自分の VPS で WireGuard か OpenVPN か：どちらを動かすか

どちらのプロトコルも、適切に設定すれば成熟していて安全です。違いは、実際のネットワーク上での挙動にあります。スローガンではなく、接続環境のニーズで選んでください。

WireGuard の概要

• コードベースが小さく監査しやすい上、Linux カーネルに組み込まれています。
• 高速で、遅延が小さく、スマートフォンでの電池消費も少なくて済みます。
• ローミングに強く、Wi-Fi からモバイルデータに切り替えてもトンネルが維持されます。
• UDP のみで、一部のネットワークがブロックする特徴的なハンドシェイクを使います。
• 設定はピアごとに数行で、鍵と固定アドレスを使います。

OpenVPN の概要

• UDP でも TCP でも動作し、多くの厳しいファイアウォールを通過できる TCP の 443 番ポートも使えます。
• 機能が豊富で、証明書、プラグイン、多様な認証方式があります。
• WireGuard より遅く、設定も複雑です。
• コードが多い分、パッチを当て続けるべき攻撃対象領域も広くなります。

速度とバッテリー

同じ VPS では、WireGuard のほうが通常スループットが高く、CPU 負荷も低くなります。スマートフォンでは、電池の持ちやトンネルの再接続の速さで違いを実感できます。

制限の厳しいネットワークを通過する

ホテル、オフィス、一部の国では、WireGuard のハンドシェイクまたはすべての UDP がブロックされます。WireGuard が通らない場所でも、TCP 443 上の OpenVPN なら通ることがよくあります。それでもだめな場合は、VLESS と REALITY のように、HTTPS を模倣するよう作られたプロトコルが必要です。

セットアップの手間

WireGuard は10分ほどで、数個のコマンドで済みます。詳しくはWireGuard セットアップガイドをご覧ください。OpenVPN には認証局、サーバー証明書、クライアント証明書が必要です。ヘルパースクリプトで生成できますが、管理するものは多くなります。

プライバシーに関する考慮事項

WireGuard は設計上、ピアのアドレスをサーバーのメモリ上に保持しますが、静的な鍵は管理しやすいという利点があります。ただし、個人用 VPN の出口 IP は1つだけであることを知っておく必要があります。ローカルネットワークや ISP からは守られますが、訪問先のサイトに対して匿名になるわけではありません。VPS プロバイダーは、サーバーから出ていくトラフィックを見ることができます。

どちらを選ぶか

1. スマートフォンやノートパソコンでの日常的な利用: WireGuard。
2. UDP またはウェブ以外のポートをブロックするネットワーク: TCP 443 上の OpenVPN。
3. 厳しい検閲下: TLS を模倣するプロキシ。
4. 個別の証明書と失効管理が必要な多数のユーザー: OpenVPN、または管理レイヤーを加えた WireGuard。

両方を同じサーバーで別々のポートで動かし、ネットワークごとに使い分けることもできます。まず15分チェックリストでサーバーのセキュリティを強化してください。