WireGuard vs OpenVPN vs IKEv2:VPNプロトコル比較
WireGuard vs OpenVPN vs IKEv2:わかりやすいVPNプロトコル比較
VPNがどのプロトコルを使うかによって、速度はもちろん、地下鉄のトンネルを通り抜けられるか、検閲ファイアウォールに見つかってブロックされるか、そして信頼するに足るとセキュリティ研究者が判断するまでにどれだけのコードを監査しなければならないかが決まります。今日では、ほとんどのアプリがデフォルトで WireGuard を採用し、たいていの人が開くことのない設定メニューで切り替えられるようにしています。そのデフォルトはたいていの場合正しい選択ですが、常に正しいとは限りません。
このガイドでは、ありきたりな長所・短所の一覧表は省きます。代わりに、あなたが実際にやっていること——Wi-Fiと携帯回線の切り替え、制限の厳しいネットワークの回避、ストリーミング、ゲーム、古いルーターからの接続——から逆算して、なぜそのプロトコルがその用途で勝つのかを 理由 とともに説明します。さらに、ベンダーが設定の片隅にひっそりと埋め込んでいる非推奨・独自プロトコルの名前も挙げ、何を避けるべきか、そしてブランド名が実際には何を指しているのかが分かるようにします。
30秒で決まる判断ツリー
ほかに何も覚えられなくても、このタスクからプロトコルへの対応だけは覚えておいてください。
Wi-Fiと携帯回線を絶えず切り替えるスマホ → IKEv2/IPsec。そのMOBIKE拡張が、ネットワークが切り替わってもトンネルを目に見える切断なしに維持します。
検閲、またはVPNをブロックするネットワーク → TCPポート443上のOpenVPN(またはベンダーの難読化モード)。通常のHTTPS通信のように見せかけることができます。
ストリーミング、ゲーム、大容量ダウンロード、日常利用 → WireGuard。3つの中で最も遅延が低く、スループットが高く、暗号方式も最新です。
古いルーター、NAS、特殊なOSでの最大限の互換性 → OpenVPN。ほぼあらゆる場所で動作し、ほとんどすべてのプラットフォームに移植されています。
特別な要件がない → アプリのデフォルトのままにしておきましょう。ほぼ確実にWireGuardかWireGuardベースのビルドです。
以下では、これらの選択の背後にある理屈をすべて説明します。状況がそれを求めるとき、自信を持ってデフォルトを上書きできるようになるでしょう。
数字で見る:速度、オーバーヘッド、監査のしやすさ
これらが、プロトコル間で実際に差が出る指標です。スループットとレイテンシの数値は方向性を示すものとして捉えてください——実際の速度は、プロトコルよりもサーバーの負荷、距離、あなた自身の回線にはるかに大きく左右されます——が、その 相対的な 順位は、独立した各種テストでもWireGuardプロジェクト自身のベンチマークでも一貫しています。
スループット: WireGuardは3つの中で最速です。WireGuardプロジェクトが公開したベンチマークでは、同一ハードウェア上でOpenVPNが約258 Mbpsだったのに対し、WireGuardはおよそ1,011 Mbpsを叩き出しました。IKEv2/IPsecは通常その中間に収まります。
レイテンシ/オーバーヘッド: WireGuardは往復遅延の増加が最も小さく——処理オーバーヘッドはしばしば1ミリ秒の数分の一程度です——暗号処理が軽量でカーネル内に存在するためです。OpenVPNはユーザー空間で動作し、より重いTLSハンドシェイクを伴うため、増加量が最も大きくなります。
コードベースの規模と監査のしやすさ: WireGuardのLinux実装は約4,000行未満であることで有名です。OpenVPNは数万行に及び、別個の暗号ライブラリ(OpenSSLやmbedTLS)に依存するため、現実的に監査すべき範囲は数十万行にまで膨らみます。コードベースが小さいほどバグの潜む場所が少なく、一人の専門家でも実際にレビューを完了できます。
再接続の挙動: WireGuardはコネクションレスで「常時オン」です——リンクが切れて復帰すれば、次のパケットでそのまま再開します。IKEv2は素早く再接続し、MOBIKEを使えば切断なしにネットワーク間を移行します。OpenVPNはTLSセッションを再構築しなければならないため、再接続は最も遅く、最も目立ちます。
トランスポート: WireGuardは UDP専用 です。OpenVPNは UDPまたはTCP で動作します。IKEv2/IPsecは UDP(ポート500と4500)を使用します。
WireGuardは2020年3月、バージョン5.6でLinuxカーネル本体にマージされました。これが高い性能を発揮する理由の一つです。カーネル空間でのパケット処理は、ユーザー空間のプロトコルが支払うコンテキストスイッチのコストを回避できるのです。
午後のひとときで読み切れるおよそ4,000行か、それともチームを組まなければ監査できない暗号スタックか——この一点が、WireGuardの評判のほとんどを説明しています。
WireGuardが速度と信頼で勝つ理由
WireGuardの速さはマーケティングではなく、設計上の選択の帰結です。OpenVPNのように交渉可能な暗号方式のメニューを持つのではなく、固定された最新の暗号プリミティブ一式——認証付き暗号化に ChaCha20-Poly1305、鍵交換に Curve25519、ハッシュに BLAKE2s を用い、Noiseプロトコルフレームワークの上に構築——を使います。交渉がないということは、遅いハンドシェイクの往復もなく、脆弱な暗号方式へダウングレードされるリスクもないということです。
小さなコードベースこそが信頼の物語です。セキュリティはレビュー可能なコードから生まれます。4,000行のモジュールは、監査担当者が実際に端から端まで読み切ったものなのです。WireGuardはまた静かに動作します。送るべきものがないときはパケットを一切送らないため、接続はスリープ、サスペンド、アイドル状態を生き延び、瞬時に「目覚め」ます。生の速さ、低レイテンシ、レビューのしやすさというこの組み合わせこそが、ストリーミング、ゲーム、ダウンロード、通常のブラウジングにとって正しいデフォルトである理由です。
IKEv2/IPsecがモバイルで勝つ理由
スマホにとっての決定的な機能が MOBIKE——RFC 4555として標準化された、IKEv2のモビリティおよびマルチホーミングプロトコルです。家を出てスマホがWi-FiからLTEへ切り替わると、端末のIPアドレスが変わります。ほとんどのプロトコルでは、これはトンネルが切れて再構築しなければならないことを意味します。MOBIKEは、既存のIKEv2セキュリティアソシエーションをトンネルを破棄・再確立することなく新しいIPアドレスへ 移行 させるため、切り替えの間もVPNは目に見える中断なしに維持されます。
IKEv2はiOS、macOS、Windowsでネイティブにサポートされているため、動作にサードパーティ製アプリを必要としません。実際に切断が起きた後も非常に素早く再接続するため、電波の不安定な携帯回線にも最適です。弱点は検閲耐性です。固定されたUDPポート(500と4500)に依存しているため、本気のファイアウォールはそれを単純にブロックでき、OpenVPNと違ってHTTPSの中に隠れることも簡単ではありません。WireGuardもコネクションレス設計のおかげでローミングをうまくこなしますが、シームレスで目に見えないモバイルのハンドオフにおいては、IKEv2のMOBIKEが依然としてゴールドスタンダードです。
OpenVPNが制限の厳しいネットワークで今なお勝つ理由
OpenVPNの必殺技はカモフラージュです。ポート443のTCP 上で動作できる——通常のHTTPSウェブ通信と同じトランスポートとポート——ため、VPN接続を、ただウェブサイトを読み込んでいるだけの通信と区別するのを非常に難しくできます。通信のシグネチャを見抜いてVPNをブロックしたり、UDPを丸ごとブロックしたりするネットワークでは、これだけが唯一通り抜けられる手段であることがしばしばです。WireGuardは非標準ポート上のUDP専用であるため、比較的フィンガープリントしてブロックしやすく、だからこそプロバイダーは検閲地域向けに追加の難読化レイヤーで包むのです。
OpenVPNは互換性の王者でもあります。事実上あらゆるOS、ルーターファームウェア(DD-WRT、OpenWrt、pfSense)、NASプラットフォームに移植されているため、ほかの何もインストールできないときでも、OpenVPNならたいてい入ります。引き換えになるのは速度です。ユーザー空間のアーキテクチャとTLSのオーバーヘッドにより3つの中で最も遅く、TCPモードはさらにそれ自身のペナルティを加えます。
OpenVPNのTCPとUDP、その違い
OpenVPNを選ぶとき、あなたはトランスポートも選ぶことになり、その選択は本物のトレードオフです。
UDP はより速く、デフォルトの選択肢です。配送や順序を保証しませんが、それで構いません。トンネルの 内側 のプロトコル(TCPそのものなど)がそれを処理するからです。接続できない場合を除き、すべてにUDPを使いましょう。
TCP は順序通りの信頼性のある配送を保証し——そして決定的に重要なのは——TCPのみ、特にポート443のみを許可するファイアウォールやプロキシを通過できます。その代償が TCP-over-TCP 問題(「TCPメルトダウン」とも呼ばれます):トンネルのTCPとあなたの通信のTCPの両方が同時にパケット損失から回復しようとすると、スループットが崩壊しかねません。UDPがブロックされているか不安定なときだけTCPに手を伸ばしましょう。
ベンダーが埋もれさせるプロトコル:PPTP、L2TP/IPsec、独自ビルド
一部のプロトコルは、過去のしがらみからまだドロップダウンメニューに残っています。どれを避けるべきか知っておきましょう。
PPTP — 使ってはいけません。 Point-to-Point Tunneling Protocolは1990年代に遡り、そのMS-CHAPv2認証は10年以上にわたって事実上破られる状態にあります。速いのは、ほとんど何も守っていないからにすぎません。時代遅れとみなしてください。メニューに残っているのは、ひとえに大昔の互換性のためです。
L2TP/IPsec — 慎重に判断を。 L2TP自体は暗号化を提供しないため、常にIPsecと組み合わせて使われます。広くサポートされており、適切に設定すれば許容できますが、最新の選択肢より遅く、ブロックしやすい固定ポートを使い、IPsecが弱体化されているのではという憶測が長年つきまといます。IKEv2(これもIPsecベースです)やWireGuardより、あえてこれを選ぶ理由はめったにありません。
SSTP — ニッチ。 TLS/443上で動作するMicrosoftのプロトコルで(そのためOpenVPNに似たファイアウォール通過性を持ちます)、実質的にWindows専用かつクローズドソースです。Windowsで急場をしのぐには問題ありませんが、第一の選択肢ではありません。
さらに ブランド化されたプロトコル があります。マーケティング上の名前はより単純な現実を覆い隠しており、その向こう側を見抜くことには価値があります。
NordLynx(NordVPN)は、WireGuardのプライバシー上の癖(これについては次で詳述します)を解消するためにカスタムのダブルNATシステムを上に重ねた WireGuard です。中身は まさに WireGuardです。
多くのプロバイダーの「独自」高速プロトコル は、単に別のラベルと多少の難読化をまとったWireGuardにすぎません——Mullvad、Surfsharkなどは、WireGuardを直接、あるいは軽く包んで動かしています。
Lightway(ExpressVPN)は本物の例外です。WireGuardのフォークではなく、wolfSSL暗号ライブラリの上にゼロから構築された、オープンソースの軽量プロトコルです——とはいえ、小さく監査可能なコードベースと素早い再接続というWireGuardの設計思想を共有しています。
Catapult Hydra(Hotspot Shield)はクローズドな独自トランスポートです。クローズドなプロトコルは、WireGuardやOpenVPNのように独立して監査することができず、これは意味のある信頼の格下げです。
WireGuardのプライバシー上の落とし穴——そしてプロバイダーがそれをどう解消するか
WireGuardには商用VPNにとって本物の弱点が一つあり、これは恐れるよりも理解する価値があります。設計上、WireGuardは各ユーザーの公開鍵をトンネル内の 静的な内部IPアドレス とペアにし、サーバーはその対応関係をセッションの間メモリに保持します。プライバシー重視のサービスにおいて、これは厄介です。鍵に紐づいた固定の内部IPと、WireGuardが保持する最後に確認されたエンドポイントは、原理的にはセッションをまたいであなたの活動を結びつけるのに使えてしまう——これはノーログVPNが約束することとは正反対です。
評判の良いプロバイダーは、これを保存するのではなく、回避するよう設計しています。NordLynxの ダブルNAT がよく文書化されたアプローチです。2層目のネットワークアドレス変換により、サーバーは内部アドレスを動的に割り当てられ、あなたのアカウントに紐づいた識別可能な静的IPを保持せずに済みます。ほかにも、鍵を頻繁にローテーションしたり、セッションごとにアドレスを割り当てたりするものもあります。要点はこうです。WireGuard自体は優秀ですが、商用 サービスではそれを取り巻くプロバイダーの実装が重要になります。だからこそ、これはどのベンダーに対しても問うに値する質問なのです。
実践的な要点:いつデフォルトを上書きすべきか
日常利用では自動モードのままにしておきましょう——あなたのアプリはほぼ間違いなくWireGuardをデフォルトにしており、速度とセキュリティの面でそれが正しい選択です。次のような場合には、プロトコルメニューを開いて意図的に変更してください。
通勤中にスマホがトンネルを切断し続ける → MOBIKEのシームレスなハンドオフを得るために IKEv2 に切り替える。
ホテル、大学、職場、検閲ネットワークでVPNがまったく接続しない → TCP 443上のOpenVPN に切り替えるか、アプリの難読化/ステルスモードを有効にする。
ルーター、NAS、古い端末で必要 → 最も広く移植されている OpenVPN を使う。
最も小さく監査可能なコードベースと最低のレイテンシを最重視する → WireGuard のままにしておく。
リストにPPTPが見える → 決して選んではいけません。PPTPとL2TPしか提供されていない場合はL2TP/IPsecを選びますが、それはもっと装備の整ったサービスを選ぶべきサインだと捉えてください。
唯一絶対の「最良のVPNプロトコル」というものは存在しません——あるのは、目の前のタスクにとって 最良のプロトコルです。速度と信頼にはWireGuard、モバイルにはIKEv2、ステルスと互換性にはOpenVPN、そして非推奨の選択肢は何にも使えません。どれがどれかを知っていることが、静かに動き続けるVPNと、まさに必要なときに失敗するVPNとの分かれ目になります。
よくある質問
WireGuardとOpenVPNではどちらが優れていますか?
速度、レイテンシ、小さく監査可能なコードベースの点ではWireGuardが勝ります——より速く、レビューもはるかに簡単です。一方、制限の厳しいネットワークで通信をHTTPSに見せかける必要がある場合(TCP 443経由)や、ルーターやNASのような特殊な端末で動かす場合はOpenVPNが優れています。日常的な回線を使うほとんどの人にとっては、WireGuardの方が良いデフォルトです。
モバイルではIKEv2の方がWireGuardより優れていますか?
シームレスなモバイルのハンドオフではIKEv2に分があります。MOBIKE(RFC 4555)が、スマホがWi-Fiから携帯回線へ切り替わる際に、アクティブなトンネルを切断せずに新しいIPアドレスへ移すからです。WireGuardもコネクションレス設計のおかげでローミングをうまくこなしますが、目に見えないネットワーク切り替えにおいてはIKEv2のMOBIKEが依然としてゴールドスタンダードであり、iOS、macOS、Windowsに組み込まれています。
総合的に最良のVPNプロトコルは何ですか?
唯一の最良のプロトコルというものはなく、タスクによります。速度とセキュリティにはWireGuard、頻繁にネットワークが変わるモバイル端末にはIKEv2、検閲やVPNブロックのあるネットワークにはTCP 443上のOpenVPNを使いましょう。特別な要件がなければ、アプリのデフォルト(通常はWireGuard)が正しい選択です。
OpenVPNはTCPとUDPのどちらで使うべきですか?
デフォルトではUDPを使いましょう——より速く、トンネルの内側のプロトコルが信頼性を自分で処理してくれます。TCP、特にポート443への切り替えは、UDPがブロックされているか不安定なときだけにしてください。TCPは厳格なファイアウォールを通過できますが、パケット損失下でスループットを激減させる「TCP-over-TCP」メルトダウンに陥ることがあります。
2026年にPPTPを安全に使えますか?
いいえ。PPTPのMS-CHAPv2認証は10年以上にわたり事実上破られる状態にあるため、速くてもほとんど実質的な保護を提供しません。アプリのメニューに残っているのは過去の互換性のためだけです。代わりにWireGuard、IKEv2、OpenVPNを使い、PPTPは決して選ばないでください。
NordLynxは単なるWireGuardですか?
はい——NordLynxは、上にカスタムのダブルNAT層を加えたWireGuardです。このダブルNATは、各ユーザーの鍵に静的な内部IPをペアにするというWireGuardのプライバシー上の癖を解消し、サーバーがアドレスを動的に割り当てることで識別可能な情報を一切保存しないようにします。ほかの多くの「独自」高速プロトコルも、同様にブランド名をまとったWireGuardです。
WireGuardにはプライバシーの問題がありますか?
設計上、WireGuardは各ユーザーに公開鍵に紐づいた静的な内部IPを割り当て、サーバーはその対応関係をセッションの間保持するため、商用VPNでは活動を結びつけられる可能性があります。評判の良いプロバイダーは、動的なダブルNAT、頻繁な鍵のローテーション、セッションごとのアドレス割り当てでこれを緩和しているため、プロバイダーが慎重に実装する限り、プロトコル自体は優秀です。
