Kiến trúc và logic
IKEv2/IPsec: thương lượng tách, xử lý kernel
IKEv2, thường UDP 500/4500, thương lượng thuật toán, xác thực, khóa; IPsec ESP bảo vệ dữ liệu gần kernel. Overhead khoảng 30 byte tùy cấu hình; ít chuyển user space/kernel giúp ổn định. Tích hợp, cập nhật phụ thuộc Apple, Microsoft hoặc bản Linux. Nếu cổng bị chặn, ít cách thích nghi.
OpenVPN: TLS trong user space
OpenVPN bọc trong TLS trên UDP/TCP, chọn cổng, chỉnh MTU/thời gian và dùng AES-GCM hoặc ChaCha20. Nó dùng được cổng 443, 80, 53 theo chính sách, phủ hệ cũ/router và thêm stunnel hoặc ngụy trang. Đổi lại là overhead, CPU ARM cao hơn. Nếu mạng cho một lối ra, OpenVPN có nhiều cách tận dụng.
Di chuyển và ổn định
IKEv2 và MOBIKE
MOBIKE giữ tunnel khi IP đổi. Điện thoại chuyển Wi-Fi sang 4G/5G có thể tiếp tục trong khoảng 50–200 ms ở điều kiện tốt, cuộc gọi/video gần như không ngắt. Cổng vẫn cứng; ngắt lâu buộc bắt tay lại và mạng chặn IPsec có thể lỗi khó hiểu.
OpenVPN và tái kết nối
Đổi IP thường lặp TLS: khoảng 0,8–1,5 giây với UDP, 1,2–2,5 giây với TCP theo mức nguồn tham khảo. Chậm hơn MOBIKE nhưng đổi cổng, dùng TCP 443, ngụy trang được, hữu ích tại doanh nghiệp, khách sạn, Wi-Fi lọc hoặc kiểm duyệt.
Hiệu năng và overhead
Di động và ARM
IKEv2 thường dùng ít CPU hơn OpenVPN cùng tốc độ. Nguồn đưa mức 15–25% CPU ít hơn và 5–10% pin thêm khi dùng liên tục; thuật toán, ứng dụng, thiết bị làm kết quả đổi.
Máy tính x86
Có AES-NI, cả hai đạt tốc độ cao, chênh lệch thực tế nhỏ. Nguồn nêu khoảng 800–1.200 Mbps mỗi lõi trong điều kiện tốt, chênh dưới 10%; khoảng cách, nghẽn và máy chủ thường quan trọng hơn. Đây không phải bảo đảm của dịch vụ.
Triển khai, tương thích và firewall
IKEv2
Có sẵn trên iOS, macOS, Windows và nhiều stack Android/Linux, có thể triển khai qua MDM. Nhưng phụ thuộc UDP 500/4500, không có TCP fallback gốc và một số bản thương mại đóng mã.
OpenVPN
Cần client nhưng phủ nhiều hệ, dùng UDP/TCP và đổi cổng. TCP 443 giống HTTPS hơn và lớp ngụy trang tăng khả năng vượt chặn. Giá phải trả là cấu hình rộng, overhead và bảo trì client.
Bảo mật: tiêu chí quyết định
Cả hai đều an toàn với AEAD hiện đại, PFS, chứng chỉ/thông tin mạnh và cập nhật. Rủi ro thật là bộ mã cũ, PSK yếu, máy chủ bị xâm nhập, triển khai bỏ bảo trì. OpenVPN mã nguồn mở, đã kiểm toán; IKEv2 có strongSwan mở nhưng cũng thành phần hệ điều hành đóng. Kết quả phụ thuộc triển khai, cấu hình và nhà cung cấp.
Trường hợp dùng và lựa chọn
- Di chuyển: IKEv2 nhờ MOBIKE.
- Firewall/kiểm duyệt: OpenVPN TCP 443, ngụy trang.
- Thiết bị quản lý tập trung: IKEv2 tích hợp gốc.
- Hạ tầng hỗn hợp: OpenVPN tương thích, tự do cổng.
- Hiệu năng tối đa với kiến trúc mới: xem thêm WireGuard.
IKEv2 nổi bật khi mạng hợp tác; OpenVPN khi mạng áp hạn chế. Xem OpenVPN với WireGuard và tổng quan.