Due protocolli, due filosofie
In breve: IKEv2/IPsec e WireGuard sono entrambi protocolli VPN moderni e ben considerati e, per la maggior parte degli usi quotidiani, l'uno vale l'altro quanto a velocità e sicurezza. La parte interessante è quanto diverso sia il percorso con cui ci arrivano. IKEv2 è il frutto di decenni di lavoro di standardizzazione: flessibile, integrato in profondità nei sistemi operativi e collaudato sulle reti aziendali. WireGuard è una ribellione deliberata a quella complessità: un protocollo minuscolo e con idee precise, costruito attorno a un unico insieme fisso di crittografia moderna.
Questo è un confronto didattico fra i due progetti. Chiariamo subito dove si colloca GLOBEX: GLOBEX usa IKEv2 e moderni protocolli proxy cifrati (Reality, Hysteria2) anziché WireGuard, quindi se stai valutando la nostra app, IKEv2 è la metà di questo confronto che userai davvero.
Che cos'è IKEv2?
IKEv2 (Internet Key Exchange, versione 2) è il protocollo di negoziazione delle chiavi della suite IPsec, standardizzato dall'IETF e perfezionato dalla metà degli anni Duemila. Quando si parla di "VPN IKEv2" si intende che IKEv2 gestisce autenticazione e accordo sulle chiavi, mentre IPsec cifra il traffico vero e proprio.
I suoi punti di forza distintivi:
- Integrazione nativa nel sistema operativo. I principali sistemi operativi includono di serie il supporto a IKEv2/IPsec, e la cifratura può sfruttare l'accelerazione hardware: un vantaggio sia per la velocità sia per la durata della batteria sul telefono.
- Mobilità con MOBIKE. IKEv2 supporta MOBIKE, un meccanismo standardizzato per sopravvivere ai cambi di rete. Esci dalla portata del Wi-Fi e passi ai dati mobili: il tunnel si riancora al nuovo indirizzo senza una riconnessione completa. È ciò che ha reso IKEv2 il preferito delle VPN mobili molto prima che esistessero protocolli più recenti.
- Handshake rapido. L'apertura della sessione richiede pochi scambi, così connessione e riconnessione risultano immediate.
- Agilità crittografica. Gli algoritmi si negoziano, non sono fissati. Questa flessibilità consente di adottare nuove cifrature nel tempo, al prezzo di una superficie di configurazione che va tenuta in ordine.
- Maturità. Vent'anni di analisi, adozione sul campo e vaglio degli organismi di standardizzazione. I suoi modi di guasto sono ben compresi.
Le debolezze, dette con onestà: lo stack IPsec è ampio e complesso, una configurazione sbagliata è possibile in un modo che un protocollo a crittografia fissa esclude, e l'uso delle porte UDP 500/4500 rende IKEv2 riconoscibile: le reti che vogliono bloccare le VPN riescono a bloccarlo con relativa facilità.
Che cos'è WireGuard?
WireGuard è arrivato nel kernel Linux nel 2020 con una premessa radicale: un protocollo VPN abbastanza piccolo da poter essere verificato per intero. Dove l'ecosistema IPsec si estende su centinaia di migliaia di righe di codice, il nucleo di WireGuard ne conta appena qualche migliaio.
I suoi punti di forza distintivi:
- Base di codice minima e verificabile. Meno codice significa meno spazio per i bug e una possibilità concreta di revisione approfondita.
- Crittografia moderna fissa. ChaCha20-Poly1305, Curve25519, BLAKE2s: nessuna negoziazione, nessun percorso di downgrade, nessun errore di configurazione nella scelta delle cifrature. Se un giorno la crittografia dovrà cambiare, cambierà in blocco la versione del protocollo.
- Prestazioni eccellenti. L'esecuzione nel kernel e un handshake snello danno a WireGuard throughput e latenza eccellenti nella maggior parte dei benchmark pubblicati.
- Roaming veloce. Come IKEv2, WireGuard gestisce con disinvoltura i cambi di endpoint: le sessioni sopravvivono ai passaggi di rete senza particolari intoppi.
Le debolezze, dette con onestà: di base WireGuard associa ogni utente a un IP interno statico, perciò i provider attenti alla privacy devono aggiungere strati di mitigazione propri (assegnazione di IP a rotazione o effimeri); non ha un sistema integrato di autenticazione degli utenti (la distribuzione delle chiavi è un problema di chi lo mette in opera); e il suo profilo di traffico, come quello di IKEv2, è identificabile: nessuno dei due prova a nascondere il fatto che si stia usando una VPN.
Testa a testa
| Aspetto | IKEv2/IPsec | WireGuard |
|---|---|---|
| Prima standardizzazione/uscita | Metà anni Duemila (IETF) | 2020 (ramo principale del kernel Linux) |
| Dimensione della base di codice | Ampia (stack IPsec completo) | Molto ridotta (qualche migliaio di righe nel nucleo) |
| Crittografia | Negoziata, flessibile | Insieme moderno fisso |
| Velocità | Veloce, con accelerazione hardware | Di solito il più rapido nei benchmark |
| Cambio di rete | Eccellente (MOBIKE) | Eccellente (roaming integrato) |
| Supporto del sistema operativo | Incluso nei principali sistemi operativi | Nativo nel kernel Linux; altrove tramite app |
| Facilità di blocco | Riconoscibile (UDP 500/4500) | Riconoscibile (traffico UDP caratteristico) |
| Ideale per | Stabilità su mobile, integrazione di sistema, aziende | Velocità pura, semplicità, verificabilità |
Il fronte della censura — dove entrambi restano indietro
Ecco l'aspetto che gli articoli di confronto di solito saltano: su una rete che blocca attivamente le VPN, il dibattito IKEv2 contro WireGuard perde senso, perché per un firewall entrambi sono semplici da riconoscere e scartare. Nessuno dei due è stato progettato per risultare indistinguibile dal traffico ordinario.
È per questo che esistono protocolli come Reality (della famiglia V2Ray) e Hysteria2: progetti di proxy cifrato il cui traffico è studiato per confondersi con il normale HTTPS. Su reti pesantemente filtrate, un protocollo che si connette batte sempre un protocollo appena più veloce ma bloccato. È questo lo spazio progettuale su cui GLOBEX si concentra: l'app affianca a IKEv2 protocolli resistenti alla censura come Reality e Hysteria2, pensati per le reti restrittive. Per una panoramica più ampia del panorama dei protocolli, leggi la nostra spiegazione dei protocolli VPN.
Quale scegliere, allora?
- Se la tua app VPN li offre entrambi, prova ciascuno sulle reti che usi davvero. Le differenze di instradamento del tuo operatore contano di solito più dei numeri dei benchmark del protocollo.
- Se la priorità sono mobilità e durata della batteria sul telefono, l'integrazione di IKEv2 con il sistema operativo e MOBIKE ne fanno una scelta collaudata.
- Se ospiti il servizio in proprio e vuoi il minimo di parti in movimento, la semplicità di WireGuard è difficile da battere.
- Se ti trovi su una rete restrittiva, la risposta non è nessuno dei due: servono protocolli offuscati come Reality o Hysteria2.
Per essere chiari su GLOBEX un'ultima volta: l'app offre 8 protocolli di connessione nel piano gratuito — lo stesso insieme di Premium — tra cui IKEv2, Shadowsocks, V2Ray/Reality, Hysteria2 e OpenVPN, e sceglie automaticamente per te un protocollo funzionante. GLOBEX non include WireGuard; questo articolo ne parla perché capire il confronto ti aiuta a valutare con onestà qualunque VPN. Il quadro completo è sulla nostra pagina delle funzionalità.
Conclusione
IKEv2 e WireGuard sono entrambi ottime risposte alla domanda "come costruisco un tunnel veloce e sicuro?": uno attraverso standard maturi e flessibili con una profonda integrazione nel sistema operativo, l'altro attraverso un minimalismo spietato e una crittografia moderna fissa. Per la privacy di tutti i giorni su una rete aperta, entrambi ti serviranno bene. Nel momento in cui è la rete stessa a diventare ostile, il discorso passa dalla velocità alla capacità di non farsi notare — e lì entra in gioco una famiglia di protocolli del tutto diversa.
