VPN protokoly: WireGuard, OpenVPN, IKEv2, Xray/VLESS

Co je VPN protokol a proč na volbě záleží

Protokol je dohoda mezi vaší aplikací a serverem: jak se vyměňují klíče, jak se pakety šifrují a balí, jak se obnovuje přerušené spojení. Vaše předplatné jich obvykle zahrnuje několik; aplikace zvolí jeden pro každé připojení a přepnutí je položka v nabídce, ne závazek.

Volba se projeví na třech místech. Propustnost a spotřeba baterie se liší, protože protokoly stojí různé množství výkonu procesoru na paket. Stabilita se liší při přechodu mezi sítěmi nebo za přísnými firewally. A liší se i viditelnost: některé tunely síťová zařízení snadno zařadí jako VPN provoz, jiné jsou navržené tak, aby se klasifikaci vyhnuly. Žádný protokol nevyhrává ve všech třech ohledech, a právě proto ta nabídka existuje.

WireGuard: rychlost a malý kód

WireGuard je v roce 2026 výchozí odpověď. Zhruba čtyři tisíce řádků kódu v jádře oproti stovkám tisíc ve starších řešeních, jedna moderní šifrovací sada (ChaCha20-Poly1305) místo matice vyjednávání a handshake, který proběhne v jediné výměně. V praxi to znamená propustnost blízkou maximu linky na běžném hardwaru, rychlé znovupřipojení a mírnou spotřebu baterie na telefonech.

Platí za to dvěma konstrukčními vlastnostmi. Zaprvé, standardní WireGuard server přiřazuje každému peeru pevnou adresu uvnitř tunelu, takže poskytovatel musí přidat vlastní vrstvu — rotaci interních adres, mazání stavu peeru po odpojení —, aby nevznikl stabilní identifikátor uživatele; zda to dělá, je vlastnost poskytovatele, ne protokolu. Zadruhé, WireGuard běží přes UDP s rozpoznatelným vzorem handshaku, takže síťová zařízení, která chtějí VPN provoz odhalit, ho snadno najdou, a sítě, které neznámé UDP zahazují, ho zcela znefunkční.

OpenVPN: vyzrálost a flexibilita

OpenVPN je v provozu od začátku tisíciletí a právě toto stáří je jeho předností: dvě desetiletí prověřování, podpora prakticky na každé platformě a routeru a možnosti konfigurace pro téměř jakékoli uspořádání sítě. Běží přes UDP kvůli rychlosti nebo přes TCP kvůli dostupnosti a na TCP portu 443 využívá alespoň port, který firewally zřídka zavírají — jeho TLS handshake se ale od prohlížeče stále liší, takže klasifikace zůstává možná.

Cenou je váha. OpenVPN zpracovává pakety v uživatelském prostoru a u každého paketu překračuje hranici jádra, takže jeho propustnost na stejném hardwaru je obvykle zlomkem propustnosti WireGuardu a znovupřipojení se měří v sekundách, ne okamžitě. Kód a jeho závislost na OpenSSL jsou řádově větší, což znamená větší plochu k auditu. Zůstává správnou volbou na starších routerech, ve firemních nasazeních vyžadujících certifikáty a na sítích, kde UDP nelze použít.

IKEv2/IPsec: stvořený pro telefony

Charakteristickým rysem IKEv2 je MOBIKE, standardní rozšíření, díky němuž navázaný tunel přežije změnu síťové adresy. Vyjdete z dosahu Wi-Fi na LTE a relace se přenese bez nového handshaku — přesně ta událost, která u jiných protokolů přeruší hovor v půlce. Nativní podpora v iOS a Androidu, kde šifrování obstarává IPsec vrstva operačního systému, drží spotřebu baterie nízko a dělá z něj běžnou výchozí volbu v mobilních aplikacích.

Jeho slabiny plynou z prostředí. IKEv2 potřebuje UDP porty 500 a 4500, které restriktivní sítě — hotelová Wi-Fi, firemní firewally — často blokují, a nemá vlastní záložní režim přes TCP. Konfigurace je také méně průhledná než u WireGuardu: parametry IPsec se vyjednávají a špatně nastavený server se může dohodnout na slabších parametrech, než bylo zamýšleno. Silná volba na mobilu, křehká na nepřátelských sítích.

Xray/VLESS: tunel, který vypadá jako HTTPS

VLESS je odlehčený transportní protokol z projektu Xray: minimální rámování, žádné vlastní vestavěné šifrování, navržený tak, aby běžel uvnitř skutečné relace TLS. Protože šifrovací vrstvou je standardní TLS — stejný protokol, který používá každý web — spojení VLESS na portu 443 navenek vypadá jako běžný certifikátový handshake následovaný neprůhledným šifrovaným proudem dat, tedy přesně jako jakákoli relace HTTPS při pohledu zvenčí.

To je důležité v sítích, které rozpoznatelné protokoly VPN klasifikují a následně přiškrcují nebo blokují. Zatímco handshake WireGuardu nebo zvláštnosti TLS u OpenVPN tunel prozradí, správně nakonfigurovaný endpoint Xray nedává klasifikátoru žádný rozlišovací vzor kromě statistik. Cena za to: více pohyblivých částí na serveru, propustnost omezená zpracováním TLS místo síťové vrstvy jádra a ve srovnání s běžnými protokoly malý ekosystém klientů. Aurora používá WireGuard pro každodenní rychlost a Xray/VLESS na vlastních uzlech pro sítě, kde jsou standardní tunely nespolehlivé.

Který protokol zvolit

Začněte s WireGuardem a měňte ho jen tehdy, když něco konkrétního přestane fungovat. Praktický přehled:

• Výchozí volba, rychlost, hraní her, velká stahování — WireGuard
• Telefon, který celý den přepíná mezi Wi-Fi a mobilními daty — IKEv2, nebo WireGuard, pokud vám opětovné připojení připadá dostatečně rychlé
• Přísný firewall, který propouští jen webový provoz — OpenVPN přes TCP 443, nebo ještě lépe Xray/VLESS
• Síť, kde se rozpoznatelné protokoly VPN zasekávají nebo vypadávají — Xray/VLESS přes TLS
• Starý router nebo firemní požadavek na certifikáty — OpenVPN
• Nevíte jistě — nechte aplikaci v automatickém režimu a nechte ji přepínat v tomto pořadí