Guías
Un protocolo VPN define cómo tu dispositivo y el servidor construyen el túnel cifrado. WireGuard es el más rápido y simple, OpenVPN el más maduro y flexible, IKEv2/IPsec el que mejor sobrevive a los cambios de red en el móvil, y Xray/VLESS sobre TLS hace que el tráfico del túnel parezca HTTPS corriente. Cada uno cambia algo por su punto fuerte.
Los cuatro protocolos usan criptografía moderna y sin romper. Se diferencian en velocidad, tamaño del código, comportamiento en redes inestables y en lo reconocible que resulta su tráfico desde fuera — no en si el cifrado aguanta.
WireGuard supera a OpenVPN en el mismo hardware porque corre en el kernel con una negociación ligera. La edad le compra a OpenVPN configurabilidad y alcance de plataformas, no caudal bruto.
WireGuard, OpenVPN e IKEv2 producen tráfico que una red puede clasificar como túnel VPN. Xray/VLESS dentro de TLS real está diseñado para ser indistinguible de una sesión HTTPS normal.
Un protocolo es el acuerdo entre tu app y el servidor: cómo se intercambian las claves, cómo se cifran y empaquetan los paquetes, cómo se reanuda una conexión caída. Tu suscripción suele incluir varios; la app elige uno por conexión, y cambiarlo es una opción de menú, no un compromiso.
La elección se nota en tres sitios. El caudal y el gasto de batería difieren porque cada protocolo cuesta distinta CPU por paquete. La estabilidad difiere cuando te mueves entre redes o estás detrás de cortafuegos estrictos. Y la visibilidad difiere: algunos túneles son triviales de clasificar como tráfico VPN para el equipamiento de red, otros están construidos para esquivar la clasificación. Ningún protocolo gana en los tres frentes, y por eso existe el menú.
WireGuard es la respuesta por defecto en 2026. Unas cuatro mil líneas de código de kernel frente a los cientos de miles de las pilas antiguas, una única suite de cifrado moderna (ChaCha20-Poly1305) en lugar de una matriz de negociación, y una negociación que se completa en una sola ida y vuelta. En la práctica eso significa un caudal cercano al de la línea en hardware corriente, reconexiones rápidas y un coste de batería modesto en el móvil.
Lo paga con dos rasgos de diseño. Primero, un servidor WireGuard estándar asigna a cada par una dirección fija dentro del túnel, así que el proveedor debe añadir su propia capa — rotar direcciones internas, descartar el estado del par al desconectar — para evitar un identificador estable por usuario; que eso se haga es una propiedad del proveedor, no del protocolo. Segundo, WireGuard va sobre UDP con un patrón de negociación reconocible, así que al equipamiento de red que quiera identificar tráfico VPN le resulta fácil detectarlo, y las redes que descartan UDP desconocido lo rompen por completo.
OpenVPN está en producción desde principios de los 2000, y esa edad es su activo: dos décadas de escrutinio, soporte en prácticamente cualquier plataforma y router, y opciones de configuración para casi cualquier disposición de red. Corre sobre UDP por velocidad o sobre TCP por alcance, y en el puerto TCP 443 al menos usa el puerto que los cortafuegos rara vez cierran — aunque su negociación TLS sigue difiriendo de la de un navegador, así que la clasificación sigue siendo posible.
El coste es el peso. OpenVPN procesa los paquetes en espacio de usuario, cruzando la frontera del kernel en cada paquete, y su caudal en el mismo hardware es típicamente una fracción del de WireGuard, con reconexiones que se miden en segundos y no al instante. El código y su dependencia de OpenSSL son órdenes de magnitud mayores, lo que significa más superficie de auditoría. Sigue siendo la herramienta correcta en routers antiguos, en montajes corporativos que exigen certificados y en redes donde el UDP es inutilizable.
El rasgo distintivo de IKEv2 es MOBIKE, una extensión estándar que permite a un túnel establecido sobrevivir a un cambio de dirección de red. Sal de la cobertura del Wi-Fi hacia LTE y la sesión migra sin nueva negociación — justo el suceso que interrumpe a otros protocolos en mitad de una llamada. El soporte nativo en iOS y Android, con el cifrado a cargo de la pila IPsec del sistema, mantiene bajo el gasto de batería y lo hace un valor por defecto habitual en apps móviles.
Sus debilidades son de entorno. IKEv2 necesita los puertos UDP 500 y 4500, que las redes restrictivas — Wi-Fi de hotel, cortafuegos de oficina — suelen bloquear, y no tiene un plan B propio sobre TCP. La configuración también es menos transparente que la de WireGuard: los parámetros IPsec se negocian, y un servidor mal configurado puede acabar en ajustes más débiles de lo previsto. Fuerte elección en el móvil, frágil en redes hostiles.
VLESS es un protocolo de transporte ligero del proyecto Xray: enmarcado mínimo, sin cifrado propio incorporado, pensado para correr dentro de una sesión TLS real. Como la capa de cifrado es TLS estándar — el mismo protocolo que usa cualquier web —, una conexión VLESS en el puerto 443 presenta una negociación de certificado corriente seguida de un flujo cifrado opaco, que es exactamente lo que parece cualquier sesión HTTPS desde fuera.
Esto importa en redes que clasifican y estrangulan o descartan los protocolos VPN reconocibles. Donde la negociación de WireGuard o las peculiaridades TLS de OpenVPN delatan el túnel, un endpoint Xray bien configurado no le da al clasificador ningún patrón distintivo más allá de la estadística. Los costes: más piezas móviles en el servidor, un caudal limitado por el procesamiento TLS y no por la red del kernel, y un ecosistema de clientes pequeño comparado con los protocolos mayoritarios. Aurora usa WireGuard para la velocidad del día a día y Xray/VLESS en sus propios nodos para las redes donde los túneles estándar son poco fiables.
Empieza con WireGuard y cambia solo cuando algo concreto falle. El mapa práctico:
Un kill switch bloquea todo el tráfico de internet en el instante en que el túnel VPN se cae, para que las apps no puedan volver en silencio a tu conexión normal. Sin él, hasta una desconexión de dos segundos expone tu IP real. E incluso con el túnel activo, las consultas DNS, el WebRTC del navegador y el tráfico IPv6 pueden escapársele. Cada fuga tiene una prueba sencilla y un arreglo.
Llevar el túnel VPN al router protege de golpe todos los dispositivos de la red — incluidas teles, consolas y altavoces inteligentes que no pueden instalar apps. Las contrapartidas son reales: el caudal lo limita la CPU del router, toda la casa sale por un mismo país y depurar problemas se complica. Esta guía explica los montajes y cómo decidir.
De viaje, una VPN cifra tu tráfico en el Wi-Fi de hoteles y aeropuertos, hace que tus cuentas parezcan conectarse desde un país familiar y llega a servicios que en el extranjero se comportan distinto. No es una panacea: las plataformas de streaming detectan las direcciones de los servidores, y las reglas locales varían según el país. La única regla que más importa: configúralo todo y pruébalo antes de salir.
Garantía de devolución de 14 días. Hasta 7 dispositivos con una sola suscripción.
Proteger mis dispositivos