OpenVPN: Parte 1 — Protocolo, ediciones y clientes

OpenVPN — es un protocolo VPN y al mismo tiempo un programa de código abierto que lo implementa. El proyecto existe desde 2001 y funciona en casi cualquier sistema: Linux, Windows, macOS, BSD, Android, iOS, así como en routers MikroTik, Keenetic y en el firmware OpenWrt. El túnel se protege con TLS, por lo que para la verificación de las partes se usan los habituales certificados X.509.

Bajo el nombre OpenVPN se publican varios productos diferentes, y a menudo se confunden. A continuación se explica qué es cada uno y qué variante elegir.

Protocolo

La conexión OpenVPN consta de dos canales:

• canal de control — sesión TLS en la que las partes verifican certificados, acuerdan el cifrado e intercambian claves;
• canal de datos — los propios paquetes del usuario, cifrados con el cifrado acordado.

OpenVPN funciona sobre UDP (por defecto puerto 1194) o TCP. El túnel puede ser de dos tipos: tun — enrutado, a nivel IP, se usa casi siempre; tap — en modo puente, a nivel Ethernet, necesario en casos raros, por ejemplo para tráfico broadcast de programas antiguos.

Las partes acuerdan el cifrado de los datos entre sí. A partir de la versión 2.6 la lista por defecto es AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305 (este último — si está disponible en la librería de cifrado).

Ediciones

OpenVPN Community

Programa libre bajo la licencia GPLv2: servidor y cliente de consola en un mismo ejecutable. La rama vigente es la 2.7; en la página de descargas del proyecto la versión actual es 2.7.7. Para Windows el instalador incluye la interfaz gráfica OpenVPN GUI.

Community no tiene interfaz web: el servidor se configura mediante un archivo de texto, los certificados se emiten por separado, normalmente con la utilidad easy-rsa. Es la opción más flexible, pero todo el ajuste y mantenimiento lo realiza el administrador.

OpenVPN Access Server

Servidor comercial de la empresa OpenVPN Inc. con interfaz web de administrador y portal de usuario, donde el empleado descarga por sí mismo el perfil de conexión. Access Server puede integrarse con LDAP, RADIUS y SAML, emite perfiles automáticamente y no requiere trabajo manual con certificados.

Access Server se licencia por número de conexiones simultáneas. Sin suscripción están disponibles dos conexiones — suficiente para pruebas. Según el sitio de OpenVPN en septiembre de 2026, la suscripción adicional cuesta 7 dólares por conexión al mes con pago anual. No es posible pagarla con tarjeta rusa: Visa y Mastercard no procesan tarjetas rusas en el extranjero desde marzo de 2022.

OpenVPN Connect

Aplicación cliente gratuita de OpenVPN Inc. para Windows, macOS, Android e iOS. Funciona tanto con Access Server como con el servidor Community: basta con importar el perfil .ovpn. Connect está construida sobre la biblioteca independiente OpenVPN 3, por lo que no soporta todos los parámetros raros del OpenVPN clásico 2.x — por ejemplo, el modo tap no funciona en ella.

Clientes de terceros

Además de Connect, existen clientes de confianza de otros desarrolladores:

• OpenVPN GUI — incluido en el instalador Community para Windows;
• Tunnelblick — cliente libre para macOS;
• NetworkManager-openvpn — módulo para escritorios Linux: el perfil se importa desde la configuración de red;
• OpenVPN for Android — cliente libre para Android basado en el OpenVPN clásico 2.x;
• Viscosity — cliente de pago para Windows y macOS con gestión cómoda de perfiles.

En servidores Linux el cliente es el mismo paquete openvpn: se ejecuta con el perfil de cliente, normalmente como servicio systemd.

Perfil .ovpn

El perfil es un archivo de texto con la configuración del cliente. En él se indican la dirección del servidor, protocolo y puerto, y los certificados y claves pueden incrustarse directamente en el archivo entre las etiquetas <ca>, <cert>, <key> y <tls-crypt>. Ese archivo es cómodo de entregar al usuario completo: el cliente de cualquier plataforma lo importa con una sola acción.

La clave incrustada es secreta. No se debe enviar el perfil por un chat público ni ponerlo en una carpeta compartida. Si el archivo se filtra, se revoca el certificado del usuario en el servidor.

Qué variante elegir

Si aún no ha decidido, conviene comparar OpenVPN con WireGuard: WireGuard es más sencillo de configurar y más rápido, mientras que OpenVPN es más flexible en la autorización, funciona sobre TCP y cuenta con soporte en una mayor cantidad de dispositivos.

Errores típicos

• Un certificado para todos. Si varios empleados se conectan con la misma clave, no se puede desconectar a uno sin desconectar a los demás. Cada usuario debe tener su propio certificado.
• Servidor desactualizado. En instalaciones antiguas queda la versión 2.4 o 2.5 con configuraciones de cifrado obsoletas. Las ramas 2.6 y 2.7 negocian cifrados automáticamente; la actualización normalmente no requiere rehacer la configuración de los clientes.
• El cliente no soporta un parámetro del perfil. OpenVPN Connect ignora o rechaza algunos parámetros de 2.x. Si el perfil funciona en OpenVPN GUI pero no en Connect, busque en él tap y directivas obsoletas.
• Perfiles sin fecha de caducidad. Se olvida revocar certificados de empleados despedidos. La revocación y la lista de certificados revocados (CRL) deben formar parte del procedimiento de despido.

Hay ejemplos prácticos de configuración en el sitio: servidor OpenVPN en MikroTik — «Configuración del servidor OpenVPN en MikroTik RouterOS», servidor en Ubuntu y cliente Keenetic — «OpenVPN: configuración del servidor Ubuntu y cliente Keenetic». Si necesita ayuda con el despliegue, se puede contratar en la página «Configuración VPN».