VPN protokol je skup pravila po kojima vaš uređaj i VPN poslužitelj uspostavljaju šifrirani tunel. O njemu ovisi koliko je veza brza, koliko dobro podnosi prelazak s Wi-Fi-ja na mobilne podatke i hoće li proći kroz strogi vatrozid u hotelu ili uredu. Danas se biraju uglavnom tri: WireGuard, OpenVPN i IKEv2. Evo kako se razlikuju i koji uključiti.
Ukratko
- WireGuard (ili protokol izveden iz njega, npr. NordLynx) je dobar zadani izbor: moderan, brz i jednostavan.
- OpenVPN preko TCP-a uključite kad vas mreža blokira, jer može raditi na portu 443 kao obični HTTPS promet.
- IKEv2 dobro podnosi promjenu mreže na mobitelu i ugrađen je u Windows, macOS i iOS, ali ga pružatelji polako napuštaju.
- PPTP i L2TP ne koristite: PPTP je probijen još 2012., a Android i Apple izbacili su ga iz ugrađenih klijenata.
Usporedba ukratko
| WireGuard | OpenVPN | IKEv2/IPsec | |
|---|---|---|---|
| Nastao | 2015.–2017., Jason A. Donenfeld; u Linuxu od verzije 5.6 (2020.) | 2001., James Yonan | standard RFC 7296 (2014.) |
| Prijenos | samo UDP | UDP ili TCP | UDP 500 i 4500 |
| Prolaz kroz vatrozide | slabiji, nema prikrivanja | najbolji (TCP 443) | slabiji, portovi se lako blokiraju |
| Promjena mreže | dobra | sporije ponovno spajanje | vrlo dobra (MOBIKE) |
| Ugrađen u sustav | ne (aplikacija) | ne (aplikacija) | Windows, macOS, iOS, Android 11+ |
| Otvoreni kod | da | da (GPLv2) | ovisi o implementaciji |
WireGuard: brz i jednostavan
WireGuard je razvio Jason A. Donenfeld, a predstavljen je stručnim radom 2017. Od Linuxa 5.6, objavljenog u ožujku 2020., dio je jezgre sustava. Prema autoru, implementacija za Linux ima manje od 4.000 linija koda, što je vrlo malo za VPN i olakšava provjeru sigurnosti. Koristi unaprijed odabran skup modernih kriptografskih algoritama (Curve25519, ChaCha20, Poly1305, BLAKE2s), pa korisnik nema što pogrešno podesiti, a protokol je formalno verificiran.
Ograničenja: WireGuard radi samo preko UDP-a i ne pokušava sakriti da je VPN, pa ga mreže koje blokiraju VPN lako prepoznaju. Drugo je privatnost: u izvornom obliku poslužitelj pamti IP adresu dodijeljenu korisniku. Pružatelji to rješavaju svaki na svoj način. NordVPN u protokolu NordLynx koristi dvostruki NAT, pa svaka sesija dobiva drugu adresu, a Proton VPN slično dodjeljuje nasumičnu adresu za svaku vezu.
Brzina: NordVPN je 2020. objavio mjerenja na više od 250.000 testova prema kojima je NordLynx do dvostruko brži od OpenVPN-a i IKEv2 kad je poslužitelj relativno blizu. To su podaci samog pružatelja, ali odgovaraju iskustvu većine korisnika.
OpenVPN: kad vas mreža blokira
OpenVPN postoji od 2001. i godinama je bio standard za VPN aplikacije. Temelji se na TLS-u, istom protokolu koji štiti HTTPS stranice, i može raditi preko UDP-a ili TCP-a. Njegova najveća prednost danas je TCP na portu 443: takav promet izgleda kao obično pregledavanje weba, pa prolazi kroz hotelske, školske i uredske mreže koje propuštaju samo web. Neovisnu reviziju koda 2017. proveo je Quarkslab, a pronađeni propusti ispravljeni su u verziji 2.4.2.
Mana je brzina: OpenVPN je sporiji od WireGuarda i duže se ponovno spaja nakon promjene mreže. Zato ga neki pružatelji izbacuju iz aplikacija. Proton VPN ga je uklonio iz aplikacija za Android, macOS i iOS, a NordVPN, Surfshark i ExpressVPN i dalje ga nude.
IKEv2: za mobitel koji stalno mijenja mrežu
IKEv2/IPsec je internetski standard (RFC 7296). Uz proširenje MOBIKE (RFC 4555) veza preživljava promjenu IP adrese, primjerice kad izađete iz kuće i mobitel s Wi-Fi-ja prijeđe na mobilne podatke. Ugrađen je u Windows, macOS i iOS, a od Androida 11 i u Android, pa se može podesiti i bez aplikacije pružatelja.
Koristi fiksne UDP portove 500 i 4500, koje vatrozidi lako blokiraju. Proton VPN ga zato ukida: već ga je maknuo s iOS-a, a na macOS-u ga gasi do veljače 2027., uz obrazloženje da Appleova ugrađena izvedba može otkriti stvarnu IP adresu. Surfshark i ExpressVPN ga još nude, a NordVPN samo za ručno podešavanje.
Protokoli pružatelja: NordLynx, Lightway, Stealth
- NordLynx (NordVPN) je WireGuard s dvostrukim NAT-om radi privatnosti i zadani protokol aplikacije. Uz njega NordVPN nudi i NordWhisper za mreže koje blokiraju VPN.
- Lightway (ExpressVPN) je vlastiti protokol otvorenog koda, temeljen na biblioteci wolfSSL. Reviziju su radili Cure53 (2021.) te Cure53 i Praetorian (2024.).
- Stealth (Proton VPN) je WireGuard umotan u TLS preko TCP-a, pa izgleda kao HTTPS promet. Namijenjen je mrežama i zemljama koje blokiraju VPN.
- Hydra (Hotspot Shield) je zatvoreni vlastiti protokol. Zbog zatvorenog koda njegovu sigurnost ne može neovisno provjeriti nitko izvan tvrtke.
PPTP i L2TP: zaobiđite ih
PPTP je nesiguran od 2012., kad je pokazano da se njegova autentikacija MS-CHAPv2 svodi na jedan DES ključ koji se može probiti bez obzira na duljinu lozinke; Microsoft je iste godine izdao sigurnosno upozorenje. Apple ga je izbacio iz iOS-a 10 i macOS-a Sierra, a Android iz ugrađenog klijenta. L2TP/IPsec nije probijen na isti način, ali je spor, koristi fiksne portove i zastario je. Ako vam neki besplatni VPN nudi samo PPTP, potražite drugi.
Koji protokol uključiti
- Za svakodnevno korištenje: ostavite automatski izbor ili uključite WireGuard, odnosno NordLynx ili Lightway.
- Javni Wi-Fi koji blokira VPN (hotel, zračna luka, fakultet): OpenVPN TCP ili protokol za prikrivanje (Stealth, NordWhisper).
- Mobitel u pokretu: WireGuard ili IKEv2; oba se brzo snalaze pri promjeni mreže.
- Ručno podešavanje bez aplikacije (npr. na routeru ili ugrađenom Windows klijentu): WireGuard ako ga uređaj podržava, inače IKEv2.
Ako je veza spora s jednim protokolom, prebacite na drugi prije nego što zaključite da je VPN loš; savjeti su i u vodiču Kako ubrzati VPN na mobitelu. Što god odabrali, uključite i kill switch da IP adresa ne procuri kad veza padne.
Česta pitanja
Je li WireGuard sigurniji od OpenVPN-a?
Oba se smatraju sigurnima kad su ispravno podešeni. WireGuard ima puno manje koda i fiksan skup modernih algoritama, pa je manje prostora za pogreške, a OpenVPN ima dužu povijest neovisnih revizija. Razlika u praksi je češće u brzini nego u sigurnosti.
Koji je VPN protokol najbrži?
U pravilu WireGuard i protokoli izvedeni iz njega. NordVPN prema vlastitim mjerenjima navodi da je NordLynx do dvostruko brži od OpenVPN-a i IKEv2 kad je poslužitelj blizu, dok je na velikim udaljenostima razlika mala.
Koji port koristi WireGuard?
WireGuard nema propisan zadani port. U dokumentaciji se kao primjer koristi UDP 51820, a pružatelji biraju svoje portove.
Zašto se VPN ne može spojiti u hotelu ili školi?
Mreža vjerojatno blokira VPN protokole. Prebacite na OpenVPN TCP ili na protokol za prikrivanje prometa (npr. Stealth kod Protona). Općenite upute za spajanje su u vodiču Kako se spojiti na VPN.
Trebam li sam birati protokol?
Ne nužno. Automatski izbor u aplikacijama većine pružatelja odabire WireGuard ili njihov vlastiti protokol. Ručno ga mijenjajte kad se ne možete spojiti ili je veza spora.
Provjereno 17. 10. 2026. Izvori: WireGuard, protokol i kriptografija; WireGuard, poznata ograničenja; Linux 5.6; OpenVPN dokumentacija; OSTIF i Quarkslab, revizija OpenVPN-a; RFC 7296 (IKEv2); RFC 4555 (MOBIKE); Proton VPN, kraj IKEv2; Proton VPN, protokoli; NordVPN, protokoli; ExpressVPN, protokoli; Surfshark, protokoli; Microsoft, MS-CHAPv2.