WireGuard vs OpenVPN vs IKEv2: comparativa de protocolos VPN
WireGuard vs OpenVPN vs IKEv2: comparativa de protocolos VPN en lenguaje claro
El protocolo que usa tu VPN determina su velocidad, si sobrevive a un túnel de metro, si un cortafuegos de censura puede detectarlo y bloquearlo, y cuánto código debe auditar un investigador de seguridad antes de confiar en él. Hoy la mayoría de las apps usan WireGuard por defecto y te dejan cambiarlo en un menú de ajustes que casi nadie abre. Ese valor por defecto acierta casi siempre, pero no en todos los casos.
Esta guía se salta la típica tabla de pros y contras. En su lugar, parte de lo que realmente estás haciendo —alternar entre wifi y datos móviles, sortear una red restrictiva, ver streaming, jugar o conectarte desde un router antiguo— y explica por qué un protocolo concreto gana ese trabajo. También nombra los protocolos obsoletos y propietarios que los proveedores entierran discretamente en sus ajustes, para que sepas qué evitar y qué significan de verdad esos nombres de marca.
El árbol de decisión en 30 segundos
Si no recuerdas nada más, recuerda esta correspondencia entre tarea y protocolo:
Un móvil que cambia constantemente de wifi a datos móviles → IKEv2/IPsec. Su extensión MOBIKE mantiene el túnel vivo a través de los cambios de red sin un corte visible.
Censura o una red que bloquea las VPN → OpenVPN sobre TCP en el puerto 443 (o el modo ofuscado de un proveedor). Puede hacerse pasar por tráfico HTTPS normal.
Streaming, videojuegos, descargas grandes, uso diario → WireGuard. La menor latencia y el mayor rendimiento de los tres, con criptografía moderna.
Máxima compatibilidad en un router antiguo, un NAS o un sistema operativo raro → OpenVPN. Funciona en casi todas partes y se ha portado a prácticamente todas las plataformas.
No tienes ninguna necesidad concreta → déjalo en el valor por defecto de la app, que casi siempre es WireGuard o una variante basada en WireGuard.
Todo lo que sigue explica el razonamiento detrás de esas elecciones para que puedas anular el valor por defecto con confianza cuando tu situación lo requiera.
Las cifras: velocidad, sobrecarga y auditabilidad
Estas son las dimensiones que realmente difieren entre protocolos. Toma las cifras de rendimiento y latencia como orientativas —tu velocidad real depende mucho más de la carga del servidor, la distancia y tu propia conexión que del protocolo—, pero el orden relativo es coherente en pruebas independientes y en los propios benchmarks del proyecto WireGuard.
Rendimiento: WireGuard es el más rápido de los tres. En el benchmark publicado por el proyecto WireGuard alcanzó alrededor de 1.011 Mbps frente a unos 258 Mbps de OpenVPN en el mismo hardware; IKEv2/IPsec suele situarse entre ambos.
Latencia / sobrecarga: WireGuard añade el menor retardo de ida y vuelta —a menudo una fracción de milisegundo de sobrecarga de procesamiento— porque su criptografía es más ligera y reside en el kernel. OpenVPN, que se ejecuta en espacio de usuario con un handshake TLS más pesado, es el que más añade.
Tamaño del código y auditabilidad: la implementación de WireGuard para Linux es célebre por tener menos de ~4.000 líneas de código. OpenVPN tiene decenas de miles de líneas y depende de una biblioteca criptográfica aparte (OpenSSL o mbedTLS), lo que eleva la superficie realmente auditable a cientos de miles de líneas. Un código más pequeño significa menos lugares donde se oculten los fallos y una revisión que un solo experto puede llegar a terminar.
Comportamiento de reconexión: WireGuard no tiene conexión y está 'siempre activo'; si el enlace cae y vuelve, simplemente reanuda con el siguiente paquete. IKEv2 reconecta rápido y, con MOBIKE, migra entre redes sin cortes. OpenVPN debe reconstruir su sesión TLS, así que sus reconexiones son las más lentas y visibles.
Transporte: WireGuard es solo UDP. OpenVPN funciona sobre UDP o TCP. IKEv2/IPsec usa UDP (puertos 500 y 4500).
WireGuard se integró en la rama principal del kernel de Linux en la versión 5.6, en marzo de 2020, lo que en parte explica su gran rendimiento: el manejo de paquetes en el espacio del kernel evita el impuesto del cambio de contexto que pagan los protocolos en espacio de usuario.
Unas 4.000 líneas que puedes leer en una tarde frente a una pila criptográfica que necesitarías un equipo para auditar: ese único hecho explica buena parte de la reputación de WireGuard.
Por qué WireGuard gana en velocidad y confianza
La velocidad de WireGuard no es marketing; es consecuencia de sus decisiones de diseño. Usa un conjunto fijo y moderno de primitivas criptográficas —ChaCha20-Poly1305 para el cifrado autenticado, Curve25519 para el intercambio de claves, BLAKE2s para el hash, todo construido sobre el marco del protocolo Noise— en lugar del menú negociable de cifrados de OpenVPN. Sin negociación no hay handshakes lentos de ida y vuelta ni riesgo de que te degraden a un cifrado débil.
El código diminuto es lo que genera confianza. La seguridad proviene de un código que se puede revisar, y un módulo de 4.000 líneas es algo que los auditores han leído de verdad de principio a fin. WireGuard también funciona en silencio: no envía paquetes cuando no hay nada que transmitir, así que una conexión sobrevive al modo de reposo, la suspensión y los periodos de inactividad, y 'despierta' al instante. Esa combinación de pura velocidad, baja latencia y revisabilidad es la razón de que sea el valor por defecto adecuado para streaming, videojuegos, descargas y navegación corriente.
Por qué IKEv2/IPsec gana en movilidad
La función estrella para los móviles es MOBIKE, el protocolo de movilidad y multihoming de IKEv2, estandarizado como RFC 4555. Cuando sales de casa y tu teléfono pasa del wifi a la red LTE, la dirección IP de tu dispositivo cambia. Con la mayoría de los protocolos eso implica que el túnel se rompe y hay que reconstruirlo. MOBIKE permite que la asociación de seguridad IKEv2 existente se traslade a la nueva dirección IP sin derribar ni restablecer el túnel, de modo que la VPN se mantiene activa durante el cambio sin interrupción visible.
IKEv2 también es compatible de forma nativa con iOS, macOS y Windows, así que no necesita ninguna app de terceros para funcionar. Reconecta muy rápido tras una caída real, lo que lo hace excelente para una cobertura móvil irregular. Su punto débil es la resistencia a la censura: depende de puertos UDP fijos (500 y 4500) que un cortafuegos decidido puede simplemente bloquear y, a diferencia de OpenVPN, no puede esconderse fácilmente dentro de HTTPS. WireGuard también gestiona bien el roaming gracias a su diseño sin conexión, pero MOBIKE de IKEv2 sigue siendo el referente del traspaso móvil fluido e invisible.
Por qué OpenVPN sigue ganando en redes restrictivas
El superpoder de OpenVPN es el camuflaje. Como puede funcionar sobre TCP en el puerto 443 —el mismo transporte y puerto que el tráfico web HTTPS normal—, una conexión VPN puede volverse muy difícil de distinguir de alguien que simplemente está cargando páginas web. En redes que bloquean las VPN detectando sus firmas de tráfico o bloqueando todo el UDP, esto suele ser lo único que logra pasar. WireGuard, que solo usa UDP en un puerto no estándar, es comparativamente fácil de identificar y bloquear, y por eso los proveedores lo envuelven en capas adicionales de ofuscación para las regiones censuradas.
OpenVPN también es el campeón de la compatibilidad. Se ha portado a prácticamente todos los sistemas operativos, firmware de routers (DD-WRT, OpenWrt, pfSense) y plataformas NAS, así que cuando nada más se instala, OpenVPN normalmente sí. La contrapartida es la velocidad: la arquitectura en espacio de usuario y la sobrecarga de TLS lo convierten en el más lento de los tres, y el modo TCP añade su propia penalización.
OpenVPN TCP frente a UDP, explicado
Cuando eliges OpenVPN también eliges un transporte, y la decisión es una verdadera disyuntiva:
UDP es la opción más rápida y la predeterminada. No garantiza la entrega ni el orden, lo cual no importa porque los protocolos dentro de tu túnel (como el propio TCP) se encargan de ello. Usa UDP para todo a menos que no consiga conectar.
TCP garantiza una entrega fiable y en orden y —crucialmente— atraviesa cortafuegos y proxies que solo permiten TCP, especialmente en el puerto 443. El coste es el problema del TCP sobre TCP (a veces llamado 'colapso de TCP'): cuando el TCP de tu túnel y el TCP de tu tráfico intentan recuperarse de la pérdida a la vez, el rendimiento puede desplomarse. Recurre a TCP solo cuando UDP esté bloqueado o sea inestable.
Los protocolos que los proveedores entierran: PPTP, L2TP/IPsec y compilaciones propietarias
Algunos protocolos siguen en los menús desplegables por razones heredadas. Conviene saber cuáles evitar.
PPTP — no lo uses. El Point-to-Point Tunneling Protocol data de los años noventa y su autenticación MS-CHAPv2 lleva más de una década siendo prácticamente vulnerable. Es rápido solo porque apenas te protege. Considéralo obsoleto; sobrevive en los menús únicamente por compatibilidad con sistemas antiguos.
L2TP/IPsec — sopésalo con cuidado. L2TP no proporciona cifrado por sí solo, así que siempre se combina con IPsec. Está ampliamente soportado y es aceptable cuando se configura bien, pero es más lento que las opciones modernas, usa puertos fijos fáciles de bloquear y existe desde hace tiempo la sospecha de que IPsec haya sido debilitado. Rara vez hay motivo para elegirlo frente a IKEv2 (que también se basa en IPsec) o WireGuard.
SSTP — de nicho. Un protocolo de Microsoft que funciona sobre TLS/443 (por lo que atraviesa cortafuegos como OpenVPN), pero es esencialmente exclusivo de Windows y de código cerrado. Sirve en un apuro en Windows; no es una primera opción.
Luego están los protocolos de marca. Los nombres de marketing ocultan una realidad más simple, y vale la pena ir al grano:
NordLynx (NordVPN) es WireGuard con un sistema personalizado de doble NAT superpuesto para corregir la peculiaridad de privacidad de WireGuard (más sobre esto a continuación). Por debajo es WireGuard.
El 'protocolo propietario' rápido de muchos proveedores no es más que WireGuard con otra etiqueta y algo de ofuscación: Mullvad, Surfshark y otros ejecutan WireGuard directamente o ligeramente envuelto.
Lightway (ExpressVPN) es la excepción genuina: es un protocolo ligero, de código abierto y creado desde cero sobre la biblioteca criptográfica wolfSSL, no una bifurcación de WireGuard, pero comparte su filosofía de diseño de un código pequeño, auditable y de reconexiones rápidas.
Catapult Hydra (Hotspot Shield) es un transporte cerrado y propietario. Los protocolos cerrados no pueden auditarse de forma independiente como WireGuard y OpenVPN, lo que supone una rebaja significativa en confianza.
El inconveniente de privacidad de WireGuard, y cómo lo resuelven los proveedores
WireGuard tiene una debilidad real para las VPN comerciales, y conviene entenderla en vez de temerla. Por diseño, WireGuard empareja la clave pública de cada usuario con una dirección IP interna estática dentro del túnel, y el servidor mantiene esa asociación en memoria durante la sesión. En un servicio centrado en la privacidad eso resulta incómodo: una IP interna fija ligada a tu clave, más el último endpoint visto que WireGuard conserva, podrían en principio usarse para vincular tu actividad a lo largo de una sesión, justo lo contrario de lo que promete una VPN sin registros.
Los proveedores serios diseñan soluciones en torno a esto en vez de almacenarlo. El doble NAT de NordLynx es el enfoque mejor documentado: una segunda capa de traducción de direcciones de red permite que el servidor asigne direcciones internas de forma dinámica y evite conservar cualquier IP estática identificable asociada a tu cuenta. Otros rotan claves con frecuencia o asignan direcciones por sesión. La conclusión: WireGuard en sí es excelente, pero en un servicio comercial importa cómo el proveedor lo implementa a su alrededor, así que esta es una pregunta justa que plantear a cualquier proveedor.
Conclusiones prácticas: cuándo anular el valor por defecto
Deja activado el modo automático para el uso diario: tu app casi con seguridad usa WireGuard por defecto, y esa es la decisión correcta en velocidad y seguridad. Abre el menú de protocolos y cámbialo de forma deliberada en estos casos:
Estás en un móvil que pierde el túnel constantemente durante los trayectos → cambia a IKEv2 por el traspaso fluido de MOBIKE.
La VPN no consigue conectar en un hotel, un campus, el trabajo o una red censurada → cambia a OpenVPN sobre TCP 443, o activa el modo de ofuscación/sigilo de la app.
La necesitas en un router, un NAS o un dispositivo más antiguo → usa OpenVPN, la opción portada a más plataformas.
Lo que más te importa es el código auditable más pequeño y la latencia más baja → quédate con WireGuard.
Ves PPTP en la lista → no lo selecciones nunca. Si solo se ofrecen PPTP y L2TP, prefiere L2TP/IPsec, pero tómalo como una señal para elegir un servicio mejor equipado.
No existe un único 'mejor protocolo de VPN': existe el mejor protocolo para la tarea que tienes delante. WireGuard para velocidad y confianza, IKEv2 para movilidad, OpenVPN para sigilo y compatibilidad, y las opciones obsoletas para absolutamente nada. Saber distinguirlos es la diferencia entre una VPN que funciona en silencio y otra que falla justo cuando la necesitas.
Preguntas frecuentes
¿Es mejor WireGuard u OpenVPN?
Por velocidad, latencia y un código pequeño y auditable, gana WireGuard: es más rápido y mucho más sencillo de revisar. OpenVPN es mejor cuando necesitas disfrazar el tráfico como HTTPS en una red restrictiva (sobre TCP 443) o ejecutarlo en dispositivos poco comunes como routers y NAS. Para la mayoría de la gente en conexiones cotidianas, WireGuard es el mejor valor por defecto.
¿Es IKEv2 mejor que WireGuard para móviles?
IKEv2 tiene ventaja para el traspaso móvil fluido gracias a MOBIKE (RFC 4555), que traslada un túnel activo a una nueva dirección IP cuando tu teléfono pasa del wifi a los datos móviles sin cortes. WireGuard también hace bien el roaming gracias a su diseño sin conexión, pero MOBIKE de IKEv2 sigue siendo el referente del cambio de red invisible, y está integrado en iOS, macOS y Windows.
¿Cuál es el mejor protocolo de VPN en general?
No hay un único mejor protocolo: depende de la tarea. Usa WireGuard para velocidad y seguridad, IKEv2 para dispositivos móviles que cambian de red a menudo y OpenVPN sobre TCP 443 para redes censuradas o que bloquean VPN. Si no tienes una necesidad concreta, el valor por defecto de tu app (normalmente WireGuard) es la elección correcta.
¿Debería usar OpenVPN sobre TCP o UDP?
Usa UDP por defecto: es más rápido y los protocolos dentro de tu túnel se encargan ellos mismos de la fiabilidad. Cambia a TCP, especialmente en el puerto 443, solo cuando UDP esté bloqueado o sea inestable, porque TCP atraviesa cortafuegos estrictos pero puede sufrir el colapso de 'TCP sobre TCP' que hunde el rendimiento ante la pérdida de paquetes.
¿Es seguro usar PPTP en 2026?
No. La autenticación MS-CHAPv2 de PPTP lleva más de una década siendo prácticamente vulnerable, así que ofrece poca protección real pese a ser rápido. Solo permanece en los menús de las apps por compatibilidad heredada. Usa WireGuard, IKEv2 u OpenVPN en su lugar, y no selecciones nunca PPTP.
¿NordLynx es simplemente WireGuard?
Sí: NordLynx es WireGuard con una capa personalizada de doble NAT añadida encima. El doble NAT resuelve la peculiaridad de privacidad de WireGuard de emparejar una IP interna estática con la clave de cada usuario, permitiendo que el servidor asigne direcciones de forma dinámica para que no se almacene nada identificable. Muchos otros 'protocolos propietarios' rápidos son igualmente WireGuard bajo un nombre de marca.
¿Tiene WireGuard un problema de privacidad?
Por diseño, WireGuard asigna a cada usuario una IP interna estática ligada a su clave pública y el servidor mantiene esa asociación durante la sesión, lo que podría vincular la actividad en una VPN comercial. Los proveedores serios lo mitigan con doble NAT dinámico, rotación frecuente de claves o direccionamiento por sesión, así que el protocolo es excelente siempre que el proveedor lo implemente con cuidado.
