WireGuard медленно работает: как найти причину и ускорить

Насколько VPN вообще замедляет соединение

Любой VPN добавляет к каждому пакету служебные данные и один лишний узел на маршруте, поэтому «как без VPN» не будет никогда. Но у WireGuard накладные расходы небольшие: короткий заголовок, современный шифр, обработка внутри ядра системы. На обычном домашнем канале разница обычно измеряется небольшими процентами, и заметить её без замера трудно.

Если же скорость проседает в разы, причина почти всегда не в шифровании. Реальные виновники — расстояние до сервера, состояние канала провайдера, Wi-Fi, слабый процессор роутера и неверно подобранный MTU. Дальше разбираем их по порядку: сначала таблица факторов, затем корректный замер, затем MTU и пошаговый план.

Полезно сразу отделить два разных ощущения. «Медленно грузятся страницы» — чаще вопрос задержки и DNS, а не скорости канала. «Файл качается вдвое дольше обычного» — это уже про пропускную способность. Симптомы разные, и лечатся они тоже по-разному.

Что реально влияет на скорость: таблица факторов

Таблица отвечает на главный вопрос: где именно теряются мегабиты и что с этим можно сделать. Проходите её сверху вниз — факторы расположены примерно по силе влияния.

Обратите внимание: первые три строки не имеют отношения к настройкам VPN. Именно поэтому начинать нужно не с правки конфига, а с измерения.

Сначала измерьте — потом меняйте настройки

Без цифр любые действия превращаются в гадание. Нужен базовый замер без VPN и замер с VPN в тех же условиях: то же устройство, та же сеть, тот же сервер измерения, ничего не качается фоном. Полная методика с разбором метрик описана в статье как проверить скорость VPN, здесь — короткая версия.

1. Отключите туннель, остановите загрузки и обновления, подключите устройство кабелем, если есть возможность.
2. Сделайте три замера подряд и запомните средний результат — это ваша база.
3. Включите туннель и повторите три замера на том же сервере измерения.
4. Повторите обе серии в другое время суток: вечерние цифры у провайдеров часто ниже дневных.

Дополнительный источник информации — счётчики самого приложения WireGuard. Они показывают отправленный и полученный трафик и время последнего рукопожатия. Если «Получено» растёт рывками с паузами, проблема ближе к потерям пакетов и MTU, чем к скорости канала.

И ещё одно: сравнивайте сопоставимое. Замер по Wi-Fi против замера по кабелю, утренний против вечернего, на телефоне против ноутбука — это разные условия, и разница между ними к VPN отношения не имеет.

MTU и фрагментация — самая частая техническая причина

MTU — максимальный размер пакета, который проходит по каналу целиком. WireGuard упаковывает ваш пакет в свой и добавляет служебные данные: 60 байт, если соединение с сервером идёт по IPv4, и 80 байт — по IPv6. Отсюда значение по умолчанию 1420: это 1500 минус 80, с расчётом на худший случай.

Проблемы начинаются там, где реальный MTU канала меньше стандартного: PPPoE-подключение у провайдера, мобильный интернет, туннель поверх туннеля. Пакет приходится делить на части, а часть сетей фрагменты не пропускает. Результат узнаваемый: мессенджеры работают, лёгкие страницы открываются, а крупные файлы и тяжёлые сайты замирают на середине. Скорость при этом в замере может выглядеть прилично.

Точное значение можно подобрать вручную. Отправьте пакеты с запретом фрагментации, постепенно уменьшая размер: в Windows — ping -f -l 1400 адрес, в macOS — ping -D -s 1400 адрес, в Linux — ping -M do -s 1400 адрес. Найдите наибольший размер, который проходит без ошибки, прибавьте к нему 28 байт заголовков — получится MTU канала. Вычтите 60 байт на служебные данные туннеля, и это будет MTU для WireGuard. Менять параметр нужно в строке MTU секции [Interface]; в мобильных приложениях это отдельное поле в свойствах туннеля. После изменения MTU обязательно сделайте контрольный замер: параметр подбирают, а не угадывают.

План действий: как ускорить WireGuard

Порядок важен: сначала дешёвые проверки, затем изменения конфига. После каждого шага делайте контрольный замер, иначе непонятно, что именно помогло.

1. Проверьте скорость без VPN. Если и без туннеля цифры далеки от тарифа, вопрос к провайдеру или домашней сети, а не к VPN.
2. Перейдите на кабель или на 5 ГГц. Старый Wi-Fi в диапазоне 2,4 ГГц в плотной застройке легко теряет половину скорости.
3. Остановите фоновые загрузки. Обновления системы, облачная синхронизация и торренты забирают канал незаметно.
4. Перезапустите туннель. Свежее рукопожатие иногда возвращает нормальную скорость после смены сети.
5. Снизьте MTU. Сначала 1380, затем 1280, если страницы всё ещё подвисают. Контрольный замер после каждого значения.
6. Проверьте другое устройство. Телефон и ноутбук в одной сети дают разные цифры — значит, дело в устройстве, а не в туннеле.
7. Снимите нагрузку с роутера. Если туннель поднят на роутере, перенесите его на устройства и сравните: разница покажет, упираетесь ли вы в процессор роутера.
8. Разгрузите туннель. Тяжёлый локальный трафик — стриминг из домашней сети, рабочий обмен файлами — незачем гнать через сервер; с этим помогает раздельное туннелирование, а в Muhomor VPN — умный режим, где российские сервисы идут напрямую.

Если после всех шагов скорость с туннелем и без него отличается в разы и это воспроизводится в разных сетях, напишите в поддержку @muhomorvpn_bot: приложите пары замеров, тип сети и текущее значение MTU. Такие данные позволяют разобраться заметно быстрее, чем формулировка «всё тормозит».

Роутер, Wi-Fi и мобильные сети

Роутер — самое недооценённое узкое место. Шифрование на бюджетных моделях выполняется процессором общего назначения без аппаратного ускорения, и потолок такого устройства может оказаться в разы ниже вашего тарифа. Проверить просто: замерьте скорость с туннелем на роутере, затем выключите его и поднимите тот же туннель прямо на ноутбуке. Если ноутбук выдаёт заметно больше, дело в роутере. Вариантов два — более мощная модель или VPN на устройствах; сравнение подходов есть в статье VPN на роутере или на устройстве.

Wi-Fi добавляет свои потери. Диапазон 2,4 ГГц в многоквартирном доме забит соседями, и реальная скорость там нередко втрое ниже, чем по кабелю. Диапазон 5 ГГц быстрее, но хуже проходит через стены. Переставьте роутер повыше и подальше от бытовой техники, разведите диапазоны, а при замере садитесь в одной комнате с роутером — так вы измеряете канал, а не качество сигнала.

Мобильные сети живут по своим правилам: скорость зависит от сигнала, загруженности соты и времени суток, а разброс между замерами в одном и том же месте бывает кратным. Здесь особенно полезен MTU 1280 — он снимает проблемы с фрагментацией, которые в мобильных сетях встречаются чаще всего. И помните, что при слабом сигнале потери пакетов растут, а это бьёт по скорости сильнее, чем любые настройки туннеля.

Когда виноват не VPN

Часть ситуаций выглядит как «VPN режет скорость», хотя туннель ни при чём. Проверьте, не попадает ли ваш случай в этот список.

• Медленный сам сайт или сервис. Если один ресурс грузится плохо, а остальные летают, это его инфраструктура, а не ваш канал.
• Вечерний час пик. У многих провайдеров скорость к вечеру падает независимо от VPN. Сравните утренние и вечерние замеры без туннеля.
• Ограничение на тарифе оператора. Некоторые мобильные тарифы снижают скорость после исчерпания пакета трафика.
• Устаревшее устройство. Старый смартфон может упираться в процессор — тогда и без VPN тяжёлые сайты работают неспешно.
• Перегруженный роутер. Десяток устройств, камеры и умный дом делят один канал; VPN просто оказывается последним в очереди.
• Проблема на линии. Потери пакетов из-за плохого кабеля или контактов бьют по скорости сильнее любых настроек; это видно по нестабильному пингу без VPN.

Хороший способ проверки — другое устройство в той же сети и другая сеть для того же устройства. Если медленно везде и на всём, источник проблемы за пределами туннеля. Если проблема есть только в одной сети, вернитесь к разделу про MTU и посмотрите статью о том, что делать, если WireGuard не подключается: часть причин у обеих проблем общая.

Свой сервер на 3x-ui: почему WireGuard там медленнее

Отдельная история — собственный VPS с панелью 3x-ui. Жалоба типичная: файл с самого сервера по прямой ссылке качается быстро, а через туннель — в разы медленнее. Причина часто в устройстве панели. В 3x-ui WireGuard работает не через модуль ядра Linux, как при штатной установке через wg-quick, а внутри процесса Xray: это реализация wireguard-go с программным сетевым стеком в пространстве пользователя. Каждый пакет проходит больше обработки, и на дешёвом VPS со слабым процессором потолком становится CPU, а не канал.

Как проверить, что дело в этом:

1. Во время скачивания через туннель посмотрите загрузку процессора на сервере командой top или htop. Если процесс xray держит ядро на 100 %, вы упираетесь в CPU.
2. Измерьте канал утилитой iperf3: сначала до публичного адреса сервера, затем до адреса сервера внутри туннеля. Разница покажет, сколько забирает именно туннель.
3. Сверьте MTU во входящем подключении WireGuard в панели и на клиенте — правила подбора описаны в разделе про MTU выше.
4. Посмотрите условия тарифа VPS: у многих хостеров ограничена скорость порта, а процессор делится с соседями по серверу.

Если нужна максимальная скорость на своём сервере, ставьте WireGuard штатно, через модуль ядра, а 3x-ui оставьте для протоколов, под которые панель создавалась. А если своим сервером заниматься не хочется, готовый конфиг сервиса снимает вопрос серверной производительности целиком.

Долго открываются страницы или скорость упала после смены сети

Задержка перед загрузкой — это DNS

Если замер показывает нормальную скорость, а каждая новая страница секунду-другую «думает», прежде чем начать грузиться, дело обычно в DNS, а не в пропускной способности. Сначала имя сайта превращается в IP-адрес, и если DNS-сервер из конфига отвечает медленно или часть запросов теряется, задержка добавляется к каждому новому сайту. Тот же эффект бывает, когда система или роутер спрашивают DNS провайдера мимо туннеля и долго ждут ответа.

Проверьте, что в секции [Interface] есть строка DNS и что устройство действительно ей пользуется: на роутерах MikroTik, Keenetic и OpenWrt DNS-сервер часто задаётся отдельно от туннеля. Как убедиться, что запросы идут правильным путём, описано в статье проверка утечек DNS и IP.

Скорость упала после смены IP или сети

WireGuard переживает смену сети незаметно: достаточно одного рукопожатия с нового адреса. Но у нового подключения может оказаться другой MTU и другой маршрут до сервера. Переехали с домашнего Wi-Fi на мобильный интернет, провайдер перевёл подключение на PPPoE или у сервера сменился адрес — повторите замер и заново подберите MTU по таблице выше. Если туннель поднимается, но данные почти не идут, посмотрите на счётчики в приложении: когда растёт только «Отправлено», ответы сервера до вас не доходят, и это уже тема статьи WireGuard не подключается.

Чего ожидать от WireGuard по сравнению со старыми протоколами

Конкретные цифры в мегабитах обещать бессмысленно — они зависят от вашего канала, устройства и сети, а не от протокола. Но качественные отличия описать можно, и они устойчивые.

WireGuard устроен экономнее классических протоколов: компактный заголовок, современные шифры, обработка в ядре системы. По сравнению с OpenVPN он обычно даёт более высокую пропускную способность на том же оборудовании и заметно быстрее восстанавливает соединение при смене сети — одно рукопожатие вместо долгого пересогласования. Подробное сравнение есть в материале WireGuard против OpenVPN.

Практический ориентир такой: если WireGuard даёт примерно то же, что и канал без туннеля, с небольшой просадкой и увеличенным пингом — всё настроено правильно. Если скорость падает в разы или страницы открываются рывками, ищите причину в списке выше, начиная с MTU и Wi-Fi. Скрытный режим AmneziaWG, который в Muhomor VPN включается кнопкой на странице доступа, стоит включать, когда сеть плохо пропускает обычный трафик WireGuard: он решает вопрос доступности, но добавляет немного служебных данных, так что в качестве «ускорителя» использовать его не нужно.