WireGuard cifra muy bien, pero no intenta esconder que es WireGuard. Sus propios autores lo dicen: la ofuscación no es su objetivo y debe hacerse en una capa por encima. Por eso, en redes que usan inspección profunda de paquetes (DPI) para bloquear VPN, WireGuard sin más se puede detectar y cortar.
En corto
- DPI mira la forma del tráfico, no su contenido cifrado.
- WireGuard no se disfraza y solo funciona sobre UDP.
- Si te bloquean la VPN, busca servidores «ofuscados» o una capa de ofuscación por encima.
Qué es la inspección profunda de paquetes
Un cortafuegos normal mira de dónde viene un paquete y a dónde va. La inspección profunda de paquetes va más allá: examina cómo es el tráfico. Tamaños, ritmo, cabeceras, la forma del primer intercambio de mensajes.
No necesita romper el cifrado para saber qué protocolo usas. Le basta con reconocer el patrón. La usan operadores, redes de empresa y gobiernos que bloquean VPN.
Por qué WireGuard se reconoce
En su página de limitaciones conocidas, WireGuard es claro: «no se centra en la ofuscación». Sus autores prefieren un protocolo simple y bien cifrado, y dejan el disfraz para otras herramientas.
La misma página explica que WireGuard no funciona sobre TCP, solo sobre UDP. Algunas redes bloquean casi todo el UDP salvo el de servicios conocidos. En esas, WireGuard ni siquiera llega a conectar.
Ninguna de las dos cosas es un fallo de seguridad. Tu tráfico sigue cifrado. El problema es otro: que te detecten y te bloqueen.
Qué hacer si te bloquean la VPN
- Prueba los servidores ofuscados de tu VPN, si los tiene. Varias los ofrecen; NordVPN, por ejemplo, los incluyó en su última auditoría de no registros.
- Cambia de protocolo. OpenVPN sobre TCP por el puerto 443, el de las webs, puede pasar más desapercibido.
- Usa una capa de ofuscación por encima de WireGuard, que es justo lo que recomiendan sus autores.
- Comprueba antes que de verdad es un bloqueo. A veces es una wifi con portal cautivo; lo explico en la guía de DNS privado.
Antes de saltarte un bloqueo
En una red de empresa o de universidad, saltarte sus restricciones puede ir contra sus normas. Y en algunos países usar VPN no autorizadas tiene consecuencias legales. Infórmate antes.
Otras limitaciones que conviene saber
- Criptografía poscuántica. WireGuard no lo es por defecto. Se puede añadir una clave precompartida para reforzarlo.
- Hardware. Muchos procesadores aceleran AES y menos ChaCha20, el cifrado de WireGuard. En móviles modernos no suele notarse.
Si quieres el contexto general, empieza por qué es una VPN y qué no hace.