WireGuard、OpenVPN、IPsec/IKEv2：VPN 协议怎么选，哪些该避开

VPN 协议决定了隧道怎么建立、数据怎么加密。选 VPN 时看到的协议名五花八门，这篇帮你分清主流的几种。注意：这里讲的是 VPN 协议，和机场节点里用的 Shadowsocks、VLESS 等代理协议是两套东西，机场的协议见主流代理协议对比。

对比总表

协议	特点	速度	成熟度	说明
WireGuard	代码精简，现代加密，仅用 UDP	通常最快	较新但被广泛采用	新应用的首选之一
OpenVPN	基于 TLS，可跑 TCP 或 UDP，高度可配置	中等	很成熟	兼容性好，适合需要穿透的场景
IPsec / IKEv2	多数系统内置，网络切换时重连快	较快	成熟	手机上从 Wi-Fi 切到流量很顺
L2TP / IPsec	老协议组合	一般	较旧	安全性不如新方案，逐渐被取代
PPTP	最老的协议之一	快	过时	存在已知安全缺陷，应避免

WireGuard

最大的特点是精简：代码量小、容易审计，使用现代加密算法，连接建立快。通常速度和电量表现都不错。仅使用 UDP，在限制 UDP 的网络里可能受限。早期有”IP 地址固定分配带来隐私顾虑”的讨论，成熟的 VPN 服务通常有额外措施，是否做了需要看服务商说明。

OpenVPN

历史久、被充分验证，配置灵活：能用 TCP 也能用 UDP，能走 443 端口伪装成 HTTPS，在受限网络里穿透能力强。缺点是配置复杂、速度通常不如 WireGuard。

IPsec / IKEv2

大多数操作系统自带客户端，不用装软件。IKEv2 支持移动网络切换时快速重连，适合手机。实现差异较大，配置不当会有安全隐患。

为什么要避开 PPTP

PPTP 的加密和认证机制存在已知的严重缺陷，可以被破解。现代 VPN 服务如果还默认提供 PPTP，说明它在安全上不够认真。看到这个选项，选别的。

怎么选

你的情况	倾向
想要速度和电量表现	WireGuard
网络环境受限、需要穿透	OpenVPN（TCP 443）
手机经常在 Wi-Fi 与流量间切换	IKEv2
只用系统自带，不想装软件	IPsec / IKEv2

大多数商业 VPN 应用会让你在应用里切换协议，默认选项通常已经合理。想弄懂基础概念见VPN 是什么。

它们和机场协议的关系

机场的协议（SS、VMess、VLESS、Trojan、Hysteria2）是”代理协议”，设计目标是转发流量并抗识别，而不是建立一个完整的虚拟网络。两类工具用途有重叠，但原理不同，选择见VPN 还是机场。

选 VPN 应用时，协议相关的设置怎么看

打开一个 VPN 应用的设置，你通常会看到：

选项	含义	一般建议
协议：自动	应用根据网络环境选协议	新手用默认即可
协议：WireGuard	速度与电量表现好	网络允许时优先
协议：OpenVPN（UDP / TCP）	UDP 更快，TCP 更能穿透受限网络	连接不稳时试 TCP
端口	常见有 443、1194 等	受限网络里选 443 更容易通过
混淆 / 伪装	让流量看起来像普通流量	只在受限网络里需要

协议选不好会有什么表现

现象	可能的协议原因	尝试
连不上	网络限制了 UDP	换 OpenVPN TCP 或 443 端口
速度慢	协议开销或线路问题	换 WireGuard，或换服务器
手机切换网络就断	协议不擅长漫游	试 IKEv2
耗电	保活与加密开销	WireGuard 通常更省电

看到”自研协议”怎么办

一些 VPN 宣称使用”自研协议”。要谨慎：

• 密码学协议的安全依赖长期的公开审查，自研协议缺少这个过程。
• 有没有独立审计，是关键信号。
• 能选主流协议的应用，通常更让人放心。