Útmutatók
A VPN-protokoll határozza meg, hogyan épít fel titkosított alagutat az eszközöd és a szerver. A WireGuard a leggyorsabb és legegyszerűbb, az OpenVPN a legkiforrottabb és legrugalmasabb, az IKEv2/IPsec viseli legjobban a hálózatváltásokat mobilon, az Xray/VLESS pedig TLS felett úgy álcázza az alagút forgalmát, mintha közönséges HTTPS lenne. Mindegyik az erősségéért cserébe lemond valamiről.
Mind a négy protokoll modern, feltöretlen kriptográfiát használ. A sebességben, a kódméretben, az instabil hálózatokon mutatott viselkedésben és abban térnek el, mennyire ismerhető fel kívülről a forgalmuk — nem abban, hogy kitart-e a titkosítás.
A WireGuard ugyanazon a hardveren lekörözi az OpenVPN-t, mert a kernelben fut, és karcsú a kézfogása. Az OpenVPN kora cserébe nem nyers átvitelt, hanem konfigurálhatóságot és széles platformtámogatást hoz.
A WireGuard, az OpenVPN és az IKEv2 forgalmát egy hálózat egyaránt VPN-alagútként tudja besorolni. Az Xray/VLESS-t valódi TLS-be csomagolva úgy tervezték, hogy megkülönböztethetetlen legyen egy hétköznapi HTTPS-kapcsolattól.
A protokoll az app és a szerver közötti megállapodás: hogyan cserélnek kulcsokat, hogyan titkosítják és csomagolják be a csomagokat, hogyan áll helyre egy megszakadt kapcsolat. Az előfizetésed általában többet is tartalmaz; az app kapcsolatonként választ egyet, a váltás pedig egy menüpont, nem elköteleződés.
A választás három helyen mutatkozik meg. Az átviteli sebesség és az akkumulátor-fogyasztás azért tér el, mert a protokollok csomagonként más-más mennyiségű CPU-t használnak. A stabilitás akkor különbözik, amikor hálózatok között váltasz, vagy szigorú tűzfal mögött ülsz. És más a láthatóság is: egyes alagutakat a hálózati eszközök játszi könnyedséggel VPN-forgalomként sorolnak be, másokat épp azért építettek, hogy kerüljék a besorolást. Egyik protokoll sem nyer mindhárom téren — ezért létezik a menü.
2026-ban a WireGuard az alapértelmezett válasz. Nagyjából négyezer sornyi kernelkód a régebbi megoldások több százezer sorával szemben, egyetlen modern titkosítási csomag (ChaChaCha20-Poly1305) egy egyeztetési mátrix helyett, és egy kézfogás, amely egyetlen oda-vissza út alatt lezajlik. A gyakorlatban ez közel vonalsebességű átvitelt jelent átlagos hardveren, gyors újracsatlakozást és mérsékelt akkumulátor-fogyasztást telefonon.
Ennek két tervezési sajátossággal fizet meg. Először: egy szabványos WireGuard-szerver minden peernek rögzített címet ad az alagúton belül, ezért a szolgáltatónak saját réteget kell hozzáadnia — belső címek rotálása, a peer állapotának törlése lecsatlakozás után —, hogy ne jöjjön létre felhasználónként állandó azonosító; hogy ez megtörténik-e, az a szolgáltatón múlik, nem a protokollon. Másodszor: a WireGuard UDP felett fut, jellegzetes kézfogási mintával, így a VPN-forgalmat azonosítani kívánó hálózati eszközök könnyen kiszúrják, az ismeretlen UDP-t eldobó hálózatok pedig teljesen megakasztják.
Az OpenVPN a 2000-es évek eleje óta van éles használatban, és ez a kor az előnye: két évtizednyi átvizsgálás, támogatás gyakorlatilag minden platformon és routeren, és konfigurációs lehetőségek szinte bármilyen hálózati elrendezéshez. Futhat UDP felett a sebességért vagy TCP felett az elérhetőségért, és a 443-as TCP-porton legalább azt a portot használja, amelyet a tűzfalak ritkán zárnak le — bár a TLS-kézfogása így is eltér egy böngészőétől, ezért a besorolás továbbra is lehetséges.
Az ár a súly. Az OpenVPN felhasználói térben dolgozza fel a csomagokat, minden csomagnál átlépve a kernelhatárt, így ugyanazon a hardveren az átviteli sebessége jellemzően töredéke a WireGuardénak, az újracsatlakozás pedig nem azonnali, hanem másodpercekben mérhető. A kódbázis és az OpenSSL-függőség nagyságrendekkel nagyobb, ami nagyobb auditálandó felületet jelent. Továbbra is ez a megfelelő eszköz régi routereken, tanúsítványt igénylő vállalati környezetben és olyan hálózatokon, ahol az UDP használhatatlan.
Az IKEv2 megkülönböztető jellemzője a MOBIKE, egy szabványos kiterjesztés, amelynek köszönhetően a felépített alagút túléli a hálózati cím változását. Kilépsz a Wi-Fi hatóköréből LTE-re, és a munkamenet új kézfogás nélkül vándorol át — pontosan az az esemény, amely más protokollokat hívás közben megszakít. Az iOS és az Android natív támogatása, a titkosítást az operációs rendszer IPsec-moduljára bízva, alacsonyan tartja az akkumulátor-fogyasztást, ezért gyakori alapértelmezés a mobilappokban.
A gyengéi környezetiek. Az IKEv2-nek szüksége van az 500-as és 4500-as UDP-portra, amelyeket a korlátozó hálózatok — szállodai Wi-Fi, irodai tűzfalak — gyakran blokkolnak, saját TCP-tartaléka pedig nincs. A konfigurációja is kevésbé átlátható, mint a WireGuardé: az IPsec-paraméterek egyeztetés útján dőlnek el, és egy rosszul beállított szerver a tervezettnél gyengébb beállításoknál is megállapodhat. Mobilon erős választás, ellenséges hálózatokon törékeny.
A VLESS az Xray projekt könnyűsúlyú átviteli protokollja: minimális keretezés, saját beépített titkosítás nélkül, úgy tervezve, hogy egy valódi TLS-munkameneten belül fusson. Mivel a titkosítási réteg szabványos TLS — ugyanaz a protokoll, amelyet minden weboldal használ —, egy 443-as porton futó VLESS-kapcsolat kívülről egy szokásos tanúsítvány-kézfogásnak és egy azt követő, átláthatatlan titkosított adatfolyamnak látszik, vagyis pontosan úgy néz ki, mint bármely HTTPS-munkamenet.
Ez olyan hálózatokon számít, amelyek felismerik, majd lassítják vagy eldobják az ismert VPN-protokollokat. Ahol a WireGuard kézfogása vagy az OpenVPN TLS-sajátosságai elárulják az alagutat, egy jól beállított Xray-végpont a statisztikán kívül semmilyen megkülönböztető mintát nem ad az osztályozónak. Az ára: több mozgó alkatrész a szerveren, a TLS-feldolgozás (és nem a kernelszintű hálózatkezelés) által korlátozott sebesség, valamint a mainstream protokollokhoz képest kisebb kliens-ökoszisztéma. Az Aurora a mindennapi sebességhez WireGuardot használ, a saját csomópontjain pedig Xray/VLESS-t azokhoz a hálózatokhoz, ahol a hagyományos alagutak megbízhatatlanok.
Kezdd a WireGuarddal, és csak akkor válts, ha valami konkrét dolog nem működik. A gyakorlati útmutató:
A kill switch abban a pillanatban blokkolja a teljes internetforgalmat, amint a VPN-alagút megszakad, így az alkalmazások nem válthatnak észrevétlenül vissza a normál kapcsolatodra. Nélküle már egy kétmásodperces kapcsolatvesztés is felfedi a valódi IP-címedet. A DNS-kérések, a böngésző WebRTC-je és az IPv6-forgalom pedig akkor is kiszivároghat az alagút mellett, amíg az fennáll. Minden szivárgásra van egy egyszerű teszt és egy megoldás.
Ha a VPN-alagutat a routerre teszed, egyszerre védi a hálózat összes eszközét — a tévéket, konzolokat és okoshangszórókat is, amelyekre nem lehet appot telepíteni. A kompromisszumok viszont valósak: a sávszélességet a router processzora korlátozza, az egész háztartás egyetlen országon keresztül lép ki az internetre, a hibakeresés pedig nehezebbé válik. Ez az útmutató bemutatja a lehetséges beállításokat, és segít eldönteni, melyik való neked.
Úton a VPN titkosítja a forgalmadat a szállodai és reptéri Wi-Fi-n, a fiókjaid számára úgy tűnik, mintha egy megszokott országból csatlakoznál, és eléred azokat a szolgáltatásokat is, amelyek külföldön másképp viselkednek. Nem csodaszer: a streamingplatformok felismerik a szerverek címeit, és a helyi szabályok országonként eltérnek. Az egyetlen igazán fontos szabály — állíts be és tesztelj mindent, mielőtt elindulsz.
14 napos pénzvisszafizetési garancia. Akár 7 eszköz egy előfizetéssel.
Védem az eszközeimet