IKEv2 và WireGuard: So sánh hai giao thức VPN

Hai giao thức, hai triết lý

Nói ngắn gọn: IKEv2/IPsec và WireGuard đều là những giao thức VPN hiện đại được đánh giá cao, và với hầu hết nhu cầu hằng ngày thì cả hai đều nhanh và an toàn. Điều thú vị nằm ở chỗ chúng đi đến kết quả đó theo những cách khác nhau đến thế nào. IKEv2 là thành quả của hàng chục năm xây dựng tiêu chuẩn — linh hoạt, gắn sâu vào hệ điều hành và đã được thử lửa trong mạng doanh nghiệp. WireGuard là một cuộc nổi loạn có chủ ý chống lại sự phức tạp đó: một giao thức nhỏ gọn, dứt khoát, xây quanh đúng một bộ mật mã hiện đại cố định.

Đây là bài so sánh mang tính giáo dục giữa hai thiết kế. Xin nói rõ lập trường của GLOBEX ngay từ đầu: GLOBEX dùng IKEv2 cùng các giao thức proxy mã hóa hiện đại (Reality, Hysteria2) chứ không dùng WireGuard — nên nếu bạn đang cân nhắc ứng dụng của chúng tôi, IKEv2 chính là nửa mà bạn sẽ thực sự dùng trong bài so sánh này.

IKEv2 là gì?

IKEv2 (Internet Key Exchange, phiên bản 2) là giao thức thương lượng khóa của bộ IPsec, được IETF chuẩn hóa và tinh chỉnh liên tục từ giữa thập niên 2000. Khi người ta nói "VPN IKEv2", ý là IKEv2 lo phần xác thực và thỏa thuận khóa, còn IPsec mã hóa lưu lượng thực tế.

Những thế mạnh đặc trưng của nó:

• Tích hợp sẵn trong hệ điều hành. Các hệ điều hành lớn đều có sẵn hỗ trợ IKEv2/IPsec, và việc mã hóa có thể tận dụng tăng tốc phần cứng — tốt cho cả tốc độ lẫn thời lượng pin trên điện thoại.
• Khả năng di động MOBIKE. IKEv2 hỗ trợ MOBIKE, một cơ chế chuẩn hóa giúp trụ vững khi mạng thay đổi. Bạn bước ra khỏi vùng phủ Wi-Fi sang dữ liệu di động, đường hầm sẽ neo lại vào địa chỉ mới mà không cần kết nối lại từ đầu. Chính điều này khiến IKEv2 được ưa chuộng cho VPN di động từ rất lâu trước khi có các giao thức mới hơn.
• Bắt tay nhanh. Việc thiết lập phiên chỉ tốn vài lượt qua lại, nên kết nối và kết nối lại đều cảm giác nhanh gọn.
• Linh hoạt về mật mã. Thuật toán được thương lượng chứ không cố định. Sự linh hoạt đó cho phép triển khai tiếp nhận các thuật toán mã hóa mới theo thời gian — đổi lại là một bề mặt cấu hình phải luôn được giữ cho hợp lý.
• Độ chín. Hai thập kỷ phân tích, triển khai và soi xét theo tiêu chuẩn. Các kiểu hỏng hóc của nó đã được hiểu rõ.

Điểm yếu nói thẳng: ngăn xếp IPsec vốn lớn và phức tạp, cấu hình sai là chuyện có thể xảy ra theo cách mà một giao thức mật mã cố định không thể mắc phải, và việc IKEv2 dùng cổng UDP 500/4500 khiến nó dễ bị nhận diện — mạng nào muốn chặn VPN đều có thể chặn nó khá dễ dàng.

WireGuard là gì?

WireGuard vào nhân Linux năm 2020 với một tiền đề triệt để: một giao thức VPN đủ nhỏ để kiểm toán được. Trong khi hệ sinh thái IPsec trải dài hàng trăm nghìn dòng mã, lõi của WireGuard chỉ vài nghìn dòng.

Những thế mạnh đặc trưng của nó:

• Mã nguồn tối giản, kiểm toán được. Ít mã hơn nghĩa là ít chỗ cho lỗi hơn và có cơ hội thực tế để rà soát kỹ lưỡng.
• Mật mã hiện đại cố định. ChaCha20-Poly1305, Curve25519, BLAKE2s — không thương lượng, không đường hạ cấp, không sai sót cấu hình khi chọn thuật toán. Nếu một ngày cần thay mật mã, cả phiên bản giao thức sẽ đổi trọn gói.
• Hiệu năng xuất sắc. Chạy ngay trong nhân cùng một quy trình bắt tay gọn nhẹ cho WireGuard thông lượng và độ trễ rất tốt trong phần lớn các phép đo đã công bố.
• Chuyển vùng nhanh. Giống IKEv2, WireGuard xử lý việc đổi điểm cuối một cách mượt mà — phiên vẫn sống sót qua các lần chuyển mạng mà không rắc rối gì.

Điểm yếu nói thẳng: mặc định WireGuard gán mỗi người dùng một địa chỉ IP nội bộ tĩnh, nên các nhà cung cấp coi trọng quyền riêng tư phải tự thêm lớp giảm thiểu của mình (cấp phát IP xoay vòng hoặc dùng một lần); nó không có sẵn hệ thống xác thực người dùng (việc phân phối khóa là bài toán của bên triển khai); và mẫu lưu lượng của nó, cũng như IKEv2, là nhận diện được — cả hai giao thức đều không cố che giấu việc một VPN đang được dùng.

So kè trực tiếp

Góc nhìn kiểm duyệt — nơi cả hai đều hụt hơi

Đây là khía cạnh mà các bài so sánh thường bỏ qua: trên một mạng chủ động chặn VPN, cuộc tranh luận IKEv2 hay WireGuard trở nên vô nghĩa, vì tường lửa nhận ra và loại bỏ cả hai đều dễ như nhau. Không giao thức nào được thiết kế để không thể phân biệt với lưu lượng thông thường.

Đó là lý do những giao thức như Reality (thuộc họ V2Ray) và Hysteria2 ra đời — các thiết kế proxy mã hóa có lưu lượng được tính toán để hòa lẫn vào HTTPS bình thường. Trên mạng bị lọc gắt gao, một giao thức kết nối được luôn thắng một giao thức nhanh hơn chút ít nhưng bị chặn. Đây chính là không gian thiết kế mà GLOBEX tập trung: ứng dụng ghép IKEv2 với các giao thức kháng kiểm duyệt như Reality và Hysteria2, được thiết kế cho những mạng hạn chế. Để có cái nhìn rộng hơn về bức tranh giao thức, hãy xem bài giải thích về các giao thức VPN của chúng tôi.

Vậy bạn nên chọn cái nào?

• Nếu ứng dụng VPN của bạn có cả hai, hãy thử từng cái trên đúng những mạng bạn dùng hằng ngày. Khác biệt trong định tuyến của nhà mạng thường quan trọng hơn các con số đo hiệu năng của giao thức.
• Nếu ưu tiên là khả năng di động và thời lượng pin trên điện thoại, sự tích hợp với hệ điều hành cùng MOBIKE khiến IKEv2 là lựa chọn đã được kiểm chứng.
• Nếu bạn tự dựng máy chủ và muốn càng ít bộ phận chuyển động càng tốt, sự đơn giản của WireGuard rất khó vượt qua.
• Nếu bạn đang ở trên một mạng bị hạn chế, cả hai đều không phải câu trả lời — thứ bạn cần là các giao thức ngụy trang như Reality hoặc Hysteria2.

Xin nói rõ về GLOBEX thêm một lần nữa: ứng dụng cung cấp 8 giao thức kết nối ở gói miễn phí — đúng bộ giao thức như gói Premium — gồm IKEv2, Shadowsocks, V2Ray/Reality, Hysteria2 và OpenVPN, đồng thời tự động chọn giúp bạn một giao thức đang hoạt động. GLOBEX không có WireGuard; bài viết này nhắc tới nó vì hiểu được phép so sánh sẽ giúp bạn đánh giá bất kỳ VPN nào một cách trung thực. Bạn có thể xem toàn cảnh tại trang tính năng của chúng tôi.

Kết luận

IKEv2 và WireGuard đều là những câu trả lời xuất sắc cho câu hỏi "làm sao dựng một đường hầm nhanh và an toàn?" — một bên đi qua các tiêu chuẩn chín muồi, linh hoạt và tích hợp sâu vào hệ điều hành, bên kia đi qua sự tối giản không khoan nhượng cùng mật mã hiện đại cố định. Để bảo vệ quyền riêng tư hằng ngày trên một mạng mở, cái nào cũng phục vụ bạn tốt. Nhưng ngay khi chính mạng lưới trở nên thù địch, câu chuyện chuyển từ tốc độ sang khả năng ẩn mình — và đó lại là một họ giao thức hoàn toàn khác.