WireGuard es un protocolo VPN diseñado por Jason A. Donenfeld. Está integrado en el kernel Linux desde la versión 5.6 (29 de marzo de 2020) y en Windows como adaptador nativo desde 2021. Suma unas 4.000 líneas de código, frente a las más de 100.000 de OpenVPN.
El cambio respecto a OpenVPN e IPsec
WireGuard parte de una idea contraria al diseño VPN tradicional. En lugar de negociar decenas de algoritmos en el handshake, fija una suite criptográfica única:
- ChaCha20 para el cifrado.
- Curve25519 para el intercambio de claves.
- BLAKE2s para el hashing.
- Poly1305 para la autenticación.
La consecuencia es doble. El código se audita en pocas tardes. Y el rendimiento, en pruebas independientes, ronda 2-3 veces el de OpenVPN sobre la misma máquina.
Para el administrador, la configuración se reduce a poco: una clave pública y otra privada por dispositivo, una IP de túnel y la lista de redes permitidas. No hay PKI que mantener, ni revocaciones de certificado, ni TUN/TAP que montar a mano.
Modelos de despliegue habituales
El patrón más extendido es el “road warrior”: cada empleado tiene un perfil que entra al servidor central. Pero WireGuard brilla también en topologías en estrella entre sedes con IP pública dinámica. Su mecanismo de roaming mantiene el túnel vivo ante cambios de red (4G, WiFi, fibra) sin reconectar a mano.
Para el acceso de administración a servidores, lo habitual es exponer solo el puerto UDP de WireGuard en el firewall. SSH escucha únicamente en la IP de túnel. Así SSH desaparece de internet sin que el equipo pierda funcionalidad.
Cómo lo aplicamos en SMedialab
Lo configuramos por defecto para administrar el NUC de producción y los paneles internos (Uptime Kuma, dashboards). Cada miembro del equipo tiene su perfil, con acceso solo a las rutas que necesita. Los TPV de clientes llevan un perfil aparte que permite tráfico únicamente hacia el ERP.
Dónde NO lo recomendamos: usuarios finales de un cliente que solo quieren entrar a la web pública. Una VPN de empleado para visitar una landing es sobredimensionar y vuelve el soporte inviable.
Casos típicos en nuestros clientes
Una asesoría con varios despachos en distintas islas conectaba su Dolibarr por IP pública abierta. Esa solución generaba cada año intentos de fuerza bruta y dejaba un puerto MySQL expuesto. Migramos a WireGuard con un perfil por empleado: ahora el ERP solo escucha en la IP de túnel y los fallos de autenticación en los logs pasaron a cero.
Para un grupo hostelero con tres TPV en bares distintos, WireGuard mantiene los TPV sincronizando ventas con la central. Y lo hace sin abrir un solo puerto en sus routers de fibra.
¿Tienes paneles o ERPs accesibles por IP pública que querrías cerrar? Lo evaluamos en alojamiento web gestionado.
