在 AmneziaWG、WireGuard 和 OpenVPN 之间进行选择

WireGuard 作为基础架构

WireGuard 创建一个三层接口并将隧道地址映射到公钥。其官方规格列出了 Noise_IK、Curve25519、ChaCha20-Poly1305、BLAKE2s、SipHash24 和 HKDF。每个外部数据包都使用 UDP。该协议轮换会话密钥并维护紧凑的对等状态。

重点模型支持可审计性和简单的部署。 WireGuard 不包括用户配置、配置交付和混淆。其已知限制页面将迷彩置于上层。该边界不会削弱加密；而是会削弱加密。它定义了项目范围。

WireGuard 适合运营商需要系统隧道且 UDP 工作的受控网络。对其固定格式进行分类或限制 UDP 的网络需要额外的层或其他传输。 Base WireGuard 不提供 TCP 模式。

AmneziaWG 3.1 添加了什么

AmneziaWG 更改可观察的 WireGuard 字段。 3.0版本支持H1 - H4范围、S1 - S4前缀和I1 - I5签名数据包。 J 参数定义垃圾数据包的数量和大小。 Amnezia 列出了 DNS 和 QUIC 作为配置可能类似的模式示例。

加密基础遵循 WireGuard，但标准 WireGuard 客户端无法解析 Amnezia 特定字段。使用 AmneziaVPN 5.0.1.5 或更高版本或兼容的本机客户端。 3.0 版需要全新配置，而不是就地旧版升级。

更多的字段会产生更多的故障模式。重叠的 H 范围、不匹配的设置或超出 MTU 的数据包可能会停止连接。屏蔽可以解决某些分类器的问题，但不会隐藏服务器地址或绕过全面的 UDP 禁令。

OpenVPN 有何不同

OpenVPN 2.6 支持 TUN 和 TAP、TLS 身份验证、证书、UDP 和 TCP。在 TLS 模式下，控制通道协商密钥，而数据通道传输隧道流量。 tls-auth 和 tls-crypt 可以验证或隐藏部分控制流量。该功能集支持 PKI、用户身份验证、代理和许多平台。

官方 OpenVPN 文档建议使用 UDP 以提高性能。 TCP 在 UDP 不可用的情况下提供帮助，但 TCP-over-TCP 会创建竞争的重传和拥塞控制层。丢失会放大延迟。端口 TCP 443 提高了防火墙兼容性，但并不使 OpenVPN 成为 HTTPS 实现。

该选项集增加了运营成本。团队管理 CA、证书、吊销、密码协商和客户端版本。对于具有现有 PKI 和兼容性要求的组织来说，这一成本是有意义的。

安全和信任模型

WireGuard 和 AmneziaWG 使用对等密钥和加密密钥路由。泄露的客户端私钥需要对等撤销和替换。 AWG 屏蔽参数无法保护被盗的密钥。每个设备一个配置文件限制撤销范围。

OpenVPN 通常在 TLS 模式下使用 CA 和客户端证书。运营商通过 CRL 撤销证书并保护根 CA 密钥。 tls-auth 或 tls-crypt 添加需要自己生命周期的共享控制通道机密。

算法列表不描述部署安全性。过时的客户端、暴露的管理面板、复制的密钥或错误的路线都可能损害任何选项。当前的官方来源和可审核的配置比通用的“最安全 VPN”标签更重要。

性能、MTU 和损耗

WireGuard 具有围绕紧凑 UDP 设计的内核和用户空间实现。 AmneziaWG 添加了字段和服务数据包，但官方消息来源并未提供每个平台的性能损失百分比。 OpenVPN 结果取决于加密库、数据通道模式、平台和外部传输。

MTU 影响所有三个。封装减少了可用负载的大小。碎片或损坏的路径 MTU 发现可能会导致大型响应停滞。超出 MTU 的 AWG 签名数据包可能会在握手之前分段。

在相同的服务器、路由和时间窗口上进行测试。记录双向吞吐量、p50/p95 RTT、丢失、CPU、握手时间以及网络更改后的恢复。对于 OpenVPN TCP，添加有损场景以观察 TCP-over-TCP 行为。 1 Mbps 的结果无法描述用户体验。

实用的决策矩阵

对于允许 UDP 并需要紧凑 IP 隧道的受控网络，请选择 WireGuard。试用 AmneziaWG 3.1，其中固定的 WireGuard 功能会造成麻烦，但兼容的客户端是可以接受的。考虑 OpenVPN，其中 PKI、已建立的企业集成、代理支持或 TCP 回退优先。

对操作系统、中央撤销、传输策略、TUN 或 TAP、代理需求、团队技能、可观察性和后备进行评分。在将每个合格选项发布给用户群之前，请与目标运营商一起测试每个合格选项。

主要来源：OpenVPN 配置指南中的 OpenVPN 2.6 手册解释了它对 UDP 和 TCP-over-TCP 权衡的偏好。

将发行和撤销添加到矩阵中。 WireGuard 和 AWG 应为每台设备使用一个对等点，私钥由客户端保留。 OpenVPN 部署应记录证书颁发、过期、CRL 处理和根 CA 保护。共享凭证可防止每个模型中的有针对性的撤销。

隧道连接后检查 DNS 和 IPv6 行为。成功的握手可以与 DNS 泄漏或隧道外的 IPv6 路由共存。记录解析器、AllowedIP 或推送的路由、故障行为和预期的排除。这些结果属于服务配置而不是密码列表。

计划升级和回滚。 AWG 3.1 在从旧版迁移时引入了客户端版本底板和新配置文件。 OpenVPN 版本可以更改接受的 TLS 和数据通道设置。 WireGuard 密钥轮换仍需要协调。使用测试组运行迁移、撤销和回滚。

支持成本完成了决定。工程师需要通过握手、路由、DNS 和 MTU 检查的短路径。如果团队缺乏日志和恢复访问权限，具有理论上优势的协议可能会产生更长的中断时间。评估诊断时间和安全后备以及运输功能。

在发布前运行单用户撤销演练。删除 WireGuard 或 AWG 对等点，更新 OpenVPN CRL，并确认不相关的设备保留访问权限。签发更换凭证并验证审核记录。此练习测试操作模型而不是协议手册。对于丢失的手机和过期的证书重复此操作。 Runbook 应指定所有者、撤销目标时间和用户通知渠道。这些控制措施涵盖了吞吐量表和密码列表无法显示的风险。在发布日志中记录结果和测试日期。