Si has configurado un VPN hace poco, seguramente te has topado con WireGuard - es el protocolo que ahora impulsa la mayoría de las apps VPN modernas y que está integrado en Linux. Pero ¿qué es, y por qué se impuso tan rápido? En resumen: WireGuard es un protocolo VPN que hace más con menos - código diminuto, criptografía moderna y una configuración lo bastante simple como para caber en una servilleta. Aquí va una explicación clara.
La respuesta corta
- WireGuard es un protocolo VPN moderno - la tecnología que crea el túnel cifrado entre tu dispositivo y un servidor.
- Es pequeño (~4.000 líneas), rápido y seguro, con criptografía de vanguardia fija.
- La configuración se reduce a un par de claves pública/privada por par - mucho más simple que OpenVPN o IPsec.
- Está integrado en el núcleo de Linux y es ideal para autoalojar tu propio VPN.
Una VPN cambia su IP. No cambia su navegador.
Un túnel sustituye la dirección que ve un servicio. No cambia nada de lo que su navegador anuncia por su cuenta - fuentes, pantalla, zona horaria, pila gráfica - y esa combinación suele bastar para reconocerle de una sesión a otra.
Mida su huella de navegador - medición pasiva, sin preguntas, sin cuenta, sin correo electrónico.
Cómo funciona WireGuard
El trabajo de un protocolo VPN es construir un túnel cifrado y decidir qué pasa por él. WireGuard lo hace con un modelo de pares de claves: cada dispositivo (par) tiene una clave privada y comparte su clave pública, igual que las claves SSH. Dos pares que conocen sus claves públicas pueden establecer un túnel - sin certificados, sin usuario/contraseña, sin negociación compleja.
El tráfico se cifra con una suite criptográfica moderna fija (ChaCha20-Poly1305) e intercambio de claves vía Curve25519. Al ser fija la criptografía, no hay opciones débiles que activar por accidente ni nada que «degradar» - una fuente frecuente de problemas en protocolos antiguos. WireGuard funciona sobre UDP (en el puerto UDP 51820 por defecto) y es sin conexión por diseño, parte de por qué se reconecta tan bien al cambiar de red.
La criptografía, en breve
La seguridad de WireGuard viene de un conjunto pequeño y fijo de primitivas modernas - cada una con una función, ninguna opcional:
- Curve25519 - el intercambio de claves (Diffie-Hellman) que permite a dos pares acordar un secreto compartido a partir de sus pares de claves.
- ChaCha20 - el cifrado que realmente cifra tus datos; rápido en software, sin instrucción de CPU especial (ideal en teléfonos y routers).
- Poly1305 - el autenticador que detecta cualquier manipulación de un paquete.
- BLAKE2s - la función hash rápida usada internamente.
Todo se ensambla mediante el marco de protocolo Noise, un diseño bien estudiado para handshakes seguros. El túnel se establece en un handshake 1-RTT (un ida y vuelta), y las claves se renuevan con regularidad para la confidencialidad persistente (forward secrecy). Como la suite es fija, no hay paso de «negociación de cifrado» - el punto débil clásico que permite degradar los protocolos antiguos.
Por qué se impuso
- Velocidad. Menos sobrecarga que OpenVPN/IPsec, sobre todo en móvil y en reconexiones.
- Auditabilidad. ~4.000 líneas frente a decenas de miles - lo bastante pequeño para revisarse de verdad.
- Simplicidad. Un archivo de configuración cabe en unas líneas; la gestión de claves se reduce a los pares.
- Integración en el núcleo. Fusionado en el núcleo de Linux (5.6+), así que es eficiente y está en todas partes.
Esa combinación explica por qué proveedores y autoalojadores lo adoptaron. Para elegir protocolo, mira nuestro comparativo WireGuard vs OpenVPN - cuál elegir.
Dónde se ejecuta WireGuard en realidad
El mismo protocolo se distribuye en varias formas, útil de saber cuando el comportamiento difiere entre dispositivos:
- En el núcleo de Linux - la implementación nativa, la más rápida, fusionada desde el núcleo 5.6. Es lo que usa un servidor VPS o Raspberry Pi.
- wireguard-go - una versión en espacio de usuario, en Go, usada donde no hay módulo de núcleo (sistemas antiguos, algunos contenedores). Correcta pero más lenta.
- BoringTun - una implementación en espacio de usuario en Rust (originalmente de Cloudflare), usada por algunas apps y en plataformas sin soporte de núcleo.
- iOS, Android, Windows, macOS - las apps oficiales envuelven una de estas formas para que la misma config por claves funcione en todas partes.
En el día a día no eliges una - lo hace la app o el SO - pero explica por qué un servidor con soporte de núcleo supera a un teléfono haciendo de servidor.
Los límites honestos
WireGuard no es magia. El WireGuard puro usa UDP, que algunas redes restrictivas (y algunos países) bloquean o limitan - ahí necesitas ofuscación o un respaldo TCP. Por defecto también asigna a cada par una IP interna estática y puede conservar estado de conexión, de ahí la capa sin registros que añaden los proveedores centrados en la privacidad. Nada de esto es un defecto, sino un compromiso de diseño a favor de la velocidad y la simplicidad.
Lo mejor: ejecuta el tuyo
Como WireGuard es tan ligero, no necesitas un VPN comercial para usarlo. Un VPS barato ejecuta sin problema un servidor WireGuard personal: tu tráfico pasa por una máquina que tú controlas y que ninguna empresa registra. Un VPS Contabo a 5,50 €/mes basta de sobra para uno. Herramientas accesibles como PiVPN lo convierten en cosa de 10 minutos - empieza por nuestra guía del mejor VPN autoalojado y nuestras plantillas de configuración WireGuard.
En resumen
WireGuard es el valor por defecto moderno de los VPN porque es rápido, ligero, seguro y simple: unos pocos miles de líneas, criptografía fuerte fija y configuración por claves manejable por cualquiera. Su compromiso es la visibilidad UDP en redes hostiles, resuelta con ofuscación o respaldo TCP. Y lo mejor: su simplicidad hace que autoalojar tu propio VPN sea realmente fácil - la opción más privada, porque entonces ningún tercero ve tu tráfico.
★ Datacenter Núremberg GDPR · ✓ IPv4 dedicada incluida · 200+ Mbps garantizados
Aloja tu VPN en tu propio VPS → ContaboAcceso root completo · IPv4 pública · elige tu región→
