VPN 協議詳解：OpenVPN、WireGuard 及更多
你選擇的協議決定了 VPN 的速度、安全性，以及繞過審查的能力。以下是做出正確選擇所需的全部資訊。
你選擇的協議決定了 VPN 的速度、安全性，以及繞過審查的能力。以下是做出正確選擇所需的全部資訊。
VPN 協議是一套規則和程序，規定 VPN 客戶端和伺服器如何建立加密連線、維持連線，以及透過連線傳輸數據。你可以將協議理解為 VPN 連線兩端所使用的語言——若雙方使用相同的協議，它們便能安全通訊；若不相同，the Difference and the Connection">連線便會失敗。
不同的協議在工程設計上作出了根本性的不同取捨。有些優先考慮原始速度，採用較輕的加密開銷——非常適合串流 4K 影片或競技遊戲。其他的則優先考慮隱蔽性，將 VPN 流量偽裝成普通的 HTTPS 瀏覽流量，以規避限制性網絡環境中使用的深度封包檢測（DPI）防火牆。還有一些優先考慮廣泛的裝置兼容性，可在較舊的硬件及非常規的網絡配置上運行。
協議選擇也影響可用的加密密碼及金鑰交換機制。例如，WireGuard 被硬性規定使用 ChaCha20-Poly1305 進行加密，並使用 Curve25519 進行金鑰交換——這些都是現代、已審計的算法，擁有清晰的安全記錄。OpenVPN 支援多種密碼，這既是優點（靈活性），也是弱點（錯誤配置的風險）。了解這些取捨，有助你選擇與你的具體威脅模型和使用場景相符的協議。
WireGuard 於 2020 年發布穩定版本，此後幾乎被所有主要 VPN 服務商採用為首選推薦協議。其設計理念是極致的簡潔：整個代碼庫約有 4,000 行代碼，相比之下 OpenVPN 超過 70,000 行。這不僅在美學上令人稱道——更小的代碼庫意味著漏洞的藏身之處更少，整個協議已多次接受獨立審計，成果優異。
WireGuard 的效能優勢來自其採用最先進的密碼學原語，以及在 Linux（大多數 VPN 伺服器運行的系統）內核層面運行。它使用 ChaCha20 進行對稱加密、Poly1305 進行消息認證、Curve25519 進行金鑰交換、BLAKE2 進行哈希，以及 SipHash 作為哈希表金鑰——全部都是現代、高效能的算法。在基準測試中，WireGuard 在相同硬件下持續達到 OpenVPN 吞吐量的 2-4 倍，且延遲顯著更低。
WireGuard 的一個限制與私隱相關：預設情況下，WireGuard 向對等節點分配靜態 IP 位址，並在伺服器上儲存連線時間戳記。Mullvad、NordVPN（使用 NordLynx）及 ExpressVPN 等信譽良好的 VPN 服務商，已透過實施生成臨時 IP 位址的專有解決方案解決了這一問題，確保符合其無記錄政策。在將 WireGuard 用於敏感用途之前，務必核實你所選擇的 VPN 如何處理 WireGuard 的 IP 持久性問題。
OpenVPN 在 WireGuard 之後，仍是最廣受信任的協議。它是開源的，已接受獨立審計，並同時支援 UDP（速度較快）及 TCP（在受限網絡上更可靠）傳輸模式。透過 TCP 端口 443 運行 OpenVPN，使 VPN 流量幾乎無法與正常 HTTPS 瀏覽流量區分——這對身處審查嚴格環境的用戶而言是關鍵功能。然而，OpenVPN 的靈活性是有代價的：配置正確較為複雜，錯誤配置可能引入漏洞。
IKEv2/IPSec 由微軟和思科開發，在 Windows、macOS、iOS 及 Android 上均有原生支援，無需第三方軟件。其殺手鐧功能是 MOBIKE（IKEv2 流動性及多宿主協議），允許在網絡介面之間無縫切換。當你的 iPhone 在港鐵上從家庭 WiFi 切換至 5G 時，IKEv2 會自動重新連線 VPN，而不中斷你的會話。這使其成為流動優先用戶的最佳協議。在密碼學上，IKEv2 相當穩健——使用 AES-256 及 SHA-2，並透過 Diffie-Hellman 群組實現完美前向保密。
L2TP/IPSec 曾是熱門選擇，但現在被視為遺留技術。其安全性完全依賴 IPSec 層——L2TP 本身不提供任何加密。更令人憂慮的是，愛德華·斯諾登洩露的文件顯示，美國國家安全局可能曾與 IETF 合作，削弱 IPSec 的密碼學標準。無論你是否認為這可信，現在都有更好的替代方案可供選擇，L2TP 不應用於高風險的私隱需求。PPTP 更為陳舊，且已被徹底破解——其基於 RC4 的 MPPE 加密早已被攻破。
對於大多數在正常情況下身處It Protects and How to Use It">on Public WiFi: Why It's Essential in Hong Kong">香港的用戶，WireGuard 是明確的首選。它是最快速、最現代的協議，且擁有出色的安全記錄。每一家主要 VPN 服務商現在都支援 WireGuard 或其專有實作版本（如 NordVPN 的 NordLynx 或 ExpressVPN 的 Lightway）。將你的 VPN 應用程式設定為「自動」或明確選擇 WireGuard，即可在日常瀏覽、串流媒體及遠端工作中獲得速度與安全性的最佳平衡。
若你前往中國內地或在其他 VPN 流量被主動封鎖的高度過濾網絡環境中運作，請切換至帶混淆功能的 OpenVPN TCP 端口 443。部分服務商提供額外的隱蔽協議，如 Shadowsocks、V2Ray 整合，或其自有的混淆層（NordVPN 的混淆伺服器、ExpressVPN 帶混淆功能的 Lightway）。這些協議專門將 VPN 流量偽裝成普通 HTTPS 流量，以規避網絡層面的深度封包檢測。
對於頻繁在 WiFi 與流動數據之間切換的流動用戶，IKEv2 是 WireGuard 的有力替代選擇——在部分較舊的 iOS 及 Android 版本上，它能更流暢地處理網絡轉換。若你的 VPN 服務商提供「自動」協議選擇功能，此功能通常會根據你當前的網絡狀況自動選擇最佳協議，對非技術用戶而言是最簡單的做法。