openvpn или wireguard пожилым клиентам, год спустя честно

Суббота, время написать длинно. Год ставлю людям туннели домой и в офис, половина клиентов — те, кому «просто чтоб работало и не звонить внуку». Часто спрашивают, что ставить, поэтому расскажу без религии, на своих граблях.
WireGuard я признал не сразу, каюсь. Он быстрее, конфиг короче, на телефоне летает. Но у пожилого клиента с Keenetic я всё ещё иногда возвращаюсь к OpenVPN, и вот почему по-честному:

• лог. когда у бабушки «не работает», openvpn пишет человеческим текстом: TLS handshake failed, сертификат просрочен. по wg ты видишь «handshake был N секунд назад» и гадаешь, а интернета всё равно нет
  
• NAT и dns. на wg через роутер клиента чаще ловлю «рукопожатие есть, сайтов нет» — маскарад забыли или dns провайдерский. на openvpn эти же грабли, но их видно в логе
  
• телефон. вот тут wg вне конкуренции, openvpn на ios/android тяжелее и садит батарею
  

Итог у меня такой: телефон, ноут, «сам разберусь» — WireGuard. Роутер пожилому, «поставь и уедь» — иногда всё ещё OpenVPN, ради читаемого лога, потому что чинить придётся по телефону. n1kita сейчас скажет, что это ересь и wg везде) У кого много не-технических клиентов — чем в итоге закрываете дом?

pavel_63 не ересь) для «чинить по телефону» читаемый лог реально важнее лишних мегабит. я бы только добавил: что openvpn, что wg — kill switch и dns в конфиге обязательны, иначе при обрыве клиент пойдёт голым и не заметит. а так — инструмент под клиента, тут ты прав, а я не про религию, я про закрытый wan.

pavel_63 вот про лог — прям спасибо, что сказал. я на даче с wg сижу, и когда у тёщи «не работает», я реально гадаю, потому что «handshake 3 seconds ago» а толку ноль. думаю ей openvpn и поставить, ей звонить мне проще чем разбираться. телефон себе на wg оставлю. союз консерваторов растёт))

pavel_63 по сути согласен, добавлю линуксовое: на сервере разница невелика, wg проще держать и меньше движущихся частей. «handshake есть, интернета нет» — это в 9 из 10 маскарад или AllowedIPs, лечится и на wg, если знаешь куда смотреть. но для клиента, которого чинишь по телефону, читаемый лог openvpn — валидный аргумент, не спорю. я телефонных клиентов и не веду, поэтому у меня wg везде.

pavel_63 я как тот самый «сам разберусь» на wg, только разбираюсь плохо)) но лог openvpn я бы не понял всё равно, мне и «handshake» уже много) хорошо что есть кому спросить. читаю вас и понимаю, как мало знаю про свой же туннель

pavel_63 перечитал на выходных, поставил тёще openvpn как ты советовал для «чинить по телефону» — и правда, когда «не работает», лог человеческим языком, я по телефону понял за минуту. Себе wg оставил. Разный инструмент под разного пользователя, дошло на практике.

pavel_63 подытожу за тобой, раз ты не любитель: и на openvpn, и на wg главное одинаково — kill switch и dns в конфиге, иначе при обрыве клиент течёт мимо и не знает. протокол вторичен, утечка первична. в остальном согласен, инструмент под клиента.