Los protocolos de VPN WireGuard y OpenVPN son los dos más usados -con permiso del protocolo IPsec para grandes empresas– tanto en el ámbito doméstico o de «homelab», como también a nivel empresarial. Por la arquitectura que tienen ambos protocolos, y las diferentes opciones de configuración disponibles, debes saber que sus usos son bastante diferentes entre sí. Aunque con los dos podemos establecer túneles VPN seguros y con una velocidad muy rápida, WireGuard tiene unos puntos fuertes que podemos aprovechar en determinadas circunstancias, y OpenVPN tiene otros puntos fuertes que vale la pena tener en cuenta. Hoy en RedesZone os vamos a explicar los puntos fuertes y débiles de cada protocolo, y cuándo merece la pena usar uno u otro.
Las VPN son ampliamente utilizadas hoy en día para conectarnos a redes remotas, pero también para usar servicios de VPN y enmascarar nuestra identidad en Internet. El protocolo OpenVPN lleva décadas con nosotros, en RedesZone tenemos un completo tutorial sobre cómo configurar OpenVPN en un servidor. Hace unos años apareció un nuevo protocolo llamado WireGuard VPN que llegó para cambiarlo todo, permitiendo crear túneles VPN en segundos, y todo ello de forma sencilla.
WireGuard: Puntos fuertes y débiles
El protocolo WireGuard es uno de los más utilizados actualmente, sobre todo para usuarios que quieren conectarse a los recursos de su hogar desde Internet, y poder acceder a todos ellos de forma segura. Actualmente la gran mayoría de routers neutros como los de marca ASUS, FRITZ!Box, Keenetic o TP-Link lo incorporan de forma nativa. Además, la mayoría de los sistemas operativos de NAS como QTS o QuTS hero de QNAP lo incorporan, así como ASUSTOR entre otros muchos. No obstante, en el caso de que el sistema operativo no lo incluya por defecto, siempre vas a poder instalarlo en un contenedor Docker, y seguirá teniendo un gran rendimiento en cuanto a ancho de banda se refiere.
Los puntos fuertes de WireGuard, y que no tiene OpenVPN, son los siguientes:
- Simplicidad en la configuración: una configuración de este protocolo ocupa unas 10 líneas aproximadamente para el cliente, para el servidor ocupará como mínimo unas 12 líneas y luego se añadirán las claves públicas de los diferentes clientes dados de alta. En OpenVPN se requiere crear una Autoridad de Certificación (CA), el certificado del cliente (para el archivo de configuración del cliente) y del servidor (para el archivo de configuración del servidor), así como otros parámetros avanzados.
- Gran rendimiento (velocidad de descarga y subida): este protocolo ofrece una gran velocidad desde el principio, porque está integrado en el kernel Linux 5.6 sin necesidad de ningún ajuste avanzado. OpenVPN es capaz de igualar este rendimiento usando DCO, pero esta función no está disponible para todos, y solamente a partir del kernel Linux 6.16 es compatible, así que no está masivamente desplegado.
- Menos consumo de batería: este protocolo tiene un consumo de batería mínimo en «standby», esto significa que el túnel VPN permanece inactivo cuando no hay tráfico, así que supone un gasto mínimo. En OpenVPN el túnel está establecido continuamente, y se enviarán datos para indicar al servidor que todavía está conectado (keep-alive), si habilitamos la opción de ahorro de energía, el túnel VPN se desconectará, y en cuanto detecte tráfico volverá a conectarse, teniendo que esperar unos segundos hasta que reconecte. Además, si cambiamos de red tiene que renegociar la conexión.
- Roaming entre redes transparente: otro punto a favor es el roaming entre redes, ya sea Wi-Fi a banda ancha móvil o viceversa. Soporta el cambio de red sin corte en la conexión; no necesita renegociar todos los parámetros. OpenVPN sí necesita renegociar, aunque lleva a cabo una reconexión rápida.
Como podéis ver, WireGuard es superior en todos estos aspectos; sin embargo, donde realmente «falla» es justamente en los puntos fuertes de OpenVPN, ya que carece de ciertas opciones de configuración que son muy interesantes. Por ejemplo, no es capaz de atravesar firewalls al usar el protocolo UDP únicamente, se puede censurar más fácilmente si no se usa ofuscación del túnel, no permite autenticación en dos pasos ni tampoco es escalable sin software o scripts adicionales para editar el archivo único de configuración.
OpenVPN: Puntos fuertes y débiles
El protocolo OpenVPN siempre ha sido uno de nuestros favoritos, debido a la gran cantidad de opciones de configuración, ya que se puede ajustar perfectamente tanto el canal de control (usando TLS 1.3 o DTLS), como también el canal de datos (con AES-256-GCM, por ejemplo), además de permitir autenticaciones más robustas gracias a la combinación de claves criptográficas con usuario y contraseña, los cuales pueden estar en un servidor RADIUS para centralizar la autenticación. Hoy en día con OpenVPN DCO, la brecha en la diferencia de velocidad de ambos protocolos se ha reducido al mínimo, por lo que las funciones de configuración adicionales son donde verdaderamente está la diferencia.
Los puntos fuertes de OpenVPN y que no tiene WireGuard son los siguientes:
- Evadir firewalls: mientras que WireGuard usa siempre UDP y se puede bloquear fácilmente, OpenVPN es capaz de usar el protocolo TCP y el puerto 443, como si fuera una conexión HTTPS normal y corriente. Además, soporta Proxy por si acaso la red de origen requiere el acceso a Internet con autenticación adicional.
- Resistente a la censura: este protocolo se ha usado durante años para evadir la censura de los Gobiernos, por lo que hay software basado en OpenVPN como stunnel para justamente esto, además de usar modos de «sigilo» para pasar desapercibido.
- Autenticación: aquí es donde más diferencia encontramos con WireGuard, y es que la autenticación en OpenVPN se hace mediante certificados TLS contra una CA que podemos definir nosotros a la hora de crear la Infraestructura de Clave Pública (PKI). También podemos autenticarnos (de forma adicional) usando nombre de usuario y contraseña; estas credenciales pueden estar en un LDAP o un servidor RADIUS para dicha autenticación. Otro aspecto a valorar es que tenemos autenticación en dos pasos de forma opcional (MFA). WireGuard solamente tiene un par de claves estáticas y una clave precompartida opcional (como tls-crypt en OpenVPN), la gestión de usuarios de forma avanzada queda fuera de su alcance.
- Clientes a gran escala de forma automática: este protocolo permite proporcionar los datos de direccionamiento IP, rutas y DNS a través del servidor OpenVPN, y revocar los certificados TLS de forma fácil a través de una CRL (Lista de Revocación de Certificados) en la CA. WireGuard requiere configurar manualmente cada «peer» del túnel VPN.
- Criptografía post-cuántica: aunque WireGuard es un protocolo muy seguro, la criptografía es fija por diseño, no permite elegir los algoritmos de cifrado, autenticación etc, pero sí tiene una clave precompartida opcional que añade una capa de protección frente a ataques cuánticos. En OpenVPN tenemos TLS 1.3 con criptografía ML-KEM que viene activada por defecto en OpenVPN 2.7 si se usa OpenSSL 3.5.
- Túneles L2: mientras que WireGuard trabaja con túneles L3, OpenVPN permite túneles L2 (tap) y también L3 (tun). Esto permite realizar puentes Ethernet fácilmente, aunque en L2 no tendremos DCO por lo que el rendimiento será claramente inferior.
- Conmutación por error: OpenVPN permite varios servidores remotos a modo de respaldo que se van probando uno tras otro por si fallan, hasta que uno responde. WireGuard permite varios «peer» en el archivo de configuración, pero no tenemos una función nativa de conmutación por error entre servidores VPN.
Como podéis ver, a nivel de arquitectura OpenVPN es claramente superior, y por eso las empresas lo prefieren frente a las limitaciones de WireGuard.
| Característica | WireGuard | OpenVPN |
|---|---|---|
| Complejidad de configuración | Mínima: 10-12 líneas, sin PKI | Alta: requiere CA, certificados de servidor y cliente |
| Rendimiento sin aceleración | Muy alto, integrado en kernel Linux 5.6 | Inferior; DCO disponible para mejorar |
| Rendimiento con DCO | No aplica (ya optimizado) | Equiparable; requiere kernel Linux 6.16 o módulo ovpn-dco |
| Consumo de batería | Bajo, túnel en standby sin tráfico | Mayor, keepalive y reconexión al cambiar de red |
| Roaming entre redes | Transparente sin corte | Reconexión rápida, pero requiere renegociación |
| Evasión de firewalls | Solo UDP; fácil de bloquear | TCP puerto 443 y soporte de proxy |
| Resistencia a censura | Requiere herramientas externas (wg-obfuscator) | Opciones nativas y stunnel |
| Autenticación avanzada | Claves estáticas, sin MFA/RADIUS | TLS, CA, usuario/contraseña, LDAP/RADIUS, MFA |
| Túneles L2 Ethernet | No | Sí (tap), sin DCO |
| Conmutación por error | No nativa | Sí, múltiples servidores remotos |
¿En qué escenarios usar OpenVPN y WireGuard?
Teniendo en cuenta la gran diferencia a nivel de arquitectura VPN entre ambos protocolos, es fundamental tener claro en qué escenarios es recomendable usar un protocolo u otro. A continuación, os indicamos los escenarios y la mejor solución posible.
- ¿Necesitas que sea fácil de configurar el servidor y los clientes?: el ganador claro es WireGuard porque es mucho más sencillo de configurar, tanto el servidor como los clientes. Con software como wg-easy para Docker, la configuración del servidor y clientes es con una interfaz gráfica de usuario.
- ¿Cuántos clientes se conectarán al servidor?: si se van a conectar menos de 10 clientes y no van a cambiar durante un tiempo (no habrá nuevas altas ni bajas) entonces WireGuard sigue teniendo sentido. A partir de 10 clientes o si hay mucha rotación de clientes, entonces es mejor OpenVPN porque se gestiona más fácilmente con la CRL.
- ¿Necesitas autenticación en dos pasos o autenticación reforzada?: solamente OpenVPN tiene estas funcionalidades.
- ¿Gestionarás las IP de forma manual en los clientes?: si hay pocos clientes puedes hacerlo a mano y así usar WireGuard, si quieres que el servidor proporcione esto (haga un push a los clientes), entonces OpenVPN es lo que debes elegir.
- ¿Dónde instalarás el servidor VPN?: si vas a ponerlo en un router doméstico o profesional, WireGuard te proporcionará mayor rendimiento porque OpenVPN con DCO no suele estar disponible en estos equipos todavía.
- ¿La red remota bloquea el tráfico UDP?: elige OpenVPN sobre TCP y el puerto 443, porque WireGuard solo funciona sobre UDP.
- ¿Necesitas túneles L2 Ethernet?: solamente OpenVPN soporta esta característica, además, no tendremos disponible DCO por lo que la velocidad será menor.
- ¿La autonomía de la batería es una prioridad? WireGuard en este caso es el mejor, ya que el túnel permanece en standby si no hay envío de tráfico.
En la siguiente tabla podéis ver un breve resumen de cuál es el indicado y el motivo:
| Escenario / Pregunta | Protocolo recomendado | Motivo clave |
|---|---|---|
| ¿Necesitas una configuración sencilla de servidor y clientes? | WireGuard | Menos líneas de configuración; opciones como wg-easy |
| ¿Vas a gestionar más de 10 clientes o hay rotación frecuente? | OpenVPN | Gestión centralizada con CRL y PKI |
| ¿Necesitas autenticación en dos pasos o reforzada? | OpenVPN | Único que soporta MFA, LDAP/RADIUS |
| ¿Prefieres asignar IPs manualmente a pocos clientes? | WireGuard | Configuración simple de peers |
| ¿El servidor VPN estará en un router doméstico o profesional sin DCO? | WireGuard | Mayor rendimiento nativo |
| ¿La red remota bloquea el tráfico UDP? | OpenVPN | Permite TCP puerto 443 |
| ¿Necesitas túneles L2 Ethernet (tap)? | OpenVPN | Único con soporte L2 |
| ¿La autonomía de la batería es una prioridad? | WireGuard | Túnel en standby, menos consumo |
| ¿Te conectas desde una red corporativa tras un proxy? | OpenVPN | Soporta HTTP/SOCKS proxy |
Qué protocolo usar según desde dónde te conectes
Debido a los protocolos en la capa de transporte usados en ambas VPN, también es crítico saber desde dónde nos vamos a conectar, porque es posible que haya reglas en el firewall para impedir el tráfico.
- Desde casa o la red de la oficina: generalmente siempre se permite el tráfico TCP y UDP, así que puedes usar ambos protocolos sin ningún problema.
- Hoteles y cafeterías: es posible que bloqueen el tráfico UDP e incluso el tráfico TCP con distinto puerto al HTTP/HTTPS. Hay portales cautivos que solamente permiten acceder a la web y no usar otros protocolos. En estos casos, usar OpenVPN con TCP y el puerto de destino 443 (como si fuera HTTPS) podría evadir estas restricciones del portal cautivo.
- Red corporativa detrás de un Proxy: en estos casos lo habitual es tener un proxy para salir a Internet, OpenVPN soporta HTTP/SOCKS así que es tu única opción, porque WireGuard no lo soporta.
- Redes Universitarias: muchos campus bloquean UDP y muchos puertos TCP, así que usar TCP con puerto de destino 443 podría permitirte conectar a la VPN remota. Con WireGuard dependemos de qué política tengan.
- Redes con censura gubernamental: los sistemas DPI (Deep Packet Inspection) modernos permiten identificar la huella digital de ambos túneles VPN en su versión nativa. Estos sistemas analizan todo el tráfico de la red, y son capaces de detectar patrones que coinciden con túneles VPN. Sin embargo, el protocolo OpenVPN es capaz de resistir a la censura gracias al software stunnel para ofuscarlo y hacerlo muy difícil o directamente imposible, y también existen modos de «sigilo» implementados por algunos servicios de VPN. WireGuard no indica nada de ofuscación en la documentación oficial, no obstante, existen proyectos como wg-obfuscator o Wstunnel entre otras opciones que sí permiten añadir una capa de ofuscación al protocolo para ponérselo difícil a los DPI.
Por qué no tienes que elegir solo uno
Como podéis ver, cada protocolo de VPN está orientado a un uso concreto de los túneles, y también dependeremos mucho desde dónde nos vayamos a conectar al servidor. Si la red de origen tiene ciertas restricciones, entonces es mejor usar OpenVPN porque permite enmascarar el tráfico usando TCP y puerto de destino 443. Dependiendo de tus necesidades, tendrás que elegir un protocolo u otro, no podemos decir que WireGuard sea mejor que OpenVPN o viceversa, depende de tus necesidades y de dónde te vayas a conectar.
Otro aspecto importante es que no tienes por qué elegir: puedes usar ambos protocolos a la vez. Usar WireGuard para conectarte a tu homelab de casa, y OpenVPN para la empresa. De hecho, es habitual que los routers domésticos y profesionales dispongan de ambas opciones, para que el usuario elija la que mejor le convenga.