WireGuard vs. OpenVPN

Desde su lanzamiento en 2001, OpenVPN ha sido considerado el líder indiscutible del sector. Sin embargo, WireGuard ha ganado rápidamente terreno desde su aparición en 2015, convirtiéndose en una alternativa competitiva que amenaza con destronar a su principal rival.

En esta detallada guía, comparamos OpenVPN y WireGuard para que puedas decidir cuál de ellos se adapta mejor a tus necesidades específicas.

Para ello, hemos sometido a ambos protocolos a nuestro exhaustivo proceso de pruebas, lo que nos ha permitido saber cuál de ellos es mejor en cada una de las siete categorías de análisis, como seguridad, velocidad, privacidad y facilidad de uso, entre otras.

Además, te explicaremos el origen de estos protocolos, quiénes están detrás de su creación y en qué se diferencian en términos de funcionamiento.

Tabla resumen: WireGuard vs. OpenVPN

Consulta este breve resumen en el que comparamos OpenVPN y WireGuard en siete categorías clave:

Categoría	Ganador
Velocidad	WireGuard Si se implementa correctamente, WireGuard es dos veces más rápido que OpenVPN.
Seguridad y cifrado	Empate No se han detectado vulnerabilidades de seguridad en ninguno de los protocolos.
Privacidad y recopilación de datos	OpenVPN OpenVPN puede configurarse fácilmente para que no recopile datos, mientras que las VPN que utilizan WireGuard deben implementar medidas adicionales para garantizar la privacidad del usuario.
Uso de datos	WireGuard OpenVPN supone un aumento en el uso de datos de hasta un 20 %, mientras que WireGuard consume solo un 4 % más en comparación con no usar una VPN.
Movilidad	WireGuard WireGuard ofrece una conexión más fiable para usuarios móviles que OpenVPN porque gestiona mejor los cambios de red.
Elusión de la censura	OpenVPN OpenVPN es mejor a la hora de eludir la censura (por ejemplo, el Gran Cortafuegos de China) porque puede usar el puerto TCP 443.
Compatibilidad con dispositivos y VPN	OpenVPN Actualmente, OpenVPN es compatible con muchas más VPN en muchos más dispositivos que WireGuard.

Nos conectamos a servidores de NordVPN de todo el mundo usando OpenVPN y WireGuard, y registramos la velocidad de nuestras conexiones:

Nuestros resultados muestran que WireGuard fue hasta un 75 % más rápido que OpenVPN, independiente del lugar del mundo al que nos conectáramos y qué dispositivo usáramos.

La diferencia se acentuó en conexiones de corta distancia, donde WireGuard consiguió triplicar las velocidades de OpenVPN.

Estos resultados coinciden con otras pruebas realizadas por NordVPN y WireGuard.

Otro punto a favor de WireGuard es que es más rápido que OpenVPN a la hora de establecer la conexión. Esto es vital, ya que si la conexión falla o el túnel VPN se interrumpe por algún motivo, la reconexión debe ser inmediata.

Un estudio de Ars Technica reveló que OpenVPN puede tardar hasta 8 segundos en conectarse, mientras que WireGuard tarda unos 100 milisegundos.

En términos generales, OpenVPN es significativamente más lenta que WireGuard en nuestra conexión a internet de alta velocidad. Sin embargo, si vas a usar una VPN con una conexión de 100 Mbps o inferior, la pérdida de velocidad será prácticamente imperceptible.

	OpenVPN	WireGuard
Algoritmos de cifrado y protocolos de autenticación	AES, Blowfish, Camellia, ChaCha20 y Poly1305, entre otros	ChaCha20, Poly1035
Secreto perfecto hacia adelante	Compatible	Compatible
Vulnerabilidades conocidas	Ninguna	Ninguna

OpenVPN te permite usar una amplia gama de cifrados y algoritmos de autenticación, mientras que WireGuard solo cuenta con un conjunto fijo para cada versión.

Esto significa que, si se descubre una vulnerabilidad en un algoritmo, OpenVPN se puede configurar rápidamente para hacer que use otro, mientras que WireGuard necesitaría una actualización de software en todos los dispositivos. Es un fastidio, pero te aseguras no tener jamás un dispositivo con un código poco seguro.

Actualmente, no se han detectado vulnerabilidades de seguridad en WireGuard ni en OpenVPN.

Para implementar su cifrado, OpenVPN usa la biblioteca de OpenSSL, que fue lanzada en 1998 y que ha sido ampliamente testada desde entonces. El catálogo es compatible con una gran variedad de algoritmos de cifrado, como AES, Blowfish y ChaCha20.

Por su parte, WireGuard, creado en 2015, no permite elegir el cifrado: te obliga a usar ChaCha20 para el cifrado y Poly1305 para la autenticación.

Como consecuencia de ello, WireGuard necesita mucho menos código que su rival: unas 4000 líneas en comparación con las 70 000 (como mínimo) de OpenVPN.

Gracias a su huella reducida, los investigadores de seguridad pueden auditar y comprobar el código de WireGuard más fácilmente que el de OpenVPN, lo que también reduce considerablemente su superficie de ataque.

Asimismo, contar con un código más compacto reduce de forma considerable la probabilidad de que se produzcan errores en WireGuard.

¿Son seguros los nuevos algoritmos de cifrado?

Los expertos en seguridad prefieren la tecnología de cifrado que lleva más tiempo en el mercado, principalmente porque los algoritmos más nuevos pueden presentar vulnerabilidades que aún no se han identificado. Por ello, la opción más segura tiende a ser aquella que ha sido más usada y probada.

En este caso, OpenVPN es con diferencia la opción más testada. Se lanzó décadas antes que WireGuard y el cifrado AES que usa es casi diez años más antiguo que los algoritmos ChaCha20 y Poly1035 que emplea WireGuard.

Sin embargo, en la práctica, la relativa inmadurez de WireGuard no parece ser un gran riesgo en términos de seguridad, y esto se debe a tres razones:

1. El código fuente reducido de WireGuard significa que puede ser auditado muy rápidamente. Esto mitiga gran parte de las dudas que genera la falta de pruebas del protocolo, ya que los expertos pueden auditarlo con mayor rapidez que el código de OpenVPN.
2. ChaCha20 es muy seguro. El «20» de «ChaCha20» significa que tiene 20 rondas de cifrado para proteger la información. En 2008, un ataque logró romper ChaCha7 (con siete rondas), pero ChaCha8 sigue manteniendo su integridad hasta hoy. Por lo tanto, está claro que ChaCha20 ofrece un nivel de seguridad muy superior.
3. Respaldado por Linux y Google. Linus Torvalds, el creador original de Linux, declaró lo siguiente: «Si se me permite volver a decirlo, estoy fascinado [con WireGuard]… He visto el código y quizás no sea perfecto, pero comparado con los horrores que son OpenVPN e IPSec, es una obra de arte». Desde entonces, WireGuard se ha incluido en el núcleo de Linux, lo que indica un fuerte respaldo a sus credenciales de seguridad. Google también empezó a usar ChaCha20 y Poly1305 para cifrar el tráfico de todos sus dispositivos Android en 2014.

	Prácticas de registros	Mitigaciones
OpenVPN	El ajuste de verbosidad por defecto guardas las direcciones IP reales	Ajustes mínimos de los servidores, servidores sin disco
WireGuard	La configuración por defecto almacena las direcciones IP	Doble NAT, servidores sin disco

Una característica esencial de una VPN segura es que no almacene información personal que te pueda identificar, y lo mismo aplica al protocolo VPN que utilices.

Al configurar servidores OpenVPN, las VPN deben seleccionar el nivel de registro del servidor (también conocido como“verbosidad del archivo”). Los niveles van desde el cero, que registra muy poca información, hasta el 9, que registra gran cantidad de información sensible.

Durante nuestros análisis, descubrimos que la configuración predeterminada de OpenVPN está en un nivel 3 de verbosidad, lo que significa que registra direcciones IP reales y nombres de usuario.

Sin embargo, es muy fácil para las VPN configurar el servidor y reducir el nivel de registros a cero, evitando así almacenar direcciones IP reales. Esto también se puede conseguir configurando el servidor para que borre periódicamente toda la información almacenada.

No obstante, recuerda que sin una auditoría de terceros, es difícil determinar si realmente se han implementado estas medidas.

Asimismo, WireGuard necesita que las direcciones IP permitidas se almacenen en el servidor hasta que este se reinicie.

Desde el punto de vista de la seguridad, es preocupante, porque si el servidor queda comprometido, alguien podría vincular la dirección IP a tu actividad, invalidando así el principal beneficio de usar una VPN.

Por lo tanto, ten en cuenta que si usas la implementación estándar de WireGuard, es probable que tu dirección IP quede registrada durante, al menos, lo que dure la sesión.

Por suerte, la mayoría de VPN comerciales compatibles con WireGuard han implementado soluciones para minimizar estos riesgos de privacidad. Estos son algunos ejemplos:

• NordVPN: NordVPN ha combinado WireGuard con su tecnología patentada de Double Network Address Translation (NAT) para crear NordLynx. En lugar de almacenar tu dirección IP estática hasta que el servidor se reinicia, NordLynx asigna una dirección IP dinámica única a cada túnel VPN, de manera que cada sesión tiene una dirección IP diferente que solo dura lo que dure la sesión.
• Mullvad: para maximizar tu privacidad al usar WireGuard, Mullvad elimina tu dirección IP de sus servidores tras 10 minutos de inactividad. Como medida adicional, Mullvad también te sugiere que uses su función MultiHop para enrutar tu tráfico a través de dos o más servidores cuando uses WireGuard.
• IVPN: IVPN elimina tu dirección IP si transcurren tres minutos de inactividad. Además, crea una nueva dirección IP de forma aleatoria cada 24 horas para evitar los problemas de usar una dirección IP estática.

Para la mayoría de usuarios, estas soluciones bastarán. Sin embargo, si estás en un país con mucha censura o donde es posible que las autoridades persigan a los usuarios de VPN, seguramente sea mejor no correr ese riesgo.

Además, si te preocupa tu privacidad, te recomendamos que compruebes qué soluciones tiene tu proveedor de VPN para los usuarios de WireGuard.

Usar una VPN siempre aumenta la cantidad de datos que gastas en total. Esto se debe a que el proceso de túnel hace que tengas que enviar más información a Internet, lo que implica un aumento en el uso de datos.

La sobrecarga de datos puede afectar a la velocidad de tu VPN. Si tienes un contrato de móvil no incluye datos ilimitados, es posible que acabes gastando más dinero o alcances el límite de datos antes de lo previsto.

El protocolo de VPN que uses afecta directamente al volumen de datos consumidos. Nuestros análisis revelaron que WireGuard consume muchos menos datos que OpenVPN:

Mientras que OpenVPN UDP genera una sobrecarga de datos del 17,23 %, WireGuard solo incrementa el consumo en un 4,53 %. Cuando se utiliza OpenVPN TCP, el gasto general es aún mayor, pudiendo alcanzar hasta el 19,96 %.

WireGuard consume muchos menos datos que cualquier otro protocolo VPN que hayamos probado, incluidos IKEv2 y PPTP. Por contra, OpenVPN es el que genera un mayor consumo.

Para analizar el uso de datos de cada protocolo, utilizamos las aplicaciones de Linux WireGuard y OpenVPN y calculamos cuántos datos más añadían a nuestra conexión en comparación con cuando no usábamos ninguna VPN.

Para cada análisis, copiamos un archivo de prueba de 209 MB entre dos servidores virtuales. Realizamos cada prueba tres veces y calculamos el incremento de datos medio.

En la actualidad, los dispositivos suelen alternar entre redes móviles y Wi-Fi con bastante frecuencia, por lo que es importante que el protocolo VPN sea capaz de gestionar estos cambios eficazmente.

WireGuard ha demostrado ser mejor que OpenVPN en lo que a movilidad se refiere. Gestiona los cambios de red de forma fluida, mientras que OpenVPN siempre ha dado problemas cuando los usuarios cambian frecuentemente de red.

De hecho, muchas VPN han optado por utilizar un protocolo diferente para los dispositivos móviles: IKEv2.

Aunque IKEv2 es un protocolo VPN bastante bueno, es de código cerrado y a algunos usuarios les preocupa que pueda haber sido comprometido por la NSA. En cambio, WireGuard ofrece una alternativa moderna y de código abierto para el uso de VPN en dispositivos móviles.

Si vas a usar una VPN fuera de casa, te recomendamos encarecidamente que elijas WireGuard en vez de OpenVPN.

OpenVPN y WireGuard son dos protocolos VPN muy fiables que ofrecen una conexión a Internet estable en la mayoría de circunstancias.

Sin embargo, OpenVPN es el único que te da la opción de usar el protocolo de comunicación TCP, que resulta útil para eludir bloqueos de Internet estrictos. Esto se debe a que las conexiones TCP pueden usar el puerto 443, el mismo que utiliza el tráfico HTTPS estándar.

Es muy poco probable que los sistemas de censura de países como China, Rusia y Turquía bloqueen el puerto 443 porque esto interrumpiría actividades esenciales como la banca y las compras en línea.

Dicho de otro modo, OpenVPN TCP es más eficaz que WireGuard a la hora de eludir la censura porque WireGuard no es compatible con TCP.

Solemos recomendar usar UDP siempre que sea posible porque es más rápido, eficiente e igual de estable cuando se utiliza dentro de un túnel VPN. Sin embargo, para evitar los cortafuegos y eludir la censura, es preferible un protocolo TCP.

Tanto es así que las VPN tienen por defecto esta opción cuando intentas conectarte en China.

Hemos descubierto que, en casi todos los casos, cuando un proveedor de VPN ofrece tanto WireGuard como OpenVPN, el servicio usa el protocolo OpenVPN de forma predeterminada si intentas conectarte desde China.

También analizamos unos diferentes VPN que sabemos que funcionan bien en China para ver si OpenVPN o WireGuard eran mejores a la hora de eludir el Gran Cortafuegos de China:

• Astrill VPN fue capaz de eludir la censura tanto con OpenVPN como con WireGuard.
• Private Internet Access (PIA) solo fue capaz de conectarse con OpenVPN y no logró hacerlo con WireGuard.

OpenVPN es compatible de forma nativa con casi todas las VPN comerciales, mientras que WireGuard está mucho menos extendido.

Sin embargo, WireGuard está ganando terreno rápidamente. A pesar de su lanzamiento en 2015, el protocolo ya se ha implementado en muchas de las principales VPN; a menudo en aplicaciones de escritorio y móviles.

A continuación puedes ver un resumen de protocolos compatibles con 10 de las VPN más populares:

Protocolo VPN	ExpressVPN	NordVPN	CyberGhost	IPVanish	Surfshark	PrivateVPN	PIA	Windscribe	Proton VPN	Astrill
OpenVPN	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓
WireGuard	✗	✓	✓	✓	✓	✗	✓	✓	✓	✓

Tradicionalmente, la mayoría de VPN usan OpenVPN como protocolo predeterminado, especialmente en versiones de escritorio. Sin embargo, estamos viendo un número cada vez mayor de proveedores que se pasan a WireGuard.

Por ejemplo, CyberGhost ya usa WireGuard de forma predeterminada en Android e iOS, y NordVPN utiliza la versión NordLynx de WireGuard como predeterminada en la mayoría de sus aplicaciones.

OpenVPN y WireGuard son dos tipos de protocolos VPN. Un protocolo VPN es un tipo de tecnología que se usa para crear un túnel privado entre tu dispositivo y un servidor VPN. Dicho de otra forma, un protocolo VPN es un elemento clave para el funcionamiento de una VPN.

Puedes usar OpenVPN y WireGuard de forma independiente para crear tu propia conexión VPN. Sin embargo, se suelen usar como parte de servicios VPN personales.

A continuación encontrarás un resumen de las principales características de cada protocolo:

main features:

	OpenVPN	WireGuard
Año de lanzamiento	2001	2015
Código abierto	Sí	Sí
Longitud del código	Más de 70 000 líneas	Alrededor de 4000 líneas
Velocidad	Moderada	Muy alta
Consumo de datos	Elevado	Muy bajo
Seguridad y cifrado	Muy robusto	Muy robusto
Privacidad	Necesita configuración	Necesita configuración
Compatibilidad de dispositivos y VPN	Ampliamente compatible	Ampliamente compatible

OpenVPN

Jamen Yonan desarrolló el software original de OpenVPN en 2001 con el propósito de garantizar la privacidad de su conexión mientras viajaba por Asia Central y utilizaba redes de Internet en Asia y Rusia.

En la actualidad, Yonan ejerce como director de tecnología de OpenVPN Inc., una empresa que no solo gestiona OpenVPN, sino que también brinda servicios B2B.

El CEO y fundador de la compañía es Francis Dinha, un ciudadano iraquí que, al igual que Yonan, está comprometido con la idea de crear soluciones efectivas para evitar la vigilancia gubernamental.

Actualmente, el software de OpenVPN ha superado los 60 millones de descargas, y casi todas las VPN modernas utilizan su protocolo.

OpenVPN se distribuye bajo una licencia de código abierto, lo que significa que cualquier persona puede examinar su código base.

Durante más de una década, OpenVPN se ha considerado la cúspide de la seguridad de las VPN. Sin embargo, con el lanzamiento de WireGuard, hay un nuevo competidor que lucha por ese puesto en la cima.

WireGuard

WireGuard fue desarrollado por Jason A. Donenfeld, de Edge Security y su primera versión fue lanzada en 2015.

WireGuard fue diseñado para mejorar los protocolos VPN ya existentes, siendo más sencillo, rápido y fácil de usar.

Al contrario que OpenVPN, WireGuard es «criptográficamente rígido», según Donenfeld, lo que significa que se han tomado decisiones concretas sobre qué soluciones deben utilizarse para garantizar la seguridad de las VPN.

Como consecuencia de ello, WireGuard no tiene tanta flexibilidad como OpenVPN, pero también es mucho menos complejo.

Al igual que OpenVPN, WireGuard es de código abierto.

A pesar de que se lanzó en septiembre de 2015, WireGuard ya ha sido adoptado por múltiples VPN. NordVPN, por ejemplo, utilizó WireGuard como base para su protocolo NordLynx.