Si has configurado un VPN hace poco, seguramente te has topado con WireGuard - es el protocolo que ahora impulsa la mayoría de las apps VPN modernas y que está integrado en Linux. Pero ¿qué es, y por qué se impuso tan rápido? En resumen: WireGuard es un protocolo VPN que hace más con menos - código diminuto, criptografía moderna y una configuración lo bastante simple como para caber en una servilleta. Aquí va una explicación clara.
La respuesta corta
- WireGuard es un protocolo VPN moderno - la tecnología que crea el túnel cifrado entre tu dispositivo y un servidor.
- Es pequeño (~4.000 líneas), rápido y seguro, con criptografía de vanguardia fija.
- La configuración se reduce a un par de claves pública/privada por par - mucho más simple que OpenVPN o IPsec.
- Está integrado en el núcleo de Linux y es ideal para autoalojar tu propio VPN.
Cómo funciona WireGuard
El trabajo de un protocolo VPN es construir un túnel cifrado y decidir qué pasa por él. WireGuard lo hace con un modelo de pares de claves: cada dispositivo (par) tiene una clave privada y comparte su clave pública, igual que las claves SSH. Dos pares que conocen sus claves públicas pueden establecer un túnel - sin certificados, sin usuario/contraseña, sin negociación compleja.
El tráfico se cifra con una suite criptográfica moderna fija (ChaCha20-Poly1305) e intercambio de claves vía Curve25519. Al ser fija la criptografía, no hay opciones débiles que activar por accidente ni nada que «degradar» - una fuente frecuente de problemas en protocolos antiguos. WireGuard funciona sobre UDP (en el puerto UDP 51820 por defecto) y es sin conexión por diseño, parte de por qué se reconecta tan bien al cambiar de red.
La criptografía, en breve
La seguridad de WireGuard viene de un conjunto pequeño y fijo de primitivas modernas - cada una con una función, ninguna opcional:
- Curve25519 - el intercambio de claves (Diffie-Hellman) que permite a dos pares acordar un secreto compartido a partir de sus pares de claves.
- ChaCha20 - el cifrado que realmente cifra tus datos; rápido en software, sin instrucción de CPU especial (ideal en teléfonos y routers).
- Poly1305 - el autenticador que detecta cualquier manipulación de un paquete.
- BLAKE2s - la función hash rápida usada internamente.
Todo se ensambla mediante el marco de protocolo Noise, un diseño bien estudiado para handshakes seguros. El túnel se establece en un handshake 1-RTT (un ida y vuelta), y las claves se renuevan con regularidad para la confidencialidad persistente (forward secrecy). Como la suite es fija, no hay paso de «negociación de cifrado» - el punto débil clásico que permite degradar los protocolos antiguos.
Por qué se impuso
- Velocidad. Menos sobrecarga que OpenVPN/IPsec, sobre todo en móvil y en reconexiones.
- Auditabilidad. ~4.000 líneas frente a decenas de miles - lo bastante pequeño para revisarse de verdad.
- Simplicidad. Un archivo de configuración cabe en unas líneas; la gestión de claves se reduce a los pares.
- Integración en el núcleo. Fusionado en el núcleo de Linux (5.6+), así que es eficiente y está en todas partes.
Esa combinación explica por qué proveedores y autoalojadores lo adoptaron. Para elegir protocolo, mira nuestro comparativo WireGuard vs OpenVPN - cuál elegir.
Dónde se ejecuta WireGuard en realidad
El mismo protocolo se distribuye en varias formas, útil de saber cuando el comportamiento difiere entre dispositivos:
- En el núcleo de Linux - la implementación nativa, la más rápida, fusionada desde el núcleo 5.6. Es lo que usa un servidor VPS o Raspberry Pi.
- wireguard-go - una versión en espacio de usuario, en Go, usada donde no hay módulo de núcleo (sistemas antiguos, algunos contenedores). Correcta pero más lenta.
- BoringTun - una implementación en espacio de usuario en Rust (originalmente de Cloudflare), usada por algunas apps y en plataformas sin soporte de núcleo.
- iOS, Android, Windows, macOS - las apps oficiales envuelven una de estas formas para que la misma config por claves funcione en todas partes.
En el día a día no eliges una - lo hace la app o el SO - pero explica por qué un servidor con soporte de núcleo supera a un teléfono haciendo de servidor.
Los límites honestos
WireGuard no es magia. El WireGuard puro usa UDP, que algunas redes restrictivas (y algunos países) bloquean o limitan - ahí necesitas ofuscación o un respaldo TCP. Por defecto también asigna a cada par una IP interna estática y puede conservar estado de conexión, de ahí la capa sin registros que añaden los proveedores centrados en la privacidad. Nada de esto es un defecto, sino un compromiso de diseño a favor de la velocidad y la simplicidad.
Lo mejor: ejecuta el tuyo
Como WireGuard es tan ligero, no necesitas un VPN comercial para usarlo. Un VPS barato ejecuta sin problema un servidor WireGuard personal: tu tráfico pasa por una máquina que tú controlas y que ninguna empresa registra. Un VPS Contabo a 5,50 €/mes basta de sobra para uno. Herramientas accesibles como PiVPN lo convierten en cosa de 10 minutos - empieza por nuestra guía del mejor VPN autoalojado y nuestras plantillas de configuración WireGuard.
En resumen
WireGuard es el valor por defecto moderno de los VPN porque es rápido, ligero, seguro y simple: unos pocos miles de líneas, criptografía fuerte fija y configuración por claves manejable por cualquiera. Su compromiso es la visibilidad UDP en redes hostiles, resuelta con ofuscación o respaldo TCP. Y lo mejor: su simplicidad hace que autoalojar tu propio VPN sea realmente fácil - la opción más privada, porque entonces ningún tercero ve tu tráfico.
★ Datacenter Núremberg GDPR · ✓ IPv4 dedicada incluida · 200+ Mbps garantizados
Aloja tu VPN en tu propio VPS → ContaboAcceso root completo · IPv4 pública · elige tu región→
