4.3 常见 VPN 协议

4.3 常见 VPN 协议与技术

本节摘要：SOURCE 4.3：IPsec、L2TP/IPsec、OpenVPN（TLS）、WireGuard（ChaCha20/Poly1305）。各协议在 OS 支持、性能与配置复杂度上不同。

故障场景：Windows 内置 VPN 连 L2TP 失败

L2TP 本身不加密，必须叠加 IPsec；预共享密钥或证书不匹配时 Phase 1 失败。SOURCE：OpenVPN 跨平台且用 TLS；WireGuard 代码量小、内核模块、默认现代 AEAD。

一、协议对照（SOURCE 4.3 / intro）

二、选型建议

• 企业 mobile：IKEv2/IPsec 或 WireGuard
• 需穿透严格防火墙：OpenVPN TCP 443
• 绿色field：WireGuard 密钥轮换用 wg set

⚠️ 常见坑：PPTP 仍被使用——协议已破，必须下线。

💡 关键直觉：OpenVPN 与 HTTPS 共享 TLS 生态；WireGuard 不复用 X.509 但密钥管理要规范。

要点串联

• IPsec 保护 IP 包，OpenVPN 用户态灵活
• WireGuard 固定加密套件减少误配
• 协议选型 = 安全 + 运维 + 客户端覆盖

深入讨论：协议实现位置决定安全与运维特性

四种 VPN 协议的本质差异在于加密在哪一层实现。IPsec 工作在网络层，用 ESP 直接加密 IP 包，任何 IP 流量都能被保护，但协议复杂，IKE 协商、NAT 穿越与多平台兼容一直是配置难点；L2TP 本身不加密，必须叠加 IPsec，因此问题与 IPsec 高度重合；OpenVPN 运行在用户态，通过 TLS 建立控制通道，能走 TCP 443 伪装成普通 HTTPS 流量，穿透性极好，但吞吐依赖单进程性能；WireGuard 是现代内核模块实现，用固定的 ChaCha20-Poly1305 套件，配置只有几行，性能与简洁性突出，代价是不支持动态协商与复杂的证书体系。

选型时的现实约束是「客户端覆盖」：有些平台原生只支持 IKEv2/L2TP，需要装第三方客户端的方案在管控设备上会引入额外复杂度。更本质的判断是「这套协议减少还是增加了误配空间」——WireGuard 的固定套件让「弱算法」问题从根上消失，而 IPsec 的开放配置则把安全责任交给了运维人员。

# VPN 协议选型对照
协议            加密位置      客户端覆盖    误配风险     典型场景
IPsec IKEv2    网络层 ESP    广（原生）     中高        企业 Site-to-Site
L2TP/IPsec     网络层        广（Windows） 高（双重）   兼容旧设备
OpenVPN        用户态 TLS    广（需客户端） 中          穿越严格防火墙
WireGuard      内核 UDP      广（现代系统） 低          新部署优先候选
PPTP           网络层        广            极高（已破） 必须下线
​

对照表的最后一行值得单独强调：PPTP 的加密已被完全攻破，任何存量 PPTP 配置都应视为紧急下线项。选型的完整答案永远是「安全性（协议本身）× 运维能力（谁能管）× 客户端覆盖（谁能用）」三者的交集，本节的对照表正是把三个维度并排摊开，方便按自己的约束对号入座。

附录速查：IPsec 与 WireGuard 配置要点

# IPsec IKEv2 关键配置项
IKE 阶段（Phase 1）：加密 AES-GCM、哈希 SHA-256、DH 组 14+
ESP 阶段（Phase 2）：加密 AES-256-GCM、PFS 启用
认证：证书或预共享密钥（PSK 强度与轮换必须管理）
NAT 穿越：开启 DPD（Dead Peer Detection）避免黑洞
日志：IKE 与 ESP 计数、对端 IP、认证结果

# WireGuard 配置示意（概念）
[Interface]
PrivateKey = <服务器私钥>
ListenPort = 51820

[Peer]
PublicKey  = <客户端公钥>
AllowedIPs = 10.0.0.0/24, 192.168.1.0/24

# 运维动作
wg show                          # 查看隧道与传输量
wg set wg0 peer <pubkey> remove   # 移除对端（下线）
wg-quick down/up                 # 启停隧道
# 注意：WireGuard 无内置身份吊销，靠删除 peer 实现

# 协议选择检查清单
1. 客户端操作系统原生支持哪些协议？
2. 是否有强防火墙环境（需伪装 HTTPS）？-> OpenVPN TCP 443
3. 是否追求最低配置与最高性能？-> WireGuard
4. 是否已有企业级 IPsec 基础设施？-> IKEv2 延续
5. 是否遗留 PPTP/L2TP？-> 立即迁移，不允许新部署
​

IPsec 的复杂度集中在 IKE 协商与 NAT 穿越，WireGuard 的简单集中在固定套件与极简配置，但两者都需要认真管理密钥与对端生命周期。把配置要点与检查清单固化，协议选型与后续运维就都有据可循。

再补充一个容易被忽视的评估维度：协议的可观测性。IPsec 有成熟的 IKE 日志与计数器，故障信息相对丰富；WireGuard 的 wg show 能看传输量与最后握手时间，定位「隧道是否活跃」非常直观，但它的调试信息远不如 IKE 详细，遇到协商类问题需要自己结合内核日志分析。OpenVPN 则可以通过管理接口查询状态。选型时把「团队能不能看懂协议日志」也纳入考量——一个性能优秀但日志晦涩的协议，在无人会排障的团队里，其隐性成本可能抵消掉性能优势。

实操建议：选型阶段就让候选协议在实验室跑一轮「故意故障」演练，看日志能不能帮你半小时内定位问题，这个演练结果往往比规格表更能说明问题。

例如分别制造「对端密钥被删」「UDP 被 NAT 限制」「套件不支持」三种故障，观察每种协议如何报错、如何恢复，据此判断哪套协议更适合团队的真实运维水平。