El contexto histórico
OpenVPN lo creó James Yonan en 2001 como alternativa open-source a las soluciones VPN comerciales. Para 2010 se había vuelto el estándar de facto para los proveedores VPN comerciales de consumo, y se mantuvo así durante más de una década. Mullvad, NordVPN, ExpressVPN, Surfshark, cada marca con nombre — todos llevaban OpenVPN como protocolo primario hasta ~2020.
La llegada de WireGuard alrededor de 2019-2020 cambió el panorama. La mayoría de proveedores ahora usan WireGuard por defecto y OpenVPN como fallback. Es un papel más callado para una pieza de software todavía vital.
Cómo funciona OpenVPN
OpenVPN es más complejo que WireGuard, pero la operación básica es similar:
- El cliente se conecta al servidor (UDP o TCP).
- Realizan un handshake TLS para autenticarse mutuamente (usa certificados, opcionalmente combinados con usuario/contraseña).
- Negocian una clave de sesión.
- Los paquetes se cifran y tunelizan.
Las diferencias con WireGuard:
- Cifrado negociado: OpenVPN no hardcodea un conjunto de cifrado — lo negocia entre cliente y servidor. Típicamente AES-256-GCM o ChaCha20-Poly1305 hoy en día.
- Opciones de autenticación: certificados, usuario/contraseña, claves precompartidas, doble factor — OpenVPN soporta todas.
- TCP o UDP: OpenVPN puede correr sobre cualquiera. TCP es más lento pero atraviesa más redes.
- Implementación en userspace: corre como un proceso normal en la mayoría de plataformas (existe módulo de kernel de Linux pero no es estándar).
- Todo configurable: rutas, DNS, MTU, ping, compresión — OpenVPN expone cientos de opciones de configuración.
Modos TCP vs UDP
Modo UDP
El default para rendimiento. UDP no requiere acuse de recibo de cada paquete, lo que significa menor latencia y mayor throughput. El trade-off es que UDP es un ciudadano de primera en internet (usado por DNS, gaming, streaming de video) pero algunas redes restrictivas lo bloquean.
Modo TCP
El arma secreta de OpenVPN. El tráfico TCP parece HTTPS normal, y lo permite casi todos los firewalls del planeta. Si una red bloquea UDP, OpenVPN-sobre-TCP normalmente sigue funcionando. Coste de rendimiento: 20-40% de reducción de throughput y mayor latencia.
La configuración clásica: TCP puerto 443 (el mismo puerto que usa HTTPS). En el cable, esto se ve indistinguible del tráfico web regular. Útil cuando:
- Estás en una red corporativa que bloquea el tráfico saliente no-HTTPS.
- Estás en WiFi de hotel/aeropuerto excesivamente restrictivo.
- Estás en un país con deep packet inspection pero no eres específicamente el objetivo.
Ojo: TCP-sobre-TCP puede tener problemas de rendimiento llamados "TCP meltdown" — tanto el TCP exterior (red) como el interior (aplicación) intentan retransmitir a la vez ante la pérdida de paquetes, causando backoff exponencial. En la práctica está bien para navegar la web normal pero puede ser duro para transferencias de archivos grandes.
Rendimiento
Comparando OpenVPN-UDP vs WireGuard en hardware y conexiones idénticos:
| Métrica | OpenVPN (UDP) | WireGuard |
|---|---|---|
| Throughput | 250-400 Mbps | 900+ Mbps |
| Handshake | 50-500ms | 5-50ms |
| Batería (móvil) | Moderado | Bajo |
| Uso de CPU | Más alto | Más bajo |
| Resistencia a bloqueo de UDP | Mejor (modo TCP) | Peor (solo UDP) |
| Complejidad de configuración | Alta | Baja |
Seguridad
OpenVPN tiene un historial de seguridad fuerte pero su base de código más grande (~70.000 líneas) significa una superficie de ataque más amplia. CVEs notables a lo largo de los años:
- CVE-2017-12166 — buffer overflow en versiones más viejas, parcheado en días.
- CVE-2020-15078 — bypass de autenticación en ciertas configuraciones, también parcheado rápido.
Sin incidentes catastróficos, sin patrones recurrentes de fallos sistémicos. OpenVPN ha sido auditado formalmente varias veces (notablemente por Cure53 en 2017 para OSTIF). El protocolo se considera sólido.
Lo clave para los usuarios: usa un cliente OpenVPN reciente (rama 3.x a fecha de 2026). Las versiones más viejas pueden tener vulnerabilidades sin parchear.
Cuándo usar OpenVPN en lugar de WireGuard
- UDP está bloqueado. Algunas redes corporativas, WiFi de hotel restrictivo, ciertas regiones censuradas. OpenVPN-TCP pasa.
- Necesitas el sigilo del TCP-puerto-443. Si quieres que el tráfico VPN parezca HTTPS normal a nivel de inspección casual.
- WireGuard se porta mal en tu red. Problemas de MTU, NAT raro, interferencia a nivel ISP — a veces OpenVPN funciona cuando WireGuard no, por razones no obvias.
- Requisitos de compatibilidad. Los routers más viejos y dispositivos embebidos pueden soportar solo OpenVPN.
OpenVPN en ClownVPN
Nuestra app Android lleva tanto WireGuard como OpenVPN. WireGuard es el default; puedes cambiar a OpenVPN en Ajustes → Protocolo. Soportamos modos UDP y TCP para OpenVPN.
Si tu conexión WireGuard es inestable o lenta, cambiar a OpenVPN-TCP es el paso de troubleshooting estándar.