VPN TCP oder UDP: Was wählen und wie man Unterbrechungen behebt

Wenn sich das VPN seltsam verhält — Verbindungen abbricht, sich nicht verbindet oder YouTube mit Geschwindigkeiten aus den 90ern lädt — liegt es wahrscheinlich an der Wahl des Transportprotokolls. Die Frage VPN TCP vs UDP: wie man das behebt, ohne blind die Einstellungen durchzugehen — ist eine der häufigsten in der Unterstützung. Unten sind konkrete Schritte, ohne Umschweife.

Kurze Antwort: was jetzt umgeschaltet werden sollte

Die Logik ist einfach. UDP — das ist Geschwindigkeit und Stabilität, wo das Netzwerk normal ist. TCP (insbesondere Port 443) — das ist die Durchlässigkeit durch strenge Firewalls und DPI, wenn der Anbieter UDP blockiert. Merken Sie sich diese Regel, und 80% der Probleme sind in zwei Minuten gelöst.

Wenn das VPN abbricht oder ruckelt — versuchen Sie UDP

Die Verbindung bricht alle 10 Minuten ab, die Geschwindigkeit schwankt, der Ping springt? Stellen Sie zuerst sicher, dass UDP eingestellt ist. In OpenVPN Connect auf Android oder iOS ist das der Punkt „Protocol“ in den Profileinstellungen. Auf Windows — Bearbeitung der .ovpn-Datei, Zeileproto udp. UDP funktioniert schneller, weil es keine Zeit mit Bestätigungen für die Paketzustellung verschwendet.

Wenn das VPN sich überhaupt nicht verbindet — wechseln Sie zu TCP

Das VPN hängt bei „Verbindung...“ und bricht nach 30 Sekunden mit einem Fehler ab? Das ist ein Zeichen dafür, dass UDP blockiert oder gefiltert wird. Ändern Sieproto udp zuproto tcp in der .ovpn-Datei — und versuchen Sie es erneut. In Amnezia kann dies direkt in der Benutzeroberfläche umgeschaltet werden, ohne manuelle Bearbeitung der Konfiguration.

Port 443 TCP als „Maskierung“ unter HTTPS

Der effektivste Trick zum Umgehen von Anbieterblockaden — TCP auf Port 443. Für DPI-Systeme sieht das aus wie normaler HTTPS-Verkehr zu irgendeiner Website. In der .ovpn-Datei müssen Sie sowohlproto tcp als auchport 443 gleichzeitig angeben. Die meisten VPN-Dienste bieten fertige Konfigurationen mit solchen Einstellungen an.

Was ist der Unterschied zwischen TCP und UDP in einfachen Worten

Ohne technische Vorlesungen, aber mit den nötigen Details — sonst verstehen Sie nicht, warum eine Lösung funktioniert und die andere nicht.

TCP — Lieferung mit Bestätigung (zuverlässig, aber langsamer)

TCP — wie ein Einschreiben mit Rückschein. Paket gesendet — auf Bestätigung warten. Kam nicht — erneut senden. Das garantiert, dass alle Daten ankommen und in der richtigen Reihenfolge. Aber jede Bestätigung bedeutet zusätzliche Millisekunden Verzögerung.

UDP — Lieferung ohne Bestätigung (schnell, aber ohne Garantien)

UDP — eine Postkarte. In den Briefkasten geworfen und vergessen. Ob sie angekommen ist oder nicht — unbekannt, nachfragen werden Sie nicht. Für Video-Streaming und Online-Spiele ist das in Ordnung: der Verlust eines Frames ist nicht kritisch. Deshalb funktionieren YouTube, Zoom und die meisten Spiele über UDP.

Warum das für VPN wichtiger ist, als es scheint

VPN fügt eine weitere Schicht über Ihren Datenverkehr hinzu. Die Wahl des Protokolls beeinflusst nicht nur die Geschwindigkeit, sondern auch, ob der Anbieter diesen Datenverkehr überhaupt durchlässt. Russische Anbieter setzen unter dem Druck von Roskomnadsor aktiv DPI ein, das in der Lage ist, den Typ des Datenverkehrs zu erkennen und ihn selektiv zu verlangsamen oder zu blockieren.

„TCP über TCP“ — der versteckte Grund für Verzögerungen

Darüber schweigen die meisten Konkurrenten. Wenn Sie OpenVPN über TCP verwenden und gleichzeitig eine Website über HTTPS (auch TCP) öffnen, entsteht der Effekt „TCP über TCP“. Bei Paketverlusten beginnen beide Schichten gleichzeitig, eine erneute Übertragung anzufordern. Das erzeugt eine Flut von Anfragen, die die Geschwindigkeit auf Modemniveau drosselt. Bei einem guten Netzwerk bemerken Sie das nicht. Bei instabilem mobilem Internet oder bei einem überlasteten Anbieter — der Unterschied ist gewaltig.

UDP hat diesen Effekt nicht — es fragt einfach nicht nach. Deshalb zeigt sich UDP bei instabilem Netzwerk paradoxerweise besser als das „zuverlässige“ TCP.

Warum der Anbieter UDP drosselt und was DPI damit zu tun hat

Viele Nutzer bemerken: Zu Hause über WLAN funktioniert das VPN, im Mobilfunknetz jedoch nicht. Oder es hat funktioniert, und dann hat es aufgehört. Das ist kein Zufall.

Wie DPI (Deep Packet Inspection) VPN-Datenverkehr erkennt

DPI ist nicht einfach eine Firewall, die auf Ports schaut. Es analysiert den Inhalt der Pakete, deren Größe, Timing, Datenentropie. OpenVPN und WireGuard haben charakteristische Signaturen: spezifische Muster des Handshakes, feste Header. Moderne DPI-Systeme (in Russland sind Lösungen von TSPU von Roskomnadsor verbreitet) können sie unabhängig vom Port erkennen.

Blockaden und Verlangsamungen seitens der Anbieter und Roskomnadsor

Seit 2021 implementiert Roskomnadsor aktiv TSPU in den Netzwerken großer Anbieter. In verschiedenen Zeiträumen wurden Twitter/X, YouTube sowie VPN-Datenverkehr mit charakteristischen Signaturen verlangsamt. UDP auf nicht standardmäßigen Ports wird am einfachsten blockiert — es reicht aus, alles zu filtern, was nicht DNS, QUIC oder bekannte Dienste ist.

Wenn UDP funktioniert und TCP nicht — und umgekehrt

In Unternehmensnetzwerken und öffentlichen Wi-Fi ist die Situation umgekehrt: Dort ist oft nur HTTP/HTTPS-Traffic erlaubt, also TCP auf den Ports 80 und 443. UDP kann vollständig blockiert sein — das ist eine gängige Praxis von Unternehmensfirewalls. Doppelte NAT in Hotels und Flughäfen lässt ebenfalls häufig nur TCP 443 durch.

Warum es schwieriger ist, TCP 443 zu blockieren

TCP 443 zu blockieren bedeutet, das gesamte HTTPS zu blockieren. Kein Anbieter im gesunden Verstand wird das tun: Banken, staatliche Dienste, alles würde ausfallen. Aus diesem Grund bleibt TCP auf Port 443 die letzte Bastion, wenn alles andere blockiert ist. Aber ich betone: Das ist kein Allheilmittel — intelligentes DPI kann OpenVPN TLS von echtem HTTPS selbst auf Port 443 unterscheiden.

Schritt für Schritt: So wechseln Sie zwischen TCP/UDP auf verschiedenen Geräten

Konkrete Schritte für jede Plattform. Screenshots werde ich nicht machen — die Schnittstellen ändern sich mit jedem Update, während die Beschreibungen länger aktuell bleiben.

OpenVPN auf Android und iPhone

In OpenVPN Connect (Version 3.x) öffnen Sie das Profil → klicken Sie auf den Stift → „Erweitert“ → „Protokoll“. Dort gibt es einen Schalter für UDP/TCP. Wenn das Profil aus einer .ovpn-Datei importiert wurde, ist es einfacher, die Datei selbst zu bearbeiten: Suchen Sie die Zeileproto udp oderproto tcp und ersetzen Sie sie. Löschen Sie dann das alte Profil und importieren Sie die aktualisierte Datei erneut.

Auf dem iPhone mit Amnezia — im Einstellungsbereich des spezifischen Servers gibt es eine Dropdown-Liste mit Protokollen, einschließlich OpenVPN TCP und UDP.

OpenVPN auf Windows und Mac

Die .ovpn-Dateien liegen normalerweise inC:\Users\[Name]\OpenVPN\config\ unter Windows und in~/.config/openvpn/ unter Mac (oder im Tunnelblick-Anwendungsverzeichnis). Öffnen Sie sie mit einem Texteditor, ändern Sie die Zeileproto, speichern Sie sie. Für TCP 443 muss auch der Port geändert werden:remote server.example.com 443 tcp. Nach der Änderung — den Tunnel neu verbinden.

Amnezia (AmneziaWG / OpenVPN)

Amnezia ist wohl die bequemste Lösung zum Wechseln der Protokolle, ohne sich mit Dateien herumschlagen zu müssen. In der App wählen Sie die Verbindung → „Einstellungen“ → „Protokoll“. Verfügbar sind OpenVPN UDP, OpenVPN TCP, AmneziaWG und Shadowsocks. Der Wechsel wird ohne Neustart der App angewendet. Das ist einer der Gründe, warum Amnezia beliebt ist, um russische Blockaden zu umgehen.

Konfiguration auf dem Router

Auf Routern mit OpenWrt oder Firmware wie Keenetic erfordert der Wechselproto die Bearbeitung der Konfiguration über SSH oder die Weboberfläche und das anschließende Neustarten des OpenVPN-Dienstes mit dem Befehlservice openvpn restart. Es reicht nicht aus, die App auf dem Telefon einfach zu schließen und wieder zu öffnen — der Tunnel wird auf der Router-Seite aufgebaut. Das ist wichtig für Smart TVs und Spielkonsolen: Sie können das Protokoll nicht selbst auswählen, nur der Router.

Wie man erkennt, welches Protokoll gerade aktiv ist

In den Protokollen von OpenVPN Connect suchen Sie nach einer Zeile wieProto: UDP oderTCP sofort nach der Verbindung. Im Terminal auf Linux/Mac zeigt der Befehlss -tunp | grep openvpn aktive Verbindungen mit dem Protokoll an. In Amnezia wird das aktuelle Protokoll auf dem Hauptbildschirm unter dem Namen des Servers angezeigt.

Wenn weder TCP noch UDP helfen: Was ist der nächste Schritt?

Ehrliches Gespräch. Wenn Sie bis hierher gelesen haben und das Umschalten zwischen TCP/UDP nicht geholfen hat, bedeutet das, dass das Problem tiefer liegt. Die Frage VPN TCP vs UDP: Wie man die Situation behebt, wenn die klassischen Methoden nicht funktionieren, hat eine Antwort: Es ist Obfuskation erforderlich.

Portwechsel: 1194, 443, 80

Port 1194 UDP ist der Standard für OpenVPN und wird als erstes blockiert. Versuchen Sie nacheinander: 443 TCP, dann 80 TCP (HTTP), dann 8080 TCP. Einige Anbieter schneiden nicht standardmäßige Ports im Großhandel ab und lassen nur 80 und 443 übrig. Wenn der VPN-Server mehrere Ports unterstützt, dauert das Durchprobieren weniger als fünf Minuten.

Wechsel zu obfuskierten Protokollen: Shadowsocks, VLESS/XRay, AmneziaWG

Moderne DPI kann OpenVPN und WireGuard sogar auf Port 443 erkennen – anhand der Handshake-Muster und der Struktur des Traffics. Shadowsocks verschlüsselt nicht nur die Daten, sondern auch die Header, wodurch der Traffic statistisch wie zufälliger Lärm aussieht. VLESS/XRay gehen noch weiter: Sie verstecken sich innerhalb einer legitimen WebSocket- oder gRPC-Verbindung zu einer echten Domain. AmneziaWG fügt WireGuard Junk-Pakete hinzu, die seine Signatur brechen.

Dienste wie NvoVPN und Lösungen auf Basis von Amnezia unterstützen diese Protokolle ohne manuelle Konfiguration – das ist eine der Optionen, wenn Sie keinen eigenen Server aufsetzen möchten. Für die manuelle Konfiguration benötigen Sie einen VPS und eine Stunde Zeit mit der Dokumentation von XRay oder 3x-ui.

Wenn das Problem nicht im Protokoll, sondern im MTU liegt

Symptom: VPN verbindet sich, Status „verbunden“, aber die Websites laden entweder gar nicht oder nur teilweise – Text ist vorhanden, Bilder fehlen. Das ist ein klassisches Zeichen für einen MTU-Konflikt. VPN fügt Header zu den Paketen hinzu, wodurch deren Größe über das zulässige MTU von 1500 Byte hinaus erhöht wird. Die Pakete beginnen zu fragmentieren oder gehen verloren.

Lösung für OpenVPN: Fügen Sie in die .ovpn-Datei die Zeilen hinzumssfix 1400 undfragment 1400. Für WireGuard stellen Sie in den Schnittstelleneinstellungen das MTU auf 1380 ein. Den genauen Wert können Sie mit dem Befehlping -M do -s 1400 8.8.8.8 (Linux/Mac) ermitteln – verringern Sie die Größe, bis der Ping keine Fragmentierungsfehler mehr meldet.

Überprüfung auf der Serverseite und Standortwechsel

Manchmal liegt das Problem nicht in den Client-Einstellungen. Der VPN-Server kann überlastet sein, seine IP könnte auf die Blockliste von Roskomnadzor geraten sein, oder der Hosting-Anbieter hat Probleme mit der Routing zu russischen Netzwerken. Versuchen Sie, sich mit einem anderen Server in einem anderen Land zu verbinden – wenn es funktioniert, lag das Problem an einem bestimmten Knoten. Die Niederlande und Finnland kommen traditionell besser durch russische Anbieter als beispielsweise die USA oder Australien.

Um alles oben Gesagte über VPN TCP vs UDP zusammenzufassen: Wie man die meisten Probleme behebt – beginnen Sie mit UDP, wechseln Sie bei Blockaden zu TCP 443, und wenn das auch nicht hilft, schauen Sie in Richtung Obfuskation. Die Wahl zwischen TCP und UDP ist das erste Werkzeug im Arsenal, aber nicht das letzte.