Protocolos VPN explicados

Respuesta rápida: En 2026, el mejor protocolo VPN “todoterreno” para la mayoría de la gente es WireGuard (o una variante basada en WireGuard bien implementada como NordLynx o Lightway) gracias a handshakes rápidos, excelente rendimiento (throughput) y criptografía moderna. Para redes restrictivas e inspección profunda de paquetes (DPI), OpenVPN sobre TCP 443 con ofuscación sigue atravesando bloqueos de forma más fiable. IKEv2/IPsec destaca en móviles por MOBIKE y reconexiones rápidas. L2TP/IPsec y PPTP son, en gran medida, legado; evita PPTP para cualquier cosa relacionada con la seguridad.

¿Qué son los protocolos VPN (y por qué te deberían importar)?

Un protocolo VPN es el conjunto de reglas que gobierna cómo tu dispositivo crea un túnel seguro hacia un gateway VPN: cómo se autentican los pares, qué cifrados protegen el tráfico, cómo se encapsulan los paquetes (UDP/TCP/ESP), cómo la sesión sobrevive a cambios de red y cómo reacciona ante pérdida y congestión. Diferentes protocolos optimizan objetivos distintos: velocidad, estabilidad, resistencia a la censura, batería y postura de privacidad. Elegir el adecuado puede duplicar tu throughput, reducir tu latencia en decenas de milisegundos o ser la diferencia entre funcionar o quedar bloqueado tras el firewall de un hotel.

De un vistazo: comparación de protocolos

Análisis en profundidad: cómo se comportan los principales protocolos

WireGuard

WireGuard es un protocolo moderno y “lean” que usa el handshake NoiseIK y ChaCha20-Poly1305 AEAD con Curve25519 para ECDH. Vive en el kernel (Linux) o como un port userspace de alta calidad y prioriza la simplicidad: base de código pequeña, pocas opciones y roaming sin estado (los peers se identifican por claves públicas). Resultado: handshakes casi instantáneos, throughput alto y consistente y bajo uso de CPU—ideal para batería en iOS/Android y muy rápido en enlaces multi-Gbps.

• Roaming y NAT: Usa keepalives persistentes y descubrimiento de endpoint; sobrevive cambios de IP (Wi-Fi→LTE) sin cortes.
• Postura de privacidad: WG “puro” mapea una clave pública estática a una IP interna/estática del túnel; configuraciones ingenuas podrían dejar datos de asociación a corto plazo. Proveedores serios implementan claves efímeras y doble NAT (p. ej., NordLynx) para desacoplar cuentas de IPs internas.
• Resistencia a la censura: UDP puede ser limitado/bloqueado; la ofuscación requiere capas extra (p. ej., UDP sobre DTLS/TLS, Shadowsocks o capas “Stealth” propietarias).
• Cuándo usarlo: Opción por defecto cuando la red no es activamente hostil; streaming, gaming y privacidad cotidiana.

OpenVPN (UDP y TCP)

OpenVPN está muy probado, es altamente configurable y open-source. Encapsula tráfico en TLS, normalmente con AES-GCM o ChaCha20-Poly1305 y ECDHE para PFS. Corre sobre UDP (preferido por velocidad) o TCP (útil detrás de proxies restrictivos y DPI).

• Ofuscación: Fácil de disfrazar como HTTPS normal con stunnel, obfs4 o fronting estilo XTLS/Reality; TCP/443 se mezcla con tráfico permitido.
• Consideraciones de rendimiento: OpenVPN-UDP es sólido pero con más sobrecarga que WireGuard. OpenVPN-TCP arriesga “meltdown” TCP sobre TCP en enlaces con pérdida (ambas capas retransmiten/congestionan).
• Cuándo usarlo: En redes con DPI, filtros autoritarios, proxies empresariales o donde UDP esté bloqueado.

IKEv2/IPsec

IKEv2 negocia asociaciones de seguridad y claves para IPsec ESP. Soporta MOBIKE para movilidad resiliente, por lo que es excelente en teléfonos que saltan entre redes. La criptografía es moderna (AES-GCM o ChaCha20; ECDHE para PFS). Suele correr sobre UDP 500/4500 (NAT-T).

• Pros: Re-keys muy rápidos, túneles estables de larga duración, clientes nativos en iOS/macOS/Windows, bueno para split tunneling.
• Contras: Firewalls que bloquean UDP 500/4500 o ESP lo rompen; menos opciones flexibles de ofuscación que OpenVPN.
• Cuándo usarlo: Despliegues corporativos; usuarios móviles que priorizan estabilidad sobre ofuscación.

L2TP/IPsec (legado)

L2TP aporta el túnel; IPsec aporta el cifrado. Como encapsulas dos veces, la sobrecarga es mayor y el rendimiento peor. Está disponible en hardware antiguo, pero es frágil con NAT y resiste poco frente a DPI. Úsalo solo si no hay alternativas modernas.

SSTP (Microsoft)

SSTP va sobre TLS en TCP/443, lo que ayuda a pasar por la mayoría de firewalls. Está bien integrado en Windows Server/Client, pero sigue siendo un protocolo cerrado con soporte irregular fuera de Windows. Razonable en entornos solo Windows cuando OpenVPN no sea viable.

PPTP (no usar para seguridad)

PPTP es rápido porque su stack de cripto/auth está roto (MS-CHAPv2 se puede crackear). Los sistemas modernos lo advierten o bloquean por defecto. Está efectivamente obsoleto; mantenlo fuera de producción.

Protocolos específicos del proveedor / propietarios

• NordLynx (NordVPN): Protocolo basado en WireGuard con doble NAT para evitar mapear claves estáticas a identidades de usuario o IPs internas fijas. Suele ser de los más rápidos; diseño orientado a privacidad para resolver la “vinculación” de WireGuard puro.
• Lightway (ExpressVPN): Protocolo ligero, “mobile-first”, que usa wolfSSL; soporta AES-GCM y ChaCha20-Poly1305. Reanudación rápida y buen rendimiento incluso en Wi-Fi/4G inestable; auditado para asegurar la implementación.
• Hydra (Hotspot Shield/Catapult Hydra): Enfocado en throughput y resistencia a censura con transporte/ofuscación propietarios. Menor escrutinio independiente que OpenVPN/WireGuard.
• Stealth (varios proveedores, p. ej., Proton VPN): Capas de ofuscación que disfrazan WireGuard/OpenVPN como TLS/HTTPS estándar para evitar DPI y firewalls nacionales; espera una penalización de velocidad por el wrapping extra.

Rendimiento: de dónde sale la velocidad

• Latencia de handshake: NoiseIK de WireGuard es 1-RTT con estado mínimo → conexiones casi instantáneas. OpenVPN + TLS requiere más mensajes; IKEv2 es rápido en re-key.
• Eficiencia de cifrado: ChaCha20-Poly1305 es excelente en móvil/ARM; AES-GCM se beneficia de AES-NI en PCs/servidores.
• Transporte: UDP evita el head-of-line (HOL) blocking de TCP y es superior en enlaces con pérdida. TCP se camufla mejor en entornos enterprise, pero arriesga meltdown en túneles TCP sobre TCP.
• Sobrecarga de encapsulación y MTU: Los túneles añaden cabeceras. Si tu MTU es demasiado alta, verás fragmentación/“black holes”. Ajusta MSS clamp a ~1360–1380 bytes para OpenVPN/WireGuard como base segura; prueba y ajusta.

Resistencia a la censura y evasión de DPI

Redes adversarias fingerprintan protocolos por tamaños de paquetes, timing y firmas TLS. Estrategias que funcionan hoy:

• OpenVPN-TCP 443 con stunnel (TLS dentro de TLS) u obfs4 para mezclarse con HTTPS. Fuerte pero más lento.
• WireGuard sobre TLS (también “WG-over-TLS”/“Stealth WG”): encapsula UDP en un flujo con apariencia TLS; espera sobrecarga.
• Domain fronting / pluggables avanzados (donde sea legal): enruta tráfico por CDNs de alta reputación; los gobiernos centrales cada vez detectan/presionan más a CDNs para bloquearlo.
• SSTP/443 en entornos Windows cuando OpenVPN no está permitido.

Comportamiento móvil: reconexión, batería y estabilidad

• WireGuard: Keepalives mínimos, cripto eficiente; excelente batería. Roaming fluido entre redes.
• IKEv2/IPsec: MOBIKE permite que el túnel sobreviva bien a cambios de IP; a menudo es lo más estable en iOS gracias a clientes nativos.
• OpenVPN: Keepalives en userspace implican más “wakeups”; correcto en dispositivos modernos, pero menos óptimo para batería frente a WireGuard/Lightway.

Postura de seguridad y auditorías

• Código open-source y auditorías: WireGuard y OpenVPN tienen fuerte escrutinio comunitario. Evalúa también la implementación del proveedor: servidores solo RAM, rotación de claves, minimización de logs y auditorías externas.
• Gestión de claves: Prioriza proveedores con claves de sesión efímeras, re-key automático y diseños que eviten el vínculo permanente clave↔IP (p. ej., doble NAT de NordLynx).
• Protección contra fugas: El protocolo no basta—activa kill switch, DNS dentro del túnel, manejo de IPv6 (túnel o desactivar) y protección contra fugas WebRTC.

¿Qué protocolo deberías elegir? (Guía de decisión)

• Uso diario en redes normales: WireGuard (o NordLynx/Lightway). Si es inestable, prueba OpenVPN-UDP.
• Hoteles/campus/aeropuertos con firewalls estrictos: OpenVPN-TCP 443 con ofuscación. Si es solo Windows, SSTP/443 puede funcionar.
• Móvil (cambios frecuentes Wi-Fi/LTE): IKEv2/IPsec o Lightway. WireGuard también va muy bien si la red no bloquea UDP.
• Routers antiguos/embedded: OpenVPN está ampliamente soportado; evita L2TP salvo obligación; nunca PPTP para seguridad.
• DPI/sensura a nivel estatal: OpenVPN-TCP 443 + stunnel/obfs o el modo Stealth del proveedor; espera menor velocidad.

Consejos de implementación (hands-on)

• MTU/MSS: Si ves bloqueos o ralentizaciones raras, ajusta el TCP MSS: OpenVPN mssfix 1360 y tun-mtu 1500 (ajusta), o configura reglas MSS a nivel de SO para tráfico WireGuard.
• DNS: Fuerza consultas del resolver dentro del túnel (DNS del proveedor o DNS cifrado dentro del túnel). Mezclar DoH/DoT público con geo-unblocking puede causar “mismatch”.
• Kill switch: Usa un kill switch basado en firewall (bloquea cualquier salida fuera del túnel) en lugar de solo toggles de app.
• Fallbacks de protocolo: Prueba WireGuard → OpenVPN-UDP → OpenVPN-TCP 443 con ofuscación. Automatiza el failover cuando sea posible.
• Auditorías y logging: Prioriza proveedores con auditorías de terceros, servidores RAM-disk y políticas transparentes de logging mínimo.

Opciones menos comunes (pero útiles)

• OpenConnect/AnyConnect (SSL-VPN): VPNs SSL estilo Cisco con buen soporte empresarial; algunos servicios de consumo soportan OpenConnect por compatibilidad.
• SoftEther: Stack VPN multiprotocolo basado en TLS; flexible, pero más pesado de desplegar; puede imitar HTTPS bastante bien.

FAQs

Conclusión

El protocolo VPN “correcto” depende de tu modelo de amenazas y de las condiciones de red. WireGuard (y variantes bien diseñadas como NordLynx y Lightway) ofrece la mejor mezcla de velocidad, estabilidad y cripto moderna para privacidad diaria. OpenVPN sigue siendo la navaja suiza que atraviesa DPI y redes raras—especialmente en TCP 443 con ofuscación. IKEv2/IPsec es un “workhorse” móvil. Trata L2TP/IPsec y PPTP como legado. Para resultados consistentes en 2026, empieza con WireGuard, recurre a OpenVPN-UDP y después a OpenVPN-TCP 443 con ofuscación cuando la red se vuelva hostil.