IKEv2/IPsec: configuración y conexión de VPN en 2026

Si necesitas IKEv2: configuración y conexión, esta guía es para ti. Aquí no hay información innecesaria sobre "qué es una VPN en general" — solo pasos concretos para cada plataforma, análisis de errores y una conversación honesta sobre por qué IKEv2 a veces simplemente no funciona con los proveedores rusos.

Qué es IKEv2/IPsec y a quién le conviene

IKEv2 en palabras simples

IKEv2 (Intercambio de Claves de Internet versión 2) — protocolo para negociar una conexión segura. Por sí mismo no cifra el tráfico, pero negocia claves y parámetros. Todo el cifrado lo realiza IPsec — de ahí la combinación IKEv2/IPsec que ves en la configuración.

Fue desarrollado por Microsoft y Cisco, estandarizado en RFC 7296. Está integrado en Windows, macOS, iOS y Android — sin aplicaciones de terceros. Para una configuración básica, esto es suficiente.

Combinación de IKEv2 e IPsec: por qué es necesaria

IKEv2 se encarga del "apretón de manos" — autenticación y generación de claves. IPsec toma estas claves y cifra el tráfico real a través del modo ESP (Encapsulating Security Payload). Sin IPsec, IKEv2 es solo un protocolo de control sin protección de datos. Sin IKEv2, IPsec no sabe cómo negociar los parámetros.

Puntos fuertes: velocidad, MOBIKE y cambio de redes

Lo principal por lo que se ama IKEv2 es por MOBIKE (RFC 4555). El protocolo admite la recuperación instantánea de la conexión al cambiar entre Wi-Fi y la red móvil, sin interrupción de la sesión. Cambiaste del router de casa a 4G — la VPN no se cayó. Esto es crítico para los smartphones.

En términos de velocidad, IKEv2/IPsec con cifrado AES-256-GCM funciona rápido — los gastos generales son mínimos. En un dispositivo moderno con AES de hardware, casi no notarás la diferencia con una conexión no protegida.

Cuándo IKEv2 no es la mejor opción

Honestamente: en condiciones de bloqueos rusos, IKEv2 a menudo pierde. El protocolo funciona exclusivamente sobre UDP — puertos 500 y 4500. Los sistemas DPI (inspección profunda de paquetes) pueden reconocerlo por la firma de los paquetes y cortar la conexión. IKEv2 no tiene ofuscación.

Si tu proveedor aplica activamente la inspección profunda del tráfico, considera WireGuard con enmascaramiento, Amnezia WG o VLESS/XRay. La comparación de protocolos es un tema aparte, pero IKEv2 no siempre gana allí.

Configuración de IKEv2 en Android, iPhone, Windows y Mac

Qué necesitas preparar de antemano: dirección del servidor, nombre de usuario, certificado

Antes de comenzar, debes tener:

Dirección del servidor — IP o dominio (por ejemplo,vpn.example.com)
Remote ID — identificador del servidor, a menudo coincide con la dirección, pero no siempre
Nombre de usuario y contraseña — si se utiliza autenticación EAP
Certificado CA — si el servidor trabaja con certificados (archivo con extensión .cer, .crt o .pem)
Opcional: archivo de perfil.mobileconfig para iOS/macOS

La diferencia entre EAP y certificado es fundamental. EAP es simplemente un nombre de usuario/contraseña que verifica el servidor. El certificado es una clave criptográfica que se almacena físicamente en el dispositivo. El certificado es más seguro: incluso si alguien intercepta el tráfico, sin tu clave no se puede descifrar la sesión. Pero debe instalarse en el almacén del sistema — un poco más complicado.

Configuración de IKEv2 en iPhone y iPad (cliente integrado)

AbreConfiguración → General → VPN y gestión de dispositivos → VPN → Agregar configuración VPN
Tipo de protocolo:IKEv2
Descripción: cualquier nombre
Servidor: dirección IP o dominio
ID remoto: generalmente coincide con la dirección del servidor — consulte con el proveedor
ID local: déjelo vacío o inserte su correo electrónico (si lo requiere el servidor)
Autenticación: seleccioneNombre de usuario (para EAP) oCertificado
Introduzca el inicio de sesión y la contraseña →Listo

Si el campo ID remoto está lleno incorrectamente, la conexión se establecerá, pero el tráfico no fluirá. Este es uno de los errores más comunes. Exteriormente parece como "conectado, pero no hay internet".

Configuración de IKEv2 en Android (strongSwan)

El cliente VPN integrado de Android para IKEv2 funciona de manera inestable en varias versiones de firmware. Recomiendo strongSwan: una aplicación de código abierto, disponible en Google Play y F-Droid.

InstalestrongSwan VPN Client
Haga clic enAgregar perfil VPN
Servidor: dirección de su servidor
Tipo de VPN:IKEv2 EAP (Nombre de usuario/Contraseña) oIKEv2 Certificado
Nombre de usuario / Contraseña: introduzca los datos
Certificado CA: seleccione el archivo oSeleccionar automáticamente
Haga clic enGuardar, luego toque el perfil para conectarse

Si el servidor utiliza un certificado autofirmado, Android mostrará un error de CA. Necesita descargar el archivo .crt, instalarlo a través deConfiguración → Seguridad → Instalar certificado, y luego seleccionarlo manualmente en strongSwan. Salte este paso — y la aplicación simplemente no se conectará.

Configuración de IKEv2 en Windows 11 y 10

Opciones → Red e Internet → VPN → Agregar conexión VPN
Proveedor de VPN:Windows (integrado)
Tipo de VPN:IKEv2
Nombre o dirección del servidor: inserte la dirección
Tipo de datos de inicio de sesión:Nombre de usuario y contraseña
Introduzca el inicio de sesión/contraseña →Guardar

Matiz: Windows por defecto ofrece un cifrado débil (3DES). Si el servidor está configurado solo para AES-256, la conexión fallará con el error "Los parámetros de seguridad son incompatibles". Se soluciona a través del registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters

Después de modificar el registro, es obligatorio reiniciar.

Configuración de IKEv2 en macOS

Preferencias del sistema → Red → haga clic en "+"
Interfaz:VPN, Tipo:IKEv2
Dirección del servidor e ID remoto: complete
Haga clic enConfiguraciones de autenticación: seleccione nombre de usuario/contraseña o certificado
Conéctese

Importar .mobileconfig y certificados

Archivo.mobileconfig — es un perfil de configuración de Apple que contiene todas las configuraciones de IKEv2 de una vez: dirección del servidor, ID remoto, parámetros de autenticación y certificado CA. Envíelo a su iPhone a través de AirDrop o por correo electrónico, ábralo, confirme la instalación en la configuración, y todo estará listo sin necesidad de ingresar datos manualmente.

Para macOS, el proceso es similar. Doble clic en .mobileconfig → instalar perfil en las preferencias del sistema. Es más rápido y confiable que llenar los campos manualmente.

Por qué IKEv2 no se conecta: errores típicos y DPI

Error de autenticación del servidor o del certificado

“El certificado del servidor no es válido” o “Authentication failed” — son los errores más comunes en la primera conexión. Hay varias razones.

Primera: ID remoto incorrecto. El servidor se identifica a través de un nombre específico (CN en el certificado), y si en la configuración del cliente se indica otra dirección, la autenticación fallará. Aclare con el proveedor el ID remoto exacto; a veces es un dominio, a veces una IP, a veces algo como@vpn.example.com.

Segunda: no se ha instalado el certificado CA. Si el servidor utiliza un certificado autofirmado, el sistema no sabe a quién confiar. Es necesario agregar manualmente el certificado raíz a los de confianza.

La conexión se queda atascada en “Conectando...”

El indicador gira, VPN no se conecta — es un clásico de puertos UDP bloqueados. IKEv2 comienza a trabajar con UDP 500 (IKE_SA_INIT), luego cambia a UDP 4500 con NAT (NAT-T). Si al menos uno de estos puertos está bloqueado por el proveedor, la conexión no se establecerá.

Una forma rápida de comprobar: desconéctese de Wi-Fi y trate de conectarse a través de internet móvil. Si funciona en 4G, pero en casa no, el proveedor está bloqueando los puertos.

El proveedor bloquea UDP 500/4500 a través de DPI

Los proveedores rusos con equipos TSPU (medios técnicos para contrarrestar amenazas) pueden bloquear IKEv2 no solo por puertos, sino también por la firma de paquetes. El apretón de manos de IKEv2 tiene una estructura característica que el DPI reconoce sin problemas.

Resultado: la conexión no se establece en absoluto, o funciona unos minutos y se corta. El segundo escenario es especialmente molesto: parece que todo está configurado correctamente, pero el VPN es inestable. Si se encuentra en esta situación, IKEv2 no ayudará aquí. Se necesita ofuscación.

Roskomnadzor y desaceleración: cuándo IKEv2 deja de funcionar

El TSPU no siempre funciona con la misma intensidad. En horas pico — por la tarde de 19:00 a 23:00 — la filtración puede intensificarse. Si IKEv2 es inestable precisamente en ese momento, y funciona bien por la noche, es una señal clara de que el equipo del proveedor está interfiriendo con el protocolo.

Algunos servicios, como NvoVPN, ofrecen varios protocolos en una sola aplicación. Si IKEv2 falla, cambie a WireGuard con ofuscación o Shadowsocks sin cambiar la suscripción y configuraciones. Es más conveniente que configurar todo desde cero.

Cortes al cambiar entre Wi-Fi y red móvil

Teóricamente, MOBIKE debería resolver este problema. En la práctica, si el proveedor utiliza doble NAT (y esto es común en Rusia al conectarse a través de CGNAT), NAT-T en el puerto 4500 puede fallar al cambiar de red.

Si la conexión se corta precisamente al cambiar de redes, intente cambiar de servidor. A veces, se trata de la configuración de un nodo VPN específico, y no del protocolo en su totalidad.

IKEv2 para eludir bloqueos de YouTube, Instagram y Telegram

¿Funciona IKEv2 para acceder a YouTube sin ralentización?

Si el proveedor no bloquea IKEv2 en sí, sí, funciona. El tráfico pasa a través de un servidor VPN fuera de Rusia, y la ralentización de YouTube, que organiza el TSPU a nivel AS (sistema autónomo) de Google, se evita.

Pero eso es "si". En regiones con filtración activa, IKEv2 se detecta y bloquea rápidamente. Para evitar de manera estable la ralentización de YouTube en 2026, los protocolos ofuscados son más confiables: WireGuard a través de Amnezia o VLESS/XRay.

Instagram, Facebook y Twitter/X a través de IKEv2

Instagram y Facebook están bloqueados en el territorio de Rusia por decisión judicial. IKEv2, cuando funciona, los desbloquea sin problemas: el tráfico sale a través de un servidor extranjero. Twitter/X — de manera similar.

El problema es el mismo: si el proveedor corta IKEv2, el acceso se pierde. Y a diferencia de la ralentización de YouTube (donde hay conexión, pero se ralentiza), aquí la conexión simplemente cae.

Telegram y WhatsApp: matices de las llamadas de voz

Los mensajes de texto a través de IKEv2 funcionan normalmente. Las llamadas de voz y video son más complicadas. WhatsApp y Telegram utilizan UDP para flujos de medios, y en algunas configuraciones IKEv2 + filtración de UDP a nivel del proveedor, las llamadas no pasan o la calidad cae a cero.

Si las llamadas de voz a través de VPN son críticas, pruébelas antes de usarlas de forma permanente.

TikTok y restricciones regionales

TikTok en Rusia aún no está bloqueado a nivel de Roskomnadzor, pero el contenido regional difiere del extranjero. IKEv2 con un servidor en el país adecuado permite obtener otra versión del contenido. Técnicamente, funciona igual que con cualquier otro servicio: el tráfico pasa a través de una IP extranjera.

Cuándo elegir otro protocolo en lugar de IKEv2

La imagen honesta se ve así:

IKEv2 — una excelente opción donde el proveedor no interfiere con el protocolo: redes corporativas, países con bloqueos suaves, situaciones donde la movilidad es importante MOBIKE
WireGuard + ofuscación (Amnezia WG) — la mejor opción para eludir el TSPU manteniendo la velocidad
VLESS/XRay — el más resistente a DPI, se disfraza como HTTPS
Shadowsocks — ofuscación comprobada, funciona donde otros no pueden
OpenVPN a través de TCP/443 — más lento, pero se disfraza como tráfico HTTPS

IKEv2: la configuración y conexión tienen sentido cuando las condiciones lo permiten. Cuando DPI está activo, cambie sin remordimientos.

IKEv2 en el enrutador, Smart TV y Apple TV

Configuración de IKEv2 en el enrutador (Keenetic, MikroTik, OpenWrt)

Keenetic soporta IKEv2/IPsec en la interfaz estándar a través deInternet → Otras conexiones → VPN → IKEv2. Complete la dirección del servidor, Remote ID, datos de autenticación, y la VPN funcionará para toda la red.

MikroTik permite configurar IKEv2 a través de WinBox o CLI. Es una herramienta poderosa, pero la configuración es más complicada: se deben configurar IKE Proposal, IPsec Policy y Peer por separado. Para principiantes, no es el mejor comienzo.

OpenWrt con el paquete strongSwan es la opción más flexible. La configuración se realiza a través de archivos/etc/ipsec.conf y/etc/ipsec.secrets. Es adecuado si entiende lo que está haciendo.

Por qué Smart TV y Apple TV no soportan IKEv2 directamente

Los Samsung Smart TV, LG webOS, Apple TV y la mayoría de las consolas de videojuegos no tienen un cliente VPN integrado. Android TV es una excepción, allí se puede instalar strongSwan. Pero tvOS, Tizen y webOS son sistemas cerrados sin posibilidad de instalar software de terceros para VPN.

VPN en el enrutador como solución para televisores y consolas

Al configurar IKEv2 en el enrutador, automáticamente envuelve en VPN todo el tráfico de los dispositivos conectados: televisor, PlayStation, Xbox, Apple TV. Los dispositivos no necesitan su propio cliente VPN.

Es conveniente, pero hay un matiz: el enrutador cifra todo el tráfico con su procesador. Un CPU débil — AES sin aceleración por hardware — puede causar una caída notable de velocidad. En Keenetic Giga o Ultra con AES por hardware, las pérdidas serán mínimas. En enrutadores económicos, puede haber una ralentización seria.

Verificación de velocidad después de la configuración

Verifique la velocidad a través de Speedtest.net o fast.com antes de activar la VPN y después. Si la caída es mayor del 20-30% al conectarse al servidor más cercano, el problema está en el enrutador (CPU débil) o en la configuración de MTU.

El conflicto de MTU es otra historia. IKEv2/IPsec añade sobrecarga a los encabezados de los paquetes, y el MTU estándar de 1500 puede causar fragmentación y caída de velocidad. Intente establecer MTU 1400 en la interfaz VPN del enrutador; a menudo ayuda.

¿Qué diferencia hay entre IKEv2, WireGuard y OpenVPN?

IKEv2 es rápido, está integrado en iOS/macOS/Windows sin aplicaciones adicionales y mantiene bien la conexión al cambiar de red a través de MOBIKE. Pero solo funciona en UDP y es fácilmente detectado por DPI; no hay ofuscación. WireGuard es más moderno y rápido, pero también sin enmascaramiento en su forma básica; con Amnezia se vuelve resistente a bloqueos. OpenVPN a través de TCP/443 se enmascara como HTTPS y elude muchos filtros, pero es más lento. Para bloqueos severos en Rusia a través de TCP, es mejor Amnezia WG, VLESS/XRay o Shadowsocks.

¿Por qué IKEv2 se conecta, pero se corta después de un minuto?

La mayoría de las veces, es culpa del DPI del proveedor: el sistema permite el inicio de la conexión, pero después de un tiempo identifica la firma de IKEv2 y corta la sesión. Otras razones: UDP inestable, conflicto de MTU (intente establecer 1400), problema con los paquetes keep-alive o doble NAT en el proveedor, que rompe NAT-T en el puerto 4500. Intente otro servidor; a veces ayuda. Si nada ayuda, cambie a un protocolo ofuscado.

¿Qué puertos utiliza IKEv2 y cómo comprobar si los bloquea el proveedor?

IKEv2 utiliza UDP 500 para la negociación inicial y UDP 4500 para NAT-T (tráfico a través de NAT). Ambos puertos deben estar abiertos. Verificación rápida: apague el Wi-Fi, conéctese a través de internet móvil (otro proveedor) y trate de conectarse a la VPN. Si funciona en móvil pero no en Wi-Fi doméstico, el proveedor doméstico está bloqueando los puertos o cortando el tráfico a través de DPI.

¿Es adecuado IKEv2 para eludir la reducción de velocidad de YouTube en Rusia?

Puede ayudar si el proveedor no bloquea el protocolo en sí. Cuando IKEv2 funciona, el tráfico de YouTube pasa a través de un servidor extranjero y se elude la reducción de velocidad de TCP. Pero IKEv2 es fácilmente detectado por DPI, por lo que en horas pico o en regiones con filtración activa, la conexión puede caerse. Para un resultado estable, WireGuard ofuscado (Amnezia) o VLESS/XRay son más confiables.

¿Se necesita un certificado para conectarse a IKEv2 o es suficiente con el nombre de usuario y la contraseña?

Depende de la configuración del servidor. La mayoría de los servicios VPN comerciales utilizan EAP: nombre de usuario y contraseña, sin archivos. Los servidores corporativos y autohospedados a menudo requieren un certificado: debe descargar el certificado CA e instalarlo en el almacén del sistema. El certificado es más seguro, pero un poco más complicado de configurar. Para iOS, la opción más conveniente es un perfil .mobileconfig listo que contiene todo de una vez.

¿Se puede configurar IKEv2 en un Smart TV o Apple TV?

Directamente, casi en ningún lugar se puede. tvOS, Tizen (Samsung) y webOS (LG) no admiten la instalación de clientes VPN. La excepción es Android TV, donde se puede instalar strongSwan. Una solución universal es configurar IKEv2 en el enrutador: así, todo el tráfico del televisor y las consolas pasará automáticamente a través de la VPN. Tenga en cuenta que un enrutador débil sin AES de hardware pierde notablemente velocidad al cifrar.