WireGuard cifra muy bien, pero no intenta esconder que es WireGuard. Sus propios autores lo dicen: la ofuscación no es su objetivo y debe hacerse en una capa por encima. Por eso, en redes que usan inspección profunda de paquetes (DPI) para bloquear VPN, WireGuard sin más se puede detectar y cortar. Aquí explico cómo lo reconocen, por qué OpenVPN tampoco se libra y qué ofrece cada VPN para pasar esos bloqueos.
En corto
- La DPI mira la forma del tráfico, no su contenido cifrado.
- WireGuard no se disfraza: sus mensajes empiezan siempre igual, tienen tamaños fijos y solo viajan por UDP.
- OpenVPN tampoco se esconde bien: un estudio de 2022 detectó más del 85 % de sus conexiones en un operador real.
- Si te bloquean la VPN, usa el modo camuflado de tu VPN: Stealth en Proton, NordWhisper u ofuscados en NordVPN, NoBorders en Surfshark.
Qué es la inspección profunda de paquetes
Un cortafuegos normal mira de dónde viene un paquete y a dónde va. La inspección profunda de paquetes va más allá: examina cómo es el tráfico. Tamaños, ritmo, cabeceras, la forma del primer intercambio de mensajes.
No necesita romper el cifrado para saber qué protocolo usas. Le basta con reconocer el patrón. La usan operadores, redes de empresa, universidades y gobiernos que bloquean VPN. A veces también la wifi de un hotel o de un aeropuerto.
Cómo se reconoce WireGuard
En su página de limitaciones conocidas, WireGuard es claro: «no se centra en la ofuscación». Sus autores prefieren un protocolo simple y bien cifrado, y dejan el disfraz para otras herramientas. Para usarlo sobre TCP proponen proyectos aparte, como udp2raw.
La especificación del protocolo muestra por qué es fácil de reconocer. Cada mensaje empieza con un número que dice su tipo, del 1 al 4, seguido de tres bytes a cero. Y los mensajes del saludo inicial tienen siempre el mismo tamaño:
| Mensaje | Tipo | Tamaño |
|---|---|---|
| Inicio del saludo | 1 | 148 bytes |
| Respuesta al saludo | 2 | 92 bytes |
| Respuesta con cookie (bajo carga) | 3 | 64 bytes |
| Datos | 4 | Variable, cabecera de 16 bytes |
Un paquete UDP con 148 bytes de datos que empiezan por 1, 0, 0, 0, seguido de una respuesta de 92 que empieza por 2, 0, 0, 0, es una firma muy fácil de reconocer.
La misma página de limitaciones explica que WireGuard no funciona sobre TCP, solo sobre UDP. Algunas redes bloquean casi todo el UDP salvo el de servicios conocidos. En esas, WireGuard ni siquiera llega a conectar.
Ninguna de las dos cosas es un fallo de seguridad. Tu tráfico sigue cifrado. El problema es otro: que te detecten y te bloqueen.
OpenVPN tampoco se esconde
Durante años, el consejo fue «si te bloquean WireGuard, usa OpenVPN por el puerto 443». Un estudio de la Universidad de Míchigan, Merit Network y la Universidad Estatal de Arizona, presentado en el congreso USENIX Security 2022, analizó cómo detectar OpenVPN, también sobre TCP, con el tráfico de un operador real de un millón de usuarios. Sus autores identificaron más del 85 % de las conexiones de OpenVPN con muy pocos falsos positivos. Usaron patrones de bytes, tamaños de paquete y cómo responde el servidor cuando se le prueba.
Lo más llamativo: detectaron 34 de 41 configuraciones de VPN comerciales que se anunciaban como «ofuscadas». Ocultar el protocolo es más difícil de lo que venden muchas webs. Ganó el primer premio del Internet Defense Prize 2022 y el premio a artículo distinguido del congreso.
Qué ofrece cada VPN para pasar un bloqueo
| VPN | Función | Cómo funciona, según la empresa |
|---|---|---|
| Proton VPN | Stealth | Camufla la conexión como tráfico TLS sobre TCP, el de cualquier web segura |
| NordVPN | NordWhisper | NordWhisper usa túneles web para parecer tráfico normal; pensado para wifis públicas y redes filtradas, no para censura a escala de país |
| Surfshark | NoBorders | Se activa sola si la app detecta restricciones en la red |
Fuera de las VPN comerciales hay proyectos abiertos como AmneziaWG, una versión de WireGuard que envía paquetes basura antes de cada saludo, rellena los mensajes del saludo y cambia las cabeceras fijas (los 1-2-3-4 seguidos de ceros) por valores configurables. Según su documentación, la firma fija de WireGuard es un problema serio en países con censura, y su versión 3.1 respondió a bloqueos masivos en Rusia en junio y julio de 2026. Sirve sobre todo si montas tu propio servidor.
Qué hacer si te bloquean la VPN
- Comprueba antes que de verdad es un bloqueo. A veces es una wifi con portal cautivo que pide aceptar condiciones, o un DNS privado que no resuelve; lo explico en la guía de DNS privado.
- Prueba otro servidor y otro país. Hay bloqueos por lista de IP, no por protocolo.
- Activa el modo camuflado de tu VPN: Stealth, NordWhisper, ofuscados o NoBorders.
- Cambia de protocolo. OpenVPN sobre TCP por el puerto 443 puede pasar en redes poco estrictas, aunque ya has visto que se puede detectar.
- Si nada funciona, la red está bloqueando de forma activa. En ese punto, pregúntate si debes saltártelo.
Antes de saltarte un bloqueo
En una red de empresa o de universidad, saltarte sus restricciones puede ir contra sus normas. Y en algunos países usar VPN no autorizadas tiene consecuencias legales. Infórmate antes.
Otras limitaciones de WireGuard
- Criptografía poscuántica. WireGuard no lo es por defecto. Se puede reforzar con una clave precompartida, mejor si la genera un intercambio poscuántico por encima, como hace NordVPN, que lo llevó a todas sus apps en 2025.
- Hardware. Pocos chips aceleran por hardware ChaCha20, el cifrado de WireGuard. Según WireGuard eso no suele importar: por software rinde como AES acelerado, y en móviles sin aceleración AES suele ser más rápido.
- Privacidad en el servidor. WireGuard asocia cada clave a una IP interna fija y guarda en memoria la última IP pública desde la que se conectó cada cliente. Las VPN comerciales añaden capas para no dejar ese rastro; NordVPN, por ejemplo, dice usar un sistema de doble NAT en NordLynx.
Preguntas frecuentes
¿WireGuard es menos seguro que OpenVPN?
No. Usa criptografía moderna y tiene mucho menos código que revisar: unas 4.000 líneas, según su artículo técnico. Lo que no hace es esconderse. Seguridad y discreción son cosas distintas.
¿Por qué mi VPN funciona en casa y no en el trabajo?
Lo más probable es que la red del trabajo bloquee el UDP o reconozca el protocolo. Prueba el modo camuflado de tu VPN, pero mira antes las normas de tu empresa.
¿Mi operador puede saber que uso una VPN?
Sí, casi siempre. Ve que te conectas a la IP de un servidor de VPN, y con DPI puede reconocer el protocolo. Lo que no ve es qué haces dentro. Lo explico en qué es una VPN y qué no hace.
Para dejar la VPN bien configurada en el móvil, sigue cómo configurar una VPN en Android. Y para comparar qué ofrece cada una, la comparativa de VPN.
Tor se enfrenta al mismo problema y lo resuelve con puentes y transportes enchufables: lo explico en el navegador Tor.
Más sobre privacidad y VPN
- Navegador Tor: qué es, si es seguro y cómo usarlo en Android
- Cómo borrar el historial de Google desde el móvil (y qué pasa de verdad con tus datos)
- Gestor de contraseñas en Android: dónde están las tuyas y cuál usar
- Modo incógnito: qué protege y qué no (quién te sigue viendo)
- Cuál es mi IP y qué revela de ti (y qué no)
