Las tres son VPN seguras, y lo que las separa es otra cosa. IPsec conecta casi con cualquier marca. OpenVPN autentica a cada usuario y atraviesa bien las redes. WireGuard es el más simple, pero no tiene usuarios ni modo TCP. Aquí está cuándo conviene cada una.
Foto: Brett Sayles, en Pexels
Si tu cortafuegos ofrece varias VPN, la pregunta no es cuál es «la más segura». La documentación de pfSense, que incluye las tres, las marca a todas como criptográficamente seguras. Lo que cambia es con quién pueden hablar, cómo identifican a quien se conecta y cuánto cuesta mantenerlas.
Esta comparación sale de la tabla que publica Netgate para pfSense. Se refiere a ese sistema, así que en otra marca alguna fila puede cambiar.
| Característica | IPsec | OpenVPN | WireGuard |
|---|---|---|---|
| Autentica usuarios | Sí | Sí | No |
| Cliente incluido en la mayoría de los sistemas | Según el modo | No | No |
| Compatible con muchas marcas | Sí | No | No |
| Varias conexiones a internet | Sí | Sí | Sí |
| Pasa bien por cortafuegos | Sí (NAT-T o IKEv2) | Sí | Sí |
| Reglas de cortafuegos por túnel | Limitadas | Sí | Sí |
| Configuración automática en móviles | Sí | Sí | No |
Netgate lo dice sin rodeos: IPsec suele ser la mejor opción porque casi todos los equipos con VPN lo incluyen, y evita quedar atado a una solución concreta. Para unir sedes con equipos de marcas distintas, suele ser la única opción.
Su punto débil es la configuración, con muchas opciones que pueden resultar difíciles si no se conocen. Lo que hace cada una y por qué suele fallar está en la guía de qué es IPsec.
OpenVPN se define como una VPN SSL que usa el protocolo SSL/TLS. Autentica con certificados, tarjetas inteligentes o usuario y contraseña, y permite aplicar reglas de cortafuegos por usuario o por grupo. Según su guía, varios clientes pueden conectar a un solo servidor por un único puerto, TCP o UDP.
El documento técnico de WireGuard la critica por su complejidad, al arrastrar todas las funciones de TLS. Hay que leerlo sabiendo que lo escribe el autor de la competencia.
WireGuard encapsula paquetes IP sobre UDP. Cada interfaz tiene una clave privada y una lista de pares, cada uno con su clave pública y las direcciones que puede usar en el túnel. Eso es casi todo lo que hay que configurar.
Otras tres limitaciones que reconoce su propio proyecto o la documentación de pfSense:
El proyecto aclara también que WireGuard no es seguro frente a la computación cuántica por defecto, aunque su clave precompartida opcional añade una capa de protección.
Lo primero que hay que mirar es lo que tu equipo incluye de verdad, porque no siempre están las tres. Algunos ejemplos comprobados:
| Marca | Qué consta |
|---|---|
| pfSense | IPsec, OpenVPN y WireGuard |
| Ubiquiti UniFi | IPsec y OpenVPN entre sedes; WireGuard y OpenVPN como servidor y como cliente, en los cuatro modelos mayores de su tabla comparativa |
| Fortinet | IPsec. La ficha del FortiGate 40F avisa de que la VPN SSL no se admite en ese equipo desde FortiOS 7.6.0 |
Lo de Fortinet es un buen ejemplo de por qué conviene mirarlo: una función de VPN puede desaparecer al actualizar. Comprueba la ficha de tu modelo y su versión de sistema. Para otras marcas, consulta sus guías: WatchGuard, SonicWall o Zyxel.
Esta orientación es criterio de esta web, a partir de lo anterior:
| Tu caso | Por dónde empezar |
|---|---|
| Dos sedes con cortafuegos de marcas distintas | IPsec, casi sin alternativa |
| Dos sedes con el mismo sistema, que lo incluya | IPsec o WireGuard; este último, si quieres menos opciones que tocar |
| Empleados que entran desde fuera, con altas y bajas | OpenVPN o IPsec, para poder autenticar usuarios y dar de baja a cada uno |
| Pocos equipos fijos de confianza, como un administrador o un servidor remoto | WireGuard |
| Redes de hoteles o clientes que bloquean UDP | OpenVPN por TCP |
Con cualquiera de las tres, una VPN da acceso a la red, no a una aplicación. Si te preocupa eso más que el protocolo, mira las alternativas en la guía de ZTNA o VPN. Y si uno de los extremos está detrás de CGNAT, no podrá recibir conexiones, sea cual sea la VPN.
Depende de para qué. WireGuard es más simple y su código es mucho más pequeño, pero no autentica usuarios ni funciona sobre TCP. OpenVPN sí permite ambas cosas, a cambio de más complejidad y de tener que gestionar certificados.
Solo si ambas lo incluyen. La documentación de pfSense indica que WireGuard y OpenVPN son compatibles con pocas soluciones de otros fabricantes, y que para unir sedes con equipos de marcas distintas IPsec suele ser la única opción.
No. WireGuard encapsula los paquetes en UDP y su documentación aclara que no admite túneles sobre TCP. Si una red bloquea UDP, hay que añadir una capa aparte o usar otra VPN, como OpenVPN, que admite ambos.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
