樱花猫 sakuracat 三种加密协议怎么选：WireGuard 是默认最优解吗
樱花猫 sakuracat 客户端默认提供 WireGuard、OpenVPN、IKEv2 三种加密协议。多数情况下用户不用做任何选择，但了解三者的差异，能让你在网络受限或对延迟敏感的场景里做出更合适的判断。
本文目录
协议的作用是在你和节点之间建立一条加密隧道。三者都能完成这个任务，差别主要落在握手速度、抗干扰能力和实现复杂度上。下面先逐一说明。
三种协议各是什么
WireGuard 是近年流行起来的新协议，代码量小、握手快，移动网络下切网后重连几乎无感。OpenVPN 是历史最久的方案之一，生态成熟，可在 TCP/UDP 之间切换，穿透性经过长期验证。IKEv2 由 IPsec 演变而来，在移动设备上重连体验好，但对某些运营商网络的中断兼容性一般。
| 协议 | 握手速度 | 加密套件 | 典型适用 |
|---|---|---|---|
| WireGuard | 快 | ChaCha20 + Poly1305 | 日常上网、游戏、下载 |
| OpenVPN | 中等 | AES-256 等 | 受限网络、高兼容场景 |
| IKEv2 | 快 | AES 系列 | 移动切网、临时重连 |
三种协议在客户端里可以随时切换，切换不需要改账号，也不影响订阅和节点列表。
WireGuard 为什么被设为默认
默认协议并不等于“万能最优”，而是在绝大多数场景下综合体验最好。WireGuard 的握手在几十毫秒量级完成，Wi-Fi 切到蜂窝网络时重连快，日常感知弱；同时它的实现简单，攻击面小，便于审计。
我们把三种协议在同一节点、同一时段下的建立连接耗时做了抽样对比，WireGuard 的中位建连时间明显更短。
| 协议 | 中位建连耗时 | 切网重连耗时 |
|---|---|---|
| WireGuard | 约 180ms | 约 350ms |
| OpenVPN (UDP) | 约 620ms | 约 1.1s |
| IKEv2 | 约 300ms | 约 500ms |
需要说明的是，以上是同一批测试机在稳定网络下的抽样结果，实际体验受本地网络和节点负载影响，仅作参考。
什么时候应该换协议
如果 WireGuard 在你的网络里连不上或频繁掉线，最可能的原因是本地网络对 UDP 做了限制。这时优先切换 OpenVPN，并把传输方式从 UDP 改为 TCP，穿透性通常更好。
一位在海外机场使用公共 Wi-Fi 的用户反馈，他手机上 WireGuard 一直连不上，切换 OpenVPN + TCP 后立刻恢复。这类机场和酒店网络常对未知 UDP 端口做拦截，换成跑在 TCP 上的 OpenVPN 就能绕过。反过来，如果网络环境正常，WireGuard 的延迟和重连体验普遍更好，没有特别理由不必换。
| 场景 | 推荐协议 | 原因 |
|---|---|---|
| 日常 / 游戏 / 下载 | WireGuard | 延迟低、重连快 |
| 受限公共网络 | OpenVPN + TCP | 穿透性好 |
| 频繁切网移动端 | IKEv2 | 重连稳定 |
总结：默认 WireGuard 适合大多数人，遇到连不上再切 OpenVPN + TCP，移动端频繁切网可试 IKEv2。协议是手段不是目标，选能让隧道稳定建立的那个即可。想了解这些协议背后的流量调度逻辑，可看 智能分流引擎解析。
机场 Wi-Fi 连不上那段太真实了，切 OpenVPN 确实管用。