Qué es WireGuard
WireGuard es un protocolo VPN diseñado por Jason Donenfeld y lanzado en su primera forma estable en 2020. Se construyó con un solo objetivo: reemplazar los protocolos VPN complejos y cargados de configuración del pasado (OpenVPN, IPsec/IKEv2) con algo más pequeño, más simple, y más rápido.
Lo consiguió. Para 2026, WireGuard es el protocolo por defecto de la mayoría de VPNs comerciales (el nuestro incluido), está integrado en el kernel de Linux desde la versión 5.6, y tiene implementaciones nativas o de terceros sólidas en cada plataforma grande.
La filosofía de diseño
Las decisiones de diseño de WireGuard son minimalismo agresivo. Algunos ejemplos:
- Un conjunto de cifrado — WireGuard usa ChaCha20 para cifrado, Poly1305 para autenticación, Curve25519 para intercambio de claves, BLAKE2s para hashing, y HKDF para derivación de claves. Sin negociación, sin opciones de algoritmo, sin modos legacy. Si se encuentra una vulnerabilidad en cualquiera de estos, reemplazas la versión del protocolo entera.
- Transporte solo-UDP — sin opción TCP, sin cambio de modo. Más rápido y más simple.
- Servidor sin estado, por diseño — el handshake es breve, no requiere tracking de conexión para la operación general.
- Cryptokey routing — los peers se identifican por clave pública, no por IP ni credenciales.
- ~4.000 líneas de código — frente a las ~70.000 de OpenVPN y los cientos de miles de IPsec.
Cómo funciona (brevemente)
WireGuard se sitúa como una interfaz de red (tipo
wg0) que tu sistema operativo trata como una ruta
más. Cuando mandas un paquete a una IP en el rango del túnel del
VPN, el kernel le pasa el paquete al módulo de WireGuard, que:
- Busca qué peer corresponde a ese destino (cryptokey routing).
- Cifra el paquete usando las claves de sesión preestablecidas del peer.
- Lo envuelve en un paquete UDP y lo manda al endpoint del peer.
El peer recibe el paquete UDP, lo descifra, y emite el paquete interior a donde fuera su destino original.
El handshake (que establece las claves de sesión) usa el Noise Protocol Framework. Normalmente se completa en un solo round-trip — lo bastante rápido como para que los usuarios móviles apenas lo noten cuando cambian de red.
Rendimiento
WireGuard es genuinamente más rápido que OpenVPN en la mayoría de escenarios:
| Métrica | WireGuard | OpenVPN |
|---|---|---|
| Throughput (enlace Gigabit) | ~950 Mbps | ~250-400 Mbps |
| Tiempo de handshake | ~1 RTT (~5-50ms) | ~6 RTT (~50-500ms) |
| Uso de CPU a tasa de línea | Bajo | Alto |
| Impacto en batería (móvil) | Bajo | Moderado |
La brecha de rendimiento es real y consistente entre benchmarks. Para usuarios móviles, la diferencia de impacto en batería es especialmente notable — el handshake más pequeño de WireGuard y su cripto más eficiente significan menos despertares y menos trabajo de procesador.
Seguridad
La seguridad de WireGuard ha sido objeto de múltiples esfuerzos de verificación formal y revisiones académicas. El diseño usa primitivas criptográficas bien revisadas, y la base de código pequeña hace las vulnerabilidades más fáciles de detectar. No ha habido incidentes de seguridad importantes en el protocolo desde su lanzamiento.
Limitaciones conocidas:
- Identificación de peer por persistencia de IP: como WireGuard mapea claves públicas a últimas IPs conocidas, los patrones de tráfico de un peer son ligeramente más rastreables que los de OpenVPN. En despliegues de VPN comercial, los proveedores suelen manejar esto con asignación dinámica de IP.
- Sin autenticación nativa más allá de claves públicas: para los proveedores VPN, esto significa que no hay usuario/contraseña integrado en el protocolo; la identidad de usuario se maneja en otra capa.
- Sensibilidad al MTU: algunas redes con configuraciones de MTU inusuales requieren ajuste manual.
WireGuard en ClownVPN
Usamos WireGuard como protocolo por defecto en Android. La
elección fue sencilla: más rápido, menor impacto en batería,
superficie de ataque más pequeña. Nuestra implementación usa
wireguard-go, la implementación oficial en Go
mantenida por el equipo de WireGuard.
Para usuarios en redes que bloquean UDP (algunos entornos corporativos, WiFi de hotel restrictivo), caemos a OpenVPN sobre TCP. Mira nuestro explicador de OpenVPN para detalles de cuándo entra el fallback.
Dónde aprender más
- wireguard.com — sitio oficial con papers técnicos.
- El whitepaper de WireGuard — el documento de diseño original.
- /es/features/protocols/ — lo que llevamos.