VPN 客户端或审计摘要里出现的「AES-GCM」「ChaCha20-Poly1305」，回答的通常不是「加密好不好听」，而是：**数据平面用哪种 AEAD（带认证的加密）保护隧道载荷，以及在你这台设备上会不会更吃 CPU 或更耗电。**2026 年营销文案常把算法名写成安全感徽章；读文档时更值得核对的是套件是否现代、是否与 前向保密（PFS） 的握手安排配套，以及实际协商结果是否与宣称一致。
AEAD 是什么：加密之外还要防篡改
一个可独立引用的定义句：AEAD（Authenticated Encryption with Associated Data）是一类同时提供机密性与完整性校验的对称加密模式，解密前会验证认证标签，从而同时防窃听与防篡改。
| 概念 | 更精确的含义 | 在 VPN 里常见位置 |
|---|---|---|
| 对称加密 | 同一密钥加解密载荷 | 数据平面每个包 |
| 认证标签（MAC/tag） | 证明密文未被改 | AEAD 输出的一部分 |
| 关联数据（AAD） | 不加密但要认证的头字段 | 序号、类型等元数据 |
| 握手/密钥交换 | 派生短期会话密钥 | 控制平面，见 PFS 文 |
这与 VPN 是什么 中的模型一致：路上的机密性来自加密与密钥管理；算法名字只描述数据平面的一种实现选择。
AES-GCM 与 ChaCha20-Poly1305 各自做什么
AES-GCM：以 AES 分组密码为内核，用 GCM 模式一次完成加密与认证。桌面 CPU 广泛具备 AES-NI 等硬件加速时，吞吐往往很高。
ChaCha20-Poly1305：以流密码 ChaCha20 加密，再用 Poly1305 做认证。设计目标之一是在缺少优质 AES 硬件加速的平台上，仍能以软件实现获得可预期的性能与恒定时间特性。
| 维度 | AES-GCM（概括） | ChaCha20-Poly1305（概括） |
|---|---|---|
| 结构 | 分组密码 + GCM | 流密码 + Poly1305 |
| 常见密钥长度文案 | AES-128 / AES-256 | 256-bit 密钥（实现相关） |
| 硬件友好 | 有 AES 加速时极快 | 不依赖 AES 指令 |
| 纯软件路径 | 实现质量差异更大 | 许多移动场景更均衡 |
| 典型协议语境 | TLS、部分 IPsec/OpenVPN 套件 | WireGuard 数据平面、部分 TLS 套件 |
据各协议规范与 2026 年常见客户端文档，WireGuard 数据平面固定使用 ChaCha20-Poly1305；OpenVPN、IKEv2 等则可能在多种 AEAD 套件间协商。以你实际抓到的套件或官方密码套件列表为准，不要只凭产品页徽章推断。
硬件加速 vs 移动端耗电：真正常拉开差距的地方
安全性争论在「两者都正确实现」的前提下，往往不如工程取舍醒目：
| 设备侧条件 | 更常观察到的倾向 | 原因（简要） |
|---|---|---|
| 桌面/服务器有 AES-NI 等 | AES-GCM 吞吐占优 | 专用指令降低每字节成本 |
| 手机、部分平板、旧 SoC | ChaCha20 体感更稳、更省 | 避免慢速 AES 软件路径 |
| 高并发网关节点 | 看加速卡与套件配置 | 与终端用户手机逻辑不同 |
测试环境写法示例：2026 年 9 月，同一节点、同一协议族，在带 AES 加速的笔记本与不强调 AES 加速的手机上分别记录加密 CPU 占用与耗电体感；同时记下客户端版本与「cipher / AEAD」显示项。把日期与设备型号写进笔记，而不是只截「AES-256」四个字。
「更省」不是排名。同一品牌在桌面与手机上的默认套件、是否允许用户改、是否在省电模式降频，往往不同。
和 PFS、协议名不要混为一谈
日常口语里的「加密」常混了三层：
| 口头说法 | 更精确的含义 |
|---|---|
| AES / ChaCha | 数据平面对称 AEAD 算法 |
| WireGuard / OpenVPN | 隧道如何构造与握手 |
| 有前向保密 | 会话密钥是否由临时交换派生并轮换 |
可以高强度跑 AES-GCM，却用可长期复用的密钥安排；也可以在 ChaCha20 上配合良好的短期密钥与 rekey。读 WireGuard 与 OpenVPN 对比 与 现代 VPN 技术架构 时，把「算法名」和「密钥生命周期」分开记。
常见误解：
误解 1：AES-256 一定比 ChaCha20 更安全。
密钥长度与算法族不是同一标尺；现代 AEAD 的安全边界更取决于实现、随机数/nonce 管理与密钥是否泄露。
误解 2：选了某算法就能防 DNS 泄漏。
泄漏是路由与解析问题，见 DNS 泄漏检查。算法再现代，流量没进隧道也无效。
误解 3：审计徽章上的算法名等于你每次连接都谈成了它。
旧客户端、兼容模式或错误配置可能谈出较弱或不同套件；以当次协商与文档版本日期为准。
读客户端与审计时建议核对什么
选型或续费、以及自建升级时，把对称加密写成三条可复查笔记：
- 套件表述：是否写明 AEAD（GCM / Poly1305 等），而不是只写「AES 加密」；
- 设备匹配：主力设备是否有 AES 硬件加速；手机场景是否更应关注 ChaCha 默认；
- 证据日期：协议版本、客户端版本、审计摘要中的密码套件列表日期是否仍在你可接受的近期内。
服务端与套件核对完，仍用本机泄漏检查与 Kill Switch 补齐设备侧。对称算法是数据平面的旋钮；历史密文风险窗口看 PFS；路上有没有走对路要另测。三层分开验证，比只信任「军事级 AES」八个字更接近可复查的基线。