VPN en el router ASUS: WireGuard en VPN Fusion y AmneziaWG con Asuswrt-Merlin
El firmware de fábrica de ASUS desde la versión 388.23000 solo entiende WireGuard: sube el archivo a VPN Fusion y elige qué dispositivos pasan por el túnel. Para Rusia, la verdad sobre AmneziaWG con Merlin y dos vías más simples.
El vpn para el router ASUS de fábrica es solo WireGuard normal: desde el firmware 3.0.0.4.388.23000, los routers de la serie AX se conectan a un servidor WireGuard a través del apartado VPN Fusion, y el firmware oficial no tiene AmneziaWG. Por eso el VPN en el router ASUS se configura con la variante WireGuard del archivo de tu cuenta de NvoVPN: cuatro pasos, unos diez minutos, allí donde no bloqueen la VPN. ¿Estás en Rusia? El WireGuard normal no funciona allí: mira el bloque «¿Estás en Rusia?» de abajo, con la verdad sobre la vía por Asuswrt-Merlin.
-
Descarga la variante WireGuard del archivo de tu cuenta
En tu cuenta → «Conexión» → «Manual» elige un servidor, ponle al dispositivo el nombre «Router» y pulsa «Crear». Junto al archivo AmneziaWG hay una variante para WireGuard normal: descarga justo esa, el firmware de fábrica de ASUS solo entiende WireGuard. Hace falta un plan activo o un período de prueba.
-
Comprueba el modelo y el firmware
WireGuard solo está en los modelos de la serie AX (RT-AX, TUF-AX, GT-AX y GT-AXE, ZenWiFi XT/ET/XD) con firmware 3.0.0.4.388.23000 o posterior. Los RT-AC y RT-N no lo tienen. En la interfaz web del router, abre «Administration» → «Firmware Upgrade» (administración → actualización del firmware) e instala la última versión. La lista de modelos está en el apartado «Modelos y firmwares» de más abajo.
-
Sube el archivo a VPN Fusion
«VPN» → «VPN Fusion» → «Add profile» → tipo WireGuard → «Upload Config» → elige el archivo descargado. Para que pase toda la casa por la VPN, activa «Apply to all devices» y pulsa «Apply»: al perfil le aparecerá la marca «Default Connection». Activa el perfil. Para pasar solo el televisor por la VPN, pulsa el icono de dispositivos en la tarjeta del perfil y activa los interruptores de los dispositivos que quieras.
-
Comprueba que la VPN funciona
Desde un televisor o un portátil detrás del router, abre la página «Cuál es mi IP»: debe aparecer la dirección del servidor de NvoVPN, no la de tu proveedor. Si un dispositivo no está marcado en el perfil y «Apply to all devices» está desactivado, sale a internet directamente: así funciona VPN Fusion, no es una avería.
¿Por qué la ayuda de ASUS da dos números de firmware distintos?
En la versión en inglés de las instrucciones oficiales de ASUS pone «posterior a 3.0.0.4.388.23000»; en la versión en ruso, «desde 3.0.0.4.388.20000». No te fijes en las cifras: instala sencillamente el firmware más reciente para tu modelo. Si tu modelo está en la lista de VPN Fusion, tendrá WireGuard.
¿Estás en Rusia? El WireGuard de fábrica no funciona allí, hace falta AmneziaWG
En Rusia el WireGuard normal está bloqueado, y el firmware de fábrica de ASUS no sabe hacer otra cosa. Solo funciona AmneziaWG, WireGuard con el tráfico disfrazado. En ASUS aparece de una sola forma: con un firmware de terceros, y eso ya no son «cuatro pasos». Las otras dos vías son más simples.
Vía 1 — Asuswrt-Merlin y el paquete AmneziaWG (difícil)
Asuswrt-Merlin es un firmware de terceros para routers ASUS. El propio Merlin también solo sabe WireGuard; AmneziaWG lo añade un proyecto aparte, asuswrt-merlin-amneziawg (de r0otx, en GitHub): un cliente con página web en el panel de administración, que importa nuestro archivo entero (Jc, Jmin, Jmax, S1, S2, H1–H4) y reglas por dispositivo «VPN All / VPN Geo / Direct». Hacen falta un router de la lista de Merlin, Merlin 384.15 o posterior, o 3006.x, un pendrive USB con Entware (se instala con amtm) y el comando de instalación de la descripción del proyecto. Con honestidad sobre los inconvenientes: ni el firmware ni el paquete los mantiene ASUS; el cliente funciona por software, con el procesador del router, y la velocidad está limitada por su potencia; y en el propio Merlin, activar WireGuard desactiva la aceleración de NAT por hardware. ¿El router conecta, pero el tráfico no pasa? Escribe a soporte: te preparamos una configuración con una ruta para Rusia.
Vía 2 — la app de NvoVPN en los dispositivos
Portátil, móvil, tableta: instalas la app, pulsas el escudo. Si la red bloquea la VPN, la app pasa sola al modo sigiloso, que disfraza la conexión como un sitio web normal; no hace falta activar nada. El router ASUS se queda sin VPN. La limitación: hasta cinco dispositivos, y no sirve para los televisores Samsung y LG, que no tienen app.
Vía 3 — un segundo router Keenetic detrás del ASUS
Keenetic entiende AmneziaWG de fábrica: con KeeneticOS 4.3.4 o posterior, nuestro archivo se importa entero. Conecta el Keenetic al ASUS con un cable, sube el archivo, y todo lo que se conecte al Wi-Fi del Keenetic pasará por la VPN; el resto, como antes. Paso a paso, en las guías «VPN en Keenetic» y «Un segundo router detrás del router del proveedor».
Si no conecta: trampas en ASUS
- El archivo equivocado. En tu cuenta hay dos variantes, AmneziaWG y WireGuard. El firmware de fábrica de ASUS solo acepta la variante WireGuard.
- El modelo o el firmware no son los correctos. El RT-AC (Wi-Fi 5) y el RT-N no tienen WireGuard en ningún firmware oficial, mira «Modelos y firmwares». En un modelo AX, primero actualiza el firmware.
- El dispositivo sale directo. Sin «Apply to all devices», los dispositivos nuevos de la red pasan por fuera del túnel. Activa este ajuste o marca el dispositivo en el perfil y pulsa «Apply».
- Un archivo, un dispositivo. La configuración del router no se puede usar a la vez en un móvil: la conexión se cortará en ambos. Crea una aparte para el móvil, la suscripción permite hasta cinco.
- DNS. Parte de los firmwares ignoran la línea
DNS =del archivo. Si el túnel está levantado pero las páginas no abren, pon el DNS a mano: la misma dirección que hay en el archivo. En Merlin, el cliente WireGuard usa a la fuerza el DNS de la configuración (modo Exclusive). - MTU. Si las páginas pesadas «se cuelgan» mientras las ligeras cargan, pon MTU 1420 en la interfaz de VPN.
- AllowedIPs 0.0.0.0/0 manda todo el tráfico al túnel. De forma selectiva, solo eligiendo dispositivos en VPN Fusion; en Merlin, la ruta de WireGuard la controla VPN Director.
- Comprueba desde un dispositivo detrás del router, no desde un móvil con datos móviles: la página «Cuál es mi IP» mostrará la dirección del servidor.
- El kill switch en el router no está en todos los firmwares. Si te importa que los dispositivos no salgan a internet directamente si se corta el túnel, revisa esa opción en los ajustes del perfil. Qué es, en el artículo «Kill Switch».
Modelos y firmwares de ASUS
Según datos del fabricante a septiembre de 2026. Antes de comprar, comprueba tu modelo en la página oficial de la lista de modelos de VPN Fusion.
- WireGuard de fábrica (VPN Fusion): GT-AXE16000, GT-AX11000 Pro, GT-AXE11000, GT-AX6000, GT-AX11000; ZenWiFi Pro XT12, Pro ET12, XT9, AX (XT8), ET8, XD6, XD5; RT-AXE7800, RT-AX88U Pro, RT-AX88U, RT-AX86U Pro, RT-AX86U y RT-AX86S, RT-AX68U, RT-AX82U, RT-AX58U, RT-AX3000, RT-AX59U, RT-AX92U, RT-AX5400, RT-AX57M, RT-AX52; TUF-AX5400, TUF-AX3000 y TUF-AX3000 V2, TUF Gaming AX6000, TUF Gaming AX4200, TUF-AX4200Q. Los RT-AC y RT-N no están en la lista; los modelos Wi-Fi 7 (BE) no aparecen en esta página, revisa el apartado VPN Fusion en la interfaz.
- Firmware: 3.0.0.4.388.23000 o posterior, según la guía oficial de ASUS; cómo hacer que el perfil sea la conexión predeterminada, en una guía aparte. Lo mismo se puede hacer en la app ASUS Router: Settings → VPN Fusion.
- AmneziaWG con Asuswrt-Merlin: Merlin 388 y posterior se publica para modelos AX y BE; los AC se quedaron en la rama 386 sin WireGuard (la lista está en la wiki del proyecto), y el paquete de AmneziaWG está compilado para ARM de 64 bits (hay también una versión para 32 bits): de ambas listas coinciden el GT-AX11000, GT-AXE11000, GT-AX6000, RT-AX86U, RT-AX86U Pro, RT-AX88U, RT-AX88U Pro, RT-AX58U (V1). El paquete dice admitir también el RT-AX56U y el TUF-AX5400, pero no están en la lista de Merlin.
- RT-AC y RT-N: Merlin se quedó para ellos en la rama 386 sin WireGuard, y la mayoría de los modelos AC (RT-AC68U, RT-AC88U, RT-AC66U, RT-N66U) ya no reciben soporte. Para el RT-AC68U, RT-AC88U, RT-AC58U, RT-AC57U y varios más hay OpenWrt, donde AmneziaWG se instala con paquetes de terceros: mira el apartado de OpenWrt en la guía general de routers. O la app en los dispositivos.
Preguntas frecuentes
¿Puedo pasar solo el televisor por la VPN? Sí. En la tarjeta del perfil de VPN Fusion, pulsa el icono de dispositivos, activa el interruptor del televisor y pulsa «Apply». El resto de los dispositivos seguirán saliendo directamente.
¿Por qué hay dos archivos en mi cuenta y cuál tomo? AmneziaWG es WireGuard con el tráfico disfrazado, pasa donde el WireGuard normal está bloqueado. El firmware de fábrica de ASUS solo entiende WireGuard: toma esa variante. La diferencia, en detalle, en el artículo «AmneziaWG y WireGuard: en qué se diferencian».
¿Por qué bajó la velocidad tras poner WireGuard en Merlin? En Asuswrt-Merlin, activar WireGuard desactiva la aceleración de NAT por hardware, y en planes rápidos se nota. El cliente de AmneziaWG del paquete de terceros funciona por software: la velocidad está limitada por el procesador del router.
Tengo un RT-AC68U, ¿qué hago? No tiene WireGuard de fábrica, y Merlin ya no da soporte a este modelo. Opciones: OpenWrt con paquetes de terceros de AmneziaWG, un segundo router Keenetic detrás del ASUS, o la app en los dispositivos.
¿El router cuenta como un dispositivo de la suscripción? Sí: para NvoVPN es una sola configuración, sin importar cuántos televisores y portátiles haya detrás. No pongas el archivo del router en el móvil, crea uno aparte.
Guías relacionadas: VPN en el router: repaso por firmware · VPN en Keenetic · AmneziaWG y WireGuard: en qué se diferencian · Un segundo router detrás del router del proveedor
¿Listo para conectarte?
Descarga la app, inicia sesión y estás protegido. La prueba gratuita empieza sola, sin tarjeta.