Preguntas sobre WireGuard: gratis, Windows 11 y alertas del antivirus.

El cliente para Windows es el programa WireGuardNT, con licencia MIT, y el instalador comprueba la firma y el hash del MSI antes de ejecutarlo. Eso no promete que cada copia en internet esté limpia. Instala la versión y el tamaño que nombra la página de descarga, y no ejecutes una compilación que no coincida. Una auditoría de terceros anterior a Linux 5.6 no encontró vulnerabilidades y sí ofreció una nota de defensa en profundidad.

Los analizadores a veces marcan el cliente tras una actualización porque cambió el hash del archivo. Un informe de mayo de 2021 describió que McAfee puso wireguard.exe en cuarentena y luego descartó la excepción en la actualización siguiente. Una respuesta de soporte en ese hilo trató a los clientes VPN como sospechosos porque cambian la ruta del equipo. Un archivo 1.1.1 coincidente es una clase conocida de falso positivo. Un archivo de otro tamaño no lo es.

El cliente 1.1.1 se etiquetó el 20 de septiembre de 2026. El MSI amd64 y el MSI x86 pesan 3.3 MB cada uno. El MSI arm64 pesa 2.9 MB. Algunos catálogos aún listan 0.5.3 del 23 de diciembre de 2021, unos 2.8 a 2.9 MB. Esa es una compilación más antigua.

No. WireGuard es software de túnel. La aplicación de Windows importa una configuración, levanta una interfaz de túnel e intercambia paquetes UDP cifrados con un par. No te da un nodo de salida, una cuenta ni una red a la que unirte.

No. El cliente no tiene inicio de sesión. El servicio administrador cifra las configuraciones importadas a .conf.dpapi, las limita a Local System y permite que un administrador las quite. Puedes exportarlas más tarde desde la ventana.

No hay una mesa de soporte de pago con el cliente. El catálogo de Softonic dice lo mismo del proyecto. Las guías de este sitio cubren tiempos de espera del handshake, el interruptor de corte y las cuarentenas del antivirus. La pestaña Log (Registro) y wireguard /dumplog son el registro de diagnóstico en el PC.

Jason A. Donenfeld es el autor que nombran el proyecto y el catálogo de Softonic. El repositorio de Windows tiene licencia MIT. La implementación del núcleo Linux se distribuye bajo los términos GPL del núcleo. Este sitio web es una referencia de la descarga para Windows. No sustituye a esos repositorios.

Sí. El proyecto incluye Windows 10, Windows 11 y Windows Server 2016, 2019, 2022 y 2025. El cliente actual para Windows es 1.1.1, etiquetado el 20 de septiembre de 2026.

Sí. Server 2016, 2019, 2022 y 2025 están en la lista de instalación del proyecto, junto con Windows 10 y 11. Los administradores pueden desplegar el MSI directamente, también con la Directiva de grupo, y pasar DO_NOT_LAUNCH si la ventana no debe abrirse tras la instalación.

Sí. La versión 1.1.1 publica tres MSI: amd64 a 3.3 MB, x86 a 3.3 MB y arm64 a 2.9 MB. El ejecutable del instalador elige el MSI del equipo, comprueba su firma y su hash, y luego lo ejecuta.

Los paquetes viajan como UDP. El puerto de escucha habitual en los ejemplos es 51820, y un cliente puede usar otro puerto. PersistentKeepalive vale 0 de forma predeterminada. Ponlo en 25 solo cuando un par está detrás de NAT o de un cortafuegos con estado y debe seguir siendo alcanzable cuando el tráfico se queda en silencio.

Sí. AllowedIPs, los endpoints y las direcciones del túnel pueden ser IPv4, IPv6 o ambos. Una ruta IPv6 completa es ::/0. La división que evita las reglas del interruptor de corte es ::/1 y 8000::/1.

Si un túnel tiene un solo par y los AllowedIPs de ese par incluyen 0.0.0.0/0 o ::/0, el cliente para Windows activa Block untunneled traffic (Bloquear el tráfico fuera del túnel). Esas reglas de cortafuegos permanecen para que el tráfico no se filtre a la conexión normal. Usa Deactivate (Desactivar) en el túnel para levantar el bloqueo, o usa las rutas /1 si quieres un camino predeterminado sin ese comportamiento.

Es un secreto simétrico opcional que se mezcla en el handshake, además de las claves Curve25519. El proyecto lo documenta para quien quiere una capa simétrica extra. Si tu servidor no te dio una, deja el campo vacío. El modo sin clave usa 32 bytes a cero.

WireGuard autentica los pares con claves públicas cortas, usa una sola construcción Noise fija y envía UDP. OpenVPN se construye sobre TLS, puede usar certificados y puede funcionar sobre TCP o UDP. El libro blanco sitúa la implementación de Linux por debajo de 4.000 líneas, sin contar las primitivas criptográficas. La comparación de Softonic sitúa OpenVPN cerca de 100.000 líneas.

Los servicios administrador y de túnel escriben en un búfer circular compartido del equipo. La pestaña Log lo muestra. wireguard /dumplog lo imprime, y wireguard /dumplog /tail lo sigue. El registro sale del PC solo si lo guardas o lo rediriges.

Sí. Import tunnel(s) from file (Importar túnel(es) desde archivo) acepta un archivo .conf o un .zip de configuraciones. La versión 1.1.1 rechaza nombres de túnel duplicados dentro de una misma importación.

1.1.1 rechaza un nombre duplicado en la misma importación. También rechaza nombres reservados de Windows, con cualquier extensión. Cambia el nombre del túnel e impórtalo de nuevo.

No. Eres responsable del tráfico que metes en el túnel y de la red a la que te unes. La página de confianza establece ese límite. Este sitio no proporciona un nodo de salida.