Explicamos los siete principales protocolos VPN
La elección del protocolo VPN depende de la VPN que utilices.
Algunos servicios VPN te permiten elegir entre una amplia gama de protocolos. Otros no te dan opción.
Cada protocolo tiene sus puntos fuertes y débiles y es importante que entiendas las diferencias entre ellos para elegir el protocolo adecuado dependiendo de tu actividad en internet.
A continuación te explicamos los siete protocolos VPN más habituales y sus ventajas:
1. OpenVPN: el protocolo VPN n.º 1
PROS
- Compatibilidad nativa con casi todos los servicios de VPN
- Código abierto
- Probado exhaustivamente durante un largo periodo de tiempo
- No se conocen vulnerabilidades
- Los usuarios pueden elegir entre las versiones UDP y TCP
- Compatible con una amplia gama de cifrados, incluido AES-256
- Compatible con Perfect Forward Secrecy (PFS)
- El protocolo por excelencia durante las últimas dos décadas
CONTRAS
- Alto consumo de ancho de banda
- No es el protocolo VPN más rápido que existe
- Gran base de código
Creado en 2001 por James Yonan, OpenVPN está considerado el protocolo VPN más seguro que existe.
Es un software de código abierto y lleva más de dos décadas en el mercado, lo que significa que los investigadores de seguridad han dedicado mucho tiempo a probarlo y buscar puntos débiles y problemas de seguridad.
Actualmente, no se le conocen vulnerabilidades y puedes estar seguro de que tu conexión VPN es segura y privada cuando lo utilizas.
Es un protocolo compatible con una amplia gama de cifrados, incluidos AES, Blowfish y ChaCha20.
OpenVPN también es un protocolo altamente configurable. Casi todas las aplicaciones VPN son compatibles de forma nativa con OpenVPN en la mayoría de las principales plataformas, como Microsoft Windows, Apple macOS, Android, Linux e iOS.
En el caso de que la plataforma no sea compatible, normalmente podrás descargar un archivo de configuración que te permitirá configurar manualmente una conexión OpenVPN.
OpenVPN funciona con dos protocolos de comunicación diferentes: TCP y UDP. Se trata de protocolos de la capa de transporte que rigen el cuidado con el que se transmiten los datos a través de la red.
La principal diferencia es que OpenVPN UDP es más rápido, pero OpenVPN TCP ofrece una conexión más fiable porque es mejor a la hora de eludir los cortafuegos.
Nuestro consejo es que uses siempre UDP para tu conexión VPN y si no funciona cambies a TCP.
El principal inconveniente de OpenVPN es que no es tan rápido, ligero o eficiente como otros protocolos VPN. Su velocidad es buena, pero no tan rápida como WireGuard o IKEv2.
También es el protocolo VPN con mayores requisitos de ancho de banda. Tal y como muestran nuestras pruebas de consumo de datos VPN, OpenVPN consume muchos más datos que cualquier otro protocolo VPN. Esto significa que si usas tu VPN en el móvil, alcanzarás el límite de datos de tu contrato alrededor de un 20 % más rápido.
Cuándo utilizar OpenVPN:
- Si la privacidad y la seguridad son tu prioridad absoluta, utiliza OpenVPN siempre que sea posible.
Cuándo no utilizar OpenVPN:
- Si la velocidad es clave para tu actividad (por ejemplo, juegos).
- Si utilizas una VPN mientras estás conectado a los datos móviles (como 3G o 4G). Llegarás al límite más rápido y pagarás más en tarifas de roaming cuando estés en el extranjero.
RESUMEN
OpenVPN lleva más de una década siendo el protocolo líder del sector. Representa el equilibrio perfecto entre una seguridad inquebrantable y un rendimiento rápido. Recomendamos utilizar OpenVPN siempre que sea posible.
2. WireGuard: un protocolo nuevo impresionante
PROS
- Base de código muy ligera
- Velocidades extremadamente rápidas
- Código abierto
- Consumo de datos limitado
- No se conocen problemas de seguridad
- Bueno en la gestión de cambios de red
- Compatible con secreto perfecto directo
- Configuración manual muy sencilla
CONTRAS
- Problemas de privacidad con la configuración predeterminada
- No es compatible con todos los servicios de VPN
- Hace falta más tiempo para probarlo y analizarlo de forma exhaustiva
- Solo se puede utilizar con UDP
WireGuard es un protocolo de túnel de código abierto nuevo diseñado para ser más rápido y eficiente que el popular protocolo OpenVPN. Para comparar los dos protocolos, consulta nuestra guía comparativa entre WireGuard y OpenVPN.
WireGuard se lanzó en 2019 y causó una gran impresión en la industria de las VPN. Muchas VPN integraron rápidamente WireGuard en su servicio y otras muchas lo convirtieron en su protocolo predeterminado.
WireGuard cumple muchas de las promesas de su creador Jason A. Donenfeld:
- Es muy rápido. Según las pruebas internas de WireGuard, es 3 veces más rápido que OpenVPN. Hemos observado resultados similares en nuestras propias pruebas, sobre todo en conexiones de larga distancia.
- El código de base es sorprendentemente eficiente. WireGuard tiene solo 4000 líneas de código, lo que lo hace unas 100 veces más pequeño que otros protocolos como OpenVPN e IKEv2. Esto es bueno en términos de rendimiento y seguridad. Una base de código más pequeña hace que el protocolo sea más fácil de auditar y reduce la superficie de ataque para los hackers.
- Consumo de datos mínimo. Nuestras pruebas han demostrado que WireGuard es, con diferencia, el protocolo VPN que menos ancho de banda consume. Comparado con el 20 % de OpenVPN, WireGuard solo suma un consumo adicional del 4 % al consumo de datos habitual.
La juventud de WireGuard es el principal factor que juega en su contra. Aunque sus resultados son excelentes y aún no se conocen vulnerabilidades de seguridad, tardará un tiempo en ganarse la confianza de los usuarios.
Esto también es aplicable al cifrado. WireGuard no es compatible con otros cifrados probados como AES-256, sino que utiliza ChaCha20, que es relativamente nuevo. Todos los indicadores sugieren que ChaCha20 es muy seguro y en principio más rápido que AES, pero los usuarios que se preocupan por la privacidad suelen tardar en acostumbrarse a las nuevas tecnologías de cifrado.
También preocupa la privacidad de su configuración predeterminada. Los servidores VPN necesitan almacenar temporalmente tu dirección IP para que el protocolo funcione. Esto no ocurre con otros protocolos VPN, lo cual es preocupante si no se trata.
Afortunadamente, hay formas de solucionar este problema. NordVPN, por ejemplo, integra WireGuard con su sistema patentado Double NAT System para crear un protocolo personalizado más seguro llamado NordLynx, que hemos probado en nuestra opinión de NordVPN. Del mismo modo, Mullvad elimina tu dirección IP después de diez minutos de inactividad.
Aquí tienes una lista de los servicios VPN compatibles actualmente con Wireguard:
- Astrill
- AzireVPN
- CactusVPN
- CyberGhost
- Hide.me
- IVPN
- Mullvad
- NordVPN
- PIA
- StrongVPN
- Surfshark
- TorGuard
- VPN.AC
- VyprVPN
- Windscribe
Esperamos que este número aumente a medida que WireGuard vaya consiguiendo una mayor aceptación.
Cuándo utilizar WireGuard:
- Todo parece indicar que WireGuard es tan seguro como OpenVPN, y bastante más rápido. Si no tienes inconveniente en probar un protocolo nuevo, te recomendamos WireGuard para cualquier actividad.
- WireGuard es especialmente recomendable para los usuarios de VPN móviles por su bajo consumo de ancho de banda.
Cuándo no utilizar WireGuard:
- Si eres muy celoso de tu privacidad y seguridad en línea, quizás sea mejor que le des un poco más de tiempo para demostrar su eficacia. Pero también deberías desconfiar de los servicios VPN que no toman medidas para evitar el requisito de registro de IP del protocolo.
- WireGuard no es tan bueno como otros protocolos a la hora de saltar cortafuegos porque solo es compatible con UDP. Si lo que quieres es burlar la censura, quizás sea mejor que pruebes otras opciones.
RESUMEN
WireGuard es el protocolo VPN más nuevo en escena y está igualando rápidamente a OpenVPN. Su rendimiento y eficiencia son excelentes, y (todavía) no hay signos de inseguridad. Si la juventud no es un problema, WireGuard podría ser el mejor protocolo VPN para ti.
3. PPTP: Desfasado e inseguro
PROS
- Velocidades muy altas
- Compatibilidad nativa con casi todas las plataformas
- Fácil de configurar
CONTRAS
- Se han detectado vulnerabilidades de seguridad
- No es compatible con las claves de cifrado de 256 bits
- No puede sortear la censura
- Ha sido descifrado por la NSA
- No es eficaz como herramienta de seguridad
El Protocolo de túnel punto a punto (PPTP) fue el protocolo VPN original. El ingeniero de Microsoft Gurdeep Singh-Pall lo creó en 1996 y con él nació la tecnología VPN.
Actualmente PPTP se ha quedado obsoleto y no es nada seguro para usarse en una VPN de consumo.
No recomendamos usar PPTP salvo que sea estrictamente. Está obsoleto como herramienta de privacidad y seguridad.
PPTP ofrece velocidades rápidas, en parte porque la clave de cifrado más fuerte que puede utilizar es de 128 bits. No es compatible con el cifrado de grado militar AES-256 que utilizan las VPN más seguras.
El protocolo sacrifica la seguridad por la velocidad y tiene varias vulnerabilidades conocidas. Se ha demostrado, por ejemplo, que un atacante experto puede piratear una conexión VPN cifrada con PPTP en cuestión de minutos.
La NSA también explotó varios puntos débiles de PPTP para recopilar grandes cantidades de datos de los usuarios de VPN.
Aunque a veces aún se utiliza en las redes VPN empresariales, deberías evitar por todos los medios utilizar PPTP en una VPN personal. Algunos proveedores de VPN ya ni siquiera son compatibles con PPTP debido a sus vulnerabilidades.
Cuándo utilizar PPTP:
- Recomendamos no utilizar nunca PPTP. La única excepción podría ser si solo quieres velocidades rápidas y no te importa la privacidad o la seguridad.
Cuándo no utilizar PPTP:
- No utilices PPTP para ninguna actividad que implique el uso de información sensible, como datos bancarios o contraseñas.
RESUMEN
PPTP es rápido porque no protege tus datos. Si utilizas PPTP para crear un túnel VPN, el tráfico queda fácilmente expuesto a los fisgones y es poco probable que puedas saltarte las restricciones geográficas o evitar los cortafuegos.
4. IKEv2/IPSec: un gran protocolo para usuarios móviles
PROS
- Proporciona una conexión muy estable
- Ofrece velocidades rápidas
- Compatible con una amplia gama de cifrados, incluido AES-256
- Bueno en la gestión de cambios de red
- Compatible con secreto perfecto directo
CONTRAS
- Código cerrado (excepto para Linux)
- Es probable que esté comprometido por la NSA
- Poco fiable para sortear cortafuegos
El intercambio de claves de internet versión 2 (IKEv2) es un protocolo VPN muy popular entre los usuarios móviles.
Ofrece velocidades de conexión muy rápidas y utiliza un protocolo MOBIKE para gestionar sin problemas el cambio de redes. Esto hace que IKEv2 sea perfecto para los usuarios de VPN móviles, que cambian con frecuencia entre los datos móviles y las redes Wi-Fi.
IKEv2 es fruto de una colaboración entre Microsoft y Cisco, y es el sucesor del IKEv1 original.
¿Qué es IPSec?
Por sí solo, IKEv2 no proporciona ningún tipo de cifrado. Se centra en la autenticación y en la creación de un túnel VPN seguro. Por eso, suele combinarse con IPSec (Internet Protocol Security) para formar IKEv2/IPSec.
IPSec es un conjunto de protocolos de seguridad que utiliza cifrados de 256 bits, como AES, Camellia o ChaCha20. Después de que IKEv2 haya establecido una conexión segura entre tu dispositivo y el servidor VPN, IPSec cifra los datos para que viajen a través del túnel.
IKEv2/IPSec es compatible con la mayoría de los servicios VPN, pero su base de código es de código cerrado.
El protocolo parece seguro desde fuera, pero sin la transparencia que ofrece un código abierto es imposible comprobar que Microsoft no haya incorporado puertas traseras u otras vulnerabilidades.
NOTA: Las versiones de Linux de IKEv2/IPSec son de código abierto y las auditorías no han encontrado nada malo en el protocolo. Por este motivo, el código cerrado de IKEv2 preocupa menos que el de otros protocolos de código cerrado, como SSTP.
Investigadores de seguridad como Edward Snowden también han sugerido que IPSec se debilitó deliberadamente durante su creación. Aunque no está confirmado, se sospecha que cualquier protocolo VPN basado en IPSec puede estar comprometido por la NSA.
No hay pruebas que sugieran que IKEv2/IPSec sea vulnerable a otros adversarios menos sofisticados, como hackers o proveedores de internet. Es un protocolo rápido, flexible y bastante seguro que funcionará bien en tu teléfono móvil.
IKEv2 solo funciona en el puerto UDP 500, que es un puerto fácil de bloquear por los cortafuegos y los administradores de Wi-Fi, lo que significa que IKEv2/IPSec no es un protocolo VPN eficaz para eludir la censura en países como China o Rusia.
Cuándo utilizar IKEv2/IPSec:
- Si utilizas una VPN en el móvil y sueles cambiar entre redes Wi-Fi y datos móviles (como 3G y 4G).
Cuándo no utilizar IKEv2/IPSec:
- Si intentas saltarte los cortafuegos de la red local de tu escuela o trabajo, o eludir la censura de un país autoritario.
- Si te preocupa bastante tu privacidad y anonimato. El hecho de que IKEv2 sea de código cerrado y la posible vinculación de IPSec con la NSA es suficiente para poner en duda su privacidad.
RESUMEN
IKEv2/IPSec es un protocolo VPN rápido que ofrece una conexión muy estable para los usuarios móviles que cambian de red con frecuencia. Se sospecha que puede estar comprometido por la NSA, pero consideramos que IKEv2 es un protocolo seguro para la navegación habitual.
5. L2TP/IPSec: es lento y no merece la pena utilizarlo
PROS
- El encapsulamiento doble ofrece más seguridad
- Compatibilidad nativa con la mayoría de las plataformas
- Compatible con una amplia gama de cifrados, incluido AES-256
CONTRAS
- Es probable que esté comprometido por la NSA
- Más lento que otros protocolos VPN
- Susceptible de sufrir ataques de intermediario
Creado en 1999 como sucesor de PPTP, el protocolo de túnel de capa 2 (L2TP) es un protocolo fácil de usar compatible de forma nativa con la mayoría de los servicios VPN y en la mayoría de los dispositivos.
Al igual que IKEv2, L2TP se usa en combinación con IPSec para crear un protocolo híbrido L2TP/IPSec. Por desgracia, esto significa que le afectan las mismas inquietudes de privacidad planteadas por Edward Snowden sobre el hecho de que IPSec estuviese comprometido por la NSA.
L2TP tiene además otro fallo de seguridad que surge cuando se utiliza con un servicio de VPN que usa claves precompartidas.
Si las claves de cifrado de la VPN están disponibles para descargarse en línea, surge la posibilidad de que los atacantes falsifiquen las credenciales de autenticación, se hagan pasar por tu servidor VPN y espíen tu conexión. Esto se llama ataque de intermediario o “man-in-the-middle”.
L2TP ofrece un doble encapsulamiento que envuelve tus datos en dos capas de protección. Esto mejora la seguridad del protocolo, pero también lo ralentiza considerablemente.
L2TP/IPSec es el protocolo más lento de nuestra lista.
Cuándo utilizar L2TP/IPSec:
- No recomendamos utilizar L2TP/IPSec nunca.
Cuándo no utilizar L2TP/IPSec:
- No utilices L2TP si vas a revelar información personal, te preocupa la vigilancia de la NSA o utilizas una VPN que comparte las claves de cifrado públicamente en línea.
RESUMEN
L2TP/IPSec es un protocolo VPN bastante lento que además requiere aplicar algunas soluciones para poder usarlo con seguridad, pero no merece la pena. Es muy probable que siempre haya disponible un protocolo VPN más seguro y más rápido.
6. SSTP: código cerrado con posibles riesgos
PROS
- Bueno para saltarse cortafuegos
- Fácil de configurar en Windows
- Usa un fuerte cifrado AES-256
CONTRAS
- Código cerrado
- Puede ser susceptible de sufrir ataques de intermediario
- Preocupantes vínculos con la NSA
El protocolo de túnel de sockets seguros (SSTP) es un protocolo creado y gestionado por Microsoft. Es de código cerrado, así que lo que los detalles de su implementación no están claros.
Sabemos que SSTP se basa en los estándares de cifrado SSL/TLS.
Eso es bueno porque permite a SSTP utilizar el puerto TCP 443, que es el puerto por el que fluye todo el tráfico HTTPS normal, haciendo que sea muy difícil que los cortafuegos lo bloqueen.
SSTP es un protocolo muy efectivo si quieres evitar la censura, como el Gran Cortafuegos de China.
Por otro lado, SSL 3.0 es vulnerable a un ataque de intermediario concreto denominado POODLE. No se ha podido confirmar si esta vulnerabilidad afecta también a SSTP, pero en nuestra opinión no merece la pena correr el riesgo.
También está el tema de las colaboraciones entre Microsoft y la NSA en el pasado. Al ser un protocolo de código cerrado creado por Microsoft, existe la posibilidad de que la NSA haya introducido una puerta trasera.
Cuándo utilizar SSTP:
- Si quieres evitar los cortafuegos de tu escuela, el trabajo o el gobierno, y no dispones de un protocolo mejor disponible.
Cuándo no utilizar SSTP:
- Teniendo en cuenta la posibilidad de sufrir un ataque POODLE o de que te vigile la NSA, no utilices SSTP para ninguna actividad en la que tu privacidad, seguridad o anonimato sean de gran importancia.
RESUMEN
SSTP es un buen protocolo VPN en términos de rendimiento: es bastante rápido y evita la censura de forma eficaz. Sin embargo, tiene algunos problemas importantes de privacidad y seguridad. Por estos motivos, es mejor que evites usar SSTP para el tráfico de datos sensibles siempre que sea posible.
7. SoftEther: una buena opción para eludir la censura
PROS
- Código abierto
- Velocidades muy altas
- Compatible con una amplia gama de cifrados, incluido AES-256
- Bueno para saltarse cortafuegos
CONTRAS
- Se lanzó en 2014
- Hay que configurarlo manualmente para que sea seguro
- No ofrece compatibilidad nativa con ningún sistema operativo
- Solo es compatible con algunos servicios VPN
SoftEther es un protocolo VPN de código abierto que se creó como parte de una tesis en la Universidad de Tsukuba.
SoftEther se lanzó en 2014 y es uno de los protocolos VPN más nuevos disponibles actualmente. Los primeros indicios muestran que ofrece una buena seguridad sin comprometer la velocidad.
SoftEther es compatible con cifrados fuertes, como AES-256 y RSA-4096, y dicen que ofrece velocidades hasta 13 veces más rápidas que las de OpenVPN.
También está bien diseñado para evitar la fuerte censura de internet. Los protocolos de cifrado y autenticación de SoftEther se basan en OpenSSL. Al igual que ocurre con SSTP y OpenVPN, esto significa que puede utilizar el puerto TCP 433, que es muy difícil de bloquear por los cortafuegos y los sistemas de censura.
En 2018, se sometió a auditoría de seguridad de 80 horas que detectó 11 vulnerabilidades de seguridad que se solucionaron en actualización posterior, pero investigadores de la Universidad de Aalto acaban de descubrir que a veces SoftEther es vulnerable a los ataques de intermediario.
Esto se debe a que la configuración predeterminada es que los clientes no verifiquen el certificado del servidor, de forma que los atacantes pueden hacerse pasar por un servidor VPN y acceder a las credenciales del usuario y a su actividad en línea.
Si utilizas SoftEther, asegúrate de marcar la casilla Verificar siempre el certificado del servidor cuando configures una conexión VPN nueva.
Los ajustes por defecto no incluyen verificación del certificado del servidor.
SoftEther no es compatible de forma nativa con ningún sistema operativo y muy pocos proveedores de VPN admiten actualmente su uso. De los que hemos probado, solo Hide.me y CactusVPN admiten el protocolo SoftEther.
Cuándo utilizar SoftEther:
- Si tu servicio de VPN es compatible, puedes usar SoftEther para una navegación rápida y segura.
- Resulta muy eficaz para evitar cortafuegos y eludir la censura.
Cuándo no utilizar SoftEther:
- No uses SoftEther hasta que hayas activado la opción “Verificar siempre el certificado del servidor”.
RESUMEN
SoftEther es un protocolo muy rápido y bastante seguro. Es muy bueno para eludir la censura, pero los usuarios tienen que tener cuidado con los ajustes de configuración predeterminados y la falta de compatibilidad con las principales VPN.
Protocolos propietarios
Hay varios servicios de VPN que no solo ofrecen los protocolos mencionados anteriormente, sino que también tienen los suyos propios. Estos protocolos se denominan protocolos VPN propietarios.
Utilizar un protocolo VPN propietario tiene ventajas e inconvenientes. La principal ventaja es que probablemente sea más rápido que el resto de opciones.
Después de invertir tiempo y dinero en crear un protocolo nuevo, es normal que un servicio de VPN dedique sus mejores servidores e infraestructura a hacerlo lo más rápido posible. Los proveedores también suelen decir que es más seguro.
Por otro lado, estos protocolos suelen ser prácticamente opacos.
Los protocolos de código abierto como OpenVPN han sido estudiados por miles de personas que se aseguran de que sean seguros y hagan exactamente lo que prometen. Los protocolos VPN propietarios suelen ser de código cerrado, por lo que es muy difícil saber exactamente qué es lo que ocurre dentro.
Son pocos los proveedores de VPN que utilizan su propio protocolo, pero el número no para de aumentar. Aquí tienes unos cuantos:
- Astrill – OpenWeb y StealthVPN
- ExpressVPN – Lightway
- Hotspot Shield – Catapult Hydra
- Hidester – CamoVPN
- NordVPN – NordLynx
- VPN Unlimited – KeepSolid Wise
- VyprVPN – Chameleon
- X-VPN – Protocol X
