مقایسهٔ پروتکل‌های VPN؛ کدام پروتکل برای اتصال سرورها و مدیریت از راه دور بهتر است؟

وقتی صحبت از VPN می‌شود، بیشتر افراد به یک اپلیکیشن روی گوشی فکر می‌کنند. اما در دنیای سرور و شبکه، VPN ابزار روزمرهٔ مدیران است: دو دیتاسنتر را به هم وصل می‌کند، تیم فنی را به شبکهٔ خصوصی سرورها می‌رساند و سرویس‌های داخلی مثل دیتابیس، پنل پایش و بکاپ را از اینترنت عمومی دور نگه می‌دارد. پرسش مهم در این کاربردها این است که کدام پروتکل VPN را انتخاب کنیم.

در این مقاله انواع پروتکل VPN رایج، یعنی WireGuard، OpenVPN، IPsec/IKEv2 و L2TP/IPsec، را از نظر سرعت، امنیت، پیچیدگی راه‌اندازی، عبور از NAT، پشتیبانی روی موبایل و قابلیت ممیزی مقایسه می‌کنیم و برای هر سناریو، از اتصال Site-to-Site بین سرورها تا مدیریت از راه دور، گزینهٔ مناسب را پیشنهاد می‌دهیم. تمرکز این مقاله کاربردهای سازمانی و مدیریتی است؛ آموزش گام‌به‌گام WireGuard را در راه‌اندازی WireGuard Site-to-Site آورده‌ایم.

پروتکل VPN چیست؟

VPN یا شبکهٔ خصوصی مجازی، دو دستگاه یا دو شبکه را طوری به هم وصل می‌کند که انگار در یک شبکهٔ خصوصی‌اند، در حالی که ترافیک در واقع از اینترنت عمومی عبور می‌کند. پروتکل VPN مجموعه قواعدی است که چهار کار اصلی را انجام می‌دهد:

• بسته‌بندی (Encapsulation): بستهٔ اصلی را داخل یک بستهٔ دیگر قرار می‌دهد تا از اینترنت عبور کند؛ همان کاری که تانل GRE هم انجام می‌دهد.
• رمزنگاری: محتوای بستهٔ اصلی را رمز می‌کند تا در مسیر قابل خواندن نباشد.
• احراز هویت: مطمئن می‌شود طرف مقابل همان کسی است که باید باشد؛ با کلید عمومی، گواهی دیجیتال، کلید مشترک یا نام کاربری.
• تبادل کلید: کلیدهای رمزنگاری را به‌طور امن بین دو طرف توافق و به‌طور منظم عوض می‌کند.

تفاوت پروتکل‌ها در این است که هرکدام این چهار کار را چطور و در کدام لایه انجام می‌دهند، روی کدام پورت و پروتکل انتقال کار می‌کنند و چقدر پیکربندی لازم دارند. همین تفاوت‌ها روی سرعت، سازگاری با تجهیزات و میزان خطای انسانی اثر می‌گذارند.

انواع پروتکل VPN در یک نگاه

برنامه و دادهدیتابیس، بکاپ، پنل پایش یا SSH

بستهٔ IP اصلیآدرس‌های خصوصی دو شبکه، مثلاً 10.10.1.20 به 10.10.2.15

رمزنگاری و احراز اصالتChaCha20 یا AES-GCM؛ با کلید توافق‌شده در تبادل کلید

سرآیند پروتکل VPNسرآیند WireGuard یا ESP در IPsec یا رکورد TLS در OpenVPN

انتقال روی اینترنتUDP یا TCP و آی‌پی عمومی دو سرور، مثلاً 203.0.113.10 و 198.51.100.20

WireGuard: ساده، سریع و کوچک

WireGuard جدیدترین پروتکل این فهرست است و از نسخهٔ 5.6 هستهٔ لینوکس (سال ۲۰۲۰) در هستهٔ اصلی قرار دارد. برای ویندوز، مک، اندروید و iOS هم برنامهٔ رسمی دارد. طراحی آن عمداً محدود است: یک مجموعهٔ ثابت از الگوریتم‌های مدرن (Curve25519 و ChaCha20-Poly1305 و BLAKE2s بر پایهٔ چارچوب Noise)، بدون مذاکرهٔ الگوریتم و بدون گزینه‌های اضافه.

نقاط قوت:

• پیکربندی کوتاه: یک فایل چندخطی در هر طرف؛ مفهوم Peer و کلید عمومی شبیه کلید SSH است.
• کارایی بالا: چون داخل هسته اجرا می‌شود و الگوریتم‌هایش روی پردازنده‌های بدون شتاب‌دهندهٔ AES هم سریع‌اند.
• کد کوچک و قابل ممیزی: پیاده‌سازی هستهٔ لینوکس حدود چند هزار خط است و پروتکل آن به‌طور رسمی تحلیل شده است.
• جابه‌جایی شبکه (Roaming): اگر آی‌پی یک طرف عوض شود، مثلاً لپ‌تاپ از وای‌فای به اینترنت همراه برود، اتصال بدون قطع ادامه پیدا می‌کند.

محدودیت‌ها:

• فقط UDP: اگر سیاست شبکهٔ سازمان شما فقط ترافیک TCP را مجاز بداند، WireGuard وصل نمی‌شود.
• مدیریت کاربر ندارد: نام کاربری، رمز، احراز هویت دومرحله‌ای یا اتصال به Active Directory در خود پروتکل نیست. هر دستگاه یک کلید دارد و مدیریت ده‌ها کاربر به ابزار جانبی نیاز دارد.
• آدرس ثابت در پیکربندی: آدرس هر Peer در فایل تعیین می‌شود و تخصیص خودکار آدرس مثل DHCP ندارد.

برای اتصال دو سرور لینوکس، این محدودیت‌ها تقریباً اهمیتی ندارند؛ به همین دلیل WireGuard انتخاب پیش‌فرض ما برای Site-to-Site است. جزئیات نصب، ساخت کلید، فایل wg0.conf، مسیریابی با AllowedIPs، فایروال و MTU را در آموزش WireGuard Site-to-Site ببینید.

OpenVPN: انعطاف‌پذیر و آزموده

OpenVPN از اوایل دههٔ ۲۰۰۰ وجود دارد و هنوز یکی از پرکاربردترین VPNهای سازمانی است. کانال کنترلی آن بر پایهٔ TLS است، یعنی همان فناوری HTTPS، و احراز هویت را معمولاً با زیرساخت گواهی (PKI) انجام می‌دهد: یک مرجع صدور گواهی (CA) می‌سازید و برای سرور و هر کاربر گواهی جدا صادر می‌کنید.

نقاط قوت:

• UDP یا TCP: می‌تواند روی هر دو کار کند؛ پس با سیاست‌های سخت‌گیر شبکه‌های سازمانی سازگارتر است.
• امکانات احراز هویت غنی: گواهی، نام کاربری و رمز، افزونه برای LDAP و RADIUS و احراز هویت دومرحله‌ای.
• مدیریت کاربران متمرکز: ابطال گواهی یک کاربر با فهرست CRL، ارسال مسیر و DNS از سمت سرور و قوانین جدا برای هر کاربر.
• سابقه و ممیزی: سال‌ها استفادهٔ گسترده و چند ممیزی امنیتی مستقل.

محدودیت‌ها:

• پیکربندی طولانی‌تر: ساخت CA و گواهی‌ها و فایل‌های پیکربندی، خطای انسانی بیشتری دارد.
• کارایی کمتر: OpenVPN به‌طور سنتی در فضای کاربر اجرا می‌شود و در سرعت‌های بالا CPU بیشتری مصرف می‌کند. نسخهٔ 2.6 قابلیت DCO (انتقال کانال داده به هسته) را اضافه کرده که این فاصله را کم می‌کند.
• TCP درون TCP: حالت TCP در مسیرهای پر از Packet Loss کند می‌شود، چون دو لایهٔ TCP هم‌زمان بسته‌های گم‌شده را دوباره می‌فرستند. هر وقت ممکن است، UDP را انتخاب کنید.

OpenVPN برای اتصال تعداد زیادی کاربر با نیاز به احراز هویت متمرکز انتخاب خوبی است. برای اتصال دو سرور لینوکس، معمولاً WireGuard ساده‌تر و سریع‌تر است.

IPsec و IKEv2: استاندارد صنعتی

IPsec مجموعه‌ای از استانداردهای IETF است که مستقیماً در لایهٔ IP کار می‌کند. دو بخش اصلی دارد: IKE (امروزه نسخهٔ 2 یا IKEv2) که دو طرف را احراز هویت می‌کند و کلیدها را توافق می‌کند، و ESP که بسته‌ها را رمزنگاری و منتقل می‌کند. وقتی یکی از دو طرف پشت NAT است، قابلیت NAT-T بسته‌های ESP را داخل UDP 4500 قرار می‌دهد.

نقاط قوت:

• سازگاری گسترده: تقریباً همهٔ فایروال‌های سخت‌افزاری، روترهای سازمانی و درگاه‌های VPN سرویس‌های ابری IPsec را پشتیبانی می‌کنند. اگر می‌خواهید سرور لینوکس را به چنین تجهیزی وصل کنید، IPsec زبان مشترک است.
• کلاینت داخلی سیستم‌عامل‌ها: ویندوز، مک، iOS و اندروید بدون نصب برنامه از IKEv2 پشتیبانی می‌کنند.
• پایداری روی موبایل: قابلیت MOBIKE اجازه می‌دهد با عوض شدن شبکهٔ گوشی، اتصال بدون مذاکرهٔ دوباره ادامه پیدا کند.
• کارایی خوب: رمزنگاری در هستهٔ سیستم‌عامل انجام می‌شود و از شتاب‌دهندهٔ AES پردازنده استفاده می‌کند.

محدودیت‌ها:

• پیچیدگی: الگوریتم‌ها، طول عمر کلیدها، شناسه‌ها و سیاست‌ها باید در دو طرف دقیقاً هماهنگ باشند. بیشتر مشکلات IPsec، ناهماهنگی همین تنظیمات است.
• انتخاب الگوریتم با شماست: برخلاف WireGuard، IPsec الگوریتم‌های قدیمی و ضعیف را هم پشتیبانی می‌کند؛ اگر حواستان نباشد، ممکن است روی تنظیمات ناامن توافق شود.
• عبور از فایروال: به UDP 500 و 4500 و گاهی پروتکل ESP نیاز دارد.

روی لینوکس، strongSwan و Libreswan دو پیاده‌سازی رایج‌اند. آموزش کامل راه‌اندازی را در تانل IPsec بین دو سرور با strongSwan ببینید.

IPsec/IKEv2

• رمزنگاری کامل با ESP
• کلاینت داخلی ویندوز و مک و موبایل
• MOBIKE برای تغییر شبکه
• استاندارد فعال و پشتیبانی‌شده

در برابر

L2TP/IPsec

• L2TP خودش رمزنگاری ندارد
• حذف از کلاینت داخلی اندروید 12 به بعد
• بسته‌بندی دولایه و MTU کمتر
• اغلب با یک کلید مشترک برای همه

L2TP/IPsec: چرا برای راه‌اندازی جدید مناسب نیست؟

L2TP یک پروتکل تونل‌زنی لایهٔ ۲ است که به‌تنهایی هیچ رمزنگاری‌ای ندارد. به همین دلیل همیشه داخل IPsec اجرا می‌شود و ترکیب L2TP/IPsec سال‌ها گزینهٔ پیش‌فرض VPN روی ویندوز و گوشی‌ها بود. اما امروز چند دلیل جدی برای کنار گذاشتن آن وجود دارد:

• کنار گذاشته شدن توسط سازندگان: اندروید از نسخهٔ 12 امکان ساخت اتصال جدید L2TP/IPsec و PPTP را در کلاینت داخلی حذف کرده و فقط گزینه‌های IKEv2 را نگه داشته است. مایکروسافت هم PPTP و L2TP را در ویندوز سرور منسوخ اعلام کرده و در نصب‌های جدید سرویس RRAS در ویندوز سرور 2025، این دو به‌طور پیش‌فرض اتصال ورودی را نمی‌پذیرند.
• کلید مشترک ضعیف: بسیاری از راه‌اندازی‌های L2TP از یک کلید مشترک (PSK) برای همهٔ کاربران استفاده می‌کنند؛ هر کسی که این کلید را داشته باشد، می‌تواند نقش سرور را جعل کند.
• بسته‌بندی دولایه: L2TP داخل IPsec یعنی سربار بیشتر، MTU کمتر و عیب‌یابی سخت‌تر، بدون هیچ مزیت امنیتی نسبت به IKEv2 خالص.
• مشکل با NAT: پشت NAT، به‌ویژه وقتی چند کاربر پشت یک NAT مشترک‌اند، مشکلات شناخته‌شده‌ای دارد که IKEv2 با NAT-T ندارد.

اگر هنوز تجهیزات یا کاربرانی دارید که فقط L2TP را پشتیبانی می‌کنند، برنامهٔ مهاجرت به IKEv2 یا WireGuard بنویسید. تقریباً همهٔ تجهیزاتی که L2TP/IPsec را پشتیبانی می‌کنند، IKEv2 را هم پشتیبانی می‌کنند.

PPTP و SSTP در یک نگاه

PPTP قدیمی‌ترین پروتکل این فهرست است و احراز هویت MS-CHAPv2 آن سال‌هاست که شکسته شده است؛ با ضبط ترافیک ورود، رمز قابل بازیابی است. هیچ دلیلی برای استفاده از PPTP در سال ۱۴۰۵ وجود ندارد. SSTP پروتکل مایکروسافت است که VPN را روی TLS و پورت TCP 443 اجرا می‌کند؛ در محیط‌های کاملاً ویندوزی کاربرد دارد، ولی روی لینوکس و موبایل پشتیبانی محدودی دارد و همان مشکل TCP درون TCP را هم دارد.

جدول مقایسهٔ پروتکل‌های VPN

سرعت و کارایی: اعداد را خودتان بسنجید

مقایسه‌های سرعت در اینترنت معمولاً روی سخت‌افزار و شبکهٔ خاصی انجام شده‌اند و به کار شما تعمیم پیدا نمی‌کنند. چند اصل کلی قابل اتکاست:

• هسته در برابر فضای کاربر: WireGuard و IPsec در هسته اجرا می‌شوند و OpenVPN بدون DCO در فضای کاربر؛ در سرعت‌های بالا این تفاوت محسوس است.
• شتاب‌دهندهٔ AES: روی پردازنده‌های سرور با AES-NI، الگوریتم AES-GCM در IPsec و OpenVPN بسیار سریع است. ChaCha20 در WireGuard روی پردازنده‌های بدون این شتاب‌دهنده، مثل بسیاری از گوشی‌ها و بردهای کوچک، برتری دارد.
• MTU مهم‌تر از پروتکل است: تانلی با MTU نادرست، با هر پروتکلی کند می‌شود. روش پیدا کردن MTU درست را در بخش MTU آموزش WireGuard توضیح داده‌ایم.
• مسیر شبکه تعیین‌کننده است: تأخیر و Packet Loss مسیر بین دو سرور، سقف سرعت هر تانلی را تعیین می‌کند. آن را با ping، traceroute و mtr بسنجید.

بهترین روش، آزمایش روی سناریوی واقعی خودتان است: دو سرور ساعتی بسازید، تانل را با پروتکل‌های موردنظر راه بیندازید و با iperf3 و ابزارهای تست سرعت و کیفیت سرور مقایسه کنید.

امنیت و قابلیت ممیزی

همهٔ پروتکل‌های مدرن این فهرست، یعنی WireGuard و OpenVPN و IPsec/IKEv2، اگر درست پیکربندی شوند امن‌اند. تفاوت اصلی در احتمال پیکربندی اشتباه و سهولت بررسی کد است:

• WireGuard: گزینهٔ ناامنی برای انتخاب ندارد و کد کوچکش بررسی را آسان می‌کند. خطر اصلی، مدیریت نادرست کلیدهای خصوصی است.
• OpenVPN: امنیت آن به نگهداری درست CA بستگی دارد: کلید CA باید جدا و امن نگه داشته شود و گواهی کاربران جداشده باید ابطال شود.
• IPsec/IKEv2: باید الگوریتم‌های قوی را صریحاً تعیین کنید و احراز هویت با گواهی را بر کلید مشترک ترجیح دهید.
• L2TP و PPTP: به ترتیب «قابل قبول فقط با IPsec قوی» و «ناامن».

مستقل از پروتکل، سرور VPN را مثل هر سرور دیگری امن کنید: ورود SSH فقط با کلید (راهنما)، فایروال UFW با کمترین پورت باز، Fail2ban و به‌روزرسانی منظم بسته‌ها. پورت‌های لازم هر پروتکل را در مقالهٔ پورت شبکه چیست؟ مرور کنید.

کدام پروتکل برای کدام سناریو؟

1. هر دو سر لینوکس و در اختیار شماست؟

   WireGuard؛ ساده‌ترین و سریع‌ترین اتصال Site-to-Site.

2. یک سر فایروال، روتر یا درگاه ابری است؟

   IPsec با IKEv2 و الگوریتم‌های قوی که در هر دو طرف صریحاً تعیین شده‌اند.

3. کاربران زیاد با احراز هویت متمرکز؟

   OpenVPN با گواهی جدا برای هر کاربر یا IKEv2 با EAP.

4. شبکهٔ سازمان فقط TCP را مجاز می‌داند؟

   OpenVPN روی TCP؛ با آگاهی از افت کارایی TCP درون TCP.

5. فقط یکی دو پورت لازم است؟

   شاید VPN لازم نباشد؛ تانل SSH یا تانل معکوس ساده‌تر است.

چند نکته دربارهٔ این جدول:

• Site-to-Site بین سرورها: اگر هر دو سر در اختیار شماست و لینوکس است، WireGuard را انتخاب کنید و طبق آموزش WireGuard Site-to-Site پیش بروید. اگر فقط به اتصال لایهٔ شبکه بدون رمزنگاری در یک شبکهٔ مطمئن نیاز دارید، تانل GRE کافی است و می‌توانید GRE را روی WireGuard هم اجرا کنید.
• مدیریت از راه دور: برای چند مدیر که از لپ‌تاپ به شبکهٔ خصوصی سرورها وصل می‌شوند، WireGuard با یک سرور مرکزی و یک Peer برای هر مدیر ساده‌ترین راه است. اگر فقط به یکی دو پورت نیاز دارید، شاید اصلاً VPN لازم نباشد و تانل SSH کافی باشد.
• سرویس پشت NAT: اگر هدف فقط منتشر کردن یک سرویس از پشت NAT است، تانل معکوس یا ابزارهای مقایسه‌شده در این مقاله ساده‌ترند.

اشتباهات رایج در انتخاب و راه‌اندازی VPN

• انتخاب بر اساس شهرت: «بهترین پروتکل VPN» به سناریو بستگی دارد؛ پروتکلی که برای اتصال کاربران عالی است، شاید برای اتصال به فایروال سازمانی کار نکند.
• استفادهٔ دوباره از PPTP یا L2TP با کلید مشترک ساده: برای راه‌اندازی جدید، IKEv2 یا WireGuard.
• یک کلید یا گواهی برای همه: اگر یک دستگاه گم شود، باید همهٔ کاربران را دوباره پیکربندی کنید. برای هر دستگاه کلید یا گواهی جدا بسازید.
• عبور همهٔ ترافیک از VPN بی‌دلیل: برای دسترسی به شبکهٔ خصوصی سرورها، فقط همان رنج آدرس را از تانل عبور دهید (Split Tunnel). در WireGuard یعنی AllowedIPs حداقلی.
• نادیده گرفتن MTU: کندی و قطعی‌های عجیب در بیشتر موارد از MTU است، نه پروتکل.
• OpenVPN روی TCP بدون نیاز: اگر UDP در دسترس است، حالت TCP فقط کارایی را کم می‌کند.
• فراموش کردن پایش: وضعیت تانل‌ها را پایش کنید و برای قطعی هشدار بگذارید.
• اشتباه گرفتن VPN با تغییر DNS: تغییر DNS مسیر ترافیک را عوض نمی‌کند و رمزنگاری هم ندارد؛ تفاوت را در DNS شکن چیست؟ توضیح داده‌ایم.

سرور مناسب برای VPN سازمانی

سرور VPN برای چند تانل Site-to-Site یا چند مدیر، به منابع زیادی نیاز ندارد؛ یک سرور مجازی ۱ هسته و ۱ گیگابایت رم برای WireGuard یا IPsec کافی است و اگر تعداد کاربران OpenVPN زیاد است، ۲ هسته در نظر بگیرید. مهم‌تر از سخت‌افزار، آی‌پی عمومی ثابت، پورت شبکهٔ سریع و مسیر کوتاه تا دو سر اتصال است. معیارهای کامل را در خرید سرور ایران برای تانل آورده‌ایم.

اگر دفتر، کاربران یا سرورهای دیگر شما در ایران‌اند، سرور مجازی ایران با پورت ۲۵ گیگ و محاسبهٔ فقط ترافیک خروجی (هر گیگابایت ۱٬۲۵۰ تومان) مناسب است. برای سر دیگر اتصال، سرور مجازی خارج را در لوکیشنی نزدیک به سرویس‌هایتان انتخاب کنید. برای مقایسهٔ عملی پروتکل‌ها پیش از تصمیم نهایی، سرور ساعتی بهترین گزینه است: چند ساعت تست می‌کنید و فقط همان ساعت‌ها را می‌پردازید. راهنمای انتخاب لوکیشن با کمترین پینگ را هم ببینید.

نکتهٔ حقوقی و شرایط استفاده

این مقاله پروتکل‌های VPN را برای کاربردهای مدیریتی و سازمانی، یعنی اتصال سرورها و شبکه‌های متعلق به خودتان و دسترسی کارکنان مجاز به شبکهٔ خصوصی، مقایسه می‌کند. مسئولیت نحوهٔ استفاده با شماست: فقط سرورها و شبکه‌هایی را به هم وصل کنید که مالکشان هستید یا اجازهٔ کتبی مدیر آن‌ها را دارید، سیاست‌های امنیتی سازمان خود را رعایت کنید و قوانین کشور محل هر سرور و شرایط ارائه‌دهنده را در نظر بگیرید. بند «استفادهٔ مجاز» در شرایط استفادهٔ کلودیفای کاربردهای ممنوع را مشخص کرده است.

ادامهٔ این مجموعه

این مقاله هفتمین قسمت از مجموعهٔ آموزش‌های تانل و شبکهٔ سرور در مجلهٔ کلودیفای است. قسمت‌های قبلی: تانل معکوس چیست؟، خرید سرور ایران برای تانل، تانل GRE در لینوکس، مقایسهٔ Backhaul و Rathole با GOST و FRP، تانل SSH و WireGuard Site-to-Site. آموزش تانل IPsec بین دو سرور و تانل 6to4 و IPv6 هم منتشر شده‌اند. قسمت بعدی، انتخاب لوکیشن با کمترین پینگ، هم منتشر شده است.

سؤالات متداول