Resolución de problemas de WireGuard en Windows ante fallos de handshake y un interruptor de corte atascado.

Importar un túnel y activarlo

1. Instala el cliente para Windows 1.1.1 desde la página de descarga. Comprueba el tamaño del MSI antes de continuar.
2. Abre WireGuard. El servicio administrador inicia la interfaz de la bandeja si aún no está en marcha.
3. Elige Import tunnel(s) from file (Importar túnel(es) desde archivo).
4. Elige un archivo .conf, o un .zip que contenga varias configuraciones.
5. Selecciona el túnel y pulsa Activate (Activar).
6. Confirma que el estado dice Active y que el par muestra la hora del último handshake más un recuento de transferencia.

1.1.1 rechaza un nombre de túnel duplicado dentro de esa importación. Cámbiale el nombre e inténtalo de nuevo. Por qué se rechaza un nombre

El handshake no se completó a los 5 segundos

Un informe de la lista de correo de abril de 2021, con el cliente 0.3.11, mostraba esta línea mientras los ping a la dirección pública del par seguían funcionando. Reiniciar el túnel lo resolvía casi siempre, en cerca de una docena de equipos Windows.

1. Abre la pestaña Log (Registro), o ejecuta wireguard /dumplog.
2. Busca la línea del par que dice que el handshake no se completó a los 5 segundos.
3. Permite UDP hacia el host y el puerto de Endpoint. 51820 es solo el ejemplo habitual.
4. Si ese par está detrás de NAT, pon PersistentKeepalive en 25 para ese par. Déjalo en 0 cuando no lo necesites.
5. Usa Deactivate (Desactivar) en el túnel y luego vuelve a activarlo.
6. Si hay un cortafuegos de terceros, páusalo solo el tiempo necesario para ver si el handshake se completa, y luego vuelve a encenderlo.

Internet se detuvo cuando cayó el túnel

Block untunneled traffic se activa cuando un túnel tiene un solo par y los AllowedIPs de ese par incluyen 0.0.0.0/0 o ::/0. El bloqueo existe para que los paquetes no se filtren a la conexión normal. También hace que un túnel caído parezca que no hay red.

1. Abre WireGuard y comprueba si el túnel usa 0.0.0.0/0 o ::/0.
2. Pulsa Deactivate. El bloqueo está ligado a ese túnel.
3. Si quieres una ruta predeterminada sin esas reglas de cortafuegos, sustituye 0.0.0.0/0 por 0.0.0.0/1 y 128.0.0.0/1.
4. Sustituye ::/0 por ::/1 y 8000::/1. La casilla del editor cambia a esta forma.
5. Pulsa Activate de nuevo. Prueba una dirección que deba quedarse en local y otra que deba usar el túnel.

Más sobre el propio interruptor está en la sección del cliente para Windows.

Pon PersistentKeepalive solo detrás de NAT

1. Edita el par dentro del túnel. El botón de la aplicación se llama Edit (Editar).
2. Añade PersistentKeepalive = 25 solo si este par debe aceptar sesiones nuevas cuando el camino se ha quedado en silencio, y está detrás de NAT o de un cortafuegos con estado.
3. Deja el valor en 0 en cualquier otro caso. Ese es el valor predeterminado del proyecto.
4. Guarda, desactiva y activa para que el servicio en marcha recoja el cambio.

El antivirus puso wireguard.exe en cuarentena

No trates cada alerta como inofensiva, ni cada alerta como prueba de malware. Compara primero el archivo con la compilación publicada.

1. Lee la versión y el tamaño en la tabla de archivos. El cliente 1.1.1 pesa 3.3 MB en amd64 y x86, y 2.9 MB en arm64.
2. Si el tamaño o la versión no coinciden, no restaures el archivo. Quítalo.
3. Si coinciden, estás en la clase de informe de mayo de 2021: McAfee puso wireguard.exe en cuarentena tras una actualización, y la excepción murió con el cambio de hash siguiente.
4. Restaura o permite ese archivo coincidente, y vuelve a revisar la excepción después de la actualización siguiente.
5. Si el servicio sigue sin arrancar, lee la pestaña Log o ejecuta wireguard /dumplog.

La nota de ausencia de malware explica el mismo límite en lenguaje llano.

El ping funciona, pero HTTP no

Un informe de diciembre de 2023 sobre el cliente 0.5.3 y Windows 10 decía que el soporte de G Data llamó a la combinación una incompatibilidad fundamental. El ping y a veces SMB funcionaban. HTTP no. Su solución provisional era desactivar el cortafuegos, conectar y volver a activarlo. No prometieron un cambio del producto.

1. Anota la versión de tu cliente. Ese informe era 0.5.3, no 1.1.1.
2. Haz ping a un host dentro del túnel. Si el ping funciona y el navegador no, el cortafuegos puede estar tratando el túnel de forma distinta a ICMP.
3. Usa la prueba de apagar y encender el cortafuegos solo como una comprobación breve. Deja el cortafuegos encendido cuando termine la prueba.
4. Si 1.1.1 sigue mostrando esa separación, guarda wireguard /dumplog antes de cambiar más ajustes.

Prácticas que evitan las trampas habituales

Claves privadas

Mantenlas fuera del correo y de las capturas. El administrador guarda una importación como .conf.dpapi para Local System.

Túnel dividido

Lista solo la LAN en AllowedIPs cuando el resto de internet deba quedarse en la ruta normal.

Ruta completa sin el interruptor de corte

Usa los pares /1 en lugar de /0. La casilla del editor hace esto.

Antes de reinstalar

Exporta los túneles a un zip. El archivo en claro se elimina tras el cifrado DPAPI.

Clave precompartida

Añade una solo cuando el servidor te haya dado un secreto de 32 bytes. Si no, deja el campo vacío.

Secuencias de comandos

PreUp, PostUp, PreDown y PostDown solo se ejecutan si está definida la clave de registro de administrador que los permite.