VLESS или WireGuard: что выбрать и в чём разница

Коротко: в чём главная разница

WireGuard — монолит: он сам описывает передачу, сам шифрует, сам проверяет подлинность сторон. Всё в одном.

VLESS — слой поверх других слоёв: он отвечает только за то, куда и как переслать данные, а шифрование отдаёт транспорту — TLS 1.3 или Reality. Сам по себе он не шифрует вовсе, и это регулярно принимают за уязвимость, хотя устроено так же, как HTTP и HTTPS.

Из этого различия вытекают все практические: поведение в разных сетях, сложность настройки, гибкость и то, что можно поменять, не ломая остального.

WireGuard: монолит

Протокол задумывался как простая и быстрая замена тяжёлым предкам, и это ему удалось. Кодовая база небольшая, криптография современная и жёстко заданная — выбора алгоритмов нет, что само по себе снижает число способов настроить всё неправильно.

Конфигурация — десяток строк: ключи, адрес сервера, список сетей. Поднимается мгновенно, работает предсказуемо, ведёт себя отлично при переключении между сетями, потому что не держит состояние соединения в привычном смысле.

VLESS: слои

VLESS пришёл из экосистемы Xray и устроен иначе. Он несёт минимум служебных данных — фактически только сведения о том, кто подключается и куда переслать трафик. Всё остальное делают слои под ним.

Шифрование — задача транспорта: TLS 1.3 или Reality. Подлинность пользователя подтверждает UUID. Режим потока XTLS Vision отвечает за то, чтобы не шифровать повторно уже зашифрованное.

Плата за гибкость — количество параметров. Собрать такое подключение вручную можно, но утомительно и легко ошибиться, поэтому на практике его всегда импортируют готовой ссылкой. Что означает каждый параметр, разобрано в статье что такое VLESS.

TCP против UDP — практическое отличие

Это единственное различие, которое вы заметите собственными глазами, и оно важнее любых цифр в сравнительных таблицах.

WireGuard живёт на UDP. Это быстро и правильно с точки зрения инженерии, но UDP переживают не все сети. Гостиничный Wi-Fi, корпоративная сеть, иногда мобильный оператор — там UDP режут или обрабатывают по остаточному принципу. Симптом узнаваемый: дома всё летает, в отеле соединение не встаёт вовсе.

VLESS обычно идёт поверх TCP. Теоретически это хуже: внутри туннеля тоже TCP, и два механизма восстановления потерь работают друг поверх друга. На практике же соединение поднимается там, где UDP не проходит, — и «медленно» всё-таки лучше, чем «никак».

Скорость: что на самом деле решает

Сравнения протоколов по скорости обычно измеряют не то. В лабораторных условиях WireGuard экономнее по служебным данным на пакет, а VLESS с Vision не тратит процессор на второй слой шифрования. Обе величины реальны и обе теряются на фоне трёх вещей:

• расстояние до сервера — десятки миллисекунд, которые не отменить ничем;
• загрузка сервера — канал делится между всеми подключёнными;
• ваш собственный канал и Wi-Fi — быстрее провайдера не будет никто.

Поэтому вопрос «какой протокол быстрее» почти всегда стоит заменить на «какой сервер ближе и свободнее». Подробный разбор — в статье почему VPN замедляет интернет.

Настройка и эксплуатация

WireGuard

Конфигурацию можно прочитать глазами и понять целиком. Клиенты есть везде, включая часть домашних роутеров из коробки. Если вы поднимаете сервер сами — это заметно меньше работы.

VLESS

Руками почти никто не настраивает: параметров много, и все должны совпадать с серверными. Взамен сервис раздаёт готовую подписку, а клиент забирает её одним касанием. На домашних роутерах встречается редко — см. разбор про настройку на роутере.

Что выбрать под задачу

• Свои устройства между собой, офис, домашняя сеть — WireGuard. Проще, быстрее, полностью достаточен.
• Стабильная домашняя или мобильная сеть, один сервер — подойдёт любой. Берите тот, который проще получить.
• Частые поездки, чужие сети, отели и офисы — VLESS поверх TCP ведёт себя предсказуемее.
• Старое оборудование или экзотическая платформа — скорее всего ни тот ни другой, придётся смотреть на OpenVPN.

Их можно использовать вместе

Выбор не обязан быть окончательным. Одновременно на устройстве работает один туннель, но держать настроенными оба и переключаться по ситуации — нормальная практика: WireGuard дома, VLESS в поездке.

Это и лучший способ разобраться, что вам подходит: не читать сравнения, а попробовать оба в своих сетях. Различия, о которых спорят в обсуждениях, обычно незаметны, а те, что заметны, выясняются в первый же день.

Частые вопросы