Comparativo: WireGuard vs OpenVPN para conexões site‑to‑site redundantes

Por · Publicado em · 6 min de leitura

Cabos Ethernet e módulos SFP conectados a um switch de rede em close‑up
Infraestrutura de rede pronta para enlaces site‑to‑site e redundância Foto: Brett Sayles / Pexels

Comparativo: WireGuard vs OpenVPN para conexões site‑to‑site redundantes. Nesta análise prática, você vê impacto em desempenho, failover, MTU e operação diária, além de padrões ativo/ativo e ativo/passivo. Use os critérios para decidir entre BGP dentro dos túneis ou rotas estáticas com monitoramento, reduzindo quedas e evitando loops.

Como pensar em redundância site‑to‑site: objetivos e topologias

Redundância não é só “dois túneis”. Defina objetivos: continuidade em falhas de ISP, manutenção sem interrupção, upgrades sem impacto e latência previsível. Topologias comuns: ativo/ativo com dois túneis em paralelo e balanceamento por rotas, e ativo/passivo com rota de menor métrica e backup.

Em ambos os casos, mantenha domínios de falha separados: ISPs distintos, rotas independentes e prefixos anunciados por túneis diferentes. Para execução passo a passo de WireGuard, veja o guia WireGuard site‑to‑site.

Desempenho e latência: kernel vs user space e DCO

WireGuard roda no kernel Linux e usa criptografia moderna com baixo overhead. Costuma entregar maior throughput e menor latência por pacote, especialmente em CPUs modestas.

OpenVPN tradicional roda em user space e tem mais cópias de pacotes. Com DCO (Data Channel Offload) em sistemas compatíveis, o gap diminui bastante. Em hardware com AES‑NI, OpenVPN com AES‑GCM pode se aproximar do desempenho, mas a consistência ainda favorece WireGuard.

Detecção de falhas, reconexão e roaming de endpoint

WireGuard usa keepalive simples (PersistentKeepalive) e retoma tráfego rapidamente quando o IP externo muda, por “endpoint roaming”. Isso ajuda em links com IP dinâmico.

OpenVPN usa ping/keepalive e reconexão controlada; tem suporte a múltiplos “remote” para fallback. Em falhas, a troca de remoto é automática. Para acesso individual e mobilidade, veja WireGuard road‑warrior.

Configuração e operação: chaves, PKI, rotas, MTU e firewall

WireGuard tem configuração enxuta baseada em chaves e AllowedIPs. A revogação exige rotação de chaves e atualização dos pares. MTU típico de 1420 ajuda a evitar fragmentação.

OpenVPN usa PKI/TLS, facilitando revogação por CRL. Ajustes como tun‑mtu e mssfix são comuns para evitar fragmentação. Para portas e regras, revise seu firewall com o guia UFW no Ubuntu.

Redundância na prática: padrões de arquitetura

Alguns padrões simples e eficazes para aumentar resiliência dos túneis e da rede entre sites:

  • Dois túneis independentes (ISPs distintos) entre os mesmos sites.
  • Ativo/ativo: execute BGP/OSPF dentro dos túneis para ECMP e convergência rápida.
  • Ativo/passivo: rotas estáticas com métricas distintas e monitor de next‑hop.
  • Roteamento por política (PBR) para separar tráfego crítico do best‑effort.
  • Anuncie prefixos específicos por cada túnel para controlar simetria de rotas.
  • Monitore health dos túneis e aplique failover automatizado com scripts ou FRR.

Segurança: criptografia, superfície de ataque e conformidade

WireGuard usa um conjunto fixo e moderno de criptografia (ex.: Curve25519, ChaCha20‑Poly1305). A ausência de negociação reduz complexidade e opções equivocadas.

OpenVPN apoia vários suites via TLS/OpenSSL, útil para requisitos específicos e integrações com PKI existente. Em ambientes que bloqueiam UDP, OpenVPN via TCP/443 pode atravessar firewalls, aceitando custo de desempenho e risco de “TCP over TCP”.

Observabilidade e troubleshooting em produção

Para estabilidade, monitore túneis e rotas. WireGuard expõe contadores via “wg show”; OpenVPN oferece “status” e interface de gestão. Exporte métricas e crie alertas de perda de pacotes, latência e flaps de BGP ou quedas de peer.

Se você ainda não tem stack de métricas, um caminho prático é começar com Prometheus e Grafana e incluir checagens de ping/HTTP por cada caminho.

  • Alarmes de “packet loss” acima de um limiar por túnel.
  • Alertas de reconexões frequentes (flapping).
  • Tempo de convergência após falha (RTO).
  • Taxa de retransmissão/fragmentação (ajuste MTU/MSS).

Quando escolher cada um (resumo com critérios)

Ambas as soluções atendem site‑to‑site redundante. A escolha depende de restrições de rede, operação e hardware disponível. O quadro abaixo ajuda a decidir de forma pragmática.

Este comparativo: WireGuard vs OpenVPN para conexões site‑to‑site redundantes resume decisões de campo, priorizando simplicidade operacional, detecção rápida de falhas e previsibilidade de rotas.

Critério WireGuard OpenVPN Impacto em redundância
Throughput/latência Geralmente superior (kernel) Melhora com DCO; variável Convergência rápida + menor jitter favorecem failover limpo
Roaming e IP dinâmico Nativo e rápido Funciona; alterna “remote” Reduz downtime em mudanças de IP/ISP
Transposição de firewall UDP fixo UDP ou TCP/443 TCP/443 pode ser necessário em redes restritas
Complexidade de configuração Baixa (chaves) Maior (PKI/TLS) Simplicidade reduz erros em mudanças/falhas
Criptografia Conjunto moderno fixo Flexível via OpenSSL Flexibilidade atende compliance específica
MTU/fragmentação MTU 1420 comum Requer tun‑mtu/mssfix Menos fragmentação = menos perda sob falha
Ativo/ativo com BGP/OSPF Ótimo (FRR dentro do túnel) Ótimo (FRR dentro do túnel) Ambos dependem do roteamento, não do túnel
Observabilidade wg + exporters status/management + logs Visibilidade acelera detecção e failover

Perguntas frequentes

WireGuard suporta TCP para atravessar proxies corporativos?

Não. WireGuard usa apenas UDP. Se você precisa cruzar proxies ou redes que bloqueiam UDP, OpenVPN em TCP/443 costuma ser aceito, com custo em desempenho e risco de “TCP sobre TCP” em congestionamento.

Como implementar ativo/ativo entre sites?

Crie dois túneis independentes por ISPs distintos e rode BGP ou OSPF dentro deles (ex.: FRR). Anuncie prefixos com custo igual para ECMP. Monitore a saúde dos túneis e ajuste timers para convergência rápida sem instabilidade.

IP dinâmico atrapalha a redundância?

Não precisa. WireGuard lida bem com mudanças de IP pelo endpoint roaming. Em OpenVPN, use múltiplos “remote” e DNS dinâmico. Em ambos, mantenha keepalives e monitoramento para detectar falhas e reestabelecer rotas rapidamente.

OpenVPN com DCO elimina a vantagem do WireGuard?

DCO reduz o gap de desempenho do OpenVPN, especialmente em Linux. Ainda assim, WireGuard costuma manter menor latência e menor sobrecarga operacional. A escolha final depende de firewall, compliance e ferramentas já adotadas.

Qual é a MTU recomendada para evitar problemas?

Em WireGuard, 1420 é um ponto de partida seguro para muitos cenários. Em OpenVPN, ajuste tun‑mtu e use mssfix para evitar fragmentação. Valide com testes de PMTU e monitore retransmissões e perda de pacotes após mudanças.

Preciso de BGP obrigatoriamente para redundância?

Não. Para ativo/passivo, rotas estáticas com métricas diferentes funcionam bem. BGP ou OSPF facilitam ativo/ativo, engenharia de tráfego e convergência previsível, principalmente quando há múltiplos prefixos ou vários sites interconectados.

Próximo passo: tire a arquitetura do papel

Aplique os critérios, escolha o padrão (ativo/ativo ou ativo/passivo) e, se optar por WireGuard, siga um passo a passo prático para montar os túneis e validar MTU, rotas e monitoramento.

Ver tutorial de WireGuard site‑to‑site

Veja também