Какой протокол VPN выбрать: гид по сценариям (игры, работа, стриминг)

MAATRIX

Вопрос «какой протокол VPN лучше» не имеет одного ответа — у WireGuard, OpenVPN, IKEv2 и SSTP разная физика: где-то важна минимальная задержка, где-то — способность пережить смену сети без разрыва сессии, где-то — умение притвориться обычным HTTPS-трафиком. Если вы настроили OpenVPN «потому что все так делают» и удивляетесь, почему в шутере скачет пинг, а при переключении Wi-Fi → LTE рвётся RDP — дело не в провайдере, а в протоколе. Разберём по сценариям: игры, удалённая работа, обход блокировок, смешанный парк устройств.

Какие протоколы вообще есть

Четыре варианта, которые реально имеет смысл рассматривать в 2026 году:

• WireGuard — протокол на Curve25519/ChaCha20-Poly1305, работает только по UDP, кодовая база на порядок меньше OpenVPN (меньше поверхность атаки, быстрее обработка в ядре Linux), заголовок пакета компактный.
• OpenVPN — протокол на OpenSSL, работает по UDP и по TCP, умеет маскироваться под HTTPS на 443/tcp. Оверхед выше из-за TLS-рукопожатия и работы в user-space.
• IKEv2/IPsec — встроенная поддержка MOBIKE: при смене IP (Wi-Fi → мобильная сеть) туннель не рвётся, а перестраивается на лету. Нативно поддерживается iOS, macOS и Windows.
• SSTP — туннелирует PPP внутри HTTPS-сессии (TCP 443 через TLS), проходит почти любой корпоративный файрвол, но нормально работает в основном через встроенный Windows-клиент.

Подробнее о первых двух — в статье WireGuard или OpenVPN: что выбрать для сервера.

Для игр: минимальный пинг и стабильность

В играх решает не пропускная способность, а задержка и джиттер — именно джиттер убивает точность в шутерах и вызывает рывки в MOBA.

• Берите WireGuard. UDP без установления соединения, компактный заголовок (около 60 байт оверхеда против заметно большего у OpenVPN с TLS-обвязкой), обработка в ядре — меньше случайных задержек.
• Держите PersistentKeepalive около 25 секунд, если сервер за NAT — этого достаточно, чтобы не терять маппинг, не перегружая канал:

PersistentKeepalive = 25

• Проверяйте MTU — часто нужен 1420 или ниже, иначе будет фрагментация с потерями: ping -M do -s 1392 8.8.8.8 (1392 + 28 байт заголовков = 1420).
• Локация сервера решает больше, чем протокол. Даже идеальный WireGuard не победит физику — лишние 150 мс до сервера в другом полушарии никак не компенсировать. Для российских игровых серверов берите сервер в России, для западных лаунчеров — в США или Великобритании. Точные цифры зависят от маршрута и меняются день ото дня — не полагайтесь на чужие бенчмарки, тестируйте mtr до своего сервера.

OpenVPN для игр тоже работает стабильно, но при прочих равных добавляет заметный оверхед — если есть выбор, WireGuard будет отзывчивее.

Для удалённой работы: надёжность важнее скорости

В рабочем сценарии главная боль — не задержка, а обрывы сессии. RDP или SSH, оборвавшиеся посреди дела, раздражают сильнее, чем лишние 10 мс.

• Ноутбук, переключающийся между сетями (дом → кафе → мобильный интернет) — берите IKEv2. Благодаря MOBIKE туннель переживает смену IP без пересборки, а RDP-сессия внутри не замечает переключения. WireGuard тоже восстанавливается за счёт keepalive, но это не нативный roaming — короткие разрывы возможны.
• Офис с жёстким файрволом, где наружу разрешён только 443/tcp — берите OpenVPN через TCP на порту 443 или SSTP, оба маскируются под HTTPS и проходят через прокси и DPI-фильтры.
• Постоянное рабочее место, где сеть не меняется — берите WireGuard: минимальная задержка на звонках, стабильный throughput на файлах, простая конфигурация.

Для доступа к RDP через VPN есть отдельный разбор — RDP через WireGuard: безопасный доступ.

Для обхода блокировок и доступа к геоконтенту

Здесь задача протокола — не просто зашифровать трафик, а не выглядеть как VPN для систем DPI (Deep Packet Inspection).

• OpenVPN на TCP/443 — классика: трафик похож на HTTPS-сессию к обычному сайту, DPI сложнее отличить его от браузерного.
• WireGuard заметнее по сигнатуре — характерный формат UDP-пакетов, заточенные под него DPI-системы блокируют его эффективнее, чем «замаскированный» OpenVPN. Если WireGuard начинает резаться, обёртка через udp2raw или туннель поверх Shadowsocks частично помогает, но добавляет сложности.
• SSTP маскируется под HTTPS лучше всего из коробки, но клиент нормально работает в основном на Windows.
• SoftEther умеет несколько протоколов одновременно, включая эмуляцию HTTPS, и удобен, чтобы быстро проверить, какой транспорт проходит через блокировку — сравнение с классикой в статье SoftEther или OpenVPN: сравнение.

Если блокировки — основная проблема, важнее протокола часто оказывается локация сервера и настройка портов под юрисдикцию — это тема отдельных статей блога про Россию, США и Великобританию.

Для смешанной команды устройств

Телефон на Android, iPhone, Windows-ноутбук, Mac, домашний роутер — критично не «что быстрее», а что нативно поддерживается без установки стороннего софта на каждое устройство:

Если в парке много разных устройств и не хочется поддерживать зоопарк конфигов — унифицируйтесь вокруг WireGuard: официальные клиенты под все платформы, конфигурация — один текстовый блок с ключами, который легко генерировать скриптом. Исключение — управляемые корпоративные Windows-машины за жёстким файрволом: для них поднимайте отдельно OpenVPN/443 или SSTP.

Подробно о выборе между VPN на роутере и на устройстве — в статье VPN на роутере или на устройстве: где лучше.

Сводная таблица: протокол под сценарий

Если сомневаетесь — начните с WireGuard и держите OpenVPN/TCP-443 как запасной вариант: оба уживаются на одном сервере без конфликтов, слушают разные порты.

Частые вопросы