mnoho operačních systémů a firemních síťových nástrojů.

WireGuard řeší stejný problém jednodušším návrhem. Má méně pohyblivých částí než běžná nasazení IPsec, takže se s ním dá snadněji pracovat a VPN aplikace ho mohou implementovat konzistentněji. V praxi bývá často rychlejší a na bateriově napájených zařízeních působí úsporněji.

To ale neznamená, že je IKEv2/IPsec zbytečný. Pořád se objevuje ve spravovaných sítích, podnikových systémech a starších VPN konfiguracích. Pro spotřebitelskou VPN službu, která chce běžet na telefonech, počítačích i TV, je ale WireGuard obvykle praktičtější základ.

L2TP a PPTP: starší protokoly, které je dobré znát

L2TP a PPTP se objevují v mnoha starých návodech na VPN, na stránkách routerů i v nastavení operačních systémů. Je užitečné je znát hlavně proto, abyste poznali, kdy je raději nevolit.

L2TP

L2TP znamená Layer 2 Tunneling Protocol. Sám o sobě neposkytuje silné šifrování. Obvykle se kombinuje s IPsec, proto ho často uvidíte jako L2TP/IPsec.

L2TP/IPsec může v legacy prostředích pořád fungovat, ale není to moderní první volba. Může být pomalejší kvůli další vrstvě zapouzdření a na některých sítích naráží na problémy častěji než novější možnosti.

PPTP

PPTP znamená Point-to-Point Tunneling Protocol. Z hlediska soukromí a bezpečnosti je zastaralý. Na starých systémech se sice může snadno nastavovat, ale snadné nastavení samo o sobě nestačí, když je bezpečnostní návrh neaktuální.

Pokud vám VPN aplikace nabídne výběr a PPTP je v seznamu, nevolte ho. Pro běžné osobní použití jsou WireGuard, OpenVPN nebo IKEv2/IPsec vždy lepší volba.

SSL VPN pro firmy a přístup přes prohlížeč

ssl VPN se nejčastěji řeší ve firemním prostředí. Název obvykle označuje VPN přístup postavený na TLS, tedy stejné bezpečnostní rodině, kterou používají weby s HTTPS. Místo plnohodnotného tunelu pro celé zařízení může SSL VPN poskytovat přístup jen ke konkrétním firemním zdrojům přes prohlížeč nebo lehkého klienta.

Pro firmy je to užitečné, protože přístup lze omezit na interní webové aplikace, administrační panely nebo portály se soubory. Může to být také snazší řešení pro kontraktory nebo dočasný přístup než plná síťová VPN.

U osobních VPN služeb je cíl většinou jiný. Obvykle chcete chránit provoz aplikací přes VPN server, změnit veřejnou IP adresu a mít jednoduché ovládání napříč zařízeními. Proto se spotřebitelské VPN aplikace obvykle soustředí na protokoly jako WireGuard, ne na tradiční enterprise SSL VPN portály.

Jeden související detail stojí za zmínku, browser extensions od Crispy VPN běží přes TLS na portu 443 a vypadají jako běžný HTTPS provoz. Týká se to rozšíření, ne plných aplikací pro zařízení, které používají standardní WireGuard.

Jak se VPN protokoly liší rychlostí, bezpečností, baterií a velikostí kódu

Žádný protokol není nejlepší pro každou síť, ale rozdíly jsou při běžném používání dost jasné. Následující přehled je praktické srovnání, ne laboratorní benchmark.

• WireGuard: obvykle velmi rychlý, moderní bezpečnostní návrh, malá kódová základna, dobré chování z pohledu baterie a rychlé znovupřipojení.
• OpenVPN: vyzrálý a flexibilní, ale často pomalejší a těžší než WireGuard kvůli stáří a složitosti.
• IKEv2/IPsec: silné chování při změnách mobilní sítě a široká podpora systému, ale větší složitost než WireGuard.
• L2TP/IPsec: použitelné v některých legacy případech, ale pro moderní osobní VPN použití je pomalejší a méně atraktivní.
• PPTP: zastaralý a nevhodný pro ochranu citlivého provozu.
• SSL VPN: užitečný pro firemní portály a omezený přístup, obvykle ne hlavní protokol pro spotřebitelské VPN aplikace na celém zařízení.

Jednoduchý checklist pro výběr protokolu

1. Začněte WireGuardem, pokud ho vaše VPN aplikace podporuje. Pro většinu lidí je to nejlepší výchozí volba.
2. Použijte IKEv2/IPsec, pokud jste ve spravovaném prostředí, které ho vyžaduje, nebo je vaše zařízení tak nastavené.
3. Použijte OpenVPN, když potřebujete kompatibilitu se starším nastavením, které bylo na něm postavené.
4. Vyhněte se L2TP/IPsec, pokud k němu nemáte konkrétní legacy důvod.
5. Nepoužívejte PPTP pro soukromí ani bezpečnost.
6. SSL VPN berte jako firemní přístupový nástroj, pokud váš poskytovatel výslovně nepoužívá TLS pro browser based VPN přístup.

Pokud chcete ověřit, jestli je VPN skutečně aktivní, jednoduchý první krok je zkontrolovat veřejnou IP adresu. Můžete použít jaká je moje IP před připojením a po něm a podívat se, jestli se viditelná adresa změnila.

Proč Crispy VPN používá WireGuard na každém serveru

Crispy VPN používá WireGuard na každém serveru, protože odpovídá tomu, co většina lidí od moderní VPN potřebuje, tedy rychlost, silný bezpečnostní návrh, jednoduché ovládání a dobrou výdrž baterie. Protokol je dost lehký na to, aby aplikace zůstaly svižné, a zároveň dost robustní pro běžné prohlížení, streamování, komunikaci i cestování.

Důležitá je i konzistence. Když každý server Crispy VPN podporuje WireGuard, nemusíte hádat, která lokalita má moderní protokol a co je potřeba před připojením nastavit. Aplikaci si můžete stáhnout z stránky ke stažení, přihlásit se a používat stejný účet na podporovaných platformách.

Crispy VPN má servery ve 12 lokalitách a aplikace pro iPhone, iPad, Mac, Windows, Linux, Android, Apple TV, Android TV a Google TV, plus browser extensions pro Chrome, Edge a Firefox. V plných aplikacích je pod spojení skrytý právě WireGuard. Na TV se přihlášení řeší naskenováním QR kódu telefonem.

Volba protokolu je ale jen jedna část soukromí. Crispy VPN neukládá žádné activity logs a používá dvoustranný relay design, který odděluje, kdo jste, od toho, co děláte. I tak ale VPN nedokáže udělat nikoho zcela anonymním, sama nezastaví phishing ani neumí zabránit sledování ze strany webů, kde zůstáváte přihlášeni.

Pokud chcete pochopit celý průběh spojení, včetně toho, co se děje před šifrovaným tunelem a po něm, přečtěte si jak VPN funguje.