WireGuard to protokół VPN zaprojektowany przez Jasona A. Donenfelda jako prostsza, bezpieczniejsza i szybsza alternatywa dla OpenVPN i IPsec. Od wersji 5.6 (marzec 2020 roku) jest częścią jądra Linuksa, a dziś działa też na Windowsie, macOS, iOS, Androidzie i wielu routerach.
Skąd bierze się jego szybkość? Nie z jednej sztuczki, tylko z kilku decyzji projektowych naraz. Poniżej wyjaśniamy je po kolei – i uczciwie piszemy, gdzie kończy się przewaga WireGuarda.
W skrócie: WireGuard ma mało kodu, jeden stały zestaw nowoczesnej kryptografii, krótki handshake i działa w jądrze systemu. Dzięki temu szyfruje dane przy mniejszym obciążeniu procesora niż klasyczny OpenVPN. Działa jednak tylko po UDP, więc w sieciach blokujących UDP lepiej sprawdzi się SoftEther przez TCP 443 albo OpenVPN w trybie TCP.
Spis treści
- Dlaczego WireGuard jest szybki
- Ile szybszy jest w praktyce
- Kiedy WireGuard nie jest najlepszym wyborem
- WireGuard w Polski-VPN.pl
- Najczęstsze pytania
Dlaczego WireGuard jest szybki
1. Mała baza kodu
- Według dokumentacji technicznej autora implementacja dla Linuksa ma mniej niż 4000 linii kodu (bez samych algorytmów kryptograficznych).
- OpenVPN i implementacje IPsec, razem z bibliotekami kryptograficznymi, z których korzystają, są wielokrotnie większe.
- Efekt: taki kod łatwiej przejrzeć i sprawdzić pod kątem błędów, a mniej kodu to mniejsza powierzchnia ataku. Ta cecha przekłada się przede wszystkim na bezpieczeństwo – za szybkość odpowiadają głównie kolejne punkty.
2. Stały zestaw nowoczesnej kryptografii
WireGuard nie negocjuje szyfrów – każde połączenie używa tego samego, z góry ustalonego zestawu algorytmów (opis protokołu). Nie da się go więc źle skonfigurować ani zmusić do słabszego szyfru, a nawiązanie połączenia jest krótsze.
- Szyfrowanie: ChaCha20-Poly1305 (RFC 7539). ChaCha20 działa szybko także na procesorach bez sprzętowej akceleracji AES, np. w routerach, starszych smartfonach i przystawkach Android TV. Na nowoczesnych komputerach z akceleracją AES różnica względem AES-GCM jest mniejsza.
- Wymiana kluczy: krzywa eliptyczna Curve25519 (ECDH).
- Funkcja skrótu: BLAKE2s (RFC 7693), szybka w implementacjach programowych.
- Wyprowadzanie kluczy: HKDF (RFC 5869), a do kluczy w tablicach wewnętrznych – SipHash24.
- Handshake: oparty na frameworku Noise (wariant Noise_IKpsk2).
Opcjonalnie można dodać współdzielony klucz (PresharedKey). Autorzy przewidzieli go jako dodatkową warstwę szyfrowania symetrycznego, np. na wypadek przyszłych ataków z użyciem komputerów kwantowych. Więcej o tym, jak działa szyfrowanie w VPN, przeczytasz w osobnym poradniku.
3. Działanie w jądrze systemu
- Linux: WireGuard jest wbudowany w jądro, więc pakiety nie muszą być przy każdym przesłaniu kopiowane między jądrem a programem działającym w przestrzeni użytkownika. To zmniejsza obciążenie procesora i opóźnienia.
- Windows: oficjalna aplikacja korzysta ze sterownika jądra WireGuardNT, który w kwietniu 2026 roku doczekał się wersji 1.0.
- Android: oficjalna aplikacja używa modułu jądra, jeśli jest dostępny, a w przeciwnym razie – wydajnej implementacji w przestrzeni użytkownika (bez roota).
- macOS i iOS: WireGuard działa jako rozszerzenie sieciowe systemu, w implementacji napisanej w języku Go.
4. Prosty protokół na UDP
- WireGuard przesyła dane wyłącznie po UDP. Nie ma więc problemu „TCP w TCP”, który spowalnia OpenVPN uruchomiony w trybie TCP, gdy na łączu giną pakiety.
- Handshake to tylko dwie wiadomości: zapytanie i odpowiedź, czyli jeden obieg (1 RTT). Nie ma w nim negocjowania algorytmów.
- Serwer nie odpowiada na pakiety od nieuwierzytelnionych nadawców i nie przydziela im zasobów. Dla skanera portów WireGuard jest „niewidoczny”, a atak polegający na zalewaniu serwera fałszywymi pakietami jest trudniejszy.
- Cryptokey Routing: każdy klucz publiczny ma przypisaną listę adresów IP dozwolonych w tunelu (AllowedIPs). Ta lista działa jednocześnie jak tablica routingu i lista kontroli dostępu.
5. Roaming i automatyczna wymiana kluczy
- Strony połączenia rozpoznają się po kluczach publicznych, a nie po adresach IP. Serwer wysyła dane na adres, z którego przyszedł ostatni poprawnie uwierzytelniony pakiet.
- Efekt: gdy telefon przełączy się z Wi-Fi na LTE, tunel działa dalej bez ponownego łączenia – wystarczy, że wyśle kolejny pakiet z nowego adresu.
- Klucze sesji są odnawiane w tle co 2 minuty (parametr Rekey-After-Time = 120 sekund), bez przerywania transmisji.
- Za routerem z NAT warto ustawić PersistentKeepalive (zwykle 25 sekund). Dzięki temu router nie zamknie „bezczynnego” połączenia i serwer zawsze może do Ciebie dotrzeć.
6. Narzut na pakiet
- Każdy pakiet WireGuard ma 16-bajtowy nagłówek i 16-bajtowy znacznik uwierzytelnienia Poly1305 – razem 32 bajty (plus dopełnienie danych do wielokrotności 16 bajtów). Do tego dochodzą nagłówki UDP i IP, więc łączny narzut to 60 bajtów w IPv4 i 80 bajtów w IPv6. Dlatego w konfiguracjach WireGuard często spotkasz MTU 1420.
- OpenVPN z szyfrem AES-GCM czy IPsec mają narzut podobnej wielkości, więc rozmiar nagłówka nie jest głównym źródłem przewagi WireGuarda.
Ile szybszy jest w praktyce
Autor WireGuarda opublikował w dokumentacji technicznej wyniki testów na dwóch komputerach połączonych siecią 1 Gb/s (procesory Intel Core i7, pomiar iperf3 uśredniony z 30 minut):
| Protokół | Przepustowość | Ping |
|---|---|---|
| WireGuard (ChaCha20-Poly1305) | 1011 Mb/s | 0,403 ms |
| IPsec (ChaCha20-Poly1305) | 825 Mb/s | 0,501 ms |
| IPsec (AES-GCM) | 881 Mb/s | 0,508 ms |
| OpenVPN (AES, HMAC-SHA2-256, UDP) | 258 Mb/s | 1,541 ms |
Te liczby trzeba czytać z dwoma zastrzeżeniami:
- To stare testy. Powstały na jądrze Linux 4.6 i sam autor określa je na stronie projektu jako przestarzałe. Od tego czasu przyspieszyły zarówno WireGuard, jak i IPsec.
- OpenVPN nadrabia dystans. Moduł DCO (Data Channel Offload) przenosi szyfrowanie OpenVPN do jądra: od wersji 6.16 jest wbudowany w Linuksa, a na Windowsie obsługuje go OpenVPN Connect 3.4 i nowsze. Twórcy OpenVPN deklarują do 300% wyższą wydajność niż bez DCO – pod warunkiem że obsługuje go także serwer.
Co to znaczy dla Ciebie? Przewagę WireGuarda najbardziej odczujesz na szybkich łączach i słabszych urządzeniach – routerach, starszych telefonach i przystawkach Android TV – gdzie procesor jest wąskim gardłem. Na pingu w grach czy rozmowach różnica jest mniejsza, niż sugerują testy: nawet w nich cały ping w sieci lokalnej wynosił 0,4-1,5 ms, a przez internet o opóźnieniu decyduje głównie odległość do serwera.
Kiedy WireGuard nie jest najlepszym wyborem
- Sieci blokujące UDP. W hotelach, sieciach firmowych czy na uczelniach ruch UDP bywa blokowany, a WireGuard nie ma trybu TCP. Wtedy lepiej sprawdzi się SoftEther albo OpenVPN w trybie TCP na porcie 443 – z tego portu korzystają strony HTTPS, więc rzadko jest blokowany.
- Łatwe rozpoznanie. WireGuard nie ukrywa, że jest VPN-em, więc sieci stosujące głęboką inspekcję pakietów (DPI) mogą go łatwo wykryć i zablokować.
- Statyczna konfiguracja. Zamiast loginu i hasła WireGuard używa par kluczy i stałego adresu IP w tunelu, zapisanych w pliku konfiguracyjnym. To proste, ale każde urządzenie potrzebuje własnej konfiguracji.
Szczegółowe porównanie protokołów znajdziesz w artykule „Porównanie protokołów VPN: L2TP, WireGuard i OpenVPN”.
WireGuard w Polski-VPN.pl
Polski-VPN.pl obsługuje WireGuard, OpenVPN, SoftEther i SSTP, ma serwery w Polsce i nie limituje transferu. Dzięki temu możesz dobrać protokół do sieci, w której jesteś:
- WireGuard – konfigurację przygotowujemy ręcznie, więc po zakupie poproś o nią na WhatsAppie albo e-mailem. Plik .conf zaimportujesz w oficjalnej aplikacji WireGuard (Windows, macOS, iOS, Android), za pomocą wg-quick na Linuksie albo na routerze – zobacz poradniki dla Asusa i TP-Linka.
- OpenVPN – dane dostajesz automatycznie zaraz po zakupie. Polecamy aplikację OpenVPN Connect (instrukcja instalacji).
- SoftEther przez TCP 443 – gdy sieć blokuje UDP. W naszych aplikacjach na Androida, Android TV, Windows i macOS połączysz się bez dodatkowych formalności.
Pomoc po polsku znajdziesz na WhatsAppie 7 dni w tygodniu, a na zwrot pieniędzy masz 14 dni.
Najczęstsze pytania
Czy WireGuard jest bezpieczny?
Tak. Używa nowoczesnych, dobrze przebadanych algorytmów, nie pozwala wybrać słabszego szyfru, a mała baza kodu ułatwia audyty. Od 2020 roku jest częścią jądra Linuksa.
Czy WireGuard działa po TCP?
Nie, tylko po UDP. Jeśli sieć blokuje UDP, użyj SoftEther przez TCP 443 – w naszych aplikacjach zrobisz to bez dodatkowej konfiguracji.
Który protokół wybrać do oglądania polskiej telewizji?
Na stabilnym łączu domowym najlepiej sprawdzi się WireGuard albo OpenVPN. W hotelu czy sieci firmowej, gdzie UDP bywa blokowane, wybierz SoftEther lub SSTP.
Dlaczego WireGuard nie łączy się w hotelu albo w pracy?
Najczęściej sieć blokuje ruch UDP albo system DPI rozpoznaje WireGuard i go odcina. Przełącz się na SoftEther lub SSTP. Gdy to nie pomoże, napisz do nas na WhatsAppie.
