VPN-Protokolle im Vergleich: WireGuard, OpenVPN, AnyConnect, Hysteria2

• Ob es in einem eingeschränkten Netz funktioniert. Viele Campus-, Büro- und Hotelnetze beschränken UDP und lassen nur TCP mit TLS durch – denselben Verkehr wie beim Öffnen einer Website. UDP-basierte Protokolle werden dort langsam oder brechen ab; TLS-basierte laufen weiter.
• Wie schnell es bei Paketverlust ist. Mobile Daten, Breitband in Altbauten und grenzüberschreitende Leitungen verlieren oft Pakete, und wie ein Protokoll damit umgeht, entscheidet über das tatsächliche Tempo auf solchen Strecken.
• Wie viel Akku es braucht. Je schlanker das Protokoll und je weniger Keep-alive-Pakete es sendet, desto weniger Strom verbraucht es; wiederholtes Neuverbinden kostet am meisten.
• Auf welchen Geräten es läuft. Für manche Protokolle ist in fast jedes System, jeden Router und jedes NAS ein Client eingebaut; andere gibt es nur als Handy- und Desktop-App.
• Ein weiterer Punkt zählt genauso viel wie das Protokoll selbst: ob es eine Alternative gibt, sobald es erkannt wird. Ein Dienst mit nur einem Protokoll kann nirgendwohin ausweichen, wenn dieses gestört wird.

• Was es ist: ein über zwanzig Jahre altes Open-Source-VPN-Protokoll; eine einzige .ovpn-Datei enthält alles, was zum Verbinden nötig ist.
• Stärken: die breiteste Unterstützung, mit Clients in den meisten Router-Firmwares, NAS-Systemen und Linux-Servern; es läuft über UDP oder TCP.
• Schwächen: schwerer als neuere Protokolle und belastender für den Handy-Akku; sein Handshake hat eine feste Signatur, die restriktive Netze erkennen können.
• Passt für: Router, NAS und Server, die sich beim Start verbinden und unbeaufsichtigt laufen müssen. Siehe OpenVPN nutzen – und wann es die richtige Wahl ist.

• Was es ist: ein neueres Open-Source-VPN-Protokoll mit kleiner Codebasis, im Linux-Kernel enthalten, mit Clients für alle gängigen Systeme.
• Stärken: schneller Verbindungsaufbau, geringer Verschlüsselungsaufwand, schont den Akku; die Verbindung fängt sich von selbst, wenn Sie von WLAN zu mobilen Daten wechseln.
• Schwächen: nur UDP, deshalb scheitert oder kriecht es, wo UDP beschränkt ist; sein Paketformat ist fest und leicht zu erkennen.
• Darauf aufgebaut: Tailscale ergänzt WireGuard um Kontoanmeldung und gegenseitige Erreichbarkeit der Geräte – ein Mesh, bei dem Sie sich einmal anmelden und immer online sind; siehe Was Privat (Tailscale) ist.
• WireGuard vs. OpenVPN: In einem unbeschränkten Netz ist WireGuard schneller und schlanker; OpenVPN liegt bei der Geräteunterstützung vorn und kann über TCP laufen.

• Was es ist: das Unternehmens-VPN-Protokoll von Cisco; der Client heißt heute Cisco Secure Client. Es gibt Open-Source-Umsetzungen: OpenConnect für den Client und ocserv für den Server.
• Stärken: Der Verkehr läuft über Standard-TLS und sieht von außen aus wie der Besuch einer HTTPS-Website, deshalb funktioniert es weiter in Campus- und Büronetzen, die UDP beschränken; Sie geben nur Adresse, Benutzername und Passwort ein, nichts muss importiert werden; Unternehmen weltweit nutzen es für die Fernarbeit, Clients gibt es also für jede Plattform.
• Schwächen: Einmal verbunden, läuft das ganze Gerät über die Verbindung, und um lokale Websites direkt zu lassen, braucht es separates Split-Routing; bei Paketverlust ist es langsamer als ein Protokoll, das dafür gebaut ist.
• Passt für: Campus- und Büronetze, iPhones, ältere Geräte. Mehr in Funktioniert Cisco AnyConnect in China?

• Was es ist: ein Open-Source-Proxy-Protokoll auf Basis von QUIC, dem UDP-basierten Transport, den auch HTTP/3 nutzt.
• Stärken: Es geht gezielt mit Paketverlust um und ist in dieser Gruppe am schnellsten bei mobilen Daten, Breitband in Altbauten und grenzüberschreitenden Leitungen; sein Verkehr ähnelt gewöhnlichem HTTP/3.
• Schwächen: Es nutzt UDP und wird daher langsam oder bricht ab, wo UDP beschränkt ist; es braucht einen Client, der es unterstützt, etwa Hiddify und die sing-box-Familie.
• Passt für: Ihr eigenes Handy und Ihren Computer, wenn Tempo zählt und das Netz Pakete verliert. Die Importschritte stehen in der Anleitung zum Abo-Link.

v2ray ist ein Proxy-Werkzeug, kein einzelnes Protokoll. Die Protokolle, die es und ähnliche Tools unterstützen – VMess, VLESS, Trojan und andere –, teilen eine Idee mit dem einfachen HTTPS-Proxy: Proxy-Verkehr in TLS verpacken, damit er wie der Besuch einer HTTPS-Website aussieht. Die meisten Server im Abo eines Proxy-Anbieters sind von dieser Art; siehe VPN, Proxy-Abos und Beschleuniger im Vergleich.

• Stärken: TCP mit TLS kommt durch eingeschränkte Netze; ein einzelnes Programm lässt sich über den Proxy leiten, ohne den Rest des Geräts anzufassen.
• Schwächen: Das sind Proxys, keine Tunnel, also entscheiden die Client-Regeln, was über den Proxy läuft, und eine falsche Regel zeigt sich darin, dass manche Websites nicht laden; die Clients akzeptieren unterschiedliche Formate.
• Das einfachste Mitglied ist ein HTTPS-Proxy im Browser: eine Erweiterung, kein Client zu installieren, kein Verbindungszustand – siehe Was ein Web-Proxy ist und wann er sich eignet.

Ein Konto bei LeoTun hat sechs Verbindungsarten, die auf unterschiedlichen Protokollen laufen. Eine Störung bei einer betrifft die anderen nicht; hakt eine, wechseln Sie im selben Konto zu einer anderen.

• Cisco: Cisco AnyConnect, über TLS. Erste Wahl, wo UDP beschränkt ist. Siehe Bereich Cisco.
• OpenVPN: bevorzugt UDP und weicht automatisch auf TCP aus, wenn UDP beschränkt ist. Siehe Bereich OpenVPN.
• Privat: Tailscale, auf Basis von WireGuard. Einmal anmelden und online bleiben; Geräte im selben Konto erreichen einander. Siehe Bereich Privat.
• Hiddify: der Hiddify-Client mit dem Protokoll hysteria2. Am schnellsten bei Paketverlust. Siehe Bereich Hiddify.
• Web-Proxy: ein verschlüsselter HTTPS-Proxy, der nur den Browser abdeckt. Siehe Bereich Web-Proxy.
• Router: Die Firmware trifft die Wahl und aktualisiert sich selbst; Sie melden sich an und nutzen ihn, ohne ein Protokoll wählen zu müssen. Siehe Bereich Router.
• Zur Auswahl nach Gerät, Netz und Zweck siehe Welche Verbindungsart passt wofür?; zur Reihenfolge beim Wechseln, wenn etwas nicht klappt, siehe die Checkliste zur Fehlersuche.