OpenVPN پروتکلی امن، متن‌باز و قدیمی است، اما در شبکهٔ فیلترشدهٔ ایران معمولاً یا اصلاً وصل نمی‌شود یا بعد از چند دقیقه کند و قطع می‌شود. دلیلش دو چیز است: ترافیک OpenVPN اثر انگشت شناخته‌شده‌ای دارد که سامانه‌های بازرسی عمیق بسته (DPI) به‌راحتی تشخیصش می‌دهند، و وقتی روی TCP اجرا شود، با مشکل «TCP روی TCP» کندتر هم می‌شود. CyberPort AI به یک پروتکل ثابت وابسته نیست و مدلی را انتخاب می‌کند که از فیلتر عبور کند و سرعت کامل را حفظ کند.
OpenVPN چیست و چرا سال‌ها محبوب بود؟
OpenVPN بیش از دو دهه است که یکی از رایج‌ترین روش‌های ساخت تونل VPN است. روی تقریباً همهٔ سیستم‌عامل‌ها کار می‌کند، کدش باز است، رمزگذاری آن بر پایهٔ TLS است و می‌تواند روی TCP یا UDP اجرا شود. خیلی از کاربران ایرانی هنوز فایل‌های ovpn را به یاد دارند که دست‌به‌دست می‌شد و با یک اپ ساده وارد می‌شد.
مشکل OpenVPN امنیت نیست. مشکل این است که برای پنهان ماندن طراحی نشده است. در شبکه‌ای که هدفش پیدا کردن و بستن VPNهاست، همین موضوع تعیین‌کننده است.
اثر انگشت OpenVPN: چرا DPI آن را می‌شناسد؟
هر اتصال OpenVPN با یک «دست‌دادن» (handshake) شروع می‌شود که ساختار ثابتی دارد. سرآیند بسته‌ها، ترتیب پیام‌ها و اندازهٔ آن‌ها در شروع اتصال الگوی مشخصی دارند. حتی وقتی OpenVPN روی TCP اجرا می‌شود و ظاهراً شبیه ترافیک وب است، از نگاه DPI شبیه HTTPS معمولی نیست.
پیامد آن در عمل این است:
- اتصال روی مرحلهٔ «Connecting» یا خطای TLS handshake می‌ماند.
- اتصال برقرار می‌شود، اما بعد از چند دقیقه قطع می‌شود.
- سرعت ابتدا خوب است و بعد به‌شدت افت می‌کند، چون مسیر محدود شده است.
- روی یک اپراتور کار می‌کند و روی اپراتور دیگر نه.
اگر با سازوکار DPI آشنا نیستید، پیشنهاد می‌کنیم اول مقالهٔ بازرسی عمیق بسته چیست را بخوانید.
مشکل «TCP روی TCP» به زبان ساده
پروتکل TCP خودش مراقب است که هیچ بسته‌ای گم نشود؛ اگر بسته‌ای نرسد، دوباره ارسالش می‌کند و تا رسیدنش سرعت را پایین می‌آورد. حالا تصور کنید ترافیک وب شما که خودش TCP است، داخل تونل OpenVPN قرار بگیرد که آن هم روی TCP اجرا می‌شود. دو لایهٔ TCP روی هم داریم و هر دو مستقل از هم تلاش می‌کنند گم‌شدن بسته‌ها را جبران کنند.
در یک شبکهٔ تمیز، این مشکل کمتر به چشم می‌آید. اما در شبکه‌ای که گم‌شدن بسته زیاد است، یعنی دقیقاً شبکه‌ای که کندسازی می‌شود، دو لایه هم‌زمان ارسال دوباره را شروع می‌کنند و تأخیر روی هم انباشته می‌شود. نتیجه، افت شدید سرعت و پرش‌های بزرگ در پینگ است. به همین دلیل OpenVPN روی TCP در ایران اغلب حتی از نسخهٔ UDP آن هم کندتر است، و نسخهٔ UDP هم در برابر محدودسازی ترافیک UDP آسیب‌پذیر است.
مقایسهٔ OpenVPN با گزینه‌های دیگر
| روش اتصال | قابل شناسایی با DPI | وقتی مسدود شود | نتیجهٔ معمول در شبکهٔ فیلترشده |
|---|---|---|---|
| OpenVPN روی UDP | آسان | ترافیک UDP مسدود یا محدود می‌شود | قطع یا بی‌ترافیکی |
| OpenVPN روی TCP | آسان | کندسازی و قطع | کند به‌خاطر TCP روی TCP |
| IKEv2 | آسان | قطع می‌شود | ناپایدار |
| L2TP و PPTP | بسیار آسان | از ابتدا وصل نمی‌شود | عملاً از کار افتاده |
| CyberPort AI | به یک الگوی ثابت وابسته نیست | خودکار مدل دیگری انتخاب می‌کند | عبور از فیلتر با سرعت کامل |
CyberPort AI چه فرقی دارد؟
CyberPort AI موتور اتصال تطبیقی ZoltVPN است و به جای یک پروتکل ثابت، میان ۱۰ مدل اتصال انتخاب می‌کند. این انتخاب بر اساس موقعیت شما، اینترنت‌دهنده‌تان و عملکرد زندهٔ اتصال انجام می‌شود. اگر مدلی که در حال استفاده است مسدود یا کند شود، CyberPort AI خودکار سراغ مدل دیگری می‌رود و به خاطر می‌سپارد روی هر شبکه چه چیزی جواب داده است.
تفاوت اصلی در همین‌جاست: OpenVPN وقتی شناسایی شد، کاری از دستش برنمی‌آید و شما می‌مانید و یک اتصال کند. CyberPort AI در همان لحظه مسیر را عوض می‌کند. برای کاربر، این یعنی تلگرام، اینستاگرام و تماس‌های صوتی بدون قطعی‌های مداوم. اگر تلگرام برایتان مهم است، راهنمای وصل ماندن به تلگرام را هم ببینید.
OpenVPN کجا هنوز انتخاب خوبی است؟
منصف باشیم: OpenVPN در شبکه‌های باز و بدون فیلترینگ گزینه‌ای مطمئن است. برای اتصال کارمندان به شبکهٔ داخلی شرکت، یا وصل شدن به سرور شخصی خودتان در کشوری بدون محدودیت، همچنان کار می‌کند. اما اگر هدف شما عبور از فیلترینگ ایران است، باید از ابزاری استفاده کنید که برای همین شرایط ساخته شده باشد.
پرسش‌های متداول
آیا OpenVPN ناامن است؟
خیر. OpenVPN با تنظیمات درست، رمزگذاری قوی و قابل‌اعتمادی دارد. مشکل آن در ایران قابل‌شناسایی بودن ترافیکش است، نه ضعف امنیتی.
چرا OpenVPN روی TCP کندتر از UDP است؟
به‌خاطر پدیدهٔ TCP روی TCP: دو لایهٔ TCP هم‌زمان بسته‌های گم‌شده را دوباره ارسال می‌کنند و در شبکه‌های پراختلال، تأخیر روی هم انباشته می‌شود.
آیا عوض کردن پورت OpenVPN مشکل را حل می‌کند؟
شاید برای مدت کوتاهی. DPI به الگوی ترافیک نگاه می‌کند، نه فقط شمارهٔ پورت. با تغییر پورت، اثر انگشت OpenVPN همان می‌ماند.
جایگزین OpenVPN برای ایران چیست؟
ابزاری که به یک پروتکل ثابت وابسته نباشد و وقتی مسیری بسته شد، خودکار مسیر دیگری انتخاب کند. CyberPort AI دقیقاً برای همین طراحی شده است.
ZoltVPN را دانلود کنید و تفاوت را با ۷ روز آزمایش رایگان و بدون کارت خودتان ببینید. اشتراک‌ها در صفحهٔ تعرفه‌ها هستند و معرفی کامل در صفحهٔ فارسی ZoltVPN.
