Qué es un protocolo VPN

Un protocolo VPN es un conjunto de reglas de comunicación que define el método de encriptación, el método de autenticación y el procedimiento de transferencia de datos en una conexión VPN. El protocolo elegido afecta significativamente la velocidad de comunicación, la fortaleza de la seguridad y la estabilidad de la conexión.

Es posible que hayas visto la opción de seleccionar "protocolo" en la pantalla de configuración de un servicio VPN. Muchos servicios recomiendan la configuración "automática", pero seleccionarlo manualmente según el caso de uso permite optimizar la velocidad y la seguridad.

Comparación de los principales protocolos

Protocolo de última generación integrado en el kernel de Linux en 2020. Con un código de aproximadamente 4000 líneas (1/100 de OpenVPN), la auditoría de seguridad es fácil. Adopta encriptación ChaCha20 e intercambio de claves Curve25519. El establecimiento de conexión se completa en 1 RTT y es fuerte en roaming en entornos móviles. El protocolo más recomendado actualmente.

Protocolo de código abierto con más de 20 años de trayectoria. Funciona tanto en TCP como UDP, y usando el puerto 443 (HTTPS) facilita eludir restricciones de firewall. Amplia selección de suites de cifrado y alta flexibilidad, pero el código es extenso y la velocidad es inferior a WireGuard.

Desarrollado conjuntamente por Microsoft y Cisco. Gracias al protocolo MOBIKE, mantiene la conexión al cambiar entre Wi-Fi y datos móviles. Compatible nativamente con iOS y macOS, adecuado para dispositivos Apple.

Protocolo heredado. Compatible nativamente con muchos SO, pero la velocidad se reduce por la doble encapsulación. Usa el puerto UDP 500, lo que causa problemas en entornos NAT y firewalls. No recomendado para nuevas implementaciones.

Cómo elegir según el caso de uso

La elección óptima del protocolo varía según el caso de uso.

Uso cotidiano (navegación web, streaming de vídeo): WireGuard es óptimo. Alta velocidad, baja latencia y bajo consumo de batería.
Entornos con restricciones de red estrictas: OpenVPN (TCP, puerto 443). Puede disfrazarse como tráfico HTTPS, facilitando eludir firewalls que bloquean VPN.
Entornos móviles (cambios frecuentes de red): IKEv2 o WireGuard. Ambos ofrecen reconexión rápida al cambiar de red.
Acceso remoto corporativo: OpenVPN o IKEv2. Fácil integración con infraestructura de autenticación (RADIUS, LDAP).

PPTP tiene vulnerabilidades graves descubiertas y no debe usarse en ninguna circunstancia. L2TP/IPsec también debe evitarse para nuevas implementaciones, recomendándose la migración a WireGuard u OpenVPN.

Evaluación de seguridad de los protocolos

Presentamos los principales aspectos para evaluar la seguridad de los protocolos VPN.

Método de encriptación: AES-256-GCM y ChaCha20-Poly1305 son el estándar actual. No se recomienda encriptación de 128 bits o inferior.
Secreto perfecto hacia adelante (PFS): Propiedad de usar claves de encriptación diferentes para cada sesión, de modo que si una clave se filtra, las comunicaciones pasadas no puedan descifrarse. WireGuard, OpenVPN e IKEv2 soportan PFS.
Auditabilidad del código: Ser de código abierto y tener poco código se traduce directamente en facilidad de auditoría. WireGuard es abrumadoramente superior en este aspecto.
Vulnerabilidades conocidas: La autenticación MS-CHAPv2 de PPTP fue vulnerada en 2012, siendo prácticamente equivalente a no tener encriptación.

Al igual que TLS/SSL, la tecnología de encriptación de los protocolos VPN sigue evolucionando. Es importante comprender la diferencia con la encriptación de extremo a extremo y entender correctamente el alcance de protección de la VPN.

Conceptos erróneos comunes

Cuanto más nuevo el protocolo, más seguro: La seguridad no se puede juzgar solo por la novedad. Lo importante es la fortaleza del método de encriptación, el estado de auditoría del código y la existencia de vulnerabilidades conocidas. WireGuard es nuevo y seguro porque tiene poco código, es fácil de auditar y adopta las primitivas criptográficas más recientes.
OpenVPN es antiguo y no debería usarse: OpenVPN tiene más de 20 años de trayectoria y se mantiene continuamente. Aunque es inferior a WireGuard en velocidad, hay muchas situaciones donde OpenVPN es adecuado, como configuración flexible, evasión de firewalls mediante TCP y abundantes opciones de autenticación.

Comparación entre WireGuard y OpenVPN

WireGuard

Código de aproximadamente 4000 líneas. Encriptación ChaCha20. Establecimiento de conexión rápido. Solo UDP. Configuración simple. Fuerte en móvil.

OpenVPN

Código de aproximadamente 400.000 líneas. Suite de cifrado seleccionable. Compatible con TCP/UDP. Puede disfrazarse en puerto 443. Alta flexibilidad de configuración.

Protocolo VPN