VPN 协议怎么选

协议决定的是速度上限

同一台服务器，协议不同实际速度能差出几倍。协议决定了握手开销、数据封装效率、以及在受限网络下的穿透能力。这不是玄学，是握手次数与数据包结构的差异。

WireGuard

现代内核，代码量只有 OpenVPN 的百分之一量级。握手 1-RTT，握手完成后纯数据包转发，无状态设计让它在内核态运行，速度损失极小。缺点是对 UDP 被封锁的网络适应性一般。

OpenVPN

老牌协议，支持 TCP 与 UDP 双模式。TCP 模式在极端网络下穿透性最好，代价是性能损失明显。适合网络环境复杂、UDP 受限的场景。

IPSec / IKEv2

移动端表现好，尤其是从移动网络切到 Wi-Fi 时能快速恢复会话。Windows 原生支持，不需要额外客户端。缺点是在部分审查严格的网络下握手会被干扰。

对比表

• 握手耗时：WireGuard 最低，IPSec/IKEv2 次之，OpenVPN 最高。
• 吞吐上限：WireGuard 与 IPSec 接近，OpenVPN 损失明显。
• UDP 受限环境：OpenVPN TCP 模式最稳，WireGuard 可能连不上。
• 资源占用：WireGuard 最低，适合低配设备与路由器。
• 平台原生支持：IPSec 全平台，WireGuard 需第三方客户端。

加密套件的影响

协议之上还有加密套件。ChaCha20-Poly1305 在没有硬件加速的设备上表现很好；AES-256-GCM 在支持 AES-NI 的现代 CPU 上更快。这个差异在实际使用中感知不强，属于细节优化。