WireGuard vs L2TP vs SSTP: Pilih Protokol Tunnel Mana?

Kalau kamu sedang memasang tunnel ke router, menyewa IP publik, atau menyiapkan VPN kantor, pertanyaan yang hampir selalu muncul adalah: pakai protokol apa? Jawaban singkatnya, WireGuard adalah pilihan utama untuk perangkat modern, sedangkan L2TP/IPsec dan SSTP tetap berguna untuk router lama dan jaringan yang ketat.

Ketiganya sama-sama membuat terowongan (tunnel) antara dua titik di internet. Bedanya ada di cara membungkus data, port yang dipakai, beban ke prosesor, dan perangkat yang mendukung. Artikel ini membandingkannya satu per satu supaya kamu bisa memilih tanpa coba-coba.

Apa itu protokol tunnel dan kenapa pilihannya penting?

Protokol tunnel adalah aturan untuk membungkus lalu lintas jaringan di dalam koneksi lain, sehingga dua perangkat yang berjauhan bisa terhubung seolah berada di jaringan yang sama. Tunnel inilah yang dipakai VPN, sambungan antarcabang, dan layanan IP publik untuk koneksi di balik CGNAT.

Pilihan protokol menentukan tiga hal penting: apakah tunnel bisa tersambung dari jaringanmu (ada jaringan yang memblokir port tertentu), seberapa berat kerja prosesor router, dan seberapa mudah konfigurasinya dirawat.

Bagaimana cara kerja L2TP/IPsec?

L2TP (Layer 2 Tunneling Protocol) adalah protokol lama yang dibakukan di RFC 2661¹. L2TP sendiri tidak mengenkripsi data. Karena itu L2TP hampir selalu dipasangkan dengan IPsec, yang bertugas mengenkripsi dan mengautentikasi paket². Kombinasi inilah yang disebut L2TP/IPsec.

• Memakai UDP 1701 untuk L2TP, ditambah UDP 500 dan 4500 untuk pertukaran kunci IPsec.
• Didukung sangat luas: Windows, macOS, Android, dan L2TP client ada di semua versi Mikrotik RouterOS.
• Kelemahannya, ada dua lapis pembungkus sehingga overhead lebih besar, dan beberapa jaringan atau NAT berlapis kadang menyulitkan IPsec.

Bagaimana cara kerja SSTP?

SSTP (Secure Socket Tunneling Protocol) dikembangkan Microsoft. SSTP membungkus lalu lintas di dalam koneksi TLS lewat TCP port 443, port yang sama dengan HTTPS. Dari sisi jaringan, koneksinya terlihat seperti orang membuka website aman.

Keuntungannya, SSTP sering tetap bisa tersambung di jaringan hotel, kantor, atau kampus yang memblokir UDP atau port VPN lain. Kekurangannya, berjalan di atas TCP membuat performa bisa turun saat jaringan sering kehilangan paket, karena ada dua lapis mekanisme kirim ulang (TCP di dalam TCP). SSTP didukung bawaan di Windows dan tersedia sebagai client di Mikrotik RouterOS.

Bagaimana cara kerja WireGuard?

WireGuard adalah protokol VPN modern yang berjalan di atas UDP, dengan port yang umum dipakai 51820³. Desainnya sengaja sederhana: tidak ada pilihan algoritma yang bisa salah disetel. Semua koneksi memakai satu paket kriptografi modern, yaitu Curve25519 untuk pertukaran kunci, ChaCha20 dan Poly1305 untuk enkripsi dan autentikasi, serta BLAKE2s untuk hashing.

Basis kodenya jauh lebih kecil dibanding implementasi IPsec atau OpenVPN, sehingga lebih mudah diaudit. WireGuard sudah masuk kernel Linux sejak versi 5.6 dan didukung di Windows, macOS, Android, iOS, serta Mikrotik RouterOS v7. Konfigurasinya cukup satu file .conf berisi kunci dan alamat, atau satu kode QR.

Dalam pemakaian sehari-hari, tunnel WireGuard tersambung hampir instan dan tetap hidup saat perangkat berpindah jaringan, misalnya dari Wi-Fi ke data seluler. Satu catatan: karena hanya memakai UDP, WireGuard bisa terhambat di jaringan yang hanya mengizinkan TCP.

Apa beda WireGuard, L2TP, dan SSTP?

Jadi, protokol mana yang sebaiknya dipakai?

Patokan praktisnya seperti ini:

• Pilih WireGuard kalau perangkatmu mendukungnya: Mikrotik RouterOS v7, server Linux, laptop, dan HP. Ini pilihan paling ringan untuk router dengan prosesor terbatas dan paling mudah dirawat.
• Pilih L2TP/IPsec kalau routermu masih RouterOS v6 atau perangkat lama yang belum mengenal WireGuard.
• Pilih SSTP kalau tunnel harus tersambung dari jaringan yang ketat dan hanya membuka port 443, atau kalau L2TP/IPsec sulit tembus di jaringanmu.

Protokol apa yang dipakai layanan Nivelva?

Pilihan protokol di layanan Sewa IP Public Nivelva dibagi ke dua jenis paket. Paket Essential memakai L2TP atau SSTP, cocok untuk router lama termasuk RouterOS v6. Paket Pro memakai WireGuard, dipasang lewat file .conf, .rsc, atau scan QR, cocok untuk RouterOS v7, Linux, dan perangkat modern.

Semua paket tanpa biaya setup. Langkah memasang di Mikrotik, lengkap dengan contoh perintahnya, ada di panduan Sewa IP Public. Kalau kamu belum yakin koneksimu butuh IP publik, baca dulu apa itu IP publik.

Untuk kebutuhan sebaliknya, yaitu koneksi keluar dengan IP tetap untuk whitelist, VPN Remote Nivelva hanya memakai WireGuard. Bedanya dijelaskan di artikel VPN dengan IP statik.

Tanya protokol tunnel yang cocok untuk router saya