WireGuard действительно быстрый: компактный код, современная криптография и работа поверх UDP дают ему отличные результаты в тестах. Но в сетях с DPI эта скорость остаётся на бумаге. У WireGuard узнаваемое рукопожатие с фиксированными размерами сообщений, он работает только по UDP и принципиально не пытается маскироваться. Поэтому оборудование глубокой инспекции пакетов легко его распознаёт, после чего соединение блокируют или душат. В итоге в строгих сетях, в том числе во многих российских, WireGuard оказывается медленным или вовсе не подключается, а CyberPort AI выбирает модель подключения, которая проходит, и сохраняет полную скорость.
Почему WireGuard так быстр
WireGuard задумывался как простая и современная альтернатива громоздким VPN-протоколам:
- компактный код — несколько тысяч строк против сотен тысяч у старых решений, его проще проверить и оптимизировать;
- современная криптография — Curve25519, ChaCha20-Poly1305, BLAKE2s на основе фреймворка Noise;
- работа в ядре — в Linux WireGuard встроен прямо в ядро, без лишних переключений между уровнями системы;
- только UDP — нет эффекта «TCP поверх TCP», который тормозит OpenVPN в TCP-режиме (об этом — в статье «OpenVPN тормозит и блокируется?»).
В открытой сети WireGuard — отличный выбор: быстро подключается, хорошо держит роуминг между сетями и почти не расходует батарею.
Почему WireGuard так легко заметить
Фиксированная структура рукопожатия
Каждое сообщение WireGuard начинается с поля типа, за которым идут зарезервированные нулевые байты. Сообщение инициации рукопожатия всегда имеет длину 148 байт, ответ — 92 байта. Для DPI это почти идеальная сигнатура: достаточно увидеть UDP-пакет нужного размера с нужным началом.
Только UDP
WireGuard не умеет работать по TCP. В сетях, где UDP-трафик к зарубежным адресам ограничивают или режут, у него просто нет запасного варианта.
Маскировка не входит в задачи
Создатели WireGuard сознательно не добавляли обфускацию: протокол решает задачу защиты данных, а не скрытности. Это честная позиция, но в сетях с активной фильтрацией она делает WireGuard лёгкой мишенью.
Что происходит в российских сетях
ТСПУ у операторов распознаёт WireGuard по рукопожатию. В зависимости от сети соединение либо не устанавливается вообще, либо устанавливается и через короткое время перестаёт передавать данные. Поведение может отличаться у разных операторов и в разных регионах. Подробнее о том, как работает такое распознавание, — в статье «Что такое DPI и как он блокирует VPN».
А модифицированные версии?
Существуют форки WireGuard с обфускацией: они меняют размеры и заголовки пакетов, добавляют «мусорные» данные, чтобы сломать сигнатуру. Это действительно помогает какое-то время. Но по сути это всё тот же один фиксированный способ подключения к одному серверу. Когда изменённую схему изучат или заблокируют адрес сервера, пользователю снова придётся всё перенастраивать — та же проблема, что и у статичных VLESS-конфигов, которые мы разбирали в статье «VLESS при блокировках».
Как понять, что WireGuard именно блокируют
Прежде чем менять VPN, полезно убедиться, что проблема в фильтрации, а не в сервере:
- Посмотрите на счётчики трафика. Если в клиенте WireGuard отправленные байты растут, а полученные стоят на месте, рукопожатие не проходит — типичный признак блокировки.
- Сравните сети. Подключитесь через домашний интернет и через мобильного оператора. Если в одной сети работает, а в другой нет, дело в фильтрации конкретного провайдера.
- Проверьте другой сервер. Если не подключается ни к одному серверу, а сайты без VPN открываются нормально, блокируют сам протокол, а не отдельный адрес.
- Обратите внимание на время. Если соединение работает несколько минут и потом «замирает», вероятно, его распознают уже после установки.
WireGuard и CyberPort AI: сравнение
| Критерий | WireGuard в открытой сети | WireGuard в сети с DPI | CyberPort AI |
|---|---|---|---|
| Распознаётся DPI | Не важно | Легко, по рукопожатию | Модель подбирается под вашу сеть |
| Что при блокировке | — | Не подключается или «висит» | Автоматическое переключение на другую модель |
| Если UDP ограничен | — | Запасного варианта нет | Выбор среди 10 моделей подключения |
| Действия пользователя | Минимальные | Искать обходные пути вручную | Не требуются |
| Типичная скорость | Высокая | Низкая или нулевая | Высокая |
Почему CyberPort AI быстрее там, где WireGuard блокируют
Скорость протокола имеет значение, только пока протокол работает. CyberPort AI подходит к задаче по-другому: он учитывает ваше местоположение, провайдера и текущую производительность соединения и выбирает одну из 10 моделей подключения. Если модель блокируют или она начинает тормозить, движок за секунды переключается на другую и запоминает, что работает в каждой сети. Подробно об устройстве движка — в статье «Что такое CyberPort AI».
За этим стоит серьёзная инфраструктура: более 100 серверов в 10 странах, на платформах Microsoft Azure, Amazon Web Services и Google Cloud. В наших собственных тестах скорость серверов превышала 2 Гбит/с. Наша сеть обслуживает более 500 000 активных пользователей и ежедневно передаёт свыше 100 ТБ трафика. В 2024 году ZoltVPN был отмечен CNET и MIT Technology Review за скорость и надёжность.
Частые вопросы
WireGuard быстрее OpenVPN?
В открытой сети — как правило, да: он легче и не страдает от «TCP поверх TCP». Но в сетях с DPI оба протокола легко распознаются, и скорость определяется уже не протоколом, а тем, пропускают ли его.
Поможет ли сменить порт WireGuard?
Нет. DPI узнаёт WireGuard по структуре и размеру пакетов, а не по номеру порта.
Почему WireGuard работает дома, но не работает на мобильном интернете?
У разных операторов разные правила фильтрации, а на мобильных сетях UDP нередко ограничивают сильнее.
Можно ли попробовать ZoltVPN бесплатно?
Да. Каждый аккаунт начинается с 7-дневного пробного периода без банковской карты.
Если WireGuard перестал подключаться, скачайте ZoltVPN и проверьте CyberPort AI в своей сети. Тарифы — на странице цен.
