WireGuard vs OpenVPN vs IKEv2: prawdziwe porownanie

Wybierz niemal dowolna aplikacje VPN, a ekran, ktory decyduje o tym, jak sie ona faktycznie zachowuje, jest ukryty w ustawieniach: wybor protokolu. WireGuard vs OpenVPN vs IKEv2 to nie jest decyzja marketingowa.

Decyduje on o tym, jak szybki jest tunel, ile baterii Cie kosztuje, jak szybko wraca do dzialania, gdy Twoj telefon przelacza sie z Wi-Fi na siec komorkowa, oraz ile kodu znajduje sie miedzy Twoim ruchem a siecia.

To spokojne, inzynierskie spojrzenie na trzy protokoly, ktore zobaczysz w aplikacjach VPN na iPhone'a i Maca w 2026 roku. Bez straszenia, bez rankingow ze strony partnerskiej. Po prostu czym kazdy z nich naprawde jest, co robi dobrze, co robi zle i ktory zwykle jest wlasciwym ustawieniem domyslnym do nowoczesnego uzytku mobilnego.

Dlaczego wybor protokolu w ogole ma znaczenie

Protokol VPN to zbior zasad, ktorych dwa komputery uzywaja do ustanowienia szyfrowanego tunelu, a nastepnie przesylania przez niego pakietow. Protokol decyduje o tym, jak wymieniane sa klucze, ktory szyfr chroni dane, jak polaczenie przetrwa zmiane sieci oraz ile obliczen kosztuje kazdy pakiet.

Brzmi to abstrakcyjnie, dopoki nie dostrzezesz konsekwencji. Ciezszy handshake oznacza wolniejsze pierwsze polaczenie. Wieksza baza kodu oznacza szersza powierzchnie dla bledow bezpieczenstwa. Protokol, ktory nie potrafi wznowic dzialania miedzy sieciami, bedzie zrywal tunel za kazdym razem, gdy wyjdziesz poza zasieg Wi-Fi w kawiarni. Protokol dzialajacy w jadrze zuzyje mniej baterii niz taki, ktory dziala w przestrzeni uzytkownika.

Wiec gdy ludzie pytaja, ktory VPN jest “najszybszy” albo “najbezpieczniejszy”, zwykle zadaja pytanie o protokol, nie zdajac sobie z tego sprawy. Oto szczera odpowiedz.

WireGuard

WireGuard jest najnowszy z tej trojki i to on zmienil najwiecej w tym, jak budowany jest nowoczesny VPN. Zostal celowo zaprojektowany jako maly.

Referencyjna implementacja liczy okolo 4000 linii kodu. OpenVPN dla porownania to dziesiatki tysiecy linii, gdy uwzgledni sie jego zaleznosci od OpenSSL. Liczba linii kodu nie jest gwarancja bezpieczenstwa, ale jest oszacowaniem powierzchni audytu. Mala baza kodu moze zostac przejrzana od poczatku do konca przez kompetentny zespol w rozsadnym czasie. Rozrosnieta baza praktycznie nie moze.

WireGuard sam dobiera swoje prymitywy, zamiast je negocjowac. Jest jeden szyfr (ChaCha20-Poly1305), jedna wymiana kluczy (Curve25519), jeden hash (BLAKE2s). Brak menu zestawow szyfrow, brak atakow typu downgrade, o ktore trzeba sie martwic. Jesli protokol kiedykolwiek bedzie musial zmienic prymityw, zmieni sie numer wersji, a stare klienty przestana sie laczyc. To nietypowe i celowe.

Handshake jest bezstanowy z perspektywy serwera: serwer nie musi pamietac biezacego adresu sieciowego klienta, aby utrzymac jego tunel przy zyciu. To wlasnie sprawia, ze WireGuard wydaje sie szybki, gdy przechodzisz miedzy sieciami. Telefon przelacza sie z Wi-Fi na LTE, wysyla jeden pakiet z nowego adresu IP, a tunel dziala dalej. Nie ma etapu ponownej negocjacji.

Jest jedna szczera krytyka WireGuard, ktora warto nazwac. Domyslnie peer zachowuje ten sam wewnetrzny adres IP miedzy sesjami, poniewaz serwer identyfikuje klientow po kluczu publicznym, a nie po dzierzawie przypisanej do sesji. To w porzadku dla sieci korporacyjnej. Dla produktu chroniacego prywatnosc dostawca musi obsluzyc to swiadomie: rotujac wewnetrzne adresy IP, ograniczajac czas zycia peera, dbajac o to, by logi nie zamienily tego statycznego adresu w dlugoterminowy identyfikator. Protokol daje Ci klocki; dostawca musi ich uzyc poprawnie.

WireGuard dziala wylacznie po UDP. To celowa decyzja projektowa i zarazem jego najwieksza praktyczna wada. W sieci, ktora blokuje UDP albo zezwala na ruch tylko na porcie TCP 443 (niektore hotelowe Wi-Fi, niektore korporacyjne sieci goscinne, niektore srodowiska cenzury), WireGuard po prostu sie nie polaczy. Nie ma wbudowanego przejscia awaryjnego na TCP.

Druga rzecz, ktora warto wiedziec, to to, ze WireGuard znajduje sie w glownej galezi jadra Linuksa. Oznacza to, ze na serwerach z Linuksem sciezka danych dziala z predkoscia jadra, bez kopiowania w przestrzeni uzytkownika. W iOS i macOS implementacja dziala w zarzadzanym przez system procesie Network Extension, ktory jest najblizszym odpowiednikiem na platformie nie zezwalajacej na rozszerzenia jadra od podmiotow trzecich. To wciaz proces w przestrzeni uzytkownika w piaskownicy, ale framework sieciowy Apple przekazuje mu pakiety wydajnie i narzut jest w praktyce niewielki.

OpenVPN

OpenVPN jest najstarszy z tej trojki. Jest wdrazany i latany w srodowiskach produkcyjnych od 2001 roku, co oznacza, ze niemal kazdy tryb awarii, jaki mozesz sobie wyobrazic, juz wystapil, zostal zgloszony i naprawiony w czyjejs sieci. To realna wartosc.

Obsluguje zarowno UDP, jak i TCP. UDP daje lepsza wydajnosc w normalnych warunkach. TCP, zwykle na porcie 443, pozwala tunelowi podszyc sie pod zwykly ruch HTTPS. W restrykcyjnych sieciach jest to czasem jedyny sposob, by w ogole nawiazac polaczenie. Jesli kiedykolwiek laczyles sie z Wi-Fi konferencyjnym, ktore blokuje wszystko poza przegladaniem stron, to prawdopodobnie docenilas przejscie awaryjne na TCP/443.

Szyfrowanie zapewnia OpenSSL. Jest elastyczne, dobrze poznane i daje operatorom szerokie menu szyfrow do wyboru. Jest tez znaczaco wieksza powierzchnia ataku niz zamkniete prymitywy WireGuard. Heartbleed z 2014 roku to podrecznikowy przyklad: luka w szeroko wdrozonej bibliotece, ktora po cichu dotknela kazdy produkt od niej zalezny, w tym wdrozenia OpenVPN korzystajace z podatnych kompilacji OpenSSL. Latki zawsze sie pojawiaja. Chodzi o to, ze powierzchnia jest szersza niz ta, ktora odslania WireGuard.

Opowiesc o wydajnosci jest szczera: handshake OpenVPN jest ciezszy (przeprowadza pelna negocjacje w stylu TLS), a jego narzut na pakiet jest wyzszy. Na szybkim polaczeniu zmierzysz roznice. Na wolnym polaczeniu mozesz jej nie zauwazyc. Zuzycie baterii na komorce jest rowniez wyzsze, bo wiecej pracy odbywa sie w przestrzeni uzytkownika.

Miejsce OpenVPN dzisiaj to nie “najszybszy” ani “najlzejszy”. To “najbardziej zgodny”. W sieci, ktora aktywnie ingeruje w ruch VPN, OpenVPN po TCP/443 wciaz sie przebija w przypadkach, w ktorych WireGuard nie potrafi. Cena tej zgodnosci to zalamanie TCP-over-TCP: gdy zewnetrzna warstwa TCP retransmituje, poniewaz wewnetrzna warstwa TCP juz retransmitowala, przepustowosc moze sie zalamac na niestabilnym laczu. To wlasciwe wyjscie awaryjne, a nie wlasciwy tunel na co dzien.

IKEv2 / IPsec

IKEv2 (Internet Key Exchange wersja 2) to polowa odpowiadajaca za wymiane kluczy w tunelu IPsec. Na platformach Apple jest to protokol, ktory system operacyjny rozumie natywnie. Profil IKEv2 mozesz skonfigurowac w Ustawieniach iOS, nie instalujac w ogole zadnej aplikacji od podmiotu trzeciego. To realna zaleta, gdy nie chcesz dodatkowego oprogramowania w tym obiegu.

Zabojcza funkcja IKEv2 na komorce jest MOBIKE — niewielkie rozszerzenie, ktore pozwala tunelowi przetrwac zmiane adresu IP bez ponownej negocjacji. Gdy przechodzisz z Wi-Fi na siec komorkowa, MOBIKE mowi serwerowi “wciaz jestem ja, tylko pod nowym adresem”, a sesja trwa dalej. Czas ponownego laczenia jest dla uzytkownika praktycznie zerowy.

Pod maska plaszczyzna danych to IPsec, ktory na platformach Apple jest zaimplementowany w jadrze. Oznacza to dobra przepustowosc i niski koszt procesora — w wielu przypadkach porownywalny z WireGuard, choc wiekszosc niezaleznych testow wciaz stawia WireGuard na pierwszym miejscu.

Haczykiem jest zlozonosc konfiguracji. IPsec ma mnostwo pokretel (algorytmy szyfrowania, uwierzytelnianie, doskonala tajnosc przekazywania wprzod, czasy zycia IKE, interwaly ponownego generowania kluczy), a zla kombinacja moze pozostawic tunel, ktory dziala, ale jest slabszy niz na to wyglada. Protokol jest w porzadku. Ryzyko zlej konfiguracji jest realne.

IKEv2 jest tez mniej interesujacym celem dla ekosystemu open source niz WireGuard, co oznacza, ze innowacje po stronie klientow spowolnily w porownaniu z WireGuard. Sam protokol jest stabilny i dojrzaly, malo prawdopodobne, by zaskoczyl Cie w ktoraskolwiek strone. Druga strona medalu: dziedziczysz to, co da Ci system, w tym jego interfejs dla wylacznika awaryjnego i regul on-demand, ktory bywa bardziej ograniczony niz to, co moze zaoferowac klient stworzony do tego celu.

Tabela porownawcza

Kilka uwag, jak czytac to uczciwie. “Najszybszy” jest prawdziwy, ale niewielki. Na typowym domowym laczu nie zauwazysz 50 Mbps roznicy. Testy podmiotow trzecich roznia sie znacznie w zaleznosci od sprzetu, odleglosci i sposobu przeprowadzenia testu, ale wzgledna kolejnosc miedzy tymi trzema protokolami jest spojna od lat. “Najlepsza bateria” jest prawdziwa i zauwazysz to przy dlugotrwalym polaczeniu. “Rozmiar kodu” to argument o powierzchni audytu, a nie liczba podatnosci.

Ponowne laczenie na telefonie, w praktyce

Wymiarem, w ktorym te protokoly roznia sie najbardziej na telefonie, jest to, co dzieje sie, gdy zmienia sie Twoja siec. Wyjscie z biura, wejscie do pociagu, przelaczenie z Wi-Fi z portalem przechwytujacym na LTE, bo strona logowania nigdy sie nie zaladowala: mobilny VPN spedza realna czesc swojego zycia na obsludze tych przejsc.

WireGuard radzi sobie z tym niemal niewidocznie. Poniewaz serwer jest bezstanowy wzgledem adresu klienta, telefon po prostu wysyla pakiet z nowego adresu IP i tunel dziala dalej. IKEv2 z MOBIKE zachowuje sie podobnie z zalozenia: to samo skojarzenie bezpieczenstwa migruje na nowy adres. Czas ponownego laczenia w obu przypadkach jest praktycznie zerowy.

OpenVPN radzi sobie ze zmianami sieci najgorzej z tej trojki. Domyslnym zachowaniem jest wykrycie, ze lacze sie zmienilo, zerwanie tunelu i odbudowanie go od zera — pelny handshake w stylu TLS. To jest zauwazalne na telefonie, zwykle sekunda lub dwie, a czasem dluzej, jesli pierwsza proba sie nie powiedzie. Nowoczesne klienty OpenVPN maskuja to logika ponownego laczenia, ale bazowy protokol jest najwolniejszy w powrocie do dzialania.

Szczere zdanie

Dla nowoczesnego mobilnego VPN WireGuard jest wlasciwym ustawieniem domyslnym. Szyfrowanie jest nowoczesne i nienegocjowalne, baza kodu jest na tyle mala, by naprawde dalo sie ja przejrzec, handshake jest szybki, koszt baterii niski, a ponowne laczenie miedzy sieciami przebiega czysto. To nie jest decyzja podyktowana moda. To jest to, do czego przez ostatnie piec lat doszedl kazdy powazny zespol mobilnego VPN.

OpenVPN wciaz ma realne zastosowanie: przejscie awaryjne na TCP/443 w restrykcyjnych sieciach. Jesli Twoja praca czasem stawia Cie w sieci, ktora blokuje wszystko poza ruchem webowym, klient OpenVPN w zanadrzu jest naprawde przydatny. Do codziennego konsumenckiego uzytku na telefonie jest zlym ustawieniem domyslnym.

IKEv2 jest calkowicie rozsadnym wyborem, jesli chcesz miec profil VPN bez instalowania aplikacji. Natywna konfiguracja iOS jest solidna, a ponowne laczenie przebiega czysto. Kompromisem jest to, ze tracisz funkcje, ktore daje prawdziwy klient — logi polaczen, ktore mozesz przeczytac, czytelny interfejs wylacznika awaryjnego, wybor serwera, szybkie przelaczanie. Natywne profile sa swietne do stalej konfiguracji korporacyjnej i lekko rozczarowujace do uzytku osobistego.

Protokol nie rozwiazuje reszty kwestii prywatnosci. Dostawca wciaz musi byc szczery co do tego, co naprawde oznacza polityka braku logow, aplikacja wciaz musi poprawnie obslugiwac klucze, a VPN nie powstrzyma Twojego systemu operacyjnego ani przegladarki przed wyciekiem informacji o Tobie do innych podmiotow. Protokol to czesc odpowiedzi, a nie cala odpowiedz.

Podsumowanie

Jesli wybierasz protokol VPN w 2026 roku, a Twoim priorytetem jest dzialajacy tunel na iPhonie, ktory laczy sie szybko, oszczedza baterie i przetrwa przejazd pociagiem z Wi-Fi na LTE — wybierz WireGuard. Jesli regularnie musisz laczyc sie z sieci, ktore stawiaja Ci opor, miej OpenVPN jako rozwiazanie zapasowe. Jesli chcesz natywny profil bez instalowania aplikacji, IKEv2 jest wlasciwa odpowiedzia.

Snap VPN dziala wylacznie na WireGuard. Podjelismy te decyzje, poniewaz gdy naprawde porownasz protokoly w wymiarach, ktore licza sie na telefonie (predkosc, bateria, ponowne laczenie, audytowalnosc), nie ma szczerego argumentu, by dostarczac pozostale jako ustawienia domyslne. Dodanie kolejnych protokolow oznaczaloby wiecej kodu w tunelu, wiecej menu szyfrow, wiecej konfiguracji do popsucia oraz wolniejsze ustawienie domyslne dla uzytkownikow, ktorzy i tak nigdy nie zmieniliby wyboru protokolu. Wolimy robic jedna rzecz dobrze.

WireGuard vs OpenVPN nie jest tak naprawde ciekawym pojedynkiem na nowoczesnym iPhonie. WireGuard wygral to porownanie pod wzgledem technicznym pare lat temu. Ciekawe pytanie brzmi, czy reszta produktu wokol protokolu jest zbudowana z taka sama powsciagliwoscia: anonimowa tozsamosc, brak logow ruchu, wylacznik awaryjny, ktory naprawde dziala, mala baza kodu klienta.

Jesli chcesz zobaczyc, jak WireGuard zachowuje sie tak, jak powinien na iOS, Snap jest juz w App Store, a macOS pojawi sie nastepny. Bez rejestracji adresem e-mail. Bez logow ruchu. Bez identyfikatorow powiazanych z prawdziwa osoba. Anonimowy z zalozenia, na protokole, ktory zasluzyl na swoje miejsce jako ustawienie domyslne.