Poradniki
Protokół VPN określa, jak Twoje urządzenie i serwer budują szyfrowany tunel. WireGuard jest najszybszy i najprostszy, OpenVPN — najdojrzalszy i najbardziej elastyczny, IKEv2/IPsec najlepiej znosi zmiany sieci na komórce, a Xray/VLESS po TLS sprawia, że ruch tunelu wygląda jak zwykły HTTPS. Każdy coś oddaje w zamian za swoją mocną stronę.
Wszystkie cztery protokoły używają nowoczesnej, niezłamanej kryptografii. Różnią się prędkością, rozmiarem kodu, zachowaniem w niestabilnych sieciach i tym, jak rozpoznawalny jest ich ruch z zewnątrz — a nie tym, czy szyfrowanie trzyma.
WireGuard wyprzedza OpenVPN na tym samym sprzęcie, bo działa w jądrze systemu i ma zgrabny handshake. Wiek daje OpenVPN konfigurowalność i zasięg platform, a nie surową przepustowość.
WireGuard, OpenVPN i IKEv2 generują ruch, który sieć potrafi sklasyfikować jako tunel VPN. Xray/VLESS wewnątrz prawdziwego TLS zaprojektowano tak, by nie dał się odróżnić od zwykłej sesji HTTPS.
Protokół to umowa między aplikacją a serwerem: jak wymieniane są klucze, jak pakiety są szyfrowane i opakowywane, jak wznawia się zerwane połączenie. Subskrypcja zwykle obejmuje kilka protokołów; aplikacja wybiera jeden na połączenie, a przełączenie to opcja w menu, nie zobowiązanie.
Wybór ujawnia się w trzech miejscach. Przepustowość i zużycie baterii różnią się, bo protokoły kosztują różnie dużo procesora na pakiet. Stabilność różni się, gdy przemieszczasz się między sieciami albo siedzisz za surowymi zaporami. A widoczność — bo jedne tunele sprzęt sieciowy klasyfikuje jako VPN banalnie łatwo, a inne zbudowano tak, by klasyfikacji unikać. Żaden protokół nie wygrywa we wszystkich trzech — dlatego właśnie istnieje to menu.
WireGuard to domyślna odpowiedź w 2026 roku. Około czterech tysięcy linii kodu jądra wobec setek tysięcy w starszych stosach, jeden nowoczesny zestaw szyfrów (ChaCha20-Poly1305) zamiast macierzy negocjacji i handshake domykający się w jednej podróży w obie strony. W praktyce oznacza to przepustowość bliską możliwościom łącza na zwykłym sprzęcie, błyskawiczne wznowienia i umiarkowany koszt baterii w telefonach.
Płaci za to dwiema cechami konstrukcji. Po pierwsze, standardowy serwer WireGuard przydziela każdemu peerowi stały adres wewnątrz tunelu, więc dostawca musi dołożyć własną warstwę — rotację adresów wewnętrznych, kasowanie stanu peera po rozłączeniu — by uniknąć stabilnego identyfikatora per użytkownik; czy to zrobiono, to cecha dostawcy, nie protokołu. Po drugie, WireGuard działa po UDP z rozpoznawalnym wzorcem handshake'u, więc sprzęt sieciowy, który chce wyłapywać ruch VPN, znajduje go bez trudu, a sieci odrzucające nieznany UDP psują go całkowicie.
OpenVPN pracuje produkcyjnie od początku lat dwutysięcznych i ten wiek jest jego atutem: dwie dekady prześwietlania, wsparcie na praktycznie każdej platformie i routerze oraz opcje konfiguracji na niemal każdy układ sieci. Działa po UDP dla szybkości albo po TCP dla osiągalności, a na porcie TCP 443 korzysta przynajmniej z portu, którego zapory rzadko zamykają — choć jego handshake TLS wciąż różni się od przeglądarkowego, więc klasyfikacja pozostaje możliwa.
Kosztem jest waga. OpenVPN przetwarza pakiety w przestrzeni użytkownika, przekraczając granicę jądra przy każdym pakiecie, a jego przepustowość na tym samym sprzęcie to zwykle ułamek WireGuarda, z wznowieniami liczonymi w sekundach zamiast natychmiast. Kod i jego zależność od OpenSSL są o rzędy wielkości większe, co oznacza większą powierzchnię audytu. Pozostaje właściwym narzędziem na starych routerach, w firmowych konfiguracjach wymagających certyfikatów i w sieciach, gdzie UDP jest bezużyteczny.
Wyróżnikiem IKEv2 jest MOBIKE — standardowe rozszerzenie, dzięki któremu zestawiony tunel przeżywa zmianę adresu sieciowego. Wyjdź z zasięgu Wi-Fi na LTE, a sesja migruje bez nowego handshake'u — dokładnie to zdarzenie przerywa inne protokoły w środku rozmowy. Natywne wsparcie w iOS i Androidzie, z szyfrowaniem obsługiwanym w systemowym stosie IPsec, trzyma zużycie baterii nisko i czyni go częstym domyślnym wyborem w aplikacjach mobilnych.
Jego słabości są środowiskowe. IKEv2 potrzebuje portów UDP 500 i 4500, które restrykcyjne sieci — hotelowe Wi-Fi, biurowe zapory — często blokują, a własnego fallbacku na TCP nie ma. Konfiguracja jest też mniej przejrzysta niż w WireGuardzie: parametry IPsec są negocjowane i źle skonfigurowany serwer może zejść do słabszych ustawień, niż zamierzano. Mocny wybór na komórce, kruchy we wrogich sieciach.
VLESS to lekki protokół transportowy z projektu Xray: minimalne ramkowanie, brak własnego wbudowanego szyfrowania, zaprojektowany do pracy wewnątrz prawdziwej sesji TLS. Ponieważ warstwą szyfrującą jest standardowy TLS — ten sam protokół, którego używa każda strona — połączenie VLESS na porcie 443 prezentuje zwykły handshake certyfikatu, a po nim nieprzezroczysty zaszyfrowany strumień, czyli dokładnie to, jak z zewnątrz wygląda każda sesja HTTPS.
Ma to znaczenie w sieciach, które klasyfikują i dławią lub odrzucają rozpoznawalne protokoły VPN. Tam, gdzie handshake WireGuarda albo osobliwości TLS OpenVPN zdradzają tunel, dobrze skonfigurowany punkt Xray nie daje klasyfikatorowi żadnego wzorca wyróżniającego poza statystyką. Koszty: więcej ruchomych części na serwerze, przepustowość ograniczona przetwarzaniem TLS zamiast sieci w jądrze i mały ekosystem klientów w porównaniu z protokołami głównego nurtu. Aurora korzysta z WireGuarda dla codziennej szybkości i z Xray/VLESS na własnych węzłach dla sieci, gdzie standardowe tunele są zawodne.
Zacznij od WireGuarda i zmieniaj tylko wtedy, gdy coś konkretnego się psuje. Praktyczna mapa:
Kill switch blokuje cały ruch internetowy w chwili, gdy tunel VPN padnie, żeby aplikacje nie mogły po cichu wrócić na zwykłe łącze. Bez niego nawet dwusekundowe rozłączenie odsłania Twój prawdziwy adres IP. A nawet przy działającym tunelu obok niego potrafią przeciekać zapytania DNS, WebRTC w przeglądarce i ruch IPv6. Każdy wyciek ma prosty test i prostą naprawę.
Umieszczenie tunelu VPN na routerze chroni wszystkie urządzenia w sieci naraz — w tym telewizory, konsole i inteligentne głośniki, na których nie da się zainstalować aplikacji. Kompromisy są realne: przepustowość ogranicza procesor routera, cały dom wychodzi przez jeden kraj, a diagnozowanie problemów robi się trudniejsze. Ten poradnik omawia możliwe konfiguracje i to, jak wybrać.
W drodze VPN szyfruje Twój ruch w hotelowym i lotniskowym Wi-Fi, sprawia, że Twoje konta widzą logowanie ze znajomego kraju, i dosięga usług, które za granicą zachowują się inaczej. Nie jest lekiem na wszystko: platformy streamingowe wykrywają adresy serwerów, a lokalne zasady różnią się między krajami. Najważniejsza zasada — skonfiguruj i przetestuj wszystko przed wyjazdem.
14 dni gwarancji zwrotu pieniędzy. Do 7 urządzeń na jednej subskrypcji.
Chroń moje urządzenia