Protocolos
WireGuard, ChaCha20-Poly1305 y el kill switch: cómo mueve PryVPN tu tráfico
Qué le pasa a un paquete entre tu dispositivo y el nodo de salida, y por qué un túnel caído significa silencio en vez de fugas.
La versión corta. PryVPN usa WireGuard en kernel de extremo a extremo. Cada paquete se sella con ChaCha20-Poly1305 antes de salir de tu dispositivo, con tamaño de MTU de 1420 bytes para que nada se fragmente, y con un enrutado que no deja a dónde enviar nada si el túnel muere. Tu proveedor ve un único flujo UDP cifrado hacia una dirección: nunca los sitios, ni las búsquedas, ni el DNS.
Por qué WireGuard, y por qué en el kernel
Los protocolos VPN antiguos crecieron de forma orgánica durante décadas: suites negociables, modos de reserva, cuñas de compatibilidad. Cada opción es un rincón donde esconderse un bug o un ataque de degradación. WireGuard tomó el camino contrario: un handshake, una suite de cifrado, unos miles de líneas de código. Menos código significa menos sitio para errores, y se nota: la implementación de Linux vive en el kernel, así los paquetes se mueven entre la pila de red y el cifrado sin cruzar a espacio de usuario y volver.
Esa es la ruta de datos que usa PryVPN en cada nodo: WireGuard en kernel, sin repetidor en espacio de usuario en medio, sin reserva de protocolo. Si un cliente no habla WireGuard, no conecta y punto. No hay deliberadamente ningún «modo compatibilidad» al que degradarse.
ChaCha20-Poly1305: un cifrado, sin negociación
Como no hay negociación de cifrado, no hay nada débil a lo que degradarse. ChaCha20 cifra el paquete; Poly1305 lo autentica, así que cualquier bit alterado en tránsito falla en cerrado en vez de descifrar basura. La combinación se diseñó para ser rápida incluso en CPUs sin instrucciones AES dedicadas, que es justo el hardware de la mayoría de móviles y routers.
Las claves nunca viajan dentro de la configuración del túnel que puedes inspeccionar: cada sesión recibe un par de claves nuevo, el servidor guarda solo la mitad pública y la mitad privada se te muestra exactamente una vez, dentro del perfil que genera la consola. Borra la sesión y esa clave no sirve para nada. No hay contraseña que pescar ni certificado que caduque a mitad de viaje.
MTU 1420: el número que evita la fragmentación
El cifrado añade sobrecarga a cada paquete: cabeceras que la red exterior debe transportar. Si el paquete interior más esa sobrecarga supera lo que acepta la ruta, algo tiene que fragmentarlo, y fragmentar cuesta CPU dos veces (dividir y reensamblar) mientras da a los equipos intermedios dos oportunidades de liarla.
PryVPN fija la MTU del túnel en 1420 bytes: el tráfico a tamaño completo de tu dispositivo se recorta antes de cifrar para que el paquete cifrado siga cabiendo en una ruta estándar de 1500 bytes. El efecto práctico es menos retransmisiones y un caudal más estable en las mediocres redes de hoteles y aeropuertos, que es donde más importa una VPN. Si tu conexión se siente «pegajosa» en una Wi-Fi pública con otro proveedor, la MTU desajustada es una de las primeras sospechosas; aquí el número es fijo y público.
El kill switch es enrutado, no un interruptor
La mayoría de «kill switches» son perros guardianes: una app nota que el túnel murió y corre a bloquear el tráfico. Entre morir y notarlo, los paquetes pueden salir. PryVPN lo hace una capa más abajo. El perfil del túnel reclama todo el espacio IPv4 en dos mitades: 0.0.0.0/1 más 128.0.0.0/1 , que ganan a cualquier ruta por defecto que quede. Mientras el túnel está arriba, todo coincide con esas rutas y entra en él. En el momento en que la interfaz del túnel desaparece, esas rutas también, y ya no queda ninguna ruta por la que salgan los paquetes.
Nada tiene que notar, reaccionar ni ganar una carrera. El silencio es el estado por defecto y la conectividad la excepción, que es la polaridad correcta para una herramienta de privacidad.
Lo que tu proveedor ve en realidad
Con el túnel arriba, todos entre tú y el nodo de salida (la Wi-Fi del café, el ISP, cualquiera con acceso a sus registros) ven exactamente tres hechos:
- Paquetes UDP fluyendo a una única dirección de nodo en un puerto,
- cuántos bytes y cuándo,
- que la carga es opaca.
El hostname, la consulta DNS, la página, el vídeo, los tiempos dentro del flujo: todo dentro de la carga cifrada. Pueden saber que usaste internet. No pueden saber para qué. Y por nuestro lado vale la regla espejo: la lista de nunca registrado (navegación, DNS, destinos, SNI, cargas, tu IP de origen del túnel) está publicada en la página de privacidad y la sirve la propia API, así que es una promesa comprobable y no un eslogan.
Sin protocolo de reserva, a propósito
Cada ruta de «si WireGuard falla, prueba algo más viejo» es un ataque de degradación esperando una excusa: a una red hostil le basta romper el handshake moderno y esperar a que el cliente ofrezca algo más débil. Así que esa ruta no existe. Un protocolo, un cifrado, una MTU. Lo que no pueda con eso no conecta, con ruido, en vez de conectar flojo y en silencio. Cuando una herramienta de privacidad falla, el único fallo aceptable es el evidente.
Preguntas que nos hacen
¿Es WireGuard más rápido que OpenVPN?
¿El kill switch ralentiza mi conexión?
¿Por qué 1420 bytes y no 1500?
¿Puede mi ISP saber que uso VPN?
Revisado por Jonas Keller · Actualizado el 2 de septiembre de 2026