Transparência: este artigo contém ligações de afiliado. Se comprar através delas podemos receber uma comissão sem custo adicional para si. Só recomendamos serviços que usaríamos nós próprios, com base nas suas características publicadas e no seu historial público.
A maioria das comparações entre estes dois protocolos lê-se como um debate fechado há anos. A versão honesta é menos satisfatória e mais útil: não competem pelo mesmo trabalho, e a razão pela qual o WireGuard ganha no auto-alojamento é a mesma pela qual o IPsec ainda sustenta meio mundo empresarial.
O número que toda a gente cita, e o que significa mesmo
A implementação do WireGuard ronda as 4000 linhas de código. Uma pilha IPsec completa, contando o lado do núcleo e um serviço de troca de chaves, conta-se às centenas de milhares.
Esse rácio repete-se como se pequeno significasse automaticamente seguro. Não significa. O que significa é auditável. Alguns milhares de linhas são lidas de ponta a ponta por um revisor competente em tempo razoável; várias centenas de milhares, não. Menos linhas são também menos ramos, e a maioria das vulnerabilidades reais vive em ramos que ninguém percorreu.
O preço dessa pequenez é a parte que costuma ficar de fora: o WireGuard só lá chega recusando-se a negociar seja o que for.
A negociação é toda a diferença
O IPsec é um enquadramento. Escolhe a troca de chaves, o algoritmo, a integridade, o modo, os tempos de vida. Essa flexibilidade explica que um túnel IPsec possa terminar ao mesmo tempo num equipamento de há vinte anos e numa gateway cloud atual.
O WireGuard é um protocolo com opinião. Um aperto de mão, uma suite de algoritmos, nenhuma opção, nenhum caminho de degradação. Não pode configurar mal a criptografia porque não há nada para configurar.
A flexibilidade do IPsec é a sua força entre fabricantes e a sua fraqueza nas suas mãos. A maioria dos problemas de IPsec no terreno são de configuração, não de criptografia, e o WireGuard elimina essa categoria inteira eliminando as escolhas.
O tipo de equipamento onde o IPsec ainda termina, e a razão pela qual não vai desaparecer. Foto de Brett Sayles via Pexels.
A velocidade: verdade, mas não pela razão que costumam dar
O WireGuard é geralmente mais rápido, e a causa é estrutural mais do que mágica. Vive no núcleo com um caminho de código curto e usa ChaCha20-Poly1305, eficiente em processadores sem aceleração AES por hardware: routers, dispositivos antigos e pequenas placas ARM.
Num processador de servidor moderno com AES-NI, uma configuração IPsec bem afinada recupera quase toda a diferença e às vezes iguala. O resumo justo é portanto:
O WireGuard é rápido por omissão. O IPsec é rápido depois de afinado. A maioria das instalações não está afinada.
Se escolhe um protocolo para um VPS que vai configurar uma vez e esquecer, o comportamento por omissão pesa mais do que o máximo atingível. As nossas medições de WireGuard contra OpenVPN mostram o mesmo efeito contra o terceiro protocolo da família.
O IKEv2 não é IPsec, e a confusão custa dinheiro
Isto engana muita gente, incluindo quem compara aplicações VPN comerciais.
O IPsec é a camada de cifra. O IKEv2 é a troca de chaves que levanta um túnel IPsec. Quando uma aplicação mostra IKEv2, quer dizer IKEv2 sobre IPsec.
O que o IKEv2 traz de concreto é o MOBIKE: o túnel sobrevive a uma mudança de endereço de rede. Um telemóvel que sai do Wi-Fi para os dados móveis mantém a sessão em vez de a reconstruir. O WireGuard trata o roaming de outra maneira, aceitando um par a partir de um novo endereço assim que este se autentica, o que funciona bem mas não é o mesmo mecanismo e comporta-se de forma diferente sob NAT agressivo do operador.
Se o seu caso é um telemóvel que muda de rede constantemente, este é o único ponto em que a família IPsec tem um argumento concreto e não herdado.
Então, qual auto-hospedar?
WireGuard, a não ser que algo concreto imponha a outra escolha.
Uma configuração WireGuard que funciona são uma dúzia de linhas e duas chaves. Os modos de falha são poucos e legíveis: o nosso guia de MTU e a nossa resolução de problemas de handshake cobrem quase tudo o que se parte. Cada plataforma cliente tem aplicação oficial.
Auto-hospedar IPsec significa manter strongSwan ou Libreswan e perceber mesmo a fase 1, a fase 2, as propostas e a renovação de chaves. É um investimento real, e não compra nada salvo se for preciso interoperar com equipamento que já existe.
Que é exatamente quando convém escolhê-lo:
- uma ligação sítio a sítio para uma firewall que só fala IPsec,
- um equipamento de fabricante sem suporte de WireGuard,
- um requisito de política interna que nomeia o IPsec explicitamente,
- uma frota de telemóveis em roaming agressivo onde o comportamento do MOBIKE compensa a complexidade.
Nenhum destes casos descreve uma pessoa a montar uma VPN pessoal num VPS, e essa é toda a resposta para a maioria de quem lê esta página.
O que esta comparação não resolve
Não diz que o IPsec esteja obsoleto, e qualquer página que o afirme não está a olhar para onde ele corre. O IPsec sustenta uma parte enorme das ligações sítio a sítio entre redes de empresa e vem de fábrica na maioria das firewalls e routers. Não é a ferramenta certa para si auto-hospedar em 2026 e está obsoleto são duas afirmações diferentes, e aqui só a primeira é sustentada.
Também não compara implementações. Comparámos desenhos de protocolo, não strongSwan contra Libreswan contra o módulo do núcleo, o que exigiria uma bancada de testes em hardware idêntico que não corremos. Não vamos publicar uma tabela de velocidade que não medimos.
Se já decidiu por WireGuard, a decisão seguinte é onde o correr, e aí a região e a rede pesam mais do que as características. O nosso ranking dos VPS mais baratos para WireGuard compara fornecedores por preço e largura de banda garantida.
★ Datacenter GDPR em Nuremberg · ✓ IPv4 dedicado incluído · 200+ Mbps garantidos
Aloje a sua VPN no seu próprio VPS → ContaboAcesso root completo · IPv4 público · escolha a sua região→
