Các yếu tố cấu trúc
Đóng gói: header làm giảm dữ liệu hữu ích và có thể gây phân mảnh nếu vượt MTU. Mức tham khảo: L2TP/IPsec thường hơn 100 byte overhead, OpenVPN khoảng 70–90 byte và WireGuard® khoảng 32–64 byte tùy IPv4/IPv6. Mật mã: OpenVPN và IPsec linh hoạt nhưng có thể nặng do thương lượng và cấu hình; WireGuard cố định bộ thuật toán hiện đại, tối ưu tốt cho ARM. Bắt tay và nơi thực thi: ít lượt đi-về và xử lý gần kernel giảm sao chép bộ nhớ và độ trễ; cơ chế như MOBIKE còn quyết định khả năng chuyển mạng.
Từng giao thức
WireGuard®: mã nguồn gọn, bộ thuật toán cố định, overhead thấp và xử lý trong kernel trên Linux; về cấu trúc rất nhanh. Trạng thái mỗi peer cần được quản lý bằng luân chuyển khóa và IP nội bộ. IKEv2/IPsec: bắt tay ngắn, MOBIKE tái kết nối khi di chuyển và được hệ điều hành hỗ trợ, nhưng nhạy với MTU/NAT-T và chất lượng triển khai. OpenVPN: bền vững, tương thích cao nhưng user space và TLS tạo thêm sao chép, overhead. L2TP/IPsec chịu đóng gói kép; IPsec ESP đơn lẻ có thể dùng tăng tốc phần cứng.
So sánh kỹ thuật
| Giao thức | Overhead | Nơi chạy | Tốc độ tham khảo | Ưu điểm | Giới hạn |
|---|---|---|---|---|---|
| WireGuard® | 32–64 B | Kernel | 700–950 Mbps | Gọn, trễ thấp | Phải quản lý trạng thái |
| IKEv2/IPsec | 50–70 B | Kernel | 400–700 Mbps 150–400 trên di động | Di chuyển, ổn định | MTU và triển khai khác nhau |
| OpenVPN UDP | 70–90 B | User space | 200–600 Mbps | Tương thích, trưởng thành | Sao chép bộ nhớ, TLS |
| OpenVPN TCP | 90+ B | User space | <50 Mbps khi mạng kém | Qua được mạng hạn chế | TCP chạy trong TCP |
| IPsec ESP | 50–80 B | Kernel | 400–600 Mbps | Tăng tốc phần cứng | Phức tạp, nhạy MTU |
| L2TP/IPsec | 100+ B | Hỗn hợp | 150–300 Mbps | Tương thích hệ cũ | Đóng gói kép |
Đây là mức tham khảo trong môi trường kiểm soát, không phải tốc độ được nhà cung cấp bảo đảm. CPU, hệ điều hành, MTU, máy chủ, tuyến và tải có thể làm kết quả thực tế thay đổi mạnh.
Kết luận
WireGuard nhẹ nhất về cấu trúc; IKEv2/IPsec cân bằng tốt trên di động; OpenVPN-UDP đáng tin nhưng nặng hơn; IPsec ESP có thể nổi bật khi được tăng tốc; L2TP/IPsec chủ yếu dành cho hệ thống cũ. Giao thức quan trọng, song chất lượng phần mềm và mạng của nhà cung cấp mới quyết định kết quả cuối. Xem thêm rò rỉ DNS khi dùng VPN.