Оба протокола работают на одном и том же шифровании и дают одинаковую скорость — но ведут себя по-разному в сетях, где трафик внимательно смотрят. Если коротко: WireGuard — про простоту и минимальный оверхед, AmneziaWG — тот же WireGuard, но с маскировкой трафика. Разбираем, что именно меняется и когда это важно.
WireGuard — современный VPN-протокол, который стал стандартом де-факто. В ядре Linux он занимает несколько тысяч строк кода (у OpenVPN и IPsec — сотни тысяч), поэтому работает быстрее и меньше нагружает процессор. Криптография фиксированная, без «выбора шифров»: Curve25519 для обмена ключами, ChaCha20 для трафика, Poly1305 для аутентификации.
Сильные стороны: скорость, мгновенное переподключение при смене сети, простой конфиг из двух секций. Слабая сторона ровно одна, но существенная: у WireGuard очень узнаваемый «отпечаток». Первые пакеты рукопожатия имеют фиксированную структуру и строго определённую длину, работают только по UDP и всегда начинаются одинаково. Системе анализа трафика достаточно одного правила, чтобы отличить WireGuard от всего остального, — и заблокировать его целиком.
AmneziaWG — форк WireGuard, сделанный командой Amnezia. Криптография, скорость и модель ключей остались прежними. Изменился только «внешний вид» трафика: протокол перестаёт выглядеть как WireGuard и начинает выглядеть как поток случайных UDP-пакетов без структуры.
Для пользователя это означает одно: там, где обычный WireGuard подключается и через минуту отваливается, AmneziaWG продолжает работать. Обратная сторона — чуть больше служебных данных в каждом соединении и обязательное совпадение параметров маскировки на клиенте и сервере.
Маскировка делается четырьмя приёмами, каждый из которых описывается своим параметром в конфиге:
Jc или H1 наугад, соединение просто не установится.| Параметр | WireGuard | AmneziaWG |
|---|---|---|
| Шифрование | ChaCha20-Poly1305 | То же, без изменений |
| Скорость | Максимальная | Практически такая же |
| Транспорт | Только UDP | Только UDP, но с маскировкой |
| Узнаваемость в трафике | Высокая, определяется по первому пакету | Низкая: выглядит как случайный UDP |
| Устойчивость к ограничениям сети | Средняя | Высокая |
| Сложность настройки | Минимальная | Нужны согласованные параметры |
| Совместимость с обычными WG-конфигами | — | Да, клиент понимает обычные профили |
| Где есть клиенты | Везде, включая ядро Linux | iOS, Android, Windows, macOS, Linux, роутеры |
Здесь выбора фактически нет: клиента WG Tunnel для iOS пока не существует, а приложение AmneziaWG в App Store — рабочая и аккуратная реализация. Оно же импортирует обычные WireGuard-профили, поэтому никаких неудобств это не создаёт.
Открытый клиент WG Tunnel поддерживает оба протокола в одном приложении и умеет раздельное туннелирование. Именно его мы рекомендуем на всех платформах, кроме iOS.
Keenetic, OpenWrt и свежий AsusWRT работают с WireGuard «из коробки» или после установки пакета. AmneziaWG на роутере требует отдельного пакета или сборки прошивки — если сеть не ограничивает UDP, проще остаться на обычном WireGuard. Подробности — в статье VPN на роутере.
Да. Клиент AmneziaWG совместим с обычными WireGuard-профилями: если в файле нет параметров маскировки, приложение работает как стандартный WireGuard-клиент. Обратное неверно — обычный клиент WireGuard не поймёт конфиг с параметрами Jc, S1 и H1 и просто откажется его загружать.
Отсюда практическое правило: один и тот же профиль подходит и для WG Tunnel, и для AmneziaWG — Import Tunnel → выбрать файл .conf. Ничего конвертировать не нужно.
На глаз — нет. Накладные расходы на маскировку измеряются единицами процентов, а на мобильном интернете разницу обычно съедает сама сеть. Заметная просадка возможна на слабом роутере, где обфускация ложится на процессор.
Криптография в AmneziaWG не менялась: тот же Noise-протокол, те же примитивы, что и в WireGuard. Изменения касаются только форматирования пакетов. Код открыт, что позволяет проверять его независимо.
Пока работает — незачем. Маскировка нужна там, где соединение нестабильно: мобильные операторы, общественные Wi-Fi, корпоративные сети. Это не «улучшение скорости», а страховка от обрывов.
Технически да, но включать два туннеля сразу нельзя — они конфликтуют. Держите активным только один.
Оба одновременно: профили выдаются в стандартном формате WireGuard, поэтому подходят и для WG Tunnel, и для AmneziaWG. А на стороне сервера включена маскировка — то есть при подключении из AmneziaWG трафик идёт уже обфусцированным.