WireGuard、OpenVPN 与 VLESS 对比

WireGuard 是一条现代隧道，在多数系统上位于内核之中。它大约四千行代码，使用一套固定的现代密码学、不做任何协商，并且只跑在 UDP 上。没有登录、没有会话建立、没有加密套件选择：客户端发出一个加密包，对端要么回应，要么不回应。

OpenVPN 更老、更庞大，也几乎可以无限配置。它能跑在 UDP 或 TCP 上、任意端口上，支持很多种加密算法，开头还能带一次完整的 TLS 握手。正是这种可配置性让它能穿过 WireGuard 过不去的网络，同时也让它更慢更重。

VLESS 在同样的意义上根本不算 VPN 隧道。它是 Xray 家族里的轻量代理传输，承载的是数据流而不是路由数据包，本身没有加密，底层依赖 TLS。它存在的目的就是与普通 HTTPS 无法区分。如果想看对这个协议的正经解释，/what-is-vless/ 在不推销任何东西的情况下讲清楚了。

WireGuard 在这三项上都赢，而且差距不小。因为它体量小、位于内核、不协商任何东西，所以增加的延迟极低，在像样的硬件上能跑到接近你未加密线路的速度。在手机上它对电池也最友好：没东西要发时它就保持安静，也不维持一个话多的会话。

UDP 上的 OpenVPN 速度尚可，但明显更重：每个包的处理更多，因为运行在用户态而有更多上下文切换，开头的 TLS 握手也让连接建立更久。TCP 上的 OpenVPN 是慢的那一个，原因是结构性的。在 TCP 里再跑 TCP，意味着两层重传与拥塞控制互相打架，用来浏览没问题，在丢包链路上做大文件传输就很难受。

VLESS 处在中间，且高度依赖链路。协议开销极小，但套 CDN 的连接不是直连：你的流量先到 CDN 边缘再被转发，这一跳会体现为延迟。作为交换，CDN 边缘的连通性往往比直连线路更好，所以在直连路由糟糕的地区，实际效果可能比预期更快。

关于速度宣传的一句实话：在好网络上，三者通常都足够快，快慢并不决定什么。真正起决定作用的是网络糟糕的时候，而那时故障表现比跑分更重要。

WireGuard 是三者中最容易被识别和封锁的。它的握手在最初几个字节里有固定且有充分文档的形态，而且只跑 UDP，因此网络可以按特征封，也可以干脆丢弃发往未知目的地的 UDP。封 UDP 对网络几乎零成本，所以很多网络就这么干。WireGuard 是为速度和正确性设计的，不是为了隐藏，它的作者从未声称过相反的事。

OpenVPN 居中。它自己的握手同样可辨认，若干国家级过滤系统已经演示过直接识别它。但它可以跑在 TCP 443 端口上，也就是与每一条 HTTPS 连接从同一个端口离开设备，仅凭这一点就能穿过大量按端口而非按内容过滤的网络。面对会检查载荷的系统，这层伪装比看上去要弱。

TLS 之上的 VLESS 是三者中最强的，也正是为此而生。流量是一个 TLS 会话，握手指纹可以做得与常见浏览器一致，而在套 CDN 的情况下，目标地址同时也在为成千上万个普通网站服务。REALITY 更进一步，用一个真实且无关站点的真实握手来回应主动探测。

这些都不是承诺。只允许白名单目的地的网络会把三者全部挡住，而且检测手段也在变。更有用的思路不是哪个协议赢，而是封哪个会让网络运营方付出更大代价：丢弃 UDP 是免费的，封 TCP 443 会毁掉所有人的网页，封一个 CDN 地址则会毁掉其中很大一片。

WireGuard 的支持最好，摩擦也最小。每个桌面和移动平台都有官方客户端，它在 Linux 内核里，也内建于大多数值得用的路由器固件中，包括 OpenWrt、OPNsense、pfSense 和 MikroTik。配置在手机上扫二维码导入，在其他地方作为文件导入。

OpenVPN 也到处能跑，但活动部件更多：客户端更大，配置文件里可能出错的选项多得多，连接需要几秒而不是瞬间完成。它在路由器和企业环境里支持得很好，而那往往正是你需要它的地方。

VLESS 需要第三方客户端，也没有官方客户端，因为它是传输而不是产品。实际使用中，Android 上用 v2rayNG 或 Hiddify，iOS 上用 Shadowrocket 或 Streisand，桌面上用 v2rayN、Nekoray 或 Hiddify。iOS 的这些是付费应用，其中一些还有区域限制，依赖它们之前值得先了解。路由器支持则很少见。

最容易让人栽跟头的平台细节是终止开关。它是客户端或操作系统的功能，不是协议的功能，而且在各平台上强度不同。详细内容在 /wireguard-vpn-config/ 上，因为这个问题通常是在处理 WireGuard 配置时冒出来的。

知道故障特征比知道跑分更有用，因为它告诉你下一步该做什么。WireGuard 是无声地失败：隧道显示已启用，发送字节在涨，接收字节停在零，最近一次握手始终不更新。没有错误提示。这个特定画面几乎总是意味着 UDP 被封，正确的动作是换协议，而不是换服务器。

OpenVPN 失败得很吵。它会写日志，日志会告诉你是连不上服务器、验证不了证书，还是在握手中途被对端重置。能建立却反复掉线的连接，通常说明网络在有意干扰，而不是不被支持。

VLESS 失败在 TLS 这一层。你会遇到连接被拒或握手失败，更让人困惑的是会话建立起来却没有数据、就那么卡住。常见原因是传输设置不匹配、SNI 填错，或者某条 CDN 线路被封，而解决办法通常是换另一个端点，而不是去改配置里的东西。

还有一种三者共有、值得点名的故障，因为它很浪费时间：隧道正常但域名解析坏了。哪里都显示已连接，IP 地址有响应，就是没有一个域名能打开。这是 DNS 问题，不是协议问题，在客户端配置里解决。

默认用 WireGuard。在家庭宽带、移动网络、普通咖啡馆或普通办公室里，它更快、更轻、更简单，没有理由选别的。如果你只在这些地方用，读到这里就可以了。

当网络限速或封锁 UDP 时，改用 443 端口上的 TCP 版 OpenVPN。酒店 Wi-Fi、会展场馆、企业访客网络和大学网络是常见嫌疑。判断标志是 WireGuard 隧道显示已启用但接收字节为零。接受速度上的损失，因为慢的连接比没有连接快无穷倍。

两者都被封时改用 VLESS，这说明网络在检查流量本身，而不只是过滤端口。先试最近的端点再试其他的，因为 CDN 的路由按地区不同，对你最快的那个未必对所有人都最快。

有两种情况会把顺序颠倒过来。如果你明确需要某个我们没有 VLESS 端点的出口国家，那么无论上面说了什么，你只能用 WireGuard 或 OpenVPN。另外，如果你在配置路由器，请用 WireGuard 或 OpenVPN，因为路由器固件对 VLESS 的支持很罕见。

这个行业的标准做法是一个替你选协议的应用。它让上手变得容易，同时精确地让一件事变得不可能：做应用没有预料到的事。当应用连不上时，就没有下一步了，而它的自动换协议也只能在它自带的那几种之间挑。

我们给的是配置文件。WireGuard 是 .conf 或二维码，OpenVPN 是 UDP 和 TCP 两个版本的 .ovpn，VLESS 是 vless:// 链接和二维码，全部在一个账户里，五个并发连接，也不按协议分开定价。上面描述的那套故障处理流程之所以可行，是因为在你需要第二种之前，三种就已经都在你手里了。

这样还省掉了一个你本来必须信任的软件。VPN 应用是在你设备上以网络权限运行的程序；配置文件只是你能读懂的文本。你用官方 WireGuard 客户端，或者你自己早就选好的 Xray 客户端，而你交给我们信任的，只有网络本身。

诚实的边界在这里：不保存日志，也就是不存储来源 IP 地址和连接时间戳，服务器从内存运行，重启即清空。这些是我们能控制的。VPN 把你的本地网络和接入商能看到的内容转移到 VPN 网络上，这是信任的转移而非匿名，本页上的任何协议都改变不了这一点。方案在 /vpn/ 上从 7 天到 365 天，用加密货币付款，不会自动续费。