Disclosure: Some links on this page are affiliate links. We may earn a commission if you make a purchase through them, at no additional cost to you.
Nopea vastaus: Vuonna 2026 paras yleiskäyttöinen VPN-protokolla useimmille on WireGuard (tai hyvin toteutettu WireGuard-pohjainen muunnelma, kuten NordLynx tai Lightway) nopeiden kättelyjen, erinomaisen läpimenon ja modernin kryptografian ansiosta. Rajoittavissa verkoissa ja syväpakettitarkastuksessa (DPI) OpenVPN TCP 443:n yli obfuskoinnilla läpäisee esteet edelleen luotettavimmin. IKEv2/IPsec loistaa mobiilissa MOBIKE-tuen ja nopeiden uudelleenyhdistämisten ansiosta. L2TP/IPsec ja PPTP ovat pitkälti vanhentuneita; vältä PPTP:tä kaikessa turvallisuuteen liittyvässä.
Mitä VPN-protokollat ovat (ja miksi niistä kannattaa välittää)?
VPN-protokolla on sääntöjoukko, joka määrittää, miten laitteesi muodostaa suojatun tunnelin VPN-yhdyskäytävään: miten osapuolet tunnistautuvat, mitkä salausalgoritmit suojaavat liikennettä, miten paketit kapseloidaan (UDP/TCP/ESP), miten istunto selviää verkkovaihdoista ja miten se reagoi hävikkiin ja ruuhkiin. Eri protokollat optimoivat eri tavoitteita: nopeus, vakaus, sensuurin kierto, akun kesto ja yksityisyysasento. Oikean valinta voi kaksinkertaistaa läpimenon, pienentää viivettä kymmenillä millisekunneilla tai ratkaista, toimiiko yhteys vai estyykö se hotellin palomuurissa.
Yhdellä silmäyksellä: protokollavertailu
| Protokolla | Kuljetus & kryptografia | Vahvuudet | Rajoitteet | Parhaat käyttötapaukset |
|---|---|---|---|---|
| WireGuard | UDP; NoiseIK; ChaCha20-Poly1305; pieni koodipohja (~4–5k LOC) | Erittäin nopeat kättelyt ja läpimeno; erinomainen roaming; alhainen CPU/akun kulutus; helppo konfiguroida | Raaka WG mapittaa staattiset avaimet IP:ihin (yksityisyys); vain UDP voi estyä/kuristua; jotkin captive-portaalit eivät pidä UDP:stä | Päivittäinen käyttö, suoratoisto, pelaaminen, mobiili-VPN, suuret kaistat |
| OpenVPN (UDP/TCP) | TLS 1.2/1.3 -kapselointi; AES-GCM/ChaCha20; UDP tai TCP | Laaja yhteensopivuus; kypsä; joustava; toimii TCP/443:n yli; helppo obfuskointi (stunnel/obfsproxy) | Raskaampi kuin WG; TCP-over-TCP-meltdown-riski; enemmän CPU-ylipäätä | Sensuurin/DPI:n kierto, yritysyhteensopivuus, hankalat Wi-Fi-verkot/hotellit |
| IKEv2/IPsec | UDP 500/4500; IKEv2 + ESP; AES-GCM/ChaCha20; PFS; MOBIKE | Nopeat re-keyt; vakaa mobiilissa; natiivit asiakkaat iOS/macOS/Windows; hyvä split-tunnelointiin | Osa NATeista/palomuurista estää ESP/NAT-T:n; konfigurointi monimutkaisempaa; vähemmän obfuskointia | Yritys- ja mobiilikäyttö, luotettavat mobiili↔Wi-Fi-siirtymät |
| L2TP/IPsec | UDP 1701 + IPsec ESP/NAT-T | Laajalti saatavilla; helppo tuki vanhalla laitteistolla | Kaksoiskapseloinnin ylipää; hitaampi; heikko NAT/DPI:n kanssa; pitkälti legacy | Vain jos mitään muuta ei ole saatavilla vanhoissa järjestelmissä |
| SSTP | TLS TCP/443:n yli (Microsoft) | Läpäisee useimmat palomuurit (443); kohtuullinen suorituskyky Windowsissa; helppo MS-ympäristöissä | Suljettu protokolla; vaihteleva alustatuki; niche kuluttaja-VPN:issä | Windows-keskeiset verkot, joissa 443 on ainoa avoin reitti |
| PPTP (legacy) | GRE + MPPE; MS-CHAPv2-todennus (rikki) | Erittäin nopea; yleinen hyvin vanhoissa laitteissa | Turvaton (rikki oleva todennus/salaus); vanhentunut | Vältä turvallisuudessa; vain labra/testit |
Syväsukellus: miten keskeiset protokollat käyttäytyvät
WireGuard
WireGuard on kevyt ja moderni protokolla, joka käyttää NoiseIK-kättelyä ja ChaCha20-Poly1305-AEAD:ia (Curve25519 ECDH:lle). Se toimii kernelissä (Linux) tai laadukkaana userspace-porttina ja korostaa yksinkertaisuutta: pieni koodipohja, vähän säätimiä ja tilaton roaming (peerit tunnistetaan julkisilla avaimilla). Tuloksena lähes välittömät kättelyt, tasaisen korkea läpimeno ja alhainen CPU-kuorma—erinomainen akunkesto iOS/Androidissa ja huippunopea monigigabitin linkeillä.
- Roaming & NAT: Käyttää persistent keepalive-paketteja ja endpoint-havaintaa; selviää IP-vaihdoista (Wi-Fi→LTE) saumattomasti.
- Yksityisyys: Raaka WG mapittaa staattisen julkisen avaimen sisäiseen/staattiseen tunnelin IP:hen; huolimattomat palvelinasetukset voivat jättää lyhytaikaista assosiaatiodataa. Luotettavat palveluntarjoajat toteuttavat efemeerisen avainhallinnan ja double-NAT:n (esim. NordLynx) irrottaakseen tilit sisäisistä IP:istä.
- Sensuurinkesto: UDP voi estyä/kuristua; obfuskointi vaatii lisäkerroksia (esim. UDP yli DTLS/TLS, Shadowsocks tai proprietaariset “Stealth”-kerrokset).
- Käyttö: Oletusvalinta, kun verkot eivät ole aktiivisesti vihamielisiä; suoratoisto, pelaaminen, arkipäivän yksityisyys.
OpenVPN (UDP ja TCP)
OpenVPN on taistelutestattu, erittäin muokattava ja avoimen lähdekoodin. Se kapseloi liikenteen TLS:ään (yleensä AES-GCM tai ChaCha20-Poly1305 + ECDHE/PFS). Toimii UDP:n (nopeampi) tai TCP:n (hyödyllinen rajoittavissa verkoissa ja DPI:n kanssa) yli.
- Obfuskointi: Helppo naamioida tavalliseksi HTTPS-liikenteeksi stunnelilla, obfs4:llä tai XTLS/Reality-tyylisellä frontingilla; TCP/443 sulautuu sallittuun liikenteeseen.
- Suorituskyky: OpenVPN-UDP on vakaa mutta raskaampi kuin WireGuard. OpenVPN-TCP:ssä on TCP-over-TCP-meltdown-riski hävikillisillä linkeillä.
- Käyttö: DPI, autoritaariset suodattimet, yritysproksit tai kun UDP on estetty.
IKEv2/IPsec
IKEv2 neuvottelee suojausassosiaatiot ja avaimet IPsec ESP:lle. MOBIKE tukee liikkuvuutta, mikä tekee siitä erinomaisen puhelimissa, jotka vaihtavat verkkoa. Kryptografia on modernia (AES-GCM tai ChaCha20; ECDHE/PFS). Yleensä UDP-porteissa 500/4500 (NAT-T).
- Plussat: Erittäin nopeat re-keyt, vakaat pitkäkestoiset tunnelit, natiivit iOS/macOS/Windows-asiakkaat, hyvä split-tunnelointiin.
- Miinukset: Palomuurit, jotka estävät UDP 500/4500 tai ESP:n, katkaisevat yhteyden; vähemmän obfuskointivaihtoehtoja kuin OpenVPN.
- Käyttö: Yrityskäyttö; mobiilikäyttäjät, joille vakaus on obfuskointia tärkeämpää.
L2TP/IPsec (legacy)
L2TP tarjoaa tunnelin ja IPsec salauksen. Kaksoiskapselointi lisää ylipäätä ja heikentää suorituskykyä. Laajalti saatavilla vanhalla kalustolla, mutta hauras NAT:n kanssa ja heikko DPI:tä vastaan. Käytä vain, jos moderneja vaihtoehtoja ei ole.
SSTP (Microsoft)
SSTP kulkee TLS TCP/443:n yli, mikä auttaa läpäisemään useimmat palomuurit. Hyvin integroitu Windows Server/Clientiin, mutta suljettu ja epätasaisesti tuettu muualla. Kohtuullinen Windows-ympäristöissä, kun OpenVPN ei ole mahdollinen.
PPTP (älä käytä turvallisuuteen)
PPTP on nopea, koska sen salaus/todennus on rikki (MS-CHAPv2 on murrettavissa). Modernit käyttöjärjestelmät varoittavat tai estävät sen oletuksena. Käytännössä vanhentunut—älä käytä tuotannossa.
Palveluntarjoajakohtaiset / proprietaariset protokollat
- NordLynx (NordVPN): WireGuard-pohjainen protokolla double-NAT:lla, joka estää staattisten avainten linkittymisen käyttäjäidentiteetteihin tai kiinteisiin sisäisiin IP:ihin. Usein nopeimpien joukossa; yksityisyyslähtöinen suunnittelu.
- Lightway (ExpressVPN): Kevyt, mobiili-ensin-protokolla (wolfSSL); tukee AES-GCM ja ChaCha20-Poly1305. Nopea palautuminen ja vakaa suorituskyky epävakaassakin Wi-Fi/4G:ssä; auditoitu.
- Hydra (Hotspot Shield/Catapult Hydra): Keskittyy läpimenoon ja sensuurinkestoon proprietaarisella kuljetuksella/obfuskoinnilla; vähemmän riippumatonta tarkastelua.
- Stealth (useat toimijat, esim. Proton VPN): Obfuskointikerrokset, jotka naamioivat WireGuardin/OpenVPN:n tavalliseksi TLS/HTTPS-liikenteeksi DPI:n ja kansallisten palomuurien kiertämiseksi; lisäylipää hidastaa.
Suorituskyky: mistä nopeus syntyy
- Kättelyviive: WireGuardin NoiseIK on 1-RTT ja lähes tilaton → lähes välittömät yhteydet. OpenVPN+TLS vaatii enemmän viestejä; IKEv2 on nopea re-keyssä.
- Salainten tehokkuus: ChaCha20-Poly1305 on erinomainen mobiili/ARM-alustoilla; AES-GCM hyötyy AES-NI:stä työpöydillä/palvelimilla.
- Kuljetus: UDP välttää TCP:n HOL-blokkeerauksen ja toimii paremmin hävikillisillä linkeillä. TCP piiloutuu paremmin yritysverkoissa, mutta TCP-over-TCP voi sulaa.
- Kapselointiylipää & MTU: Tunnelit lisäävät otsakkeita. Liian korkea MTU aiheuttaa fragmentaatiota/black holeja. Aseta MSS-clamp ~1360–1380 tavuun OpenVPN/WireGuardille lähtötasoksi; testaa ja säädä.
Sensuurinkesto & DPI:n kierto
Vihamieliset verkot tunnistavat protokollia pakettikokojen, ajoituksen ja TLS-sormenjälkien avulla. Toimivia strategioita:
- OpenVPN-TCP 443 + stunnel (TLS TLS:n sisällä) tai obfs4 — vahva mutta hitaampi.
- WireGuard TLS:n yli (“WG-over-TLS”/“Stealth WG”) — UDP kapseloidaan TLS-näköiseen virtaan; ylipäätä tulee.
- Domain fronting / edistyneet pluggables (sallituissa maissa) — reititys korkean maineen CDN:ien kautta; yhä useammin estetty.
- SSTP/443 Windows-ympäristöissä, kun OpenVPN ei ole sallittu.
Mobiilikäyttäytyminen: uudelleenyhdistys, akku ja vakaus
- WireGuard: Minimaaliset keepalivet, tehokas kryptografia; erinomainen akunkesto. Sujuva roaming.
- IKEv2/IPsec: MOBIKE säilyttää tunnelin IP-vaihdoissa; usein vakain iOS:ssä natiivituen ansiosta.
- OpenVPN: Userspace-keepalivet lisäävät herätyksiä; ok moderneilla laitteilla, mutta vähemmän energiatehokas.
Turva-asento & auditoinnit
- Avoin lähdekoodi & auditoinnit: WireGuard ja OpenVPN hyötyvät laajasta yhteisötarkastelusta. Arvioi myös palveluntarjoajan toteutus: RAM-only-palvelimet, avainkierto, minimilokit ja ulkoiset auditoinnit.
- Avainten hallinta: Suosi efemeerisiä istuntoavaimia, automaattista re-keytä ja malleja, jotka välttelevät pysyvää avain↔IP-linkitystä (esim. NordLynx double-NAT).
- Vuotosuojaus: Protokolla ei yksin riitä—ota käyttöön kill switch, tunnelin sisäinen DNS, IPv6-käsittely (tunneloi tai poista) ja WebRTC-suojaukset.
Minkä protokollan valitset? (Päätösohje)
- Päivittäinen käyttö normaaleissa verkoissa: WireGuard (tai NordLynx/Lightway). Jos epävakaa, kokeile OpenVPN-UDP.
- Hotellit/kampukset/lentokentät tiukoilla palomuureilla: OpenVPN-TCP 443 obfuskoinnilla. Windows-ympäristössä myös SSTP/443.
- Mobiili (tiheät Wi-Fi/LTE-vaihdot): IKEv2/IPsec tai Lightway. WireGuard toimii hyvin, jos UDP ei ole estetty.
- Vanhat reitittimet/embedded: OpenVPN on laajasti tuettu; vältä L2TP:tä ellei pakko; älä koskaan PPTP:tä.
- Kansallinen DPI/sensuuri: OpenVPN-TCP 443 + stunnel/obfs tai toimittajan Stealth-tila; varaudu hitaampiin nopeuksiin.
Toteutusvinkit (käytännössä)
- MTU/MSS: Jos esiintyy nykimistä, aseta TCP MSS -clamp: OpenVPN
mssfix 1360jatun-mtu 1500(säädä), tai OS-tason MSS-säännöt WireGuard-liikenteelle. - DNS: Pakota DNS-kyselyt tunneliin (palveluntarjoajan DNS tai salattu DNS tunnelissa). Julkisen DoH/DoT:n sekoittaminen geo-ohitukseen voi aiheuttaa ristiriitoja.
- Kill switch: Käytä palomuuriin perustuvaa kill switchiä (estää kaiken tunnelin ulkopuolisen liikenteen).
- Protokollan varavaihto: WireGuard → OpenVPN-UDP → OpenVPN-TCP 443 obfuskoinnilla. Automatisoi failover, jos mahdollista.
- Auditoinnit & lokit: Suosi kolmannen osapuolen auditointeja, RAM-levypalvelimia ja läpinäkyviä minimilokikäytäntöjä.
Harvinaisemmat (mutta hyödylliset) vaihtoehdot
- OpenConnect/AnyConnect (SSL-VPN): Cisco-tyyliset SSL-VPN:t hyvällä yritystuella; osa kuluttajapalveluista tukee OpenConnectia.
- SoftEther: Moniprotokollainen, TLS-pohjainen VPN-pino; joustava mutta raskaampi ottaa käyttöön; osaa matkia HTTPS:ää hyvin.
UKK
Onko WireGuard “liian uusi” luotettavaksi?
WireGuardin kryptografinen suunnittelu (NoiseIK + modernit primitiivit) on konservatiivinen ja laajasti tarkastettu; pieni koodipohja pienentää hyökkäyspintaa. Päähuomio koskee palvelinpuolen yksityisyyttä—valitse toimittaja, joka käyttää efemeerisiä avaimia eikä tallenna linkittyviä metatietoja.
OpenVPN UDP vai TCP — kumpi on nopeampi?
UDP lähes aina. TCP on lähinnä rajoittaviin verkkoihin ja DPI:n kiertoon. Vältä TCP:n tunnelointia TCP:n sisällä, jos mahdollista.
Miksi IKEv2:tä suositellaan usein iOS:ssä?
Erinomainen natiivituki, nopea uudelleenmuodostus ja MOBIKE pitävät istunnot pystyssä verkkovaihdoissa (mobiili↔Wi-Fi) pienellä akkuvaikutuksella.
Voiko pelkkä VPN-protokolla estää vuodot?
Ei. Tarvitset myös tunnelin sisäisen DNS:n, IPv6-käsittelyn, palomuuri-pohjaisen kill switchin sekä selain/WebRTC-suojaukset.
Mitä kokeilla, jos VPN “yhdistyy” mutta mikään ei lataudu?
Laske MTU/MSS, vaihda UDP↔TCP, kokeile TCP/443 obfuskoinnilla, varmista DNS tunnelissa ja tarkista captive-portaalit (kirjaudu ensin HTTP-sivulla).
Onko PPTP koskaan hyväksyttävä?
Ei turvallisuudessa. Se on vanhentunut rikkinäisen todennuksen vuoksi; käytä vain laboratorio-olosuhteissa.
Yhteenveto
Oikea VPN-protokolla riippuu uhkamallistasi ja verkkoolosuhteista. WireGuard (ja hyvin suunnitellut muunnelmat kuten NordLynx ja Lightway) tarjoaa parhaan yhdistelmän nopeutta, vakautta ja modernia kryptografiaa arkipäivän yksityisyyteen. OpenVPN on edelleen “Sveitsin linkkuveitsi” DPI:tä ja erikoisia verkkoja vastaan—etenkin TCP 443 obfuskoinnilla. IKEv2/IPsec on mobiilin työjuhta. Käsittele L2TP/IPsec ja PPTP legacy-ratkaisuina. Tasaisiin tuloksiin aloita WireGuardilla, siirry OpenVPN-UDP:hen ja lopuksi OpenVPN-TCP 443:een obfuskoinnilla, kun verkko muuttuu vihamieliseksi.
