Saltar al contenido principal
Dualbuy VPN
Empezar ahora

SSTP, L2TP/IPsec, OpenVPN o WireGuard en MikroTik: ¿cuál elegir?

· · 4 min de lectura

Comparación práctica de los cuatro protocolos VPN que admite RouterOS: puertos, paso por firewalls, versión de RouterOS necesaria y cuándo elegir cada uno.

RouterOS puede conectarse a un servidor VPN con varios protocolos. Todos protegen tu tráfico, pero se diferencian en las redes que atraviesan, las versiones de RouterOS que los admiten y el trabajo que exigen a la CPU del router. Así puedes elegir.

SSTP

SSTP envuelve el túnel en TLS sobre TCP, normalmente por el puerto 443, así que para un firewall parece HTTPS normal. Por eso es la mejor opción en redes restrictivas como oficinas, hoteles y operadores móviles que bloquean o limitan UDP. A cambio, añade algo de sobrecarga, porque TCP transporta tráfico que puede ser TCP a su vez. Está disponible en todas las versiones de RouterOS.

L2TP/IPsec

L2TP con IPsec usa los puertos UDP 500 y 4500. Viene integrado en todas las versiones de RouterOS y en Windows, macOS, iOS y Android, así que no requiere software adicional. Puede dar problemas tras ciertos equipos NAT y una red que bloquee UDP lo bloqueará. En modelos con aceleración de IPsec por hardware, además, es ligero para la CPU.

OpenVPN

OpenVPN es muy conocido y se basa en TLS. En RouterOS 6 solo funciona sobre TCP; RouterOS 7 añadió UDP. RouterOS admite menos opciones que el software OpenVPN estándar, por lo que te conviene sobre todo si ya usas OpenVPN en otros sitios y quieres una configuración conocida.

WireGuard

WireGuard es moderno, pequeño y rápido, y funciona sobre UDP. Requiere RouterOS 7 o posterior. Es la opción adecuada para velocidad y poca sobrecarga cuando UDP está permitido. Un límite en Dualbuy: WireGuard da a tu dispositivo una conexión VPN, pero el acceso administrativo por puertos (Winbox, Webfig, SSH, API) no está disponible con él.

Recomendaciones rápidas

  • La red bloquea UDP, o no sabes qué bloquea: SSTP.
  • Un router más antiguo con RouterOS 6, o algo integrado en todas partes: L2TP/IPsec o SSTP.
  • RouterOS 7, UDP permitido y lo que más importa es la velocidad: WireGuard.
  • Ya usas OpenVPN y quieres la misma configuración en todas partes: OpenVPN.
  • Necesitas Winbox, Webfig, SSH o la API desde fuera: SSTP, L2TP/IPsec u OpenVPN.

Comprueba tu versión de RouterOS

Ejecuta esto en el terminal del router y lee la línea version:

/system resource print

Elijas lo que elijas, el rendimiento depende tanto de la CPU del router como del protocolo, porque el cifrado se hace por software en la mayoría de modelos. Si tu objetivo es el acceso remoto, lee cómo llegar a un MikroTik sin IP pública. Una sola suscripción incluye los cuatro protocolos: consulta los planes.

Sigue leyendo