WireGuard czy OpenVPN? Szybkość wygrywa, dopóki sieć nie blokuje ruchu

Jeżeli sieć przepuszcza UDP i zależy Ci przede wszystkim na transferze, WireGuard jest zwykle lepszym wyborem. W porównaniu RTINGS na trasie Montreal–Londyn połączenie z serwerami Mullvad osiągnęło średnio 353,6 Mb/s pobierania przez WireGuard i 149,1 Mb/s przez OpenVPN UDP. To wynik określonej usługi, trasy i konfiguracji, a nie stała prędkość przypisana protokołowi.

Jeżeli sieć odcina UDP, przewaga szybkości traci znaczenie: standardowy tunel WireGuard nie zestawi się. Instrukcja OpenVPN przewiduje transport UDP lub TCP, połączenie przez proxy i pracę za NAT. OpenVPN daje więc więcej dróg zestawienia tunelu w sieci z ograniczeniami, pod warunkiem że serwer i aplikacja udostępniają potrzebny wariant.

Dlaczego protokoły stawiają na inne rozwiązania

WireGuard przenosi zaszyfrowane pakiety IP przez UDP i rozpoznaje urządzenia po kluczach publicznych. Opis architektury WireGuard wyjaśnia, że przekazywanie konfiguracji oraz dystrybucja kluczy pozostają zadaniem innych warstw. Sam protokół ma dzięki temu wąski zakres, ale przy własnym serwerze ktoś musi przygotować klucze, przypisać adresy tunelu i bezpiecznie dostarczyć ustawienia użytkownikom.

OpenVPN ma więcej możliwości transportu i uwierzytelniania. W konfiguracji może korzystać z certyfikatów oraz weryfikować nazwę użytkownika i hasło; administrator decyduje, jak połączyć te mechanizmy z polityką dostępu. To przydatne, gdy firma musi wydawać i odbierać uprawnienia wielu osobom, lecz oznacza też więcej elementów do utrzymania. Przy usłudze komercyjnej większość tych decyzji podejmuje dostawca, więc użytkownik widzi głównie wybór protokołu w aplikacji.

Różnica w prostocie nie jest oceną bezpieczeństwa całego VPN. Liczy się także konfiguracja serwera, sposób ochrony kluczy, aktualizacje klienta i zasady dostępu. Szybki protokół nie naprawi błędów w tych częściach wdrożenia, a bogatszy zestaw opcji nie pomoże, jeśli pozostanie źle skonfigurowany.

Co mierzą testy prędkości

W pierwszym porównaniu użyto jednakowych laptopów z Windows, natywnych klientów obu protokołów i serwerów Mullvad w Londynie. Pomiary uruchamiano cyklicznie przez noc, a komputer kontrolny łączył się z tym samym serwerem testowym bez VPN. Dzięki temu różnicę między badanymi połączeniami widać wyraźniej, choć obciążenie serwerów i trasa przez Atlantyk nadal wpływały na wynik.

Ten sam eksperyment pokazał granicę prostego werdyktu o stabilności. Dla OpenVPN UDP udało się zebrać mniej prób niż dla pozostałych konfiguracji, ponieważ część testów nie powiodła się; przyczyny nie ustalono jednoznacznie. Z kolei WireGuard miał w tym zestawie większe opóźnienie pobierania pod obciążeniem niż inne połączenia. Wysoka przepustowość i zachowanie podczas równoczesnego pobierania oraz rozmowy wideo to zatem różne pytania.

Drugi współczesny punkt odniesienia to pomiary TechRadar: w próbach z kwietnia 2026 roku PrivadoVPN osiągnął lokalnie 2334 Mb/s przez WireGuard i 405 Mb/s przez OpenVPN. Metoda obejmowała łącze o dużej przepustowości, kilka serwisów pomiarowych i powtarzane próby. Te liczby dotyczą usługi PrivadoVPN wraz z jej serwerami i ustawieniami; nie można ich przenieść na własny router ani traktować jako uniwersalnej proporcji prędkości obu protokołów.

Historyczny benchmark WireGuard wymaga osobnej ostrożności. Na stronie wydajności projektu autorzy nazywają własne wyniki starymi i niedoskonale przeprowadzonymi; konfiguracja obejmowała Linux 4.6.1, określone procesory i OpenVPN przez UDP. Jest to punkt odniesienia dla tamtej konfiguracji, lecz słabsza podstawa do przewidywania osiągów współczesnego telefonu, routera lub usługi VPN niż pomiar w zbliżonych warunkach.

Gdy sieć filtruje połączenie

WireGuard potrzebuje drożnego UDP między klientem a serwerem. W sieci gościnnej, hotelowej lub firmowej, która nie pozwala na taki ruch, sam wybór innego portu UDP może nie wystarczyć. OpenVPN potrafi wtedy działać przez TCP, a jeśli wyjście z sieci wymaga pośrednika, może zestawić połączenie przez proxy HTTP. Dostępność tego rozwiązania zależy od ustawień serwera i klienta VPN oraz reguł konkretnej sieci.

TCP jest obejściem określonej przeszkody, a nie darmowym przyspieszeniem. Gdy połączenie tunelowe niesie już ruch aplikacji korzystających z TCP, dodatkowa warstwa kontroli dostarczania może pogorszyć działanie przy stratach pakietów lub przeciążeniu. Dlatego w sieci, która bez problemu przepuszcza UDP, OpenVPN UDP pozostaje sensowną alternatywą; OpenVPN TCP nabiera wartości wtedy, gdy ważniejsza od maksymalnego transferu jest sama możliwość połączenia.

Trzeba też rozdzielić blokadę całego UDP od filtrowania rozpoznanego ruchu VPN. Obsługa TCP i proxy poszerza możliwości OpenVPN, ale zapora może odrzucić również taki tunel. Żaden z tych protokołów w standardowej konfiguracji nie daje gwarancji działania w każdej sieci restrykcyjnej.

Zgodność z systemami i zmiana sieci

WireGuard ma klientów dla Windows, macOS, Linux, iOS, Androida i systemów BSD, a OpenVPN działa na większości głównych platform. W praktyce ważniejsza bywa zgodność konkretnego routera, firmowej bramy lub aplikacji usługi VPN: mogą one oferować tylko wybrane protokoły albo nie udostępniać wszystkich trybów transportu. Sama obecność aplikacji w systemie nie oznacza, że po drugiej stronie czeka zgodny serwer.

WireGuard potrafi aktualizować adres zewnętrzny urządzenia po otrzymaniu poprawnie uwierzytelnionych pakietów. To przydatne, gdy telefon przełącza się między Wi-Fi a siecią komórkową, lecz nie znosi ograniczeń zasięgu ani filtrowania po drodze. W domowym VPN na osiągi wpłynie również szybkość wysyłania domowego łącza: zdalny użytkownik pobierający plik z domu jest od niej bezpośrednio zależny.

Który wariant pasuje do domu, firmy i sieci gościnnej

W domu, przy własnym serwerze i stałej grupie urządzeń, WireGuard jest rozsądnym punktem wyjścia: prosta konfiguracja tunelu i dobra przepustowość odpowiadają takiemu zastosowaniu. Trzeba jednak samodzielnie zarządzać urządzeniami, kluczami i dostępem do sieci domowej. Jeśli VPN pochodzi od dostawcy usługi, wybór serwera oraz jego obciążenie mogą być bardziej odczuwalne niż sama nazwa protokołu.

W firmie o wyborze częściej rozstrzyga obsługa użytkowników oraz zgodność z istniejącymi zasadami uwierzytelniania. OpenVPN daje w tym zakresie więcej wbudowanych opcji; WireGuard również może pracować w firmie, jeśli narzędzia wdrożeniowe przejmą zarządzanie kluczami i profilami. Dla osoby często korzystającej z sieci filtrujących ruch najbardziej użyteczna jest możliwość przełączenia z WireGuard na dostępny profil OpenVPN przez TCP, ewentualnie przez wymagane proxy HTTP, gdy połączenie UDP zawiedzie.

Przeczytaj także:

• Lokalny model czy API? Oszczędność znika przy złym wykorzystaniu
• Dane do ChatGPT trzeba najpierw odchudzić — samo usunięcie nazw nie wystarczy
• Pinecone czy pgvector? Filtry potrafią zmienić zwycięzcę