Короткий ответ: для большинства личных VDS я начинаю с WireGuard; AmneziaWG выбираю, когда обычный WireGuard нестабилен или недоступен в конкретной сети; OpenVPN оставляю для совместимости, TCP-сценариев и сложных корпоративных политик. Но правильный выбор определяется не названием протокола, а клиентами, сетью и тем, кто будет всё это поддерживать.

VDS для VPN — это не только «сервер с публичным IP». Нужно заранее решить, какие устройства будут подключаться, какой тип сети предстоит проходить и насколько вы готовы администрировать ключи, сертификаты и маршруты. Ошибка на этом этапе приводит либо к ненужной сложности, либо к протоколу, который отлично работает в тесте, но не подходит пользователям.

В этой статье сравню WireGuard, AmneziaWG и OpenVPN для собственного сервера по четырём критериям: производительность, сложность эксплуатации, совместимость клиентов и практические сценарии.

Если после сравнения вы выберете AmneziaWG, практическая часть уже разобрана отдельно: свой AmneziaWG VPN на VDS — от аренды сервера до подключения в WireSock Secure Connect.

Это обзор для личной или разрешённой корпоративной инфраструктуры. Соблюдайте законы своей страны, правила провайдера и политики организации.

Сначала главное: это не соревнование «кто безопаснее»

Все три решения при корректной настройке создают защищённый туннель. На практике выбор чаще определяется не абстрактной «силой шифрования», а более приземлёнными вопросами:

• доступен ли UDP из сети пользователя;

• нужны ли встроенные учётные записи, сертификаты и детальные политики доступа;

• есть ли клиент для конкретного роутера, телефона или корпоративного ПК;

• сможет ли администратор через полгода отозвать одно устройство и понять, почему не проходит подключение;

• нужен ли дополнительный уровень маскировки сетевого трафика.

WireGuard и AmneziaWG — близкие родственники, но не взаимозаменяемые «галочки». OpenVPN устроен иначе и решает другой набор задач.

TL;DR: выбор за минуту

Чем протоколы отличаются в архитектуре

WireGuard: небольшой UDP-туннель с ключами вместо учётных записей

WireGuard создаёт сетевой интерфейс, связывает публичные ключи с разрешёнными адресами и передаёт зашифрованные IP-пакеты по UDP. В модели нет встроенного каталога пользователей, web-SSO и автоматического распределения конфигураций: сервер знает публичный ключ клиента, а клиент хранит свой приватный ключ. Официальная документация называет это cryptokey routing: AllowedIPs одновременно участвует в маршрутизации и ограничивает, какие адреса допустимы для peer. Описание WireGuard

Это одновременно преимущество и ограничение:

• конфигурация короткая и понятная;

• у протокола мало движущихся частей;

• для каждого нового устройства нужно выпустить ключ, адрес и профиль;

• полноценное управление группами, MFA и учётными записями нужно строить вокруг WireGuard — панелью, автоматизацией или отдельной системой доступа.

На современных Linux-системах WireGuard работает в ядре, использует быстрые криптографические примитивы и обычно даёт очень хорошую производительность на небольшом VDS. У него есть официальные клиенты для Windows, macOS, iOS и Android, а пакеты и инструменты доступны для основных Linux-дистрибутивов. Официальная страница установки

AmneziaWG: WireGuard с дополнительной маскировкой UDP-трафика

AmneziaWG основан на WireGuard-Go и сохраняет базовую криптографическую модель WireGuard. Его отличие — дополнительные параметры, которые меняют предсказуемые признаки пакетов: заголовки, размеры, последовательность пакетов рукопожатия и другие характеристики, на которые могут опираться DPI-системы. Официальная документация описывает AmneziaWG 2.0 как UDP-трафик с рандомизированными заголовками и длинами, при этом криптографический слой WireGuard не меняется. Документация AmneziaWG

Отсюда два важных вывода:

1. AmneziaWG не превращает любой интернет-канал в гарантированно доступный. Он даёт дополнительные механизмы, когда обычный UDP WireGuard распознаётся или работает нестабильно.

2. Сервер и клиент должны понимать один и тот же набор параметров. Если включить маскировку, стандартный клиент WireGuard обычно не подойдёт. Когда параметры маскировки отключены, конфигурация совместима с WireGuard — это прямо указано в документации AmneziaWG.

По производительности AmneziaWG обычно близок к WireGuard, но добавленные пакеты и обработка параметров могут влиять на задержку и полезную скорость. Насколько заметно — определяется конкретной конфигурацией, сетью и устройством клиента. Сначала измеряйте, затем усложняйте.

OpenVPN: гибкий TLS VPN с большим числом режимов

OpenVPN — зрелое и очень гибкое решение. Оно может использовать UDP или TCP, сертификаты, логины/пароли, статические ключи, подключаемые механизмы аутентификации, разные сетевые топологии и политики на уровне пользователей или групп. Официальное руководство прямо перечисляет SSL/TLS, Ethernet bridging, TCP/UDP-транспорт, динамические адреса и масштабирование как его возможности. OpenVPN 2.6 Manual

Цена гибкости — больше конфигурации и больше мест, где можно ошибиться. Нужно решить, как выпускать и отзывать сертификаты, где хранить CA, какой набор шифров и опций поддерживают ваши клиенты, как вести журналы и как разделять пользователей. Готовая панель или Access Server снижает порог входа, но не отменяет эксплуатационные решения.

OpenVPN Connect официально доступен для Windows, macOS, Linux, iOS, Android и ChromeOS; профиль обычно распространяется как файл .ovpn. Страница клиентов OpenVPN

Сравнение по ключевым критериям

Таблица показывает характерные свойства, а не обещание скорости. На одном и том же VDS итог могут ограничить канал провайдера, маршрут до клиента, производительность телефона, MTU, NAT или потери пакетов.

Производительность: как думать о скорости корректно

Почему WireGuard часто оказывается быстрее

WireGuard спроектирован с небольшим набором криптографических примитивов и в Linux работает в ядре. Официальная документация отдельно связывает высокую производительность с быстрыми примитивами и kernel-интеграцией. WireGuard: High Performance

На личном VDS это обычно означает: меньше нагрузка на CPU, меньше накладных расходов и хороший результат на 1 vCPU. Но «обычно» не равно «всегда»: слабым звеном может оказаться мобильная сеть, Wi‑Fi, пропускная способность VDS или процессор клиента.

Что меняет AmneziaWG

AmneziaWG добавляет служебные данные и может посылать дополнительные пакеты в начале рукопожатия. Это разумная плата за изменение сетевого профиля, но не бесплатная. Нельзя заранее назвать честные «минус N процентов»: один профиль почти не повлияет на пользовательские сценарии, другой станет заметен на слабом телефоне или узком канале.

Если стабильность обычного WireGuard устраивает, нет смысла включать дополнительные параметры только потому, что они существуют. Если стабильность не устраивает — измеряйте соединение до и после изменения профиля в одной сети.

Почему OpenVPN часто медленнее, но не «хуже»

OpenVPN тратит больше ресурсов на гибкость и TLS-экосистему. В режиме UDP он остаётся вполне рабочим вариантом для личного VDS. Режим TCP полезен, когда UDP недоступен, но поверх уже существующего TCP-трафика может возникать эффект TCP-over-TCP: при потерях оба уровня начинают повторно передавать данные, и интерактивные приложения ощущают задержку сильнее.

Поэтому практическое правило простое:

• если UDP доступен, сравнивайте WireGuard или AmneziaWG с OpenVPN/UDP;

• OpenVPN/TCP используйте как осознанный компромисс ради достижимости, а не как способ ускорить канал;

• не пытайтесь судить о протоколе по скорости скачивания одного файла.

Минимальная методика измерения

Для сравнения используйте один VDS, один клиент, одинаковый маршрут и одинаковое время теста. На сервере в туннеле запустите iperf3 -s, а с клиента — например:

iperf3 -c <VPN-адрес-сервера> -P 4 -t 30
iperf3 -c <VPN-адрес-сервера> -P 4 -t 30 -R

Первая команда измеряет один поток направления, вторая — обратное. Повторите тест хотя бы три раза, отдельно измерьте ping до VPN-адреса сервера и фиксируйте:

• среднюю и минимальную/максимальную скорость;

• задержку и потери;

• загрузку CPU на VDS;

• тип сети клиента: домашний Wi‑Fi, мобильная сеть, офисная сеть.

Так вы сравните не рекламные обещания, а свой реальный сценарий.

Сложность настройки и дальнейшей эксплуатации

WireGuard: простое ядро, ручная дисциплина вокруг него

Базовый интерфейс WireGuard можно поднять несколькими командами: создать wg0, назначить адрес, добавить ключи и маршруты. Официальный Quick Start показывает именно эту модель и утилиты wg/wg-quick. Quick Start WireGuard

На практике сложность начинается после установки:

• назначить уникальный адрес каждому устройству;

• хранить список публичных ключей и владельцев;

• безопасно передавать .conf;

• отозвать ключ при потере устройства;

• следить за firewall, DNS, MTU и обновлениями.

Для одного человека это обычно плюс. Для семьи или небольшой команды нужна панель либо простой регламент: «один профиль на одно устройство, понятное имя клиента, немедленный отзыв потерянного ключа».

AmneziaWG: не усложняйте дважды

У AmneziaWG есть две отдельные сложности: развёртывание сервера и соответствие профиля клиенту. Если использовать проверенный установщик или панель, первая часть становится простой. Вторая остаётся: нельзя произвольно смешивать конфиги, клиенты и поколения протокола.

В моём проекте amneziawg-vds-setup разворачивается awg-easy и выдаются AmneziaWG Legacy-совместимые профили. Это не то же самое, что официальный AmneziaWG 2.0. Перед массовой выдачей профилей проверьте конкретную связку «сервер — версия клиента — конфигурация» на одном устройстве.

Для Windows WireSock Secure Connect умеет импортировать стандартные WireGuard-конфигурации и Amnezia 2.0-профили, но расширенные параметры нужно сверять с документацией приложения и возможностями сервера. Начинайте с выданного .conf и не меняйте вручную DPI-настройки до успешного handshake. Документация WireSock по профилям

OpenVPN: больше возможностей — больше регламента

OpenVPN уместен, когда эта сложность действительно нужна. Например, при требованиях к индивидуальным сертификатам, учётным записям, подключаемой корпоративной аутентификации, сегментам сети или старому клиентскому парку.

Для такого сервера заранее ответьте на вопросы:

1. Кто выпускает и отзывает сертификаты?

2. Где и как хранится корневой ключ CA?

3. Нужны ли пользователям логины помимо сертификатов?

4. Что произойдёт, если сотрудник потеряет ноутбук?

5. Какие версии и опции реально понимают все клиенты?

Если на эти вопросы нет бизнес-ответа, OpenVPN часто оказывается избыточным для личного VDS.

Совместимость: протокол важнее приложения

Самая частая ошибка — выбрать сервер, а клиентов проверить в последний момент.

WireGuard

Сильная сторона — огромное число готовых клиентов: официальные приложения для популярных desktop и mobile ОС, поддержка в сетевых ОС, роутерах и firewall-дистрибутивах. Это хороший вариант, когда нужен VPN на домашнем роутере или несколько разных устройств.

Но совместимость означает поддержку стандартного формата WireGuard. Некоторые панели могут добавлять собственные комментарии или поля — для роутера лучше использовать чистый профиль и проверить импорт заранее.

AmneziaWG

При активной маскировке нужен AmneziaWG-совместимый клиент. Официальные документы перечисляют нативные клиенты для Android, iOS, macOS и Windows. Клиенты AmneziaWG

Здесь критична версия: Legacy-профиль, AmneziaWG 1.5 и AmneziaWG 2.0 могут иметь разные параметры и возможности. Не называйте «AmneziaWG» универсальным форматом без уточнения версии. Если маскировка отключена, профиль можно использовать как обычный WireGuard; если включена — рассчитывайте только на совместимый клиент.

OpenVPN

OpenVPN хорошо представлен на десктопных и мобильных ОС, сетевых устройствах и в корпоративном ПО. Однако .ovpn сам по себе не гарантирует, что любой клиент поймёт все директивы: плагины, скрипты, специфичная аутентификация или нестандартные шифры ограничивают переносимость. Проверяйте импорт на реальном целевом устройстве.

Сценарии: что поставить на конкретный VDS

1. Личный VPN для ноутбука и телефона

Выбор: WireGuard. Он быстро разворачивается, не перегружает маленький VDS, имеет хорошие клиенты и простую модель ключей. Для нескольких членов семьи добавьте панель управления или ведите аккуратный реестр устройств.

2. Свой VPN в сети, где обычный WireGuard не проходит стабильно

Выбор: AmneziaWG, если вы контролируете сервер и можете установить совместимые приложения на устройства. Сначала зафиксируйте проблему обычного WireGuard: время, сеть, симптомы, наличие handshake. Затем протестируйте AmneziaWG на одном клиенте. Это даёт управляемый переход, а не бесконечный перебор настроек.

3. Домашний роутер и весь домашний трафик через VDS

Выбор: WireGuard, потому что его чаще всего поддерживают современные роутеры и альтернативные прошивки. Проверяйте не только наличие пункта в интерфейсе, но и возможности маршрутизации, DNS, IPv6 и производительность CPU роутера.

4. Удалённый доступ небольшой команды к внутренним ресурсам

Выбор: WireGuard или OpenVPN. Если доступ строится вокруг устройств и подсетей — WireGuard с отдельным ключом на устройство удобен. Если нужны логины, сертификаты, группы и привычная корпоративная модель — OpenVPN может быть логичнее, несмотря на более высокую сложность.

5. Старая инфраструктура или сеть без UDP

Выбор: OpenVPN/TCP как совместимый вариант. Это не повод автоматически гонять весь трафик через TCP: сначала оцените потери и задержку. Иногда достаточно договориться об открытии UDP с администратором сети, а иногда TCP действительно остаётся единственным рабочим вариантом.

Как выбрать VDS под эти протоколы

Для старта одного-нескольких пользователей обычно достаточно VDS с 1 vCPU, 1 ГБ RAM, 10 ГБ диска, публичным IPv4 и разрешённым входящим UDP. Для OpenVPN с большим числом одновременных клиентов, сложной аутентификацией или высокими скоростями закладывайте больше CPU и измеряйте загрузку.

Перед покупкой проверьте:

• есть ли публичный IPv4 и доступ root/SSH;

• разрешены ли нужные порты и UDP;

• есть ли внешний firewall и консоль восстановления;

• можно ли выбрать локацию с приемлемым маршрутом до ваших пользователей;

• устраивают ли правила провайдера для вашего сценария.

Один из вариантов для такого VDS — HostVDS. Это партнёрская ссылка: при заказе по ней я могу получить вознаграждение; условия заказа для читателя от этого не меняются. Вы можете выбрать любого провайдера, который соответствует требованиям выше.

Не выбирайте протокол навсегда

Нормальная стратегия для личной инфраструктуры выглядит так:

1. Начните со стандартного WireGuard и отдельного профиля для каждого устройства.

2. Зафиксируйте базовые метрики: handshake, задержку, скорость, загрузку CPU VDS.

3. Если конкретные сети создают проблему, протестируйте AmneziaWG с поддерживаемыми клиентами.

4. Если есть подтверждённая потребность в TCP, сертификатах или расширенной аутентификации — рассмотрите OpenVPN как отдельный сервис, а не как «запасной режим» без владельца.

Так у каждого дополнительного компонента будет понятная причина, а у администратора — понятный способ его поддерживать.

Итог

Для собственного VDS нет универсального победителя. WireGuard — рациональный старт благодаря простоте, скорости и широкому набору клиентов. AmneziaWG — специализированное продолжение этого подхода для сетей, где нужно изменить сетевой профиль трафика и доступны совместимые клиенты. OpenVPN остаётся сильным выбором, когда ценнее гибкость, TCP и корпоративная модель доступа, чем минимализм.

Выбирайте не самый модный протокол, а тот, который сможете безопасно выдать пользователям, диагностировать и обновлять через полгода.