加密内核的代际差：三种和谈的底层设计逻辑

IPSec 诞生于上世纪 90 年代，，，，，，设计指标是在公网上成立可信通路。。。。。。。它选取 IKEv1/IKEv2 握手和谈，，，，，，共同 ESP 封装安全载荷，，，，，，套件成熟到险些所有路由器、防火墙、互换机都原生支持。。。。。。。这种“教科书式”的安全架构给企业审计人员的安心感是实切其实的——你能在日志里看到每个阶段密钥协商的细节。。。。。。。但硬币另一面是：协商过程繁复，，，，，，移动端出格是 iOS/Android 穿越对称 NAT 时时时必要额表的 NAT-T 封装，，，，，，开会顶峰期几百个设备同时沉连能把总部出口防火墙的会话表打满。。。。。。。 OpenVPN 走的是软件界说路线，，，，，，基于 SSL/TLS 和谈栈，，，，，，端口能够绑在 443 上。。。。。。。这意味着在酒店、机场等严格管控网络的场景下，，，，，，OpenVPN 的流量特点和 HTTPS 根基一样，，，，，，穿透性险些是三种规划里最强的。。。。。。。我在顺义一家物流企业见过他们用 OpenVPN 连通六个分部机房，，，，，，IT 掌管人说“就是要让网管看不出这是 VPN”。。。。。。。价值是 OpenVPN 运行在用户态，，，，，，CPU 开销比内核级规划高不少，，，，，，200 人并发时服务器压力显著。。。。。。。 WireGuard 是 2020 年正式进入 Linux 内核的“新生儿”。。。。。。。它用 Curve25519 做密钥互换、ChaCha20-Poly1305 做数据加密、Poly1305 做新闻认证，，，，，，密码学选择现代到有点“激进”。。。。。。。代码量只有 IPSec 的零头——4 万行对比 60 万行，，，，，，这意味着审计成本低、攻击面幼。。。。。。。我在昌平一家造作企业做过实测：WireGuard 隧路成立功夫从 IPSec 的 3-5 秒降到不及 1 秒。。。。。。。但问题在于它不支持 IP 层以表的好多个性，，，，，，没有内置的 AAA 规划，，，，，，企业级接见节造要靠额表的 fwmark 或者第三方节造器。。。。。。。

穿透性与延长：我在客户现场测出的真实数据

测试环境：50Mbps 家用宽带 + 4G 移动网络，，，，，，衔接位于亦庄机房的 VPN 网关，，，，，，测试工具用的 iperf3 和 ping。。。。。。。 IPSec 在移动网络下阐发最不变，，，，，，4G 环境下均匀延长 38ms，，，，，，丢包率节造在 0.3% 以内。。。。。。。但在写字楼固定宽带下，，，，，，NAT 穿透偶然会失效，，，，，，必要手动开启 NAT-T，，，，，，这一步卡住过不少非技术出身的运维人员。。。。。。。OpenVPN 在同样环境下延长略高，，，，，，45-52ms，，，，，，但从 443 端口出去的衔接成功率靠近 99%，，，，，，在高校、医院这些网络战术严格的处所险些不会碰壁。。。。。。。WireGuard 受限于 UDP 和谈，，，，，，在部吩祗业防火墙默认拦截非尺度 UDP 端口，，，，，，延长倒是最低的，，，，，，28-35ms，，，，，，但前提是防火墙开了 51820/UDP 或者你愿意把它映射到 53/UDP。。。。。。。 吞吐量测试更有意思。。。。。。。iperf3 双向打流跑满带宽时，，，，，，IPSec 由于全加密在 AES-256-GCM 下CPU占用率率先飙到 85%，，，，，，OpenVPN 用户态开销导致极限吞吐量只有 IPSec 的 60% 左右，，，，，，而 WireGuard 靠着现代加密算法和内核旁路，，，，，，CPU 占用率维持在 25% 高低，，，，，，吞吐量能跑满 94% 的物理带宽。。。。。。。这个数字让我自己都有些意表。。。。。。。

30 人到 300 人：三种规模下的真实部署蹊径

亦庄一家做精密仪器的科技公司，，，，，，研发加销售总共 32 人，，，，，，全数坐班不必要远程办公。。。。。。。IT 预算有限，，，，，，老板说“一年 IT 投入不能超过 5 万”。。。。。。。他们原来用的某国产 IPSec VPN 设备，，，，，，时时要沉启能力让新人连上。。。。。。。我给他们的规划是 WireGuard 部署在一台低配云主机上，，，，，，用 wg-easy 做治理界面。。。。。。。3 个幼时搞定部署，，，，，，此刻运维就是一条号令的事。。。。。。。这套规划的成本：云主机年费 2400 元，，，，，，治理成本险些为零。。。。。。。 通州一家食品加工企业，，，，，，150 人规模，，，，，，有工厂和市区两个办公点，，，，，，财政和仓库系统都在内网。。。。。。。出产端用的是工业 PLC，，，，，，IP 段特殊，，，，，，客户要求 ERP 接见必须走 VPN 审计。。。。。。。这类场景下 OpenVPN 的优势就体现出来了——它能精确节造哪个用户能接见哪个子网，，，，，，网段路由规定写在配置文件里了如指掌，，，，，，审计时直接导出日志。。。。。。。弊端是服务器配置复杂些，，，，，，我助他们写了一套 Ansible playbook，，，，，，新服务器极度钟跑完初始化。。。。。。。这套规划跑了一年半，，，，，，日均并发 40-60，，，，，，服务器没出过问题。。。。。。。 向阳一家告白传媒公司，，，，，，280 人，，，，，，员工流动性大，，，，，，项目组随时要拉新人进来，，，，，，并且客户时时在表地拍摄必要远程接见素材库。。。。。。。他们之前用的 IPSec，，，，，，移动端履历差，，，，，，投诉集中在“连不上”和“连上了传文件慢”。。。。。。。最终规划是混合架构：总部出口用 IPSec 跑站点到站点互联保障不变性，，，，，，项目组远程接见走 WireGuard，，，，，，客户端用 Tailscale 做 mesh 组网。。。。。。。这样做的益处是主题业务流量走成熟规划不担风险，，，，，，矫捷业务走现代和谈不被约束。。。。。。。弊端是两张网络要守护两套账密，，，，，，后来我用 Keycloak 做了统一 SSO，，，，，，工程师扫码就能进隧路。。。。。。。

1. 30-50 人，，，，，，预算敏赣注移动办公少 → WireGuard + wg-easy / self-hosted，，，，，，年成本 3000 元以内
2. 50-150 人，，，，，，多地互联、强审计要求 → OpenVPN + Ansible 自动化，，，，，，两全穿透性和合规
3. 150-300 人，，，，，，混合办公、高并发 → IPSec 做站点骨干 + WireGuard 覆盖远程结尾，，，，，，或直接思考零信赖规划

说到零信赖，，，，，，我建议超过 200 人 的企业能够直接看 sTrust 零信赖规划。。。。。。。传统 VPN 的通病是“一旦进来就全通”，，，，，，零信赖是“默认不信赖，，，，，，持续验证”，，，，，，对于人员流动频仍的公司来说，，，，，，账号关了就断了，，，，，，不用不安前员工还能连进内网。。。。。。。

选型清单：决定成分往往不是技术自身

技术对比放到一壁，，，，，，真正影响选型的往往是人和流程。。。。。。。我在石景山服务过一家国企，，，，，，客户明确说“VPN 日志必须留存三年以备审计”。。。。。。。这就不是选 OpenVPN 还是 WireGuard 的问题，，，，，，而是谁的日志体式更切合等保要求、谁支持 syslog 推送。。。。。。。这家最后选了深折服 VPN 硬件，，，，，，不是由于机能最好，，，，，，而是由于他们有现成的等保合规包。。。。。。。 另一个高频阻碍是组织内部的“蹊径依赖”。。。。。。。有些公司的 ERP 系统是十五年前基于 IPSec 设计的，，，，，，换和谈意味着业务系统刷新，，，，，，这种成本不是技术选型能覆盖的。。。。。。。我通常；；；；；；；嵛士突В耗阍敢馕獯窝⌒屯度爰付嗨⑿鲁杀？？？？？？？？若是是零，，，，，，那就在现有架构上优化，，，，，，别为了追新技术给自己挖坑。。。。。。。 最后说一个行业趋向：WireGuard 在急剧企业化。。。。。。。Tailscale、Netmaker、WireGuard Operating System 这些贸易刊行版解决了原生版短缺的 AAA 和集中管控问题。。。。。。。若是你此刻做选型，，，，，，建议把基于 WireGuard 的贸易规划和传统 IPSec/OpenVPN 放到统一个评估矩阵里，，，，，，三年后这个市场会变。。。。。。。