WireGuard बनाम OpenVPN बनाम IKEv2: असली तुलना

लगभग कोई भी VPN ऐप उठाइए और जो स्क्रीन तय करती है कि वह असल में कैसा व्यवहार करेगा, वह सेटिंग्स में दबी होती है: प्रोटोकॉल चुनने वाला विकल्प। WireGuard बनाम OpenVPN बनाम IKEv2 कोई मार्केटिंग का चुनाव नहीं है।

यह तय करता है कि टनल कितना तेज़ चलेगा, आपकी कितनी बैटरी ख़र्च करेगा, जब आपका फ़ोन Wi-Fi से सेल्युलर पर जाता है तो वह कितनी जल्दी संभलता है, और आपके ट्रैफ़िक तथा नेटवर्क के बीच कितना कोड बैठा है।

यह उन तीन प्रोटोकॉल पर एक शांत, कामकाजी-इंजीनियर वाली नज़र है जो आप 2026 में iPhone और Mac के VPN ऐप में देखेंगे। न डर फैलाना, न किसी एफ़िलिएट पेज की रैंकिंग। बस इतना कि हर एक असल में क्या है, क्या सही करता है, क्या ग़लत करता है, और आधुनिक मोबाइल इस्तेमाल के लिए कौन-सा आम तौर पर सही डिफ़ॉल्ट होता है।

प्रोटोकॉल का चुनाव आख़िर क्यों मायने रखता है

VPN प्रोटोकॉल वह नियमावली है जिसे दो कंप्यूटर एक एन्क्रिप्टेड टनल बनाने और फिर उसके ज़रिए पैकेट भेजने के लिए इस्तेमाल करते हैं। प्रोटोकॉल तय करता है कि कुंजियों का विनिमय कैसे होगा, कौन-सा सिफर डेटा की रक्षा करेगा, नेटवर्क बदलने पर कनेक्शन कैसे टिका रहेगा, और हर पैकेट पर कितनी गणना लगती है।

यह अमूर्त लगता है, जब तक आप इसके नतीजे न देख लें। भारी हैंडशेक का मतलब है पहला कनेक्ट धीमा। बड़ा कोडबेस का मतलब है सुरक्षा बग्स के लिए चौड़ी सतह। ऐसा प्रोटोकॉल जो नेटवर्क बदलने पर दोबारा नहीं जुड़ सकता, हर बार जब आप कॉफ़ी शॉप के Wi-Fi से बाहर निकलते हैं तब टनल तोड़ देगा। कर्नेल में चलने वाला प्रोटोकॉल यूज़र स्पेस में चलने वाले की तुलना में कम बैटरी पिएगा।

तो जब लोग पूछते हैं कि कौन-सा VPN “सबसे तेज़” या “सबसे सुरक्षित” है, तो वे आम तौर पर बिना जाने एक प्रोटोकॉल का सवाल पूछ रहे होते हैं। यह रहा ईमानदार जवाब।

WireGuard

WireGuard तीनों में सबसे नया है और वही है जिसने आधुनिक VPN के बनने के तरीक़े को सबसे ज़्यादा बदला है। इसे जानबूझकर छोटा डिज़ाइन किया गया था।

इसका संदर्भ कार्यान्वयन करीब 4,000 पंक्तियों का कोड है। तुलना में OpenVPN, अपनी OpenSSL निर्भरताओं को मिला दें तो, हज़ारों पंक्तियों का है। कोड की पंक्तियाँ सुरक्षा की गारंटी नहीं हैं, पर ये ऑडिट-सतह का एक अंदाज़ा देती हैं। एक छोटे कोडबेस की एक सक्षम टीम तर्कसंगत समय में शुरू से आख़िर तक समीक्षा कर सकती है। एक फैले हुए कोडबेस की व्यावहारिक रूप से नहीं कर सकती।

WireGuard अपने प्रिमिटिव्स को नेगोशिएट करने के बजाय ख़ुद चुनता है। एक ही सिफर है (ChaCha20-Poly1305), एक ही कुंजी विनिमय (Curve25519), एक ही हैश (BLAKE2s)। कोई सिफर सूट का मेन्यू नहीं, चिंता करने को कोई डाउनग्रेड हमला नहीं। अगर प्रोटोकॉल को कभी कोई प्रिमिटिव बदलना पड़े, तो संस्करण संख्या बदल जाती है और पुराने क्लाइंट जुड़ना बंद कर देते हैं। यह असामान्य है और जानबूझकर ऐसा है।

सर्वर के नज़रिए से हैंडशेक स्टेटलेस है: टनल को ज़िंदा रखने के लिए सर्वर को किसी क्लाइंट का मौजूदा नेटवर्क पता याद रखने की ज़रूरत नहीं होती। यही वजह है कि नेटवर्कों के बीच चलते-फिरते WireGuard तेज़ महसूस होता है। फ़ोन Wi-Fi से LTE पर जाता है, एक नए IP से एक पैकेट भेजता है, और टनल चलता रहता है। कोई दोबारा नेगोशिएशन का चरण नहीं होता।

WireGuard की एक ईमानदार आलोचना है जिसका नाम लेना ज़रूरी है। डिफ़ॉल्ट रूप से एक peer सेशनों के दौरान वही आंतरिक IP बनाए रखता है, क्योंकि सर्वर क्लाइंटों को हर सेशन के लीज़ के बजाय सार्वजनिक कुंजी से पहचानता है। कॉर्पोरेट नेटवर्क के लिए यह ठीक है। किसी प्राइवेसी उत्पाद के लिए प्रदाता को इसे जानबूझकर संभालना पड़ता है: आंतरिक IP को घुमाना, peer की उम्र को सीमित करना, यह सुनिश्चित करना कि लॉग उस स्थिर पते को एक दीर्घकालिक पहचानकर्ता में न बदल दें। प्रोटोकॉल आपको निर्माण-खंड देता है; प्रदाता को उन्हें सही तरीक़े से इस्तेमाल करना पड़ता है।

WireGuard सिर्फ़ UDP वाला है। यह एक जानबूझकर लिया गया डिज़ाइन फ़ैसला है और यही इसकी सबसे बड़ी व्यावहारिक कमी भी है। ऐसे नेटवर्क पर जो UDP को रोकता है या सिर्फ़ TCP पोर्ट 443 पर ट्रैफ़िक की अनुमति देता है (कुछ होटल Wi-Fi, कुछ कॉर्पोरेट गेस्ट नेटवर्क, कुछ सेंसरशिप वाले माहौल), WireGuard बस जुड़ता ही नहीं। इसमें कोई अंतर्निहित TCP फ़ॉलबैक नहीं है।

जानने लायक दूसरी बात यह है कि WireGuard मेनलाइन Linux कर्नेल में है। इसका मतलब है कि Linux सर्वरों पर डेटा पथ कर्नेल-गति का है, यूज़र-स्पेस में कोई कॉपी नहीं। iOS और macOS पर यह कार्यान्वयन एक सिस्टम-प्रबंधित Network Extension प्रक्रिया में चलता है, जो ऐसे प्लेटफ़ॉर्म पर सबसे क़रीबी समतुल्य है जो तीसरे पक्ष के कर्नेल एक्सटेंशन की अनुमति नहीं देता। यह अब भी यूज़र स्पेस की एक सैंडबॉक्स्ड प्रक्रिया है, पर Apple का नेटवर्किंग फ़्रेमवर्क इसे कुशलता से पैकेट सौंपता है और व्यवहार में बोझ कम रहता है।

OpenVPN

OpenVPN तीनों में सबसे पुराना है। इसे 2001 से प्रोडक्शन में तैनात और पैच किया जाता रहा है, यानी जितनी भी विफलताओं की आप कल्पना कर सकते हैं वे लगभग सभी किसी न किसी के नेटवर्क में पहले ही सामने आ चुकी हैं, रिपोर्ट हो चुकी हैं और ठीक हो चुकी हैं। यह असली मूल्य है।

यह UDP और TCP दोनों का समर्थन करता है। सामान्य हालात में UDP बेहतर परफ़ॉर्मेंस देता है। TCP, आम तौर पर पोर्ट 443 पर, टनल को सामान्य HTTPS ट्रैफ़िक की तरह दिखने देता है। प्रतिबंधात्मक नेटवर्कों में कभी-कभी कनेक्शन बनाने का यही एकमात्र तरीक़ा होता है। अगर आपने कभी किसी कॉन्फ़्रेंस के Wi-Fi से जुड़ने की कोशिश की है जो वेब ब्राउज़िंग के सिवा सब रोक देता है, तो शायद आपने TCP/443 फ़ॉलबैक की क़द्र की होगी।

क्रिप्टोग्राफी OpenSSL मुहैया कराता है। यह लचीला है, अच्छी तरह समझा हुआ है, और ऑपरेटरों को सिफरों का एक विस्तृत मेन्यू देता है। यह WireGuard के बंद-किए हुए प्रिमिटिव्स की तुलना में काफ़ी बड़ी हमला-सतह भी है। 2014 का Heartbleed इसका पाठ्यपुस्तक वाला उदाहरण है: व्यापक रूप से तैनात एक लाइब्रेरी में एक ख़ामी जिसने चुपचाप उस पर निर्भर हर उत्पाद को प्रभावित किया, जिसमें कमज़ोर OpenSSL बिल्ड वाली OpenVPN तैनातियाँ भी शामिल थीं। पैच हमेशा आ जाते हैं। बात बस इतनी है कि सतह WireGuard के उजागर करने वाले हिस्से से चौड़ी है।

परफ़ॉर्मेंस की कहानी ईमानदार है: OpenVPN का हैंडशेक भारी है (यह एक पूरा TLS-शैली का नेगोशिएशन करता है), और इसका प्रति-पैकेट बोझ ज़्यादा है। तेज़ कनेक्शन पर आप अंतर माप लेंगे। धीमे कनेक्शन पर शायद आपको पता भी न चले। मोबाइल पर बैटरी की खपत भी ज़्यादा होती है क्योंकि ज़्यादा काम यूज़र स्पेस में होता है।

आज OpenVPN की जगह “सबसे तेज़” या “सबसे हल्का” वाली नहीं है। यह “सबसे ज़्यादा अनुकूल” वाली है। ऐसे नेटवर्क पर जो सक्रिय रूप से VPN ट्रैफ़िक में दख़ल देता है, TCP/443 पर OpenVPN उन हालात में भी पार निकल जाता है जहाँ WireGuard नहीं निकल पाता। उस अनुकूलता की क़ीमत है TCP-over-TCP का ढहना: जब बाहरी TCP परत इसलिए दोबारा भेजती है क्योंकि भीतरी TCP परत पहले ही दोबारा भेज चुकी है, तो किसी डगमगाते लिंक पर थ्रूपुट ढह सकता है। यह सही आपातकालीन रास्ता है, रोज़मर्रा का सही टनल नहीं।

IKEv2 / IPsec

IKEv2 (Internet Key Exchange संस्करण 2) किसी IPsec टनल का कुंजी-विनिमय वाला हिस्सा है। Apple प्लेटफ़ॉर्म पर यह वही प्रोटोकॉल है जिसे ऑपरेटिंग सिस्टम मूल रूप से समझता है। आप किसी भी तीसरे पक्ष के ऐप को इंस्टॉल किए बिना iOS की सेटिंग्स में एक IKEv2 प्रोफ़ाइल कॉन्फ़िगर कर सकते हैं। यह एक असली फ़ायदा है जब आप बीच में कोई अतिरिक्त सॉफ़्टवेयर नहीं चाहते।

मोबाइल पर IKEv2 की सबसे ख़ास ख़ूबी MOBIKE है — एक छोटा सा एक्सटेंशन जो टनल को दोबारा नेगोशिएट किए बिना IP पता बदलने के बावजूद टिके रहने देता है। जब आप Wi-Fi से सेल्युलर पर जाते हैं, तो MOBIKE सर्वर से कहता है “मैं अब भी वही हूँ, बस नए पते पर”, और सेशन चलता रहता है। यूज़र के लिए रीकनेक्ट का समय व्यावहारिक रूप से शून्य होता है।

परदे के पीछे डेटा प्लेन IPsec है, जो Apple प्लेटफ़ॉर्म पर कर्नेल में लागू होता है। इसका मतलब है अच्छा थ्रूपुट और कम CPU लागत — कई मामलों में WireGuard के बराबर, हालाँकि ज़्यादातर स्वतंत्र बेंचमार्क अब भी WireGuard को आगे रखते हैं।

पेच कॉन्फ़िगरेशन की जटिलता का है। IPsec में बहुत सारे विकल्प हैं (एन्क्रिप्शन एल्गोरिदम, प्रमाणीकरण, परफ़ेक्ट फ़ॉरवर्ड सीक्रेसी, IKE लाइफ़टाइम, rekey अंतराल), और ग़लत संयोजन ऐसा टनल छोड़ सकता है जो चलता तो है पर दिखने से कमज़ोर होता है। प्रोटोकॉल ठीक है। ग़लत कॉन्फ़िगरेशन का जोखिम असली है।

IKEv2 ओपन-सोर्स इकोसिस्टम के लिए WireGuard जितना दिलचस्प निशाना भी नहीं है, यानी WireGuard की तुलना में क्लाइंट में नवाचार धीमा पड़ गया है। प्रोटोकॉल ख़ुद स्थिर और परिपक्व है, इसकी संभावना कम है कि वह किसी भी दिशा में आपको चौंकाए। इसका दूसरा पहलू: OS आपको जो देता है वही आपको विरासत में मिलता है, जिसमें kill switch और on-demand नियमों के लिए उसका UI भी शामिल है, जो आम तौर पर किसी ख़ास मक़सद से बने क्लाइंट की पेशकश से ज़्यादा सीमित होता है।

तुलना तालिका

इसे ईमानदारी से पढ़ने के लिए कुछ बातें। “सबसे तेज़” सच है पर छोटा है। एक आम घरेलू कनेक्शन पर आपको 50 Mbps का अंतर महसूस नहीं होगा। तीसरे पक्ष के बेंचमार्क हार्डवेयर, दूरी और टेस्ट कैसे चलाया गया, इस पर काफ़ी अलग-अलग रहते हैं, पर तीनों प्रोटोकॉल के बीच आपेक्षिक क्रम सालों से एक जैसा रहा है। “बैटरी सबसे बढ़िया” सच है और लंबे समय चलने वाले कनेक्शन पर आप इसे महसूस करेंगे। “कोड का आकार” एक ऑडिट-सतह वाला तर्क है, कमज़ोरियों की गिनती नहीं।

फ़ोन पर रीकनेक्ट, व्यवहार में

जिस पहलू में ये प्रोटोकॉल फ़ोन पर सबसे ज़्यादा अलग होते हैं वह यह है कि आपका नेटवर्क बदलने पर क्या होता है। दफ़्तर से बाहर निकलना, ट्रेन में चढ़ना, captive-portal वाले Wi-Fi से LTE पर जाना क्योंकि पोर्टल का पेज कभी लोड ही नहीं हुआ: एक मोबाइल VPN अपनी ज़िंदगी का एक असली हिस्सा इन्हीं बदलावों से निपटने में बिताता है।

WireGuard इसे लगभग अदृश्य तरीक़े से संभाल लेता है। चूँकि सर्वर किसी क्लाइंट के पते को लेकर स्टेटलेस है, फ़ोन बस अपने नए IP से एक पैकेट भेजता है और टनल चलता रहता है। MOBIKE के साथ IKEv2 भी डिज़ाइन से ही ऐसा ही व्यवहार करता है: वही security association नए पते पर चला जाता है। दोनों पर रीकनेक्ट का समय व्यावहारिक रूप से शून्य है।

नेटवर्क बदलने को OpenVPN तीनों में सबसे ख़राब तरीक़े से संभालता है। डिफ़ॉल्ट व्यवहार यह है कि वह भाँप लेता है कि लिंक बदल गया है, टनल को गिरा देता है, और उसे शुरू से दोबारा बनाता है — एक पूरा TLS-शैली का हैंडशेक। फ़ोन पर यह ध्यान खींचता है, आम तौर पर एक-दो सेकंड और कभी-कभी ज़्यादा अगर पहली कोशिश नाकाम रहे। आधुनिक OpenVPN क्लाइंट इसे रीकनेक्ट लॉजिक से ढक देते हैं, पर अंतर्निहित प्रोटोकॉल संभलने में सबसे धीमा है।

ईमानदार राय

एक आधुनिक मोबाइल VPN के लिए WireGuard सही डिफ़ॉल्ट है। क्रिप्टो आधुनिक है और नेगोशिएट करने लायक नहीं, कोडबेस इतना छोटा है कि सचमुच समीक्षा हो सके, हैंडशेक तेज़ है, बैटरी की लागत कम है, और नेटवर्कों के बीच रीकनेक्ट साफ़ है। यह फ़ैशन का फ़ैसला नहीं है। पिछले पाँच सालों में हर गंभीर मोबाइल VPN टीम इसी पर आकर ठहरी है।

OpenVPN का अब भी एक असली इस्तेमाल है: प्रतिबंधात्मक नेटवर्कों पर TCP/443 फ़ॉलबैक। अगर आपका काम कभी-कभी आपको ऐसे नेटवर्क पर डाल देता है जो वेब ट्रैफ़िक के सिवा सब रोक देता है, तो जेब में रखा एक OpenVPN क्लाइंट सचमुच उपयोगी है। फ़ोन पर रोज़मर्रा के उपभोक्ता इस्तेमाल के लिए यह ग़लत डिफ़ॉल्ट है।

IKEv2 एक बिल्कुल वाजिब विकल्प है अगर आप बिना ऐप इंस्टॉल किए एक VPN प्रोफ़ाइल चाहते हैं। iOS का मूल कॉन्फ़िगरेशन मज़बूत है और रीकनेक्ट साफ़ हैं। समझौता यह है कि एक असली क्लाइंट जो ख़ूबियाँ देता है वे आपके हाथ से निकल जाती हैं — ऐसे कनेक्शन लॉग जिन्हें आप पढ़ सकें, एक साफ़ kill switch वाला UI, सर्वर चुनने वाला विकल्प, तेज़ स्विचिंग। मूल प्रोफ़ाइलें एक always-on कॉर्पोरेट कॉन्फ़िग के लिए बढ़िया हैं और निजी इस्तेमाल के लिए ज़रा फीकी।

प्रोटोकॉल प्राइवेसी के बाक़ी सवाल को हल नहीं करता। प्रदाता को अब भी इस बारे में ईमानदार रहना पड़ता है कि नो-लॉग्स नीति का असल में क्या मतलब है, ऐप को अब भी कुंजियों को सही तरीक़े से संभालना पड़ता है, और कोई VPN आपके ऑपरेटिंग सिस्टम या आपके ब्राउज़र को आपके बारे में जानकारी दूसरे पक्षों तक लीक करने से नहीं रोक सकता। प्रोटोकॉल जवाब का एक हिस्सा है, पूरा जवाब नहीं।

निचोड़

अगर आप 2026 में एक VPN प्रोटोकॉल चुन रहे हैं और आपकी प्राथमिकता एक ऐसा कारगर iPhone टनल है जो तेज़ी से जुड़े, बैटरी कम पिए, और Wi-Fi से LTE तक की ट्रेन यात्रा झेल जाए — तो WireGuard चुनिए। अगर आपको नियमित रूप से ऐसे नेटवर्कों से जुड़ना पड़ता है जो आपसे लड़ते हैं, तो OpenVPN को बैकअप के तौर पर रखिए। अगर आप बिना कोई ऐप इंस्टॉल किए एक मूल प्रोफ़ाइल चाहते हैं, तो IKEv2 सही जवाब है।

Snap VPN सिर्फ़ WireGuard वाला है। हमने यह फ़ैसला इसलिए लिया क्योंकि जब आप फ़ोन पर मायने रखने वाले पहलुओं (स्पीड, बैटरी, रीकनेक्ट, ऑडिट-योग्यता) पर प्रोटोकॉल की सचमुच तुलना करते हैं तो बाक़ियों को डिफ़ॉल्ट के तौर पर भेजने का कोई ईमानदार आधार नहीं बचता। अतिरिक्त प्रोटोकॉल जोड़ने का मतलब होता टनल में ज़्यादा कोड, ज़्यादा सिफर मेन्यू, ग़लत करने के लिए ज़्यादा कॉन्फ़िगरेशन, और उन यूज़रों के लिए एक धीमा डिफ़ॉल्ट जो प्रोटोकॉल चुनने वाले विकल्प को वैसे भी कभी नहीं बदलते। हम बजाय इसके एक काम को अच्छे से करना पसंद करेंगे।

एक आधुनिक iPhone पर WireGuard बनाम OpenVPN दरअसल वह दिलचस्प लड़ाई नहीं है। WireGuard वह तुलना तकनीकी आधारों पर कुछ साल पहले ही जीत चुका था। दिलचस्प सवाल यह है कि प्रोटोकॉल के इर्द-गिर्द बाक़ी उत्पाद उसी संयम से बना है या नहीं: गुमनाम पहचान, कोई ट्रैफ़िक लॉग नहीं, एक kill switch जो सचमुच काम करता हो, एक छोटा क्लाइंट कोडबेस।

अगर आप देखना चाहते हैं कि iOS पर WireGuard को जैसा व्यवहार करना चाहिए वैसा करता है, तो Snap अभी App Store पर है, और macOS अगली बारी में आ रहा है। कोई ईमेल साइनअप नहीं। कोई ट्रैफ़िक लॉग नहीं। किसी असल व्यक्ति से जुड़ा कोई पहचानकर्ता नहीं। डिज़ाइन से ही गुमनाम, उस प्रोटोकॉल पर जिसने डिफ़ॉल्ट होने की अपनी जगह कमाई है।