Protocolos de VPN comparados: WireGuard, OpenVPN, AnyConnect, Hysteria2

• Se funciona numa rede restrita. Muitas redes de faculdade, escritório e hotel limitam o UDP e só deixam passar TCP com TLS, o mesmo tráfego de abrir um site. Protocolos baseados em UDP ficam lentos ou caem nelas; os baseados em TLS seguem funcionando.
• Qual a velocidade quando há perda de pacotes. Dados móveis, banda larga de prédio antigo e conexões entre países perdem pacotes com frequência, e o jeito como o protocolo lida com isso define a velocidade real nessas conexões.
• Quanta bateria gasta. Quanto mais leve o protocolo e menos pacotes de manutenção ele envia, menos energia consome; reconectar sem parar é o que mais gasta.
• Em quais aparelhos roda. Alguns protocolos têm cliente embutido em quase todo sistema, roteador e NAS; outros só existem como apps de celular e de computador.
• Um ponto a mais importa tanto quanto o protocolo em si: se há alternativa quando ele é detectado. Um serviço com um único protocolo fica sem saída quando esse protocolo sofre interferência.

• O que é: um protocolo de VPN de código aberto com mais de vinte anos; um único arquivo .ovpn traz tudo o que é preciso para conectar.
• Pontos fortes: o suporte mais amplo, com cliente embutido na maioria dos firmwares de roteador, sistemas de NAS e servidores Linux; roda sobre UDP ou TCP.
• Pontos fracos: mais pesado que os protocolos mais novos e mais exigente com a bateria do celular; o handshake tem uma assinatura fixa que redes restritivas conseguem reconhecer.
• Para quem: roteadores, NAS e servidores que precisam conectar ao ligar e rodar sem ninguém olhando. Veja Como usar o OpenVPN e quando escolher.

• O que é: um protocolo de VPN de código aberto mais novo, com código enxuto, incluído no kernel do Linux, com clientes para todos os sistemas populares.
• Pontos fortes: conecta rápido, pouco custo de criptografia, economiza bateria; a conexão se recupera sozinha quando você passa do Wi‑Fi para os dados móveis.
• Pontos fracos: só UDP, então falha ou se arrasta onde o UDP é limitado; o formato dos pacotes é fixo e fácil de reconhecer.
• Construído sobre ele: o Tailscale acrescenta login de conta e acesso entre aparelhos em cima do WireGuard, formando uma rede mesh em que você entra uma vez e fica sempre ligado; veja O que é a Rede privada (Tailscale).
• WireGuard x OpenVPN: numa rede limpa, o WireGuard é mais rápido e mais leve; o OpenVPN ganha em compatibilidade de aparelhos e em poder rodar sobre TCP.

• O que é: o protocolo de VPN corporativa da Cisco; o cliente hoje se chama Cisco Secure Client. Há implementações de código aberto: OpenConnect como cliente e ocserv como servidor.
• Pontos fortes: o tráfego roda sobre TLS padrão e, visto de fora, parece a visita a um site HTTPS, então continua funcionando em redes de faculdade e escritório que limitam UDP; você só informa endereço, usuário e senha, sem importar nada; empresas do mundo todo dependem dele para trabalho remoto, então há clientes em todas as plataformas.
• Pontos fracos: depois de conectado, o aparelho inteiro vai pela rota, e manter os sites locais em acesso direto exige um roteamento inteligente à parte; em conexões com perda de pacotes, é mais lento que um protocolo feito para lidar com perda.
• Para quem: redes de faculdade e escritório, iPhones, aparelhos mais antigos. Mais em O Cisco AnyConnect funciona na China?

• O que é: um protocolo de proxy de código aberto construído sobre QUIC, o transporte baseado em UDP que o HTTP/3 usa.
• Pontos fortes: lida com a perda de pacotes de propósito e é o mais rápido do grupo em dados móveis, banda larga de prédio antigo e conexões entre países; o tráfego se parece com HTTP/3 comum.
• Pontos fracos: usa UDP, então fica lento ou cai onde o UDP é limitado; precisa de um cliente que o suporte, como o Hiddify e a família sing-box.
• Para quem: seu próprio celular e computador, quem prioriza velocidade, rede com perda de pacotes. Os passos de importação estão em o guia do link de assinatura.

O v2ray é uma ferramenta de proxy, não um protocolo. Os protocolos que ele e ferramentas parecidas suportam (VMess, VLESS, Trojan e outros) compartilham uma ideia com o proxy HTTPS simples: embrulhar o tráfego do proxy em TLS para parecer a visita a um site HTTPS. A maioria dos nós na assinatura de um provedor de linhas é desse tipo; veja VPN x provedores de linhas x aceleradores.

• Pontos fortes: TCP com TLS passa por redes restritas; dá para usar proxy num único programa sem mexer no resto do aparelho.
• Pontos fracos: são proxies, não túneis, então as regras do cliente decidem o que passa pelo proxy, e uma regra errada aparece como alguns sites que não abrem; os clientes diferem nos formatos que aceitam.
• O membro mais simples é um proxy HTTPS no navegador: uma extensão, sem cliente para instalar e sem estado de conexão; veja O que é um proxy web e quando usar.

Uma conta do LeoTun tem seis formas de conexão rodando em protocolos diferentes. A interferência numa não afeta as outras, então, quando uma tiver dificuldade, você troca para outra na mesma conta.

• Cisco: Cisco AnyConnect, sobre TLS. Primeira escolha onde o UDP é limitado. Veja a seção Cisco.
• OpenVPN: prefere UDP e volta para TCP automaticamente quando o UDP é limitado. Veja a seção OpenVPN.
• Rede privada: Tailscale, baseado em WireGuard. Entre uma vez e fique on-line; os aparelhos de uma conta se acessam entre si. Veja a seção Rede privada.
• Hiddify: o cliente Hiddify com o protocolo hysteria2. O mais rápido em conexões com perda. Veja a seção Hiddify.
• Proxy Web: um proxy HTTPS criptografado que cobre só o navegador. Veja a seção Proxy Web.
• Roteador: o firmware faz a escolha e se atualiza sozinho; você entra e usa, sem protocolo para escolher. Veja a seção Roteador.
• Para escolher por aparelho, rede e finalidade, veja Qual forma de conexão combina com cada situação; para a ordem de troca quando algo falha, veja a lista de solução de problemas.