Khác biệt cơ bản
OpenVPN: TLS và mô-đun
Ra đời 2001, OpenVPN dùng TLS cho điều khiển, AES-GCM/ChaCha20 cho dữ liệu, UDP hoặc TCP trên nhiều cổng. UDP nhanh; TCP 443 dùng khi UDP bị hạn chế; có thể ghép stunnel, obfs4. Sự linh hoạt đi cùng mã nguồn và phụ thuộc lớn, khó rà soát/cấu hình. Không có AES-NI, CPU và pin giảm trên di động/router rẻ; TCP trong TCP làm truyền lại kép.
WireGuard: gọn và nhanh
Vào Linux năm 2020, WireGuard dựa Noise, khoảng 4.000 dòng, dùng ChaCha20-Poly1305, Curve25519, BLAKE2s. Bắt tay thường dưới một giây, trễ và CPU thấp, chuyển mạng nhanh. Nó chỉ dùng UDP, không tự ngụy trang và dễ nhận diện; cần lớp ngoài chống DPI. Chạy gần kernel khiến lỗ hổng triển khai có thể nghiêm trọng, nhưng mã gọn dễ kiểm toán.
So sánh kỹ thuật
| Tiêu chí | OpenVPN | WireGuard® |
|---|---|---|
| Mã nguồn | Lớn, nhiều phụ thuộc | Khoảng 4.000 dòng |
| Mật mã | Tùy chọn AES-GCM, ChaCha20, chứng chỉ | Cố định ChaCha20-Poly1305, Curve25519 |
| Transport | UDP hoặc TCP | UDP |
| Ngụy trang | Hỗ trợ lớp ngoài | Cần lớp ngoài |
| Bắt tay | Nặng hơn | Thường <1 giây |
| Đổi mạng | Phải nối lại | Thích nghi nhanh |
| Thực thi | User space | Kernel Linux hoặc tương đương |
| Kiểm toán | Trưởng thành, đã kiểm toán | Mô hình hình thức, mã gọn |
| Nhận diện | Khó hơn khi TCP 443 + ngụy trang | Dễ hơn |
| Tài nguyên | Cao hơn trên máy yếu | Thường thấp hơn |
| Độ trưởng thành | Hơn 20 năm | Phổ biến từ 2020 |
Điều thật sự quan trọng
Hiệu năng
WireGuard thường nhanh, ping thấp và tiết kiệm pin hơn, nhất là router yếu, di động. OpenVPN thu hẹp khoảng cách với AES-NI và máy chủ tốt; quá tải có thể đảo kết quả.
Kiểm duyệt và firewall
OpenVPN có TCP 443, padding và lớp ngụy trang. WireGuard dùng UDP, bắt tay cố định; thiếu transport ẩn của dịch vụ sẽ dễ bị DPI chặn.
Bảo mật và riêng tư
OpenVPN trưởng thành, tùy chỉnh sâu nhưng bề mặt lớn. WireGuard nhỏ, hiện đại nhưng liên kết khóa công khai/IP nội bộ cần động và tạm thời. Rủi ro thường nằm ở máy chủ, cấu hình, log hơn tên giao thức.
Tương thích
OpenVPN phủ hệ cũ, router, NAS và thiết bị chuyên dụng. WireGuard hợp hệ hiện đại, còn máy cũ có thể thiếu hoặc chạy kém.
Ma trận lựa chọn
Dùng OpenVPN khi
- UDP bị chặn hoặc lọc mạnh;
- cần TCP 443/ngụy trang;
- hệ thống cũ;
- hạ tầng cần TLS riêng.
Dùng WireGuard khi
- ưu tiên tốc độ/ping;
- điện thoại đổi mạng thường xuyên;
- ưu tiên pin;
- router/NAS mới, mạng không kiểm duyệt.
Điều không nên quyết định
- “WireGuard không riêng tư”: phụ thuộc quản lý khóa/log.
- “OpenVPN luôn an toàn hơn”: phụ thuộc cấu hình.
- “WireGuard còn thử nghiệm”: đã dùng rộng từ 2020.
- “OpenVPN lỗi thời”: vẫn hữu ích trên mạng khó và thiết bị cũ.
Cách thử trên mạng thật
- Bắt đầu WireGuard/UDP.
- Nếu chặn hoặc bất ổn, thử OpenVPN/UDP.
- Nếu UDP hạn chế, OpenVPN/TCP 443.
- Nếu DPI vẫn chặn, bật ngụy trang của dịch vụ.
Thử trên thiết bị và mạng thường dùng tại Việt Nam; so ổn định, tái kết nối, pin và ping, không chỉ một speedtest.
Thuật ngữ
- DPI: kiểm tra sâu gói tin.
- Bắt tay: trao đổi khóa ban đầu.
- AES-NI: lệnh CPU tăng tốc AES.
- Noise: khung thiết kế giao thức mật mã.
- Ngụy trang: che mẫu VPN.
- Di chuyển: duy trì khi mạng đổi.
Hai giao thức bổ sung nhau
WireGuard rất tốt hằng ngày vì nhanh, gọn. OpenVPN thiết yếu khi mạng lọc, thiết bị cũ hoặc cần linh hoạt. Nên chọn dịch vụ có cả hai. Xem thêm IKEv2 với OpenVPN và tổng quan.