Ghiduri
Un protocol VPN definește modul în care dispozitivul tău și serverul construiesc un tunel criptat. WireGuard este cel mai rapid și cel mai simplu, OpenVPN cel mai matur și mai flexibil, IKEv2/IPsec se descurcă cel mai bine la schimbarea rețelelor pe mobil, iar Xray/VLESS peste TLS face ca traficul din tunel să arate ca un HTTPS obișnuit. Fiecare sacrifică ceva pentru punctul său forte.
Toate cele patru protocoale folosesc criptografie modernă, nespartă. Diferă prin viteză, dimensiunea codului, comportamentul pe rețele instabile și cât de ușor de recunoscut este traficul lor din exterior — nu prin faptul că criptarea rezistă sau nu.
WireGuard depășește OpenVPN pe același hardware pentru că rulează în kernel, cu un handshake minimal. Vechimea îi aduce OpenVPN configurabilitate și suport pe mai multe platforme, nu viteză brută.
WireGuard, OpenVPN și IKEv2 produc fiecare un trafic pe care o rețea îl poate clasifica drept tunel VPN. Xray/VLESS în interiorul unei conexiuni TLS reale este proiectat să nu se deosebească de o sesiune HTTPS obișnuită.
Un protocol este înțelegerea dintre aplicația ta și server: cum se schimbă cheile, cum sunt criptate și împachetate pachetele, cum se reia o conexiune întreruptă. Abonamentul tău include de obicei mai multe; aplicația alege unul pentru fiecare conexiune, iar schimbarea e o opțiune din meniu, nu un angajament.
Alegerea se vede în trei locuri. Viteza și consumul de baterie diferă pentru că protocoalele cer cantități diferite de CPU per pachet. Stabilitatea diferă când treci de la o rețea la alta sau stai în spatele unor firewall-uri stricte. Iar vizibilitatea diferă: unele tunele sunt ușor de clasificat de echipamentele de rețea drept trafic VPN, altele sunt construite tocmai ca să evite clasificarea. Niciun protocol nu câștigă pe toate trei fronturi — de aceea există meniul.
WireGuard este răspunsul implicit în 2026. În jur de patru mii de linii de cod în kernel, față de sutele de mii din stivele mai vechi, o singură suită criptografică modernă (ChaCha20-Poly1305) în loc de o matrice de negociere și un handshake care se încheie într-un singur dus-întors. În practică, asta înseamnă viteză aproape de limita liniei pe hardware obișnuit, reconectări rapide și un consum modest de baterie pe telefoane.
Plătește cu două trăsături de design. În primul rând, un server WireGuard standard atribuie fiecărui peer o adresă fixă în interiorul tunelului, așa că furnizorul trebuie să adauge propriul strat — rotirea adreselor interne, ștergerea stării peer-ului după deconectare — ca să evite un identificator stabil per utilizator; dacă se face sau nu asta ține de furnizor, nu de protocol. În al doilea rând, WireGuard rulează peste UDP cu un tipar de handshake ușor de recunoscut, așa că echipamentele de rețea care vor să identifice traficul VPN îl depistează fără efort, iar rețelele care blochează UDP necunoscut îl opresc complet.
OpenVPN este în producție de la începutul anilor 2000, iar vechimea e atuul său: două decenii de verificări, suport pe practic orice platformă și router și opțiuni de configurare pentru aproape orice tip de rețea. Rulează peste UDP pentru viteză sau peste TCP pentru accesibilitate, iar pe portul TCP 443 folosește măcar portul pe care firewall-urile rareori îl închid — deși handshake-ul său TLS tot diferă de cel al unui browser, așa că clasificarea rămâne posibilă.
Prețul este greutatea. OpenVPN procesează pachetele în user space, traversând granița kernelului la fiecare pachet, iar viteza sa pe același hardware este de obicei o fracțiune din cea a WireGuard, cu reconectări măsurate în secunde, nu instantanee. Baza de cod și dependența de OpenSSL sunt cu ordine de mărime mai mari, deci o suprafață de audit mai mare. Rămâne instrumentul potrivit pe routerele vechi, în configurațiile corporative care cer certificate și pe rețelele unde UDP nu poate fi folosit.
Trăsătura distinctivă a IKEv2 este MOBIKE, o extensie standard care permite unui tunel deja stabilit să supraviețuiască schimbării adresei de rețea. Ieși din aria Wi-Fi și treci pe LTE, iar sesiunea migrează fără un nou handshake — exact evenimentul care întrerupe alte protocoale în mijlocul unui apel. Suportul nativ din iOS și Android, cu criptarea gestionată de stiva IPsec a sistemului de operare, menține consumul de baterie scăzut și îl face o alegere implicită frecventă în aplicațiile mobile.
Slăbiciunile sale țin de mediu. IKEv2 are nevoie de porturile UDP 500 și 4500, pe care rețelele restrictive — Wi-Fi de hotel, firewall-uri de birou — le blochează adesea, și nu are o soluție de rezervă proprie pe TCP. Nici configurarea nu e la fel de transparentă ca la WireGuard: parametrii IPsec se negociază, iar un server configurat prost poate ajunge la setări mai slabe decât cele dorite. O alegere solidă pe mobil, fragilă pe rețele ostile.
VLESS este un protocol de transport ușor din proiectul Xray: încapsulare minimă, fără criptare proprie încorporată, conceput să ruleze în interiorul unei sesiuni TLS reale. Pentru că stratul de criptare este TLS standard — același protocol pe care îl folosește orice site web — o conexiune VLESS pe portul 443 arată ca un handshake obișnuit de certificat urmat de un flux criptat opac, exact cum arată din exterior orice sesiune HTTPS.
Asta contează în rețelele care clasifică și încetinesc sau blochează protocoalele VPN recunoscute. Acolo unde handshake-ul WireGuard sau particularitățile TLS ale OpenVPN dau de gol tunelul, un endpoint Xray bine configurat nu îi oferă unui clasificator niciun tipar distinctiv în afară de statistici. Costurile: mai multe componente pe server, un debit limitat de procesarea TLS, nu de rețelistica din kernel, și un ecosistem mic de clienți comparativ cu protocoalele mainstream. Aurora folosește WireGuard pentru viteză în utilizarea de zi cu zi și Xray/VLESS pe propriile noduri pentru rețelele în care tunelurile standard sunt nesigure.
Începe cu WireGuard și schimbă doar când ceva anume nu mai merge. Pe scurt, corespondența practică:
Un kill switch blochează tot traficul de internet în clipa în care tunelul VPN cade, astfel încât aplicațiile să nu poată reveni pe furiș la conexiunea ta obișnuită. Fără el, chiar și o deconectare de două secunde îți expune adresa IP reală. Chiar și cu tunelul activ, cererile DNS, WebRTC din browser și traficul IPv6 pot scăpa pe lângă el. Fiecare scurgere are un test simplu și o soluție.
Dacă pui tunelul VPN pe router, protejezi dintr-o dată toate dispozitivele din rețea — inclusiv televizoare, console și boxe inteligente pe care nu poți instala aplicații. Compromisurile sunt însă reale: viteza e limitată de procesorul routerului, toată casa iese prin aceeași țară, iar depanarea devine mai dificilă. Ghidul de față explică variantele de configurare și cum să alegi.
În călătorie, un VPN îți criptează traficul pe Wi-Fi-ul din hoteluri și aeroporturi, face ca conturile tale să pară conectate dintr-o țară familiară și ajunge la servicii care se comportă diferit în străinătate. Nu e un leac universal: platformele de streaming detectează adresele serverelor, iar regulile locale diferă de la o țară la alta. Regula care contează cel mai mult — configurează și testează totul înainte să pleci.
Garanție de returnare a banilor în 14 zile. Până la 7 dispozitive cu un singur abonament.
Protejează-mi dispozitivele