Skift din VPN-app til “automatisk protokol”, og du lægger et vigtigt valg i hænderne på en algoritme, du aldrig ser. De fleste danske brugere aner ikke, at deres forbindelse hver dag vælger mellem tre helt forskellige teknologier: WireGuard, OpenVPN og IKEv2/IPsec. Valget afgør, om din Netflix-strøm hakker på sommerhusets fibernet, om firmaets VPN overhovedet kan oprette forbindelse fra et hotelnetværk i Bangkok, og om telefonen mister tunnelen, hver gang du går fra wifi til mobildata på vej ud af Netto. I denne sammenligning gennemgår vi specifikationer, tre uafhængige hastighedstests, pris hos syv udbydere og fem konkrete brugssituationer, så du kan vælge protokol med data i hånden i stedet for at stole blindt på standardindstillingen. Vi ser også på, hvordan du migrerer fra en gammel OpenVPN-opsætning til WireGuard, hvilke fordele og ulemper hver protokol har i praksis, og hvorfor selv en stor udbyder som Mullvad nu vælger at droppe en af de tre protokoller helt.
Hvad er en VPN-protokol, og hvorfor er valget vigtigt?
En VPN-protokol er regelsættet, der bestemmer, hvordan din enhed og VPN-serveren krypterer, sender og bekræfter data mellem hinanden. Tænk på det som sproget, de to parter taler sammen på. Protokollen afgør tre ting, du mærker direkte hver dag: hastigheden på din forbindelse, hvor sikker krypteringen reelt er, og hvor stabil tunnelen forbliver, når netværket ændrer sig undervejs.
I 2026 dominerer tre protokoller markedet hos stort set alle seriøse VPN-udbydere: WireGuard, OpenVPN og IKEv2/IPsec. Ældre protokoller som PPTP og L2TP/IPsec lever stadig i enkelte dropdown-menuer, men bør undgås. PPTP’s MS-CHAPv2-godkendelse har været praktisk talt knækkelig i over ti år, og L2TP leverer ingen kryptering i sig selv, medmindre det parres med IPsec, og selv da er det langsommere og lettere at blokere end de tre moderne alternativer.
Forskellen mellem de tre er ikke kosmetisk. WireGuard blev udviklet fra bunden med et minimalt kodegrundlag og moderne kryptografi som eneste mål. OpenVPN stammer fra 2001 og bygger på en fleksibel, men tung TLS-arkitektur. IKEv2/IPsec fra 2005 er indbygget i stort set alle styresystemer og er specialbygget til at overleve netværksskift. Ingen af de tre er universelt “bedst”. Den rigtige protokol afhænger af, om du sidder på en fiberforbindelse derhjemme, pendler med mobildata, eller forsøger at oprette forbindelse fra et land med et censurtungt netværk.
De fleste danskere møder valget uden at vide det. VPN-appen på telefonen skjuler typisk protokolindstillingen bag et undermenu-punkt, og standardværdien er sat af udbyderen, ikke af dig. Det er en fornuftig forvalgt indstilling i ni ud af ti tilfælde, men de resterende situationer, censureret wifi på en storbyferie, en firmalaptop med gammel VPN-klient, eller en router, der aldrig har fået en firmwareopdatering, er præcis der, hvor det betaler sig at kende forskellen. Resten af artiklen går i dybden med hver protokol enkeltvis, før vi samler alt i sammenlignelige tabeller og konkrete anbefalinger.
WireGuard forklaret: den nye standardprotokol
WireGuard blev sammenlagt i selve Linux-kernen i version 5.6 i marts 2020, og det er en stor del af forklaringen på dens ydeevne. Fordi pakkebehandlingen sker i kernen frem for i brugerrummet, slipper WireGuard for det kontekstskift, som koster ældre protokoller processorkraft og millisekunder. I 2026 er WireGuard, ofte under et brandet navn som NordLynx eller lignende, blevet standardprotokollen hos stort set alle kommercielle VPN-tjenester, ifølge en teknisk sammenligning fra Best VPN Guide (2026).
Protokollen bruger et fast sæt kryptografiske byggeklodser: ChaCha20-Poly1305 til kryptering, Curve25519 til nøgleudveksling, BLAKE2s til hashing, samlet i Noise-protokolrammeværket. Der er ingen forhandling af cifre, hvilket fjerner en hel klasse af sårbarheder, som opstår, når en klient og server bliver enige om en svagere krypteringsmetode end nødvendigt. Ifølge de tekniske gennemgange, som VPNSmith har publiceret i 2026, bruger WireGuard omkring 5.000 linjer kode som Linux-kernemodul, mod OpenVPN’s cirka 70.000 linjer, der læner sig op ad et separat kryptografibibliotek som OpenSSL.
Den lille kodebase er selve tillidshistorien. En sikkerhedsforsker kan realistisk læse hele WireGuard-modulet igennem på en eftermiddag, mens OpenVPN’s reelt reviderbare overflade strækker sig over hundredtusindvis af linjer, når man tæller kryptobiblioteket med. WireGuard sender desuden ingen pakker, når der ikke er noget at sende, hvilket betyder, at forbindelsen “vågner” øjeblikkeligt efter dvale eller en periode uden trafik. Svagheden er, at protokollen udelukkende kører over UDP, hvilket gør den lettere at genkende og blokere for et firewall, der aktivt leder efter VPN-trafik. Du kan læse mere om selve protokollen på wireguard.com.
Konfigurationsmodellen er også enklere end de andre to. En WireGuard-opsætning fylder typisk under 20 linjer tekst med en offentlig nøgle, en privat nøgle og en liste af tilladte IP-adresser. Der er ingen certifikatfiler, ingen separate godkendelsesservere og ingen forhandling af cifre ved hver forbindelse. Det gør protokollen hurtigere at fejlfinde, når noget går galt, og det er en del af grunden til, at selv mindre, ressourcesvage udbydere som IVPN og PIA i dag sætter WireGuard som deres standard, fremfor at bygge videre på ældre OpenVPN-infrastruktur.
OpenVPN forklaret: den erfarne arbejdshest
OpenVPN har været industristandarden i over to årtier og kører i praksis på ethvert styresystem, enhver router og de fleste NAS-enheder. Protokollen opretter en krypteret tunnel via SSL/TLS til nøgleudveksling og understøtter typisk AES-256-GCM til kryptering, kombineret med SHA-256 til godkendelse. Den store fordel er fleksibiliteten: OpenVPN kan køre over både UDP og TCP, og TCP-varianten kan sendes på port 443, den samme port som al almindelig HTTPS-trafik bruger. Officiel dokumentation findes hos openvpn.net.
Det gør OpenVPN til den protokol, der reelt kan camoufleres som almindelig webtrafik. Et firewall, der blokerer VPN-forbindelser ved at inspicere trafiksignaturer eller lukke UDP-porte, kan sjældent blokere OpenVPN på TCP 443 uden samtidig at blokere al HTTPS-trafik og dermed lukke internettet ned for alle andre. Det er derfor OpenVPN stadig er standardvalget på virksomhedsnetværk med Cisco- eller Fortinet-infrastruktur, i censurtunge lande, og på hotel- og lufthavnsnetværk med aggressive restriktioner.
Prisen for den fleksibilitet er hastighed. Brugerrums-arkitekturen og det tungere TLS-håndtryk gør OpenVPN til den langsomste af de tre protokoller, og TCP-tilstanden lægger endnu et lag oveni. Når din tunnels TCP-forbindelse og din egen trafiks TCP-forbindelse begge forsøger at genoprette efter pakketab samtidig, kan gennemløbet i værste fald kollapse. Fænomenet kaldes gerne “TCP-meltdown”. OpenVPN’s sikkerhedshistorik er til gengæld solid, bakket op af årtiers reel brug og adskillige uafhængige revisioner. Det store kodegrundlag giver samtidig en større angrebsflade, og fejlkonfiguration er den reelle risiko, fordi protokollen tilbyder så mange cifre og indstillinger, at det er muligt at sætte en svag opsætning op ved en fejl.
OpenVPN lever videre af en anden grund end nostalgi: den er den eneste af de tre protokoller, der er blevet porteret til stort set alt. Routerfirmware som DD-WRT, OpenWrt og pfSense har haft OpenVPN-understøttelse i over et årti, mange NAS-producenter som Synology og QNAP bygger den ind som standard, og virksomheders VPN-koncentratorer fra Cisco og Fortinet er ofte sat op til at tale OpenVPN eller IKEv2, aldrig WireGuard. Skifter en organisation protokol, kræver det som regel en opgradering af serverhardware eller -software, ikke bare en indstilling i en app, og det er en langt større beslutning end den, en privat bruger står overfor.
IKEv2/IPsec forklaret: mobilens favorit
IKEv2 (Internet Key Exchange version 2) parret med IPsec er indbygget som standard i Windows, macOS, iOS og Android, hvilket betyder, at protokollen kan oprette forbindelse uden en tredjepartsapp overhovedet. IKEv2 håndterer selve opsætningen og nøgleforhandlingen af tunnelen, mens IPsec leverer den faktiske kryptering, typisk AES-256-GCM kombineret med SHA-256. Protokollen bruger UDP-portene 500 og 4500 og har indbygget understøttelse af NAT-traversering.
Den afgørende funktion er MOBIKE, standardiseret som RFC 7296 hos IETF. Når din telefon skifter fra wifi til mobildata, ændrer enhedens IP-adresse sig, og de fleste protokoller ville kræve, at tunnelen bygges op fra bunden igen. MOBIKE lader den eksisterende IKEv2-sikkerhedsforbindelse flytte til den nye IP-adresse uden at tunnelen falder, så VPN-forbindelsen består gennem skiftet uden synlig afbrydelse. Det er derfor IKEv2 fortsat regnes som guldstandarden for pendlere og rejsende, selv i en tid hvor WireGuard også håndterer netværksskift rimeligt godt takket være sin forbindelsesløse konstruktion.
Svagheden ligner WireGuard’s: de faste UDP-porte 500 og 4500 er lette at identificere og lukke for et firewall, der aktivt vil blokere VPN-trafik. IKEv2 er derfor et dårligt valg på restriktive netværk, men et fremragende valg, når du blot vil have en stabil forbindelse, der overlever et spinkelt mobilsignal på landet eller et skifte mellem to wifi-net på kontoret.
En overset fordel ved IKEv2 er, at den slet ikke kræver en app fra udbyderen. Både iOS og macOS lader dig oprette en IKEv2-profil manuelt under systemindstillingerne, hvilket kan være nyttigt, hvis du vil forbinde til en virksomheds- eller privat server uden at installere ekstra software, eller hvis din arbejdsgiver forbyder tredjepartsapps på en firmatelefon. Ulempen er, at den manuelle opsætning kræver, at du selv indtaster serveradresse, delt nøgle og godkendelsesoplysninger korrekt, hvilket er en langt mere teknisk proces end at trykke “forbind” i en færdig app.
Specifikationer side om side
Tabellen herunder samler de tekniske kerneegenskaber, som afgør, hvilken protokol der passer til din situation. Læg især mærke til rækkerne om transport og firewall-omgåelse, for det er her, de tre protokoller adskiller sig mest markant fra hinanden i praktisk brug, langt mere end i de rå hastighedstal.
| Egenskab | WireGuard | OpenVPN | IKEv2/IPsec |
|---|---|---|---|
| Udgivelsesår (stabil) | 2020 | 2001 | 2005 |
| Kodebase | ~5.000 linjer | ~70.000-400.000 linjer med bibliotek | Varierer efter implementering |
| Standardkryptering | ChaCha20-Poly1305 | AES-256-GCM | AES-256-GCM |
| Transport | Kun UDP | UDP eller TCP (inkl. port 443) | UDP (port 500 og 4500) |
| Genforbindelsestid | Øjeblikkelig, forbindelsesløs | Langsom (5-15 sekunder) | Hurtig (under 1 sekund) |
| Mobil roaming (MOBIKE m.m.) | God | Dårlig | Fremragende |
| Firewall-omgåelse | Begrænset | Fremragende på TCP 443 | Moderat |
| Auditstatus | Formelt verificeret, let at revidere | Bredt revideret over årtier | Bredt revideret, delvist lukket i visse implementeringer |
| Native OS-understøttelse | Kræver app på de fleste platforme | Kræver app eller router-firmware | Indbygget i Windows, macOS, iOS, Android |
| Batteriforbrug på mobil | Lavt | Højt | Lavt til moderat |
| Bedst til | Fart, gaming, streaming, daglig brug | Restriktive netværk, ældre hardware | Mobile enheder, netværksskift |
Læser man tabellen lodret i stedet for vandret, bliver mønsteret tydeligt: WireGuard vinder på næsten alle de tekniske parametre, men taber på de to praktiske faktorer, der betyder mest, hvis du bliver aktivt blokeret, nemlig firewall-omgåelse og native OS-understøttelse uden en app. Det er præcis den kombination, der forklarer, hvorfor ingen seriøs udbyder har droppet OpenVPN og IKEv2 helt til fordel for udelukkende WireGuard, bortset fra Mullvad, som i stedet har valgt at kompensere med et separat obfuskeringslag.
Hastighed i praksis: tre uafhængige benchmarks
Tal fra tre forskellige kilder tegner det samme billede, selvom de absolutte tal varierer med testopsætning, serverbelastning og afstand til serveren. WireGuard-projektets egne, offentliggjorte benchmarks viser et gennemløb på omkring 1.011 Mbps mod cirka 258 Mbps for OpenVPN på identisk hardware, en forskel på næsten fire gange. Det er den mest markante forskel i vores research, men den stammer fra en kontrolleret testopstilling og skal læses som et loft for, hvad protokollen kan levere under ideelle forhold, ikke som et løfte om, hvad du får på din egen fiberlinje. Tallene er publiceret på wireguard.com.
En anden test fra LimeVPN’s tekniske sammenligning målte hastighedstab på en 500 Mbps-basislinje og fandt, at WireGuard kun tabte 4-12 procent af den rå hastighed, mens IKEv2 tabte 10-20 procent, OpenVPN over UDP tabte 16-30 procent, og OpenVPN over TCP tabte helt op til 24-40 procent. Rækkefølgen mellem protokollerne er konsistent på tværs af begge kilder, selv når de konkrete procenttal afviger.
| Protokol | Typisk hastighed ved 500 Mbps | Hastighedstab |
|---|---|---|
| Ingen VPN | 500 Mbps | 0% |
| WireGuard | 440-480 Mbps | 4-12% |
| IKEv2/IPsec | 400-450 Mbps | 10-20% |
| OpenVPN (UDP) | 350-420 Mbps | 16-30% |
| OpenVPN (TCP) | 300-380 Mbps | 24-40% |
En tredje kilde, VPNSmith’s tekniske gennemgang, peger på selve håndtrykket som en stor del af forklaringen. WireGuard’s 1,5-RTT-håndtryk (Round-Trip Time) opretter forbindelse langt hurtigere end OpenVPN’s TLS-håndtryk med flere rundture, og på en hurtig linje kører WireGuard tættere på liniens fulde hastighed, mens OpenVPN taber mere gennemløb til overhead i brugerrummet, ifølge VPNSmith’s sammenligning fra 2026. Den praktiske konklusion, som går igen i alle tre kilder: forvent 5-12 procent hastighedstab på WireGuard, 10-20 procent på IKEv2, og op mod en tredjedel på OpenVPN, især i TCP-tilstand.
Sikkerhed og kryptografi: hvor sårbar er hver protokol
Ingen af de tre protokoller har en kendt, praktisk udnyttelig svaghed i deres kryptografiske kerne i 2026. Forskellen ligger i angrebsfladen og revisionsbyrden. WireGuard’s faste sæt af algoritmer, ChaCha20-Poly1305, Curve25519 og BLAKE2s, fjerner risikoen for, at en klient nedgraderes til et svagt cifer, fordi der slet ikke findes en forhandlingsproces at udnytte. Samme ChaCha20-Poly1305-cifer bruges blandt andet i Googles QUIC-protokol og Apples iMessage-kryptering, hvilket giver det en lang praktisk historik uden for VPN-verdenen alene.
OpenVPN’s styrke er også dens svaghed: den store fleksibilitet med mange cifre, godkendelsesmetoder og forbindelsestilstande betyder, at fejlkonfiguration er den reelle risiko frem for en indbygget svaghed i selve protokollen. En VPN-udbyder, der låser konfigurationen til moderne standarder som AES-256-GCM og fjerner forældede cifre, undgår problemet, men brugeren kan sjældent selv verificere, at det er sket korrekt.
IKEv2/IPsec har den længste historik af de tre, med næsten to årtiers gennemgang, men IPsec er reelt en samlet pakke af flere protokoller, hvilket giver en større angrebsflade end WireGuard’s enkle design. Der har i sikkerhedsmiljøet været spekulation om mulig påvirkning af IPsec-standardiseringsprocessen fra efterretningstjenester, men ingen konkrete sårbarheder er blevet påvist som følge heraf. Kryptografien bag, AES-256 og SHA-256, regnes fortsat som sikker efter nuværende standarder, hvilket flugter med de kryptografiske retningslinjer fra NIST og det britiske National Cyber Security Centre.
Ét reelt privatlivsproblem er værd at kende: WireGuard parrer som standard hver brugers offentlige nøgle med en fast intern IP-adresse, som serveren husker i hukommelsen under sessionen. For en no-logs-tjeneste er det uheldigt, fordi en fast intern IP knyttet til din nøgle i teorien kunne bruges til at koble aktivitet sammen på tværs af en session. Seriøse udbydere løser det ved enten at rotere nøgler hyppigt eller ved teknikker som dobbelt NAT, hvor interne adresser tildeles dynamisk uden at gemme en fast kobling til din konto.
Et spørgsmål, der dukker oftere op i 2025 og 2026, er, hvordan de tre protokoller står over for fremtidige kvantecomputere. Ingen af dem er i dag bygget med et post-kvante-kryptografisk lag som standard, og Curve25519 (WireGuard), RSA/ECDSA (OpenVPN) og de elliptiske kurver, som IKEv2 typisk bruger til nøgleudveksling, ville alle i teorien kunne brydes af en tilstrækkeligt kraftig fremtidig kvantecomputer. Det er ikke en akut trussel for almindelige brugere i 2026, men nogle udbydere, herunder Mullvad, eksperimenterer allerede med at lægge et ekstra, kvanteresistent nøglelag oven på WireGuard som en fremtidssikring. Det er værd at holde øje med, hvis du forventer at bruge samme VPN-tjeneste i mange år fremover.
Obfuskering: sådan omgår VPN’er strenge firewalls
Ingen af de tre protokoller er usynlige som standard, og et netværk med dyb pakkeinspektion kan lære at genkende både WireGuard og OpenVPN, selv når trafikken er krypteret. Det er derfor de fleste større udbydere har bygget et ekstra lag oveni, som ikke er en selvstændig protokol, men snarere en camouflageteknik. Proton VPN kalder sit lag “Stealth”, NordVPN bruger obfuskerede servere baseret på OpenVPN, og Surfshark tilbyder “Camouflage Mode”. Fælles for dem alle er, at de pakker VPN-trafikken ind, så den ligner almindelig HTTPS-trafik for et overvågende netværk, uanset om den underliggende protokol er WireGuard eller OpenVPN.
Den mest robuste løsning i praksis forbliver alligevel OpenVPN over TCP port 443 uden obfuskering overhovedet, simpelthen fordi et firewall, der blokerer den port fuldstændigt, samtidig blokerer adgangen til stort set alle almindelige hjemmesider. Det gør porten til et sjældent blokeret “nødudgang”, som fungerer selv på de mest restriktive virksomheds- og landenetværk. Hvis du planlægger en rejse til et land med kendt internetcensur, er det derfor værd at teste OpenVPN-forbindelsen over TCP 443, samt eventuelle obfuskerede servere, før du rejser, i stedet for at opdage problemet, når du allerede sidder uden adgang.
Batteri, roaming og mobilbrug
På mobilen tæller andre ting end rå hastighed. WireGuard’s lette kryptografi og forbindelsesløse design gør den til den mest batterivenlige protokol, fordi telefonen ikke skal holde en tung TLS-session i live konstant. IKEv2 ligger tæt på, delvist fordi den kører native i styresystemet uden en app, der skal holdes vågen i baggrunden. OpenVPN er den mest batterikrævende af de tre, drevet af den tungere brugerrums-arkitektur og de langsommere genforbindelser, som tvinger enheden til at bruge mere strøm på at genopbygge TLS-forhandlingen efter hvert signaltab.
Roaming-scenariet er, hvor IKEv2 for alvor adskiller sig. MOBIKE er designet specifikt til at håndtere den situation, hvor både klient og server samtidig ændrer adresse, hvilket kan ske ved komplekse netværksskift. WireGuard klarer almindelige skift fint takket være sit forbindelsesløse design, men er ikke bygget specifikt til de mest komplekse kant-tilfælde på samme måde som MOBIKE. OpenVPN klarer sig dårligst her: et tabt signal betyder typisk en fuld genopbygning af TLS-sessionen, hvilket kan tage op mod 15 sekunder og mærkes tydeligt, hvis du er midt i et videoopkald på toget mellem København og Odense.
Hvad koster det? VPN-udbydere og deres protokolstøtte
Protokollen i sig selv er gratis og open source, bortset fra enkelte lukkede undtagelser, men den praktiske adgang til dem afhænger af, hvilken VPN-tjeneste du abonnerer på. Tabellen herunder viser aktuel prissætning og protokolstøtte hos syv af de mest brugte udbydere i Norden.
| Udbyder | Pris fra | WireGuard | OpenVPN | IKEv2 |
|---|---|---|---|---|
| Mullvad | 5 EUR/md (fast pris) | Ja (eneste fra 15. jan. 2026) | Udfases 15. jan. 2026 | Nej |
| Proton VPN | 3,99 USD/md (etårs VPN Plus) | Ja | Ja | Ja |
| IVPN | 5 USD/md (etårs Standard) | Ja (standard) | Ja | Ja (primært iOS) |
| Private Internet Access | 2,03 USD/md (langtidstilbud) | Ja (standard) | Ja | Ja |
| NordVPN | 12,99 USD/md (Basic, 1 md.) | Ja (NordLynx, WireGuard-baseret) | Ja | Ja |
| Surfshark | 15,45 USD/md (Starter, 1 md.) | Ja | Ja | Ja (ikke på Windows-app) |
| ExpressVPN | 4,99 USD/md (etårs Basic) | Ja | Ja | Ja |
Mullvad er det tydeligste eksempel på, hvor markedet bevæger sig hen: udbyderen dropper OpenVPN helt fra 15. januar 2026 og kører herefter udelukkende på WireGuard, ifølge selskabets egen kommunikation til kunderne (mullvad.net). Proton VPN går den modsatte vej og holder fast i alle tre protokoller samt sine egne varianter Stealth og Smart Protocol, hvilket gør tjenesten til et naturligt valg, hvis du specifikt har brug for at kunne skifte til OpenVPN over TCP 443 fra tid til anden. Detaljer om Proton’s protokolarbejde ligger på protonvpn.com/blog. NordVPN’s NordLynx er, under overfladen, WireGuard med et ekstra lag dobbelt NAT for at løse den faste IP-adresse-problematik nævnt tidligere. ExpressVPN’s Lightway er den reelle undtagelse blandt de “proprietære” protokoller: den er bygget fra bunden på kryptobiblioteket wolfSSL, ikke en WireGuard-fork, men deler samme designfilosofi om en lille, reviderbar kodebase.
Prisforskellen mellem udbyderne har sjældent noget med protokolstøtte at gøre, alle syv tjenester i tabellen understøtter minimum to af de tre protokoller. Forskellen ligger i servernetværk, antal samtidige enheder og ekstrafunktioner som reklameblokering eller dedikeret IP. Skal du vælge protokol frem for udbyder som det primære kriterie, er IVPN og Private Internet Access de billigste veje til fuld understøttelse af alle tre protokoller, mens Mullvad’s faste pris på 5 EUR om måneden gør regnestykket enkelt, hvis du alligevel kun har brug for WireGuard.
Fem virkelighedsnære brugssituationer
Tallene betyder ikke meget, før de kobles til en konkret hverdagssituation. Her er fem, der går igen hos danske og nordiske brugere, og som hver især peger på et andet vindende valg.
- Gameren på 1 Gbit fiber i Aarhus. Lav ping betyder mere end topfart. WireGuard’s minimale overhead og øjeblikkelige genforbindelse gør den til det oplagte valg, når hvert millisekund tæller i et konkurrenceorienteret spil.
- Pendleren mellem Malmø og København. Telefonen skifter konstant mellem dansk og svensk mobilnet samt togets wifi over broen. IKEv2’s MOBIKE holder VPN-forbindelsen oppe gennem hvert eneste skift uden en synlig afbrydelse i et videomøde.
- Journalisten på forretningsrejse i et censurtungt land. Et lokalt firewall blokerer UDP-baseret VPN-trafik uden videre. OpenVPN over TCP port 443 er ofte den eneste protokol, der kommer igennem, fordi trafikken ligner almindelig HTTPS-browsing.
- Den fjernarbejdende medarbejder på ældre firewall-udstyr. Mange virksomheders VPN-koncentratorer, særligt ældre Cisco- og Fortinet-opsætninger, er bygget til OpenVPN eller IKEv2 og har aldrig fået WireGuard-understøttelse tilføjet.
- Selvhosteren med en Raspberry Pi derhjemme. Vil du selv sætte en VPN-server op til at nå dine hjemmefiler udefra, er WireGuard det oplagte valg. Opsætningen fylder få linjer konfiguration, og den lave ressourcebrug passer perfekt til en lille enkeltkortscomputer.
- Familien på sommerhusferie med dårligt mobildækning. Når signalet svinger mellem 4G og 3G flere gange i timen, er det IKEv2’s hurtige genforbindelse og MOBIKE-understøttelse, der holder en banksession eller et videoopkald til bedsteforældrene kørende, hvor både WireGuard og især OpenVPN ville mærkes som gentagne, korte afbrydelser.
Sådan vælger du den rigtige protokol til dit behov
De fleste apps sætter WireGuard som standard, og det er det rigtige valg langt de fleste gange. Overvej alligevel at skifte manuelt i disse tilfælde:
- Daglig brug, streaming og gaming: Bliv på WireGuard. Lavest ping og højest gennemløb af de tre.
- Telefon der taber forbindelsen under pendling: Skift til IKEv2 for MOBIKE’s sømløse håndtering af netværksskift.
- VPN’en vil slet ikke oprette forbindelse på hotel, campus eller et censureret netværk: Skift til OpenVPN over TCP 443, eller slå appens “stealth”- eller obfuskeringstilstand til.
- Router, NAS eller ældre udstyr uden WireGuard-understøttelse: Vælg OpenVPN, som er den mest udbredte protokol på tværs af firmware som DD-WRT, OpenWrt og pfSense.
- Maksimal reviderbarhed og lavest mulig angrebsflade er dit primære krav: WireGuard’s knap 5.000 linjer kode er det tætteste, du kommer på en protokol, en enkelt ekspert kan læse igennem på en dag.
- Du vil bruge en indbygget, gratis protokol uden en tredjepartsklient på iPhone eller Mac: IKEv2 kører native uden ekstra software og er derfor praktisk, hvis du vil sætte en manuel VPN-profil op uden en app.
Migreringsguide: fra OpenVPN til WireGuard i praksis
Kører du stadig en gammel OpenVPN-opsætning derhjemme eller hos en mindre udbyder, er skiftet til WireGuard enklere, end det lyder. De fleste kan gennemføre skiftet på en enkelt aften, forudsat at du har administratoradgang til serveren, og at du tester grundigt, inden du fjerner den gamle adgang. Sådan gør du det trin for trin.
- Tjek, om din nuværende VPN-udbyder eller router allerede understøtter WireGuard i sin nyeste firmware. De fleste routere med OpenWrt eller pfSense fra 2022 og frem gør det.
- Installer WireGuard-værktøjerne på serveren, for eksempel med
apt install wireguardpå Debian eller Ubuntu, eller den tilsvarende pakke i din udbyders kontrolpanel. - Generer et nøglepar til serveren med kommandoen
wg genkey | tee privatekey | wg pubkey > publickey. - Gør det samme på hver klientenhed, så hver enhed har sit eget unikke nøglepar frem for at genbruge én nøgle.
- Opret en
wg0.conf-fil på serveren med serverens private nøgle, et internt IP-interval som 10.0.0.0/24, og en Peer-sektion for hver klients offentlige nøgle. - Åbn den valgte UDP-port i firewallet. WireGuard bruger typisk port 51820, men porten kan ændres frit.
- Konfigurer hver klient med serverens offentlige nøgle og IP-adresse, og test forbindelsen, før du fjerner den gamle OpenVPN-adgang.
- Kør en DNS-lækagetest og en IP-lækagetest, så du er sikker på, at ingen trafik smutter uden om den nye tunnel.
- Behold OpenVPN-konfigurationen som reserveløsning i mindst en uge, indtil du har bekræftet stabil drift på alle enheder og netværkstyper, du normalt bruger.
- Fjern først den gamle OpenVPN-adgang, når WireGuard har kørt stabilt gennem både hjemmenettet, mobildata og mindst ét offentligt wifi-netværk.
Bruger du en kommerciel VPN-tjeneste i stedet for din egen server, er skiftet endnu enklere. Langt de fleste apps lader dig vælge protokol under et menupunkt kaldet “Protocol” eller “VPN-protokol” i indstillingerne, uden at du behøver generere en eneste nøgle selv. Det eneste, du typisk skal tage stilling til, er, om du vil lade appen vælge automatisk, eller om du selv vil låse protokollen fast, for eksempel hvis du ved, at du ofte sidder på netværk, hvor WireGuard bliver blokeret.
Uanset om du migrerer en selvhostet server eller blot skifter protokol i en app, er den vigtigste fejl at fjerne den gamle adgang for hurtigt. Test den nye WireGuard-forbindelse fra mindst tre forskellige steder, hjemmenettet, mobildata og et offentligt netværk, før du regner migreringen for fuldført. Det tager typisk under en time og forhindrer, at du står helt uden fjernadgang til dine egne systemer, hvis en firewallregel eller en routerindstilling viser sig at blokere den nye protokol et sted, du ikke havde testet.
Fordele og ulemper ved hver protokol
Med specifikationerne, benchmarkene og de fem brugssituationer på plads er det værd at samle styrker og svagheder i et kort overblik, du kan vende tilbage til, næste gang du overvejer at skifte protokol manuelt.
WireGuard
Fordele: højest hastighed, lavest ping, mindst kodebase, bedst batteriforbrug, hurtig genforbindelse.
Ulemper: kun UDP, lettere at blokere på restriktive netværk, kræver ekstra tiltag fra udbyderen for at undgå den faste interne IP-adresse.
OpenVPN
Fordele: fungerer på næsten enhver enhed og router, kan camoufleres som HTTPS på port 443, årtiers dokumenteret sikkerhedshistorik.
Ulemper: langsomst af de tre, tungest på batteri, langsom genforbindelse, større risiko for fejlkonfiguration på grund af det store antal indstillinger.
IKEv2/IPsec
Fordele: bedst til mobil roaming takket være MOBIKE, indbygget i styresystemer uden ekstra app, hurtig genforbindelse.
Ulemper: faste UDP-porte er lette at blokere, IPsec’s kompleksitet giver en større angrebsflade end WireGuard, mindre udbredt understøttelse på ældre routere og NAS-enheder.
Hvad viser de tekniske analyser og branchedata
Flere uafhængige tekniske gennemgange fra 2026 peger på de samme grundlæggende mønstre, selvom de bruger forskellige testopsætninger. VPNSmith’s sammenligning fremhæver, at WireGuard’s faste, moderne kryptografiske stak, med Curve25519 og ChaCha20-Poly1305, er bygget som et Linux-kernemodul på omkring 5.000 linjer kode, mod OpenVPN’s konfigurerbare brugerrumsdaemon på cirka 70.000 linjer, der læner sig op ad OpenSSL. Samme kilde peger på, at WireGuard’s 1,5-RTT-håndtryk opretter forbindelse markant hurtigere end OpenVPN’s TLS-håndtryk med flere rundture, hvilket i praksis betyder, at WireGuard kommer tættere på liniens fulde hastighed, mens OpenVPN taber mere til overhead i brugerrummet (VPNSmith, 2026).
Best VPN Guide’s protokolgennemgang bekræfter det transportmæssige skel: WireGuard kører udelukkende over UDP, mens OpenVPN kan køre over både UDP og TCP, hvilket er kernen i, hvorfor OpenVPN forbliver relevant på restriktive netværk selv i 2026 (Best VPN Guide, 2026). Ingen af kilderne i vores research udpeger én protokol som universelt overlegen. Konsensus er i stedet situationsbestemt: WireGuard til fart og hverdagsbrug, IKEv2 til mobil stabilitet, OpenVPN til de netværk, hvor intet andet slipper igennem.
Konklusion: Hvilken VPN-protokol vinder i 2026?
Data peger entydigt på WireGuard som standardvalget for langt de fleste danske brugere i 2026. Med et hastighedstab på blot 4-12 procent mod OpenVPN’s 16-40 procent, en kodebase på en femtendedel af konkurrenten, og bedst batteriforbrug på mobilen, er det ikke tilfældigt, at stort set alle store VPN-udbydere nu sætter WireGuard eller en WireGuard-baseret variant som deres forvalgte protokol. Mullvad går skridtet videre og dropper OpenVPN helt fra 15. januar 2026.
Det betyder ikke, at de to andre protokoller er overflødige. IKEv2 vinder klart på mobil roaming, og hvis du pendler dagligt mellem wifi og mobildata, er MOBIKE’s sømløse håndtering værd at prioritere over de sidste par procent hastighed. OpenVPN forbliver den eneste realistiske løsning, når et restriktivt firewall aktivt forsøger at blokere VPN-trafik, eller når du skal have en tunnel op at køre på en ældre router, der aldrig har set en WireGuard-opdatering. Den korte version: lad appen stå på automatisk, hvilket som oftest betyder WireGuard, og åbn kun protokolmenuen manuelt, når en af de tre specifikke situationer i denne artikel rammer dig. Gem gerne specifikationstabellen og pristabellen fra denne artikel som reference, så du hurtigt kan slå op, hvilken protokol der løser netop dit problem, næste gang forbindelsen driller på rejsen, kontoret eller sommerhuset.
Ofte stillede spørgsmål
Er WireGuard sikrere end OpenVPN?
Begge regnes som sikre i 2026, men WireGuard’s meget mindre kodebase, omkring 5.000 linjer mod OpenVPN’s titusindvis, gør den lettere at revidere fuldstændigt, og det faste kryptografiske sæt fjerner risikoen for nedgradering til svage cifre.
Hvorfor dropper Mullvad OpenVPN i 2026?
Mullvad har meldt ud, at OpenVPN udfases fra 15. januar 2026, så tjenesten fremover udelukkende kører på WireGuard, med begrundelsen at det forenkler infrastrukturen og matcher, hvor langt størstedelen af trafikken allerede er flyttet hen.
Kan jeg bruge WireGuard, hvis mit firewall blokerer VPN-trafik?
Sandsynligvis ikke direkte. WireGuard kører kun over UDP på en fast port, hvilket gør den let at genkende og lukke for et aktivt firewall. Skift i stedet til OpenVPN over TCP port 443, eller brug din udbyders obfuskerings- eller stealth-tilstand.
Hvilken protokol bruger mindst batteri på telefonen?
WireGuard, efterfulgt tæt af IKEv2. Begge er lettere for batteriet end OpenVPN, som kræver mere strøm til de hyppigere og langsommere genforbindelser.
Er NordLynx det samme som WireGuard?
Under motorhjelmen, ja. NordLynx er WireGuard med et ekstra lag dobbelt NAT, som NordVPN har tilføjet for at løse problemet med den faste interne IP-adresse, som WireGuard som standard knytter til hver brugers nøgle.
Skal jeg vælge UDP eller TCP, når jeg bruger OpenVPN?
Vælg UDP som standard, fordi det er hurtigst. Skift kun til TCP, typisk på port 443, hvis forbindelsen slet ikke kan oprettes, fordi et netværk blokerer UDP-baseret trafik.
Er IKEv2 lige så sikkert som WireGuard?
Kryptografien bag IKEv2, typisk AES-256-GCM og SHA-256, regnes som sikker, men IPsec er reelt en samlet pakke af flere protokoller, hvilket giver en større angrebsflade end WireGuard’s enkle, formelt verificerede design.
Virker WireGuard på min gamle router?
Kun hvis routerens firmware understøtter det. Mange ældre routere har aldrig fået WireGuard tilføjet, mens de stort set alle kan køre OpenVPN. Tjek din routers firmwareversion, eller opgrader til OpenWrt eller pfSense, hvis du vil have WireGuard-understøttelse på ældre hardware.
Kan jeg bruge flere protokoller samtidig fra forskellige enheder?
Ja. Protokolvalget sættes per forbindelse, ikke per konto, så du kan sagtens køre WireGuard på din bærbare derhjemme og skifte til OpenVPN over TCP 443 på telefonen, når du rejser til et land med et restriktivt netværk. De fleste apps husker dit seneste valg per enhed uafhængigt af hinanden.
Er det farligt at bruge PPTP eller L2TP, hvis min gamle router kun tilbyder dem?
PPTP bør du undgå helt, da protokollens godkendelsesmetode har været praktisk talt knækkelig i over et årti. L2TP alene giver ingen kryptering og skal altid parres med IPsec for at være brugbart. Kan din router kun det, er investeringen i en ny router eller et separat WireGuard-kompatibelt VPN-modul (for eksempel en Raspberry Pi) hurtigt tjent hjem i form af reel sikkerhed.
