VPN-protokoll förklarade: WireGuard, OpenVPN och IKEv2

När din VPN-app ansluter till en server måste båda sidor vara överens om hur det ska gå till: hur de bevisar vilka de är, vilka nycklar och vilken kryptering som ska användas och hur trafiken paketeras och skickas. Den uppsättningen regler kallas protokoll. Protokollet påverkar hur snabbt du ansluter, hur anslutningen klarar att du byter från wifi till mobilnät och om den går igenom nät som försöker stoppa VPN-trafik.

Det protokollet inte avgör är vem som driver servern och vad den sparar. Det är tjänstens loggpolicy och ägare som bestämmer det – läs mer i vad är VPN?

WireGuard beskriver sig som en enkel, snabb och modern VPN som använder ”state-of-the-art” kryptografi, bland annat Curve25519, ChaCha20 och Poly1305. Målet är att vara snabbare, enklare och smidigare än IPsec och betydligt effektivare än OpenVPN – det är projektets egen beskrivning. WireGuard skrevs först för Linux, där det i dag ingår i kärnan, och finns nu även för Windows, macOS, iOS och Android.

I praktiken möter du WireGuard på två sätt: som ett val i VPN-apparna, ibland under ett eget namn, och som en konfigurationsfil du laddar ner från tjänsten när du ska installera VPN på routern.

OpenVPN är öppen källkod under GPL-licens och har funnits sedan början av 2000-talet. Det använder SSL/TLS och hämtar sin kryptering från biblioteket OpenSSL. En styrka är flexibiliteten: OpenVPN kan skicka trafiken över både UDP och TCP, och alla sju tjänster i vår jämförelse och många routrar stöder det.

Priset för flexibiliteten är många inställningar, något manualen själv påpekar. Använd OpenVPN som reserv när det nyare protokollet inte vill ansluta – ExpressVPN listar till exempel OpenVPN över TCP och UDP bland reservvalen, efter Lightway och WireGuard – eller när routern bara klarar OpenVPN.

IKEv2 är en standard som finns inbyggd i Windows, macOS och iOS. Med tillägget MOBIKE kan en VPN-klient hålla anslutningen vid liv när enhetens IP-adress ändras, till exempel när mobilen går från wifi till mobilnät. Det är en fördel i telefonen.

Du stöter oftast på IKEv2 i jobbets VPN eller om du ställer in en VPN utan app. Windows inbyggda klient klarar IKEv2, SSTP, L2TP och PPTP, och Apples inbyggda klient klarar IKEv2, L2TP över IPsec och Cisco IPsec. Ingen av dem klarar WireGuard eller OpenVPN, så för en vanlig VPN-tjänst är appen nästan alltid enklare – mer om det i guiden om VPN för Windows.

• NordLynx är NordVPN:s protokoll, byggt runt WireGuard med ett eget system för dubbel adressöversättning (dubbel NAT) som enligt NordVPN ska ge bättre integritet. Det är det rekommenderade standardvalet i NordVPN:s appar.
• Lightway är ExpressVPN:s eget protokoll. Kärnan är öppen källkod på GitHub (AGPL-licens), och efter att ExpressVPN skrev om den i programspråket Rust granskades den av Cure53 och Praetorian 2024. Cure53 hade granskat Lightway även 2021 och 2022. Enligt ExpressVPN har Lightway skydd mot framtida kvantdatorer påslaget som standard och finns i apparna för Android, iOS, Windows, Mac, Linux och routrar.
• Stealth är Proton VPN:s protokoll för nät som blockerar VPN. Det är byggt för att dölja att trafiken är VPN-trafik.

De här protokollen finns bara i respektive tjänsts egna appar. Byter du tjänst byter du också protokoll.

PPTP är ett gammalt protokoll som fortfarande finns i Windows inbyggda klient. Apple tog bort det ur de inbyggda VPN-inställningarna i iOS 10 och macOS Sierra och skriver att det inte bör användas för säker, privat kommunikation. L2TP krypterar inte själv utan kombineras med IPsec för att skydda trafiken – därav namnet L2TP/IPsec.

I oktober 2024 meddelade Microsoft att PPTP och L2TP fasas ut ur kommande versioner av Windows Server. Microsoft skriver att protokollens brister är väldokumenterade och rekommenderar SSTP och IKEv2 i stället. Protokollen fungerar fortfarande, men de utvecklas inte vidare och kan tas bort. Erbjuder en tjänst bara PPTP är det ett skäl att välja en annan.

Låt appen välja. Tjänsterna har byggt sina appar kring ett standardval och anpassar det efter nätet du är på:

• ExpressVPN rekommenderar läget Automatiskt, som är förvalt och oftast landar på Lightway.
• NordVPN har NordLynx som rekommenderat standardval.
• Proton VPN har Smart Protocol påslaget som standard, som väljer protokoll åt dig.

Byt bara när du har ett skäl:

• Anslutningen krånglar eller är seg: prova ett annat protokoll i appens inställningar, till exempel OpenVPN över TCP.
• Nätet blockerar VPN: en del gästnät, till exempel på hotell, stoppar VPN-trafik. Proton VPN:s Stealth är gjort för just det. Följ alltid lagarna i landet du är i – läs mer i är VPN lagligt?
• Routern: WireGuard om routern klarar det, annars OpenVPN.
• Ingen app: IKEv2 i den inbyggda klienten.

Om VPN-anslutningen bryts – du går ur wifi-täckning, servern startar om – fortsätter enheten annars att skicka trafik direkt, med din vanliga IP-adress. En kill switch stoppar all internettrafik tills VPN:en är ansluten igen, så att din riktiga IP-adress inte syns. Proton VPN skiljer på två varianter:

• Vanlig kill switch slår till bara när anslutningen bryts av misstag, inte när du själv kopplar ner.
• Avancerad (permanent) kill switch släpper bara ut trafik när VPN:en är ansluten, även efter omstart.

När du vill ha den: på offentligt wifi och i alla lägen där det är viktigt att din IP-adress inte syns. Slå på den i appens inställningar och låt den vara på.

När den står i vägen: på hotell- och flygplatsnät med inloggningssida kan kill switchen blockera själva inloggningen. NordVPN råder dig att stänga av automatisk anslutning och kill switch, logga in på nätet och sedan ansluta VPN:en igen. Proton VPN påpekar också att du inte når enheter i ditt lokala nät när kill switch är påslagen – det kan till exempel gälla en nätverksskrivare.

Split tunneling betyder att en del av trafiken går genom VPN-tunneln och resten direkt ut på internet. Oftast väljer du appar eller sajter som ska undantas, men hos vissa tjänster kan du göra tvärtom och välja det enda som ska gå genom VPN:en.

När du vill ha det: när en app eller sajt kräver en lokal IP-adress eller krånglar med VPN – till exempel en bankapp, se BankID och VPN – eller när du vill låta en datakrävande app gå direkt medan resten skyddas.

Var det finns: funktionen skiljer sig mellan tjänster och plattformar.

• NordVPN: i apparna för Windows och Android.
• Proton VPN: i Windows och Android, och som experimentell funktion för appar på Mac – där fungerar den inte med appar byggda på WebKit, som Safari.
• Surfshark (funktionen heter Bypasser): appar och sajter i Windows, macOS och Android, bara sajter i iOS.

Tänk på: det du undantar har inget VPN-skydd. Hos Proton VPN måste split tunneling vara avstängt för att kill switch ska fungera på de flesta plattformar (Windows är undantaget). Och funktionen kan ha fel: ExpressVPN:s Windows-app skickade från maj 2022 till februari 2024 vissa DNS-förfrågningar utanför tunneln när split tunneling var påslaget.

• WireGuard – beskrivning, kryptering, plattformar.
• OpenVPN: manualen (openvpn.8) och källkoden på GitHub – SSL/TLS, OpenSSL, UDP och TCP, GPL-licens, upphovsrätt sedan 2002.
• RFC 4555: MOBIKE – IKEv2 när IP-adressen ändras.
• RFC 3193: Securing L2TP using IPsec – L2TP och IPsec.
• Microsoft Learn: VPN connection types – protokoll i Windows inbyggda klient.
• Microsoft: PPTP and L2TP deprecation – utfasning i Windows Server, oktober 2024.
• Apple: VPN-översikt för Apple-enheter och Apple: Prepare for removal of PPTP VPN.
• ExpressVPN: Lightway, Lightway på GitHub och ExpressVPN: Automatiskt och reservprotokollen.
• ExpressVPN: DNS-förfrågningar vid split tunneling i Windows och ExpressVPN: gästnät som blockerar VPN.
• NordVPN: WireGuard och NordLynx, NordVPN: split tunneling och NordVPN: logga in på wifi med inloggningssida.
• Proton VPN: protokoll och Smart Protocol, kill switch och split tunneling.
• Surfshark: split tunneling (Bypasser).