پروتکل‌های VPN (OpenVPN، WireGuard، IKEv2، L2TP/IPsec، PPTP، SSTP) – مقایسه سرعت و امنیت

حتماً وقتی تنظیمات VPN را باز کرده‌اید، با گزینه‌هایی مثل OpenVPN، WireGuard، IKEv2 و دیگران روبرو شده‌اید. اما اینها چه هستند و چه فرقی با هم دارند؟ چرا گاهی یک پروتکل سریع‌تر است و گاهی امن‌تر؟ کدام پروتکل برای دور زدن فیلترینگ ایران بهتر است؟ در این مقاله کامل، با همه پروتکل‌های مهم VPN آشنا می‌شوید و یاد می‌گیرید کدام را در چه شرایطی استفاده کنید.

پروتکل VPN چیست؟

پروتکل VPN مجموعه‌ای از قوانین و استانداردهاست که تعیین می‌کند داده‌ها چگونه بین دستگاه شما و سرور VPN رمزگذاری،封装 (بسته‌بندی)، و منتقل شوند. به زبان ساده، پروتکل VPN تعیین می‌کند:

• از چه الگوریتم رمزگذاری استفاده شود (مثل AES-256، ChaCha20).
• چگونه احراز هویت انجام شود (تأیید هویت کاربر و سرور).
• بسته‌های داده چگونه ساختاردهی شوند.
• از چه پورت‌هایی استفاده شود.

انتخاب پروتکل مناسب تأثیر مستقیم روی سرعت، امنیت، پایداری و توانایی دور زدن فیلتر دارد.

معیارهای مقایسه پروتکل‌های VPN

قبل از معرفی پروتکل‌ها، بیایید معیارهایی که برای مقایسه استفاده می‌کنیم را مشخص کنیم:

• امنیت: قدرت رمزگذاری، مقاومت در برابر حملات، وجود ضعف‌های شناخته شده.
• سرعت: میزان افت سرعت نسبت به اینترنت بدون VPN.
• پایداری: قطع و وصلی، عملکرد در شبکه‌های ناپایدار (مثل موبایل).
• قابلیت عبور از فیلتر: چقدر容易被 DPI (Deep Packet Inspection) تشخیص داده شود.
• سازگاری: پشتیبانی توسط دستگاه‌های مختلف (ویندوز، اندروید، iOS، مک، لینوکس، روترها).
• سهولت راه‌اندازی: پیچیدگی تنظیمات برای کاربر معمولی.

۱. PPTP (Point-to-Point Tunneling Protocol)

قدیمی‌ترین پروتکل (۱۹۹۹ – کاملاً منسوخ)

PPTP توسط مایکروسافت ساخته شد و یکی از اولین پروتکل‌های VPN بود. بسیار سریع بود (چون رمزگذاری ضعیفی داشت) و روی همه ویندوزها به طور پیش‌فرض وجود داشت.

مشخصات فنی

• رمزگذاری: MPPE (Microsoft Point-to-Point Encryption) با حداکثر ۱۲۸ بیت
• پورت: TCP 1723
• احراز هویت: PAP، CHAP، MS-CHAPv2

مزایا

• بسیار سریع (به دلیل رمزگذاری ضعیف)
• پشتیبانی داخلی در همه ویندوزها (بدون نصب نرم‌افزار)
• راه‌اندازی آسان

معایب

• بسیار ناامن (قابل شکستن در چند دقیقه)
• حملات شناخته شده: MS-CHAPv2 در سال ۲۰۱۲ شکسته شد
• به راحتی توسط فایروال‌ها و DPI قابل تشخیص و مسدود شدن
• در معرض حملات MITM (Man-in-the-Middle)
• از رمزگذاری مدرن پشتیبانی نمی‌کند

وضعیت امروز

کاملاً منسوخ و ناامن. هرگز از PPTP استفاده نکنید. اکثر سرویس‌های VPN مدرن دیگر از آن پشتیبانی نمی‌کنند. ویندوز ۱۱ هنوز دارد (برای سازگاری با قدیم) اما خاموش است.

۲. L2TP/IPsec (Layer 2 Tunneling Protocol over IPsec)

بهتر از PPTP، اما هنوز قدیمی (۲۰۰۵)

L2TP خودش رمزگذاری ندارد. به همین دلیل همیشه با IPsec (پروتکل امنیت IP) ترکیب می‌شود. IPsec کار رمزگذاری و احراز هویت را انجام می‌دهد، L2TP کار تونل‌زنی.

مشخصات فنی

• رمزگذاری: AES-128 تا AES-256 (از طریق IPsec)
• پورت‌ها: UDP 500 (IKE)، UDP 4500 (NAT-T)، پروتکل ESP (۵۰)
• احراز هویت: گواهی دیجیتال یا PSK (Pre-Shared Key)

مزایا

• امنیت خوب (اگر با IPsec تنظیم شود)
• پشتیبانی داخلی در اکثر دستگاه‌ها (ویندوز، مک، iOS، اندروید، روترها)
• پایدار و قابل اعتماد
• بدون نیاز به نرم‌افزار اضافی

معایب

• کندتر از پروتکل‌های مدرن (به دلیل double encapsulation)
• پورت‌های ثابت و شناخته شده (به راحتی توسط فایروال مسدود می‌شود)
• در کشورهایی با فیلترینگ شدید (مثل ایران، چین) کار نمی‌کند چون پورت‌های IPsec مسدود است
• راه‌اندازی دستی نسبتاً پیچیده است

وضعیت امروز

برای استفاده عمومی در کشورهای بدون فیلتر، گزینه قابل قبولی است. برای ایران، به دلیل مسدود بودن پورت‌ها، تقریباً کار نمی‌کند. برخی سرویس‌ها از L2TP روی پورت‌های جایگزین استفاده می‌کنند، اما نادر است.

۳. SSTP (Secure Socket Tunneling Protocol)

پروتکل اختصاصی مایکروسافت (۲۰۰۷)

SSTP توسط مایکروسافت ساخته شد و از پروتکل HTTPS (پورت ۴۴۳) برای ایجاد تونل استفاده می‌کند. همین ویژگی باعث می‌شود از بسیاری از فایروال‌ها عبور کند، چون ترافیک HTTPS معمولاً باز است.

مشخصات فنی

• رمزگذاری: AES-256 (از طریق SSL/TLS)
• پورت: TCP 443 (همان پورت HTTPS)
• احراز هویت: گواهی دیجیتال SSL

مزایا

• عبور از بسیاری از فایروال‌ها (چون از پورت ۴۴۳ استفاده می‌کند)
• امنیت خوب (AES-256 + SSL/TLS)
• پشتیبانی داخلی در ویندوز (از ویستا به بعد)
• پایدار و قابل اعتماد

معایب

• اختصاصی مایکروسافت (کد باز نیست، کمکی نمی‌توان به امنیت آن کرد)
• فقط روی ویندوز به خوبی کار می‌کند (نسخه‌های غیرویندوز مشکل دارند)
• در ایران ممکن است مسدود شود (DPI می‌تواند ترافیک SSTP را از HTTPS معمولی تشخیص دهد)
• نسبت به WireGuard کندتر است

وضعیت امروز

برای کاربران ویندوز در کشورهایی با فیلتر متوسط، گزینه خوبی است. در ایران گاهی کار می‌کند، گاهی نه. به دلیل اختصاصی بودن، محبوبیت کمتری دارد.

۴. IKEv2/IPsec (Internet Key Exchange version 2)

پروتکل عالی برای موبایل (۲۰۱۴)

IKEv2 پروتکل تونل‌زنی است که همراه با IPsec برای رمزگذاری استفاده می‌شود. مزیت بزرگ IKEv2 پشتیبانی از MOBIKE است – قابلیتی که به اتصال VPN اجازه می‌دهد هنگام جابه‌جایی بین شبکه‌ها (مثلاً از وای‌فای به دیتای موبایل) قطع نشود.

مشخصات فنی

• رمزگذاری: AES-128 تا AES-256 (از طریق IPsec)
• پورت‌ها: UDP 500 (IKE)، UDP 4500 (NAT-T)
• احراز هویت: گواهی دیجیتال، PSK، EAP

مزایا

• پشتیبانی عالی از MOBIKE (قطع نشدن هنگام جابه‌جایی بین شبکه‌ها) – عالی برای موبایل
• سرعت خوب (بهتر از L2TP، نزدیک به OpenVPN)
• امنیت بالا (AES-256)
• پشتیبانی داخلی در اکثر دستگاه‌ها (iOS، اندروید، ویندوز، مک)
• اتصال سریع (مذاکره کمتر)
• پایدار و قابل اعتماد

معایب

• پورت‌های UDP ثابت و شناخته شده (در ایران ممکن است مسدود شود)
• بعضی پیاده‌سازی‌ها (مثل روی ویندوز) مشکلات سازگاری دارند
• کمی از WireGuard کندتر است
• راه‌اندازی دستی سخت‌تر از OpenVPN است

وضعیت امروز

بسیار خوب برای دستگاه‌های موبایل (آیفون، اندروید). برای ایران، اگر پورت‌های UDP مسدود نباشد، گزینه عالی است. متأسفانه در ایران اغلب پورت‌های UDP 500 و 4500 مسدود هستند، بنابراین IKEv2 معمولاً کار نمی‌کند مگر روی پورت جایگزین.

۵. OpenVPN

پروتکل محبوب، امن و متن‌باز (۲۰۰۱ تا امروز)

OpenVPN محبوب‌ترین پروتکل VPN در جهان است. متن‌باز (Open Source) یعنی هر کسی می‌تواند کد آن را بررسی کند و از امنیتش مطمئن شود. می‌تواند روی TCP یا UDP اجرا شود و از طیف وسیعی از پورت‌ها استفاده کند.

مشخصات فنی

• رمزگذاری: AES-128، AES-256، ChaCha20
• پورت: هر پورت TCP یا UDP (معمولاً UDP 1194، TCP 443 یا ۸۰)
• احراز هویت: گواهی دیجیتال + نام کاربری و رمز (دو لایه)
• پروتکل: TCP یا UDP

مزایا

• امنیت بسیار بالا (AES-256 با گواهی دیجیتال ۲۰۴۸ بیتی)
• متن‌باز و بررسی شده توسط میلیون‌ها متخصص
• قابلیت اجرا روی هر پورتی (می‌توان روی پورت ۴۴۳ یا ۸۰ اجرا کرد تا از فیلتر عبور کند)
• پشتیبانی از Obfuscation (مخفی کردن ترافیک VPN به عنوان HTTPS)
• سازگاری عالی با همه دستگاه‌ها
• انعطاف‌پذیری بسیار بالا (قابل تنظیم تقریباً هر جنبه‌ای)

معایب

• کندتر از WireGuard (به دلیل complex overhead)
• نیاز به نرم‌افزار جداگانه (در اکثر دستگاه‌ها پیش‌فرض نیست)
• راه‌اندازی دستی نسبتاً پیچیده (نیاز به فایل‌های پیکربندی و گواهی)
• حالت TCP می‌تواند کند باشد (UDP بهتر است)
• در ایران، ترافیک OpenVPN به راحتی توسط DPI تشخیص داده می‌شود (مگر اینکه Obfuscation فعال باشد)

وضعیت امروز

یکی از بهترین گزینه‌ها برای امنیت و انعطاف‌پذیری. برای ایران، OpenVPN روی TCP 443 با Obfuscation (ماسک کردن) می‌تواند کار کند. بسیاری از سرویس‌های تجاری VPN از OpenVPN به عنوان پروتکل اصلی استفاده می‌کنند.

۶. WireGuard

پروتکل مدرن، سریع و امن (۲۰۱۸ تا امروز)

WireGuard جدیدترین پروتکل VPN است و خیلی سریع محبوب شده. کد پایه آن فقط حدود ۴۰۰۰ خط است (در مقایسه با OpenVPN که صدها هزار خط کد دارد). طراحی ساده، امن و بسیار کارآمد دارد.

مشخصات فنی

• رمزگذاری: ChaCha20 برای رمزگذاری، Poly1305 برای احراز هویت
• پورت: UDP (هر پورت، معمولاً ۵۱۸۲۰ یا ۵۱۸۲۱)
• احراز هویت: کلیدهای عمومی/خصوصی (همان SSH)
• پروتکل: فقط UDP

مزایا

• بسیار سریع (سبک‌ترین پروتکل، افت سرعت حداقل)
• کد بسیار کوچک (کمتر باگ، بررسی آسان)
• اتصال بسیار سریع (تقریباً فوری)
• مصرف باتری کم (عالی برای موبایل)
• امنیت بالا (الگوریتم‌های مدرن و بررسی شده)
• پشتیبانی از roaming (جابه‌جایی بین شبکه‌ها شبیه IKEv2)
• ادغام در هسته لینوکس (خیلی سریع)

معایب

• ترافیک WireGuard به راحتی توسط DPI تشخیص داده می‌شود (الگوهای مشخصی دارد)
• فقط روی UDP کار می‌کند (اگر UDP مسدود باشد، WireGuard کار نمی‌کند)
• قابلیت Obfuscation ذاتی ندارد (باید با ابزارهای دیگر ترکیب شود)
• در ایران، WireGuard خالص به راحتی مسدود می‌شود (اما ترکیب با obfuscation می‌تواند کار کند)
• برخی روترهای قدیمی از آن پشتیبانی نمی‌کنند

وضعیت امروز

بهترین گزینه از نظر سرعت و مصرف منابع. برای ایران، WireGuard خالص معمولاً کار نمی‌کند، اما ترکیب WireGuard با obfuscation (مثل WireGuard over TLS یا udp2raw) می‌تواند موفق باشد. بسیاری از سرویس‌های مدرن VPN WireGuard را به عنوان پروتکل اصلی ارائه می‌دهند.

جدول مقایسه کامل پروتکل‌های VPN

• PPTP: سرعت بسیار بالا / امنیت بسیار ضعیف / پایداری متوسط / قابلیت عبور از فیلتر ضعیف / وضعیت: منسوخ، هرگز استفاده نکنید
• L2TP/IPsec: سرعت متوسط / امنیت خوب / پایداری خوب / قابلیت عبور از فیلتر ضعیف / وضعیت: قابل قبول، اما در ایران معمولاً کار نمی‌کند
• SSTP: سرعت متوسط / امنیت خوب / پایداری خوب / قابلیت عبور از فیلتر متوسط / وضعیت: فقط ویندوز، گاهی در ایران کار می‌کند
• IKEv2/IPsec: سرعت خوب / امنیت خوب / پایداری عالی (موبایل) / قابلیت عبور از فیلتر ضعیف / وضعیت: عالی برای موبایل، در ایران معمولاً مسدود است
• OpenVPN: سرعت متوسط تا خوب / امنیت عالی / پایداری خوب / قابلیت عبور از فیلتر خوب (با Obfuscation) / وضعیت: استاندارد طلایی، گزینه خوب برای ایران
• WireGuard: سرعت عالی / امنیت عالی / پایداری عالی / قابلیت عبور از فیلتر ضعیف (خالص) / وضعیت: بهترین از نظر سرعت، در ایران نیاز به obfuscation دارد

انتخاب پروتکل مناسب برای شرایط مختلف

برای کاربر معمولی که سرویس VPN تجاری دارد:

بهترین انتخاب OpenVPN روی UDP (با Obfuscation اگر در ایران هستید) یا WireGuard اگر سرویس شما از آن پشتیبانی می‌کند و مشکل قطعی ندارید. بسیاری از سرویس‌های خوب (مثل ExpressVPN، NordVPN) به طور خودکار بهترین پروتکل را انتخاب می‌کنند.

برای دور زدن فیلترینگ ایران:

• گزینه اول: OpenVPN روی TCP 443 با Obfuscation (ماسک کردن ترافیک به عنوان HTTPS).
• گزینه دوم: WireGuard + udp2raw یا WireGuard over TLS.
• گزینه سوم: V2Ray با پروتکل WebSocket + TLS + CDN (که در مقالات بعدی مفصل می‌گوییم).
• L2TP، IKEv2، PPTP، SSTP خالص: در ایران به ندرت کار می‌کنند.

برای بازی آنلاین (کمترین پینگ ممکن):

WireGuard بهترین گزینه است (سبک‌ترین و سریع‌ترین). اگر WireGuard کار نمی‌کند، OpenVPN روی UDP (نه TCP).

برای موبایل (آیفون و اندروید) در سفر:

IKEv2/IPsec بهترین است (به دلیل MOBIKE، هنگام جابه‌جایی بین وای‌فای و دیتای موبایل قطع نمی‌شود). WireGuard هم گزینه خوبی است.

برای روتر (مثل میکروتیک، اپن‌دبلیوآرتی، یا روترهای خانگی):

• اگر روتر شما پشتیبانی می‌کند: WireGuard (سبک و سریع).
• اگر نه: OpenVPN (بیشتر روترها پشتیبانی می‌کنند).
• L2TP/IPsec هم گزینه است اما کندتر.

برای بالاترین امنیت (داده‌های فوق‌حساس):

OpenVPN با AES-256 و گواهی دیجیتال ۴۰۹۶ بیتی. WireGuard هم امنیت بسیار بالایی دارد اما جدیدتر است.

تکنیک‌های Obfuscation (مخفی کردن ترافیک VPN)

در کشورهایی مثل ایران و چین، DPI (Deep Packet Inspection) می‌تواند ترافیک VPN را تشخیص دهد حتی اگر روی پورت ۴۴۳ باشد. برای مقابله، از تکنیک‌های Obfuscation استفاده می‌شود:

• OpenVPN Scramble / Obfsproxy: ترافیک OpenVPN را شبیه ترافیک تصادفی یا HTTPS می‌کند.
• WireGuard over TLS: ترافیک WireGuard را در داخل TLS (همان HTTPS) قالب‌بندی می‌کند.
• udp2raw + FakeTCP: ترافیک UDP (مثل WireGuard) را شبیه TCP می‌کند تا از فیلتر عبور کند.
• V2Ray + WebSocket + TLS + CDN: پیشرفته‌ترین روش. ترافیک VPN شبیه ترافیک عادی وب سایت از طریق Cloudflare می‌شود.

سوالات رایج درباره پروتکل‌های VPN

کدام پروتکل سریع‌ترین است؟

WireGuard بدون شک سریع‌ترین است. بعد از آن OpenVPN روی UDP (نه TCP)، سپس IKEv2، و آخر از همه OpenVPN روی TCP.

کدام پروتکل امن‌ترین است؟

OpenVPN با AES-256 و WireGuard با ChaCha20 هر دو امنیت عالی دارند. PPTP و L2TP بدون IPsec ناامن هستند.

چرا گاهی TCP بهتر از UDP است و گاهی برعکس؟

TCP قابل اعتمادتر است (اگر بسته‌ای گم شود دوباره فرستاده می‌شود) اما کندتر. UDP سریع‌تر است اما ممکن است بسته گم شود. برای VPN معمولاً UDP بهتر است، مگر در شبکه‌ای که UDP مسدود باشد (در ایران گاهی اینطور است) که مجبورید از TCP استفاده کنید.

آیا می‌توانم خودم سرور WireGuard راه‌اندازی کنم؟

بله، نسبتاً آسان است. یک VPS در خارج بخرید، نصب WireGuard روی آن (با یک اسکریپت ساده)، و کلاینت WireGuard را روی دستگاه خود نصب کنید. خیلی از افراد در ایران این کار را می‌کنند.

آیا OpenVPN از WireGuard امن‌تر است؟

هر دو بسیار امن هستند. OpenVPN بیشتر تست شده (۲۰ سال سابقه). WireGuard طراحی ساده‌تری دارد (کمتر احتمال باگ). انتخاب بین آنها به نیاز شما بستگی دارد، نه امنیت.

آینده پروتکل‌های VPN

WireGuard به سرعت در حال جایگزینی OpenVPN به عنوان پروتکل پیش‌فرض است. سبکی، سرعت و امنیت آن را به گزینه اول بسیاری از سرویس‌ها تبدیل کرده است. در آینده احتمالاً شاهد این موارد خواهیم بود:

• ادغام بیشتر WireGuard در سیستم‌عامل‌ها (ویندوز، مک، اندروید، iOS).
• توسعه پروتکل‌های جدید مبتنی بر WireGuard با قابلیت Obfuscation ذاتی.
• کاهش استفاده از OpenVPN (به جز برای موارد خاص).
• پروتکل‌های مقاوم در برابر کامپیوترهای کوانتومی (Post-Quantum Cryptography).

جمع‌بندی نهایی

در این مقاله با ۶ پروتکل اصلی VPN آشنا شدید:

• PPTP و L2TP: قدیمی و ضعیف (یا منسوخ یا در ایران کار نمی‌کنند).
• SSTP و IKEv2: گزینه‌های اختصاصی (مایکروسافت و موبایل) با محدودیت‌های خاص.
• OpenVPN: استاندارد طلایی، امن و انعطاف‌پذیر، گزینه خوب برای ایران (با Obfuscation).
• WireGuard: آینده VPN. سریع، سبک، امن. در ایران نیاز به Obfuscation دارد.

توصیه نهایی برای کاربران در ایران:

• اگر از سرویس VPN تجاری استفاده می‌کنید: OpenVPN روی TCP 443 با Obfuscation فعال.
• اگر خودتان سرور شخصی دارید: WireGuard + udp2raw یا V2Ray (مقاله بعد).
• اگر روی موبایل هستید و سرویس خوبی دارید که IKEv2 روی پورت جایگزین ارائه می‌دهد، آن هم گزینه خوبی است.

در مقالات بعدی، به روش‌های پیشرفته‌تر مثل V2Ray، Shadowsocks، و نحوه تشخیص VPN توسط DPI خواهیم پرداخت.

امیدوارم این مقاله کامل به دردتان خورده باشد. اگر سوالی درباره پروتکل‌های VPN دارید، بپرسید تا جواب بدهم.