WireGuard vs OpenVPN: ¿qué protocolo de VPN deberías usar?

WireGuard vs. OpenVPN tiene una respuesta corta: usa WireGuard, o el protocolo predeterminado de tu proveedor de VPN basado en WireGuard, casi siempre, y cambia a OpenVPN sobre TCP o a un modo de ofuscación solo cuando una red te bloquee. WireGuard es más nuevo, mucho más pequeño y, según las pruebas publicadas por su autor, mucho más rápido. OpenVPN es más antiguo, más grande y más lento, pero es muy bueno para colarse por redes restrictivas porque puede parecer tráfico web cifrado normal.

Esa respuesta corta esconde detalles útiles. Varios de los grandes proveedores ya no ofrecen elegir solo entre estos dos: ExpressVPN impulsa su propio protocolo Lightway, NordVPN envuelve WireGuard en algo que llama NordLynx, y Mullvad eliminó OpenVPN por completo en 2026. Esta guía explica qué es realmente un protocolo de VPN, en qué se diferencian los dos principales, qué son los protocolos con nombre comercial y qué ajuste elegir en tu app para cada situación.

¿Qué es un protocolo VPN?

Un protocolo VPN es el conjunto de reglas que usan tu dispositivo y el servidor VPN para acordar las claves, cifrar tu tráfico y envolverlo en paquetes que puedan cruzar internet. La app de VPN es el volante; el protocolo es el motor.

Todo protocolo tiene que cumplir las mismas tres tareas. Tiene que demostrarle a tu dispositivo que está hablando con el servidor real y no con un impostor (autenticación). Tiene que acordar claves de cifrado nuevas sin que nadie que escuche pueda deducirlas (intercambio de claves). Y tiene que cifrar cada paquete y comprobar que nadie lo ha manipulado por el camino (transporte). La forma en que un protocolo realiza estas tareas determina su velocidad, lo fácil que es de auditar y lo fácilmente que una red puede detectarlo y bloquearlo.

Para una VPN de consumo, las opciones prácticas son WireGuard, OpenVPN, IKEv2 y las variantes propias de cada proveedor. Si quieres una visión más amplia de lo que una VPN oculta y de lo que no, empieza por qué es una VPN y cómo funciona.

¿Qué es WireGuard?

WireGuard es un protocolo de VPN diseñado por Jason Donenfeld para ser pequeño, rápido y fácil de revisar. Se incluyó en el kernel de Linux en la versión 5.6, en marzo de 2020, y hoy funciona en todas las plataformas principales.

El whitepaper¹ del proyecto (una versión del cual se presentó en la conferencia de seguridad NDSS en 2017) afirma que la implementación para Linux está escrita en «menos de 4.000 líneas de código (excluyendo las primitivas criptográficas)», de modo que revisarla en busca de errores de seguridad es realista para una sola persona. El anuncio de la versión 1.0.0 de WireGuard³ marcó su llegada al kernel Linux 5.6, publicado a finales de marzo de 2020.

WireGuard deliberadamente no ofrece un menú de cifrados. Su página principal² enumera un único conjunto fijo: el framework de protocolos Noise, Curve25519 para el intercambio de claves, ChaCha20 y Poly1305 para el cifrado y la autenticación, BLAKE2 para el hash, SipHash24 y HKDF. Si alguno de ellos llegara a romperse, todo el mundo actualiza a una nueva versión en lugar de negociar una opción más débil, lo que elimina toda una clase de ataques de degradación que han sufrido los protocolos más antiguos.

También usa una idea sencilla que el proyecto llama «cryptokey routing»: la clave pública de cada par queda vinculada a las direcciones IP del túnel que tiene permitido usar. Para los paquetes salientes, esa lista funciona como una tabla de enrutamiento, y para los entrantes, como una lista de control de acceso. Esa simplicidad explica en gran parte por qué es rápido y fácil de configurar, y también es el origen de su único problema real de privacidad para las VPN comerciales, que veremos más abajo.

¿Qué es OpenVPN?

OpenVPN es el programa de VPN de código abierto que sirvió de base a la mayoría de las VPN de consumo durante casi dos décadas. Se lanzó por primera vez en 2001, lo escribió James Yonan y usa el protocolo TLS (la misma familia de cifrado que protege los sitios web HTTPS) a través de la biblioteca OpenSSL.

Según el resumen del proyecto en Wikipedia⁴, OpenVPN es software libre bajo la licencia GPLv2 (con licencias comerciales disponibles), se ejecuta en el espacio de usuario en lugar de dentro del kernel del sistema operativo y puede transportar tráfico tanto por UDP como por TCP; el puerto 1194 es el que le asignó la IANA. El how-to⁵ del propio proyecto lo describe como una implementación de una extensión de red segura «usando el protocolo estándar de la industria SSL/TLS», con clientes que se conectan «a través de un único puerto TCP o UDP».

Sus puntos fuertes son la madurez y la flexibilidad. Admite muchos cifrados y métodos de autenticación, los investigadores lo han analizado a fondo durante años y puede funcionar sobre TCP en el puerto que elijas, algo importante cuando una red solo deja salir tráfico web. Sus puntos débiles son la otra cara de la moneda: una base de código mucho mayor que la de WireGuard, más opciones de configuración en las que equivocarse y la sobrecarga de ejecutarse en el espacio de usuario.

¿WireGuard es más rápido que OpenVPN?

Sí: en la prueba publicada por el autor de WireGuard fue unas cuatro veces más rápido que OpenVPN en el mismo hardware, con menor latencia. Considera las cifras exactas como un resultado de laboratorio del diseñador del protocolo, no como una predicción de lo que hará tu VPN.

La prueba del whitepaper¹ ejecutó iperf3 entre dos portátiles (un Intel Core i7-3820QM y un Core i7-5200U) por Ethernet gigabit, con el promedio de treinta minutos. WireGuard alcanzó 1.011 megabits por segundo; dos configuraciones de IPsec lograron 881 y 825; OpenVPN, con AES-256 y HMAC-SHA2-256 sobre UDP, logró 258. Los tiempos de ping siguieron el mismo orden: 0,403 milisegundos para WireGuard frente a 1,541 para OpenVPN. El documento señala que la CPU llegó al 100 % durante las pruebas de OpenVPN e IPsec, pero no durante la de WireGuard, lo que interpretó como que WireGuard saturaba el enlace gigabit.

El documento atribuye la diferencia al diseño: OpenVPN es una aplicación de espacio de usuario, así que los paquetes se copian varias veces entre el kernel y el programa, lo que añade latencia y carga de CPU. WireGuard se ejecuta dentro del kernel en Linux.

En un servicio VPN real, tu velocidad depende mucho más de la distancia al servidor, de lo cargado que esté, de tu propia conexión y de tu dispositivo que del protocolo por sí solo. No hemos hecho pruebas de velocidad y no publicamos puntuaciones de velocidad. Lo que sí indica el benchmark es que WireGuard deja más margen, algo que se nota sobre todo en conexiones domésticas rápidas y en teléfonos, donde menos carga de CPU importa más.

¿Es WireGuard tan seguro como OpenVPN?

Ambos se consideran seguros si están bien configurados. El argumento a favor de WireGuard se basa en una criptografía moderna y fija y en un código lo bastante pequeño como para revisarlo; el de OpenVPN, en su larga trayectoria de uso y en muchas opciones configurables y bien estudiadas.

La diferencia tiene que ver sobre todo con cuánto puede salir mal. OpenVPN permite al proveedor elegir cifrados, versiones de TLS, esquemas de autenticación y decenas de ajustes más, así que su seguridad depende de que el proveedor elija bien. WireGuard elimina esas decisiones. No hay un cifrado heredado débil al que recurrir, porque no existe negociación de cifrados.

Si quieres una segunda opinión sobre el principio, la Agencia de Seguridad Nacional de EE. UU. y la CISA, en su guía de 2021 sobre cómo seleccionar y reforzar VPN⁷ para organizaciones, orientaron a los compradores hacia productos basados en estándares en lugar de propietarios. Esa guía está dirigida a VPN corporativas de acceso remoto, no a servicios para consumidores, pero el punto de fondo es válido: es más fácil confiar en un protocolo bien conocido y ampliamente revisado que en uno secreto. Tanto WireGuard como OpenVPN son totalmente de código abierto.

¿WireGuard tiene un problema de privacidad?

WireGuard en su versión básica obliga al servidor a mantener una tabla fija que vincula la clave de cada usuario con una dirección IP del túnel, algo que una VPN sin registros no quiere tener guardado. Los proveedores comerciales que usan WireGuard añaden su propia capa para no almacenar ese vínculo.

NordVPN explica el problema con claridad en su página de NordLynx⁸: la arquitectura original de WireGuard «requería que los servidores almacenaran una tabla de IP estática que conectara a los usuarios con sus direcciones IP internas». Su solución, NordLynx, es un «sistema de doble NAT». Una interfaz asigna a todos los usuarios de un servidor la misma dirección IP local; una segunda asigna una dirección única para cada sesión de túnel, y esa asignación «solo dura mientras la sesión está activa», con la autenticación gestionada a través de una base de datos independiente. NordVPN afirma que esto significa que no se almacenan datos identificables en el servidor VPN; esa es la descripción de la propia empresa, que sus informes de auditoría de su política de no registros pretenden respaldar (consulta nuestra reseña de NordVPN).

Otros proveedores tienen sus propias versiones de la misma solución. Si ejecutas WireGuard tú mismo con un servidor en casa, nada de esto importa: eres el único usuario y controlas la tabla.

¿Y qué pasa con IKEv2?

IKEv2 es la parte de intercambio de claves de IPsec, un conjunto de protocolos más antiguo, basado en estándares e integrado en la mayoría de los sistemas operativos, por lo que algunas apps todavía lo ofrecen, sobre todo en iPhone y Mac.

La especificación actual es el RFC 7296⁶, publicado en octubre de 2014, que describe IKEv2 como un componente de IPsec que se encarga de la autenticación mutua y establece las asociaciones de seguridad que protegen el tráfico. En el benchmark de WireGuard anterior, las dos configuraciones de IPsec quedaron entre WireGuard y OpenVPN. IKEv2 es una alternativa razonable en dispositivos Apple, pero usa puertos fijos que las redes pueden bloquear con facilidad, y la mayoría de los proveedores ahora usan WireGuard por defecto.

¿Qué son NordLynx, Lightway, Stealth y los demás protocolos con nombre propio?

La mayoría son o bien WireGuard con una capa de privacidad añadida, o bien un protocolo propio del proveedor diseñado para ganar velocidad o para sortear los bloqueos de VPN. Esto es lo que ejecutan realmente los principales proveedores, según su propia documentación.

Fuentes de la tabla: Centro de ayuda de NordVPN⁹, ExpressVPN¹¹, Proton VPN¹³, Centro de ayuda de Surfshark¹⁶ y el anuncio de Dausos de Surfshark¹⁷, Mullvad¹⁴ y su publicación sobre ofuscación¹⁵, e IVPN¹⁸.

• NordLynx es WireGuard más la capa de doble NAT de NordVPN, descrita arriba. NordVPN dice en la misma página⁸ que añadió cifrado poscuántico a NordLynx en 2025.
• Lightway es el protocolo propio de ExpressVPN, construido sobre la biblioteca criptográfica wolfSSL. ExpressVPN lo reescribió en Rust; su publicación de febrero de 2025¹⁰ indica que Praetorian (septiembre de 2024) y Cure53 (octubre de 2024) auditaron el nuevo código, con dos problemas de riesgo bajo de Praetorian y cinco puntos de Cure53, ninguno calificado como crítico, que se volvieron a comprobar tras las correcciones en diciembre de 2024. Como ExpressVPN no ofrece WireGuard, Lightway es lo que usarías ahí para ganar velocidad.
• Stealth es el protocolo de Proton VPN para redes censuradas. El anuncio de Proton de octubre de 2022¹² lo describe como «tunelización TLS ofuscada sobre TCP», diseñada para sortear «la mayoría de los cortafuegos y métodos de bloqueo de VPN».
• NordWhisper es el equivalente de NordVPN para redes que bloquean las VPN, incluido en su página de ayuda sobre protocolos⁹.
• Dausos es el protocolo propio de Surfshark, lanzado en abril de 2026¹⁷, y hasta ahora solo está disponible en su app de la App Store de macOS.

¿Por qué Mullvad abandonó OpenVPN?

Mullvad decidió usar un único protocolo moderno. Anunció el plan en noviembre de 2024, eliminó OpenVPN de sus apps a finales de 2025 y fijó el 15 de enero de 2026 para apagar sus últimos servidores OpenVPN, quedándose solo con WireGuard.

Su publicación de diciembre de 2025¹⁴ explica la eliminación en la app. Para mantener conectados a los usuarios en redes bloqueadas sin OpenVPN, recurre a la ofuscación sobre WireGuard, que incluye Shadowsocks, UDP-over-TCP, QUIC y un modo que presentó en noviembre de 2025 llamado Lightweight WireGuard Obfuscation¹⁵. Si dependes de OpenVPN para un router o un dispositivo antiguo, Mullvad ya no es una opción; consulta nuestra comparación Mullvad vs Proton VPN para ver alternativas que aún lo admiten.

WireGuard vs OpenVPN de un vistazo

¿Qué protocolo de VPN debería usar?

Deja tu app con el protocolo automático o el basado en WireGuard que trae por defecto. Cámbialo solo para resolver un problema concreto.

• Uso diario, streaming, juegos y móviles: WireGuard o la versión de tu proveedor (NordLynx en NordVPN, Lightway en ExpressVPN). Conexiones más rápidas y menos consumo de batería.
• La VPN no se conecta en el wifi de un hotel, una escuela o una oficina: prueba OpenVPN sobre TCP o el modo de ofuscación del proveedor (Proton Stealth, NordWhisper, UDP-over-TCP o Shadowsocks de Mullvad). Se parecen más al tráfico web normal.
• Viajas a un lugar que restringe las VPN: un modo de ofuscación es el diseñado para eso, pero antes revisa la ley del lugar al que vas: algunos países restringen las VPN, y nada de esto es asesoría legal.
• Router o dispositivo antiguo: OpenVPN es la opción con más soporte en routers y firmware antiguo. Comprueba que tu proveedor aún la ofrezca.
• La conexión se cae al pasar del wifi a los datos móviles: quédate con WireGuard, que según el whitepaper¹ permite a los pares «moverse libremente entre distintas IP externas»; IKEv2 es la alternativa más antigua en dispositivos Apple.

Elegir el protocolo es la parte fácil. La decisión que más importa es qué empresa gestiona los servidores. Para eso, lee cómo comprobar la afirmación de no-logs de una VPN y luego compara a los proveedores en nuestros cara a cara, empezando por NordVPN vs ExpressVPN (NordLynx frente a Lightway) y Proton VPN vs NordVPN.