AmneziaWG y WireGuard: en qué se diferencian y qué variante descargar

AmneziaWG vs WireGuard, ¿cuál elegir? En realidad es el mismo protocolo de VPN, y la diferencia es una sola: AmneziaWG disfraza el tráfico, así que los filtros de los operadores no lo reconocen. NvoVPN funciona con AmneziaWG por defecto, y en tu cuenta genera el archivo de configuración en los dos formatos. A continuación, cómo elegir y qué descargar en cuatro pasos, una tabla de diferencias y respuestas sobre compatibilidad, velocidad y routers. ¿Estás en Rusia? Lee sin falta el bloque «¿Estás en Rusia?».

1. 1

   Entiende la diferencia en una frase

   AmneziaWG es el mismo WireGuard, pero sus paquetes van disfrazados por fuera. El cifrado, las claves y la velocidad son los mismos, y el equipo de los operadores (DPI, la inspección profunda de paquetes) no ve una VPN en ellos y no los bloquea.

2. 2

   Consigue el archivo en tu cuenta

   Abre tu cuenta → «Conexión» → «Manual». Elige un servidor, ponle un nombre al dispositivo y pulsa «Crear». Aparecerá el archivo .conf para AmneziaWG, y junto a él, la variante para WireGuard normal, un código QR y el texto. Un archivo, un dispositivo.

3. 3

   Elige la variante según el dispositivo

   Móvil y ordenador: la app de NvoVPN, que ya funciona con AmneziaWG. Un router o cliente compatible con AmneziaWG: el archivo AmneziaWG. Un router o cliente que solo entiende WireGuard: la variante WireGuard, funciona donde no bloquean la VPN. En Rusia y en cualquier lugar donde bloqueen la VPN: solo AmneziaWG.

4. 4

   Comprueba que la VPN funciona

   Conéctate y abre la página «Cuál es mi IP». Debe aparecer la dirección del servidor de NvoVPN, no la de tu proveedor. ¿La dirección no cambió? La conexión no se estableció: en una red con bloqueos, cambia la variante WireGuard por el archivo AmneziaWG.

Resumen: tabla de diferencias

Qué es WireGuard y por qué se ve

WireGuard nació como respuesta a los pesados OpenVPN e IPsec: unas cuatro mil líneas de código frente a cientos de miles, criptografía moderna sin elección de cifrados, integrado en el núcleo de Linux desde la versión 5.6 (2020). Funciona solo por UDP, la conexión se levanta con un único apretón de manos, y el cambio entre Wi-Fi y datos móviles pasa inadvertido. Por eso la mayoría de los servicios de VPN se pasaron a él.

La sencillez tiene un precio. Los propios autores dicen claramente que WireGuard no se ocupa del disfraz, que «debería pasar en una capa superior». Cada paquete del apretón de manos tiene un tamaño fijo (148 bytes la petición, 92 la respuesta) y los mismos primeros bytes fijos. El equipo de DPI reconoce esa secuencia al instante, y en muchas redes simplemente no la deja pasar.

Qué añade AmneziaWG

AmneziaWG es un fork abierto de WireGuard del equipo de Amnezia. El núcleo criptográfico no se tocó: las claves, los cifrados y el apretón de manos Noise son los mismos. Lo que cambia es el aspecto de los paquetes por fuera. En la configuración son varios parámetros:

• Jc, Jmin, Jmax — antes del apretón de manos real, el cliente envía Jc paquetes «de relleno» de longitud aleatoria entre Jmin y Jmax. El patrón delator «148 → 92» desaparece.
• S1–S4 — a los paquetes de servicio (petición, respuesta, cookie, datos) se les añade un prefijo aleatorio: su tamaño deja de coincidir con el de referencia.
• H1–H4 — los números estándar de tipo de mensaje de WireGuard se sustituyen por otros propios, y el filtro no encuentra cabeceras conocidas.
• En las versiones nuevas del protocolo se añadieron paquetes señuelo que imitan otros protocolos, y protección contra el análisis estadístico. La app de NvoVPN usa la versión actual y pone los parámetros sola.

Resultado: para el DPI, el flujo parece tráfico UDP anónimo sin firmas. Donde el WireGuard normal no conecta en absoluto, AmneziaWG pasa. Si el filtro es más agresivo y corta cualquier UDP desconocido, la app de NvoVPN cambia al modo sigiloso VLESS/Reality.

Compatibilidad, velocidad y batería

Un cliente de AmneziaWG con los parámetros de disfraz en cero es totalmente compatible con un servidor de WireGuard normal, y al revés. Pero en cuanto se activan los parámetros, ambos lados dejan de entender los paquetes del otro: un cliente de AmneziaWG no se conectará a un servidor de WireGuard normal, ni un cliente de WireGuard a un servidor de AmneziaWG. Por eso cada configuración de tu cuenta viene en dos variantes. No se pueden mezclar, pero sí usar las dos en dispositivos distintos.

Los paquetes de relleno solo se envían al establecer la conexión, y el relleno añade decenas de bytes a los paquetes. Según medidas independientes, la diferencia con el WireGuard «limpio» es de unos pocos puntos porcentuales; el máximo teórico de sobrecarga por el relleno es de alrededor de una décima parte. En un móvil o un portátil es imposible notarlo; el consumo de batería es el mismo que el de WireGuard.

Qué elegir en NvoVPN

• Móvil, ordenador — la app de NvoVPN: AmneziaWG y cambio automático al modo sigiloso, no hay nada que elegir.
• Router Keenetic, OpenWrt, GL.iNet — el archivo AmneziaWG de tu cuenta, como en las guías «VPN en el router» y «VPN en Keenetic».
• ASUS, MikroTik, TP-Link y otros clientes solo con WireGuard — la variante WireGuard de la misma configuración. Funciona donde no bloquean el protocolo: ASUS, MikroTik, TP-Link.
• Linux — amneziawg-tools, como en la guía de Linux; el wireguard-tools normal, solo en redes sin filtrado.

Preguntas frecuentes

¿AmneziaWG es menos seguro por llevar cosas añadidas? No. Lo añadido afecta solo al aspecto de los paquetes; el cifrado y el intercambio de claves son los del WireGuard original.

¿Se puede reconocer y bloquear AmneziaWG? Ningún protocolo tiene una garantía total: los filtros aprenden, y los desarrolladores responden con versiones nuevas. En la práctica, AmneziaWG pasa donde WireGuard está bloqueado; para el caso más difícil está el modo sigiloso.

¿Por qué la app no tiene un selector «WireGuard o AmneziaWG»? Porque AmneziaWG no es peor en nada, y en redes con filtrado es la única variante que funciona. Ese cambio solo hace falta para routers y clientes de terceros, y está disponible en tu cuenta.

¿Dónde descargar el cliente de AmneziaWG? Para el móvil y el ordenador, la app de NvoVPN, AmneziaWG ya está dentro. Clientes aparte para Windows, macOS, Android, iOS y Linux los publica el equipo de Amnezia en GitHub; les sirve el archivo AmneziaWG de tu cuenta.

¿Se puede poner AmneziaWG en un router? Sí, en Keenetic (KeeneticOS 4.3.4 y posterior), OpenWrt con los paquetes amneziawg y GL.iNet. Los detalles, en la guía de routers.

Guías relacionadas: Por qué la VPN deja de funcionar y cómo es el modo sigiloso · Cómo configurar una VPN en el router · Cómo configurar una VPN en Linux