VPN TCP o UDP: qué elegir y cómo solucionar las desconexiones

Si la VPN se comporta de manera extraña — se desconecta, no se conecta o carga YouTube a la velocidad de los 90 — lo más probable es que se deba a la elección del protocolo de transporte. La pregunta VPN TCP vs UDP: cómo solucionar esto sin probar configuraciones a ciegas — es una de las más frecuentes en soporte. A continuación, pasos concretos, sin rodeos.

Respuesta corta: qué cambiar ahora mismo

La lógica es simple. UDP es velocidad y estabilidad donde la red es normal. TCP (especialmente el puerto 443) es sobrepasar cortafuegos estrictos y DPI, cuando el proveedor corta UDP. Recuerda esta regla, y el 80% de los problemas se resuelven en dos minutos.

Si la VPN se desconecta o se ralentiza — prueba con UDP

¿La conexión se interrumpe cada 10 minutos, la velocidad fluctúa, el ping salta? Primero asegúrate de que esté configurado UDP. En OpenVPN Connect en Android o iOS — es el punto "Protocolo" en la configuración del perfil. En Windows — edita el archivo .ovpn, la líneaproto udp. UDP funciona más rápido precisamente porque no pierde tiempo en confirmaciones de entrega de paquetes.

Si la VPN no se conecta en absoluto — cambia a TCP

¿La VPN se queda en "Conectando..." y después de 30 segundos falla con un error? Esto es un signo de que UDP está bloqueado o filtrado. Cambiaproto udp porproto tcp en el archivo .ovpn — y prueba de nuevo. En Amnezia esto se cambia directamente en la interfaz, sin editar manualmente la configuración.

Puerto 443 TCP como "camuflaje" bajo HTTPS

El truco más efectivo para eludir bloqueos de proveedores — TCP en el puerto 443. Para los sistemas DPI, esto se ve como tráfico HTTPS normal hacia algún sitio. En el archivo .ovpn debes especificar tantoproto tcp, comoport 443 al mismo tiempo. La mayoría de los servicios VPN ofrecen configuraciones listas con tales ajustes.

Cuál es la diferencia entre TCP y UDP en palabras simples

Sin lecciones técnicas, pero con los detalles necesarios — de lo contrario no entenderás por qué una solución funciona y otra no.

TCP — entrega con confirmación (fiable, pero más lenta)

TCP es como un correo certificado con acuse de recibo. Enviaste un paquete — esperas confirmación. No llegó — lo envías de nuevo. Esto garantiza que todos los datos lleguen y en el orden correcto. Pero cada confirmación significa milisegundos adicionales de retraso.

UDP — entrega sin confirmación (rápido, pero sin garantías)

UDP es una postal. La lanzaste al buzón y te olvidaste. Si llegó o no — no se sabe, no preguntarás de nuevo. Para streaming de video y juegos en línea esto es normal: perder un cuadro no es crítico. Por eso YouTube, Zoom y la mayoría de los juegos funcionan con UDP.

Por qué esto es más importante para VPN de lo que parece

La VPN añade otra capa sobre tu tráfico. La elección del protocolo afecta no solo a la velocidad, sino también a si el proveedor permitirá ese tráfico en absoluto. Los proveedores rusos, bajo la presión de Roskomnadzor, aplican activamente DPI, que puede identificar el tipo de tráfico y ralentizarlo o bloquearlo selectivamente.

“TCP sobre TCP” — la razón oculta de las ralentizaciones

De esto es de lo que la mayoría de los competidores no hablan. Cuando usas OpenVPN sobre TCP y al mismo tiempo abres un sitio por HTTPS (también TCP), se produce el efecto de “TCP sobre TCP”. Ante cualquier pérdida de paquetes, ambas capas comienzan a solicitar simultáneamente el reenvío. Esto crea una avalancha de solicitudes que asfixia la velocidad hasta el nivel de una conexión de módem. En una buena red no lo notas. En una red móvil inestable o con un proveedor congestionado — la diferencia es colosal.

UDP carece de este efecto — simplemente no vuelve a preguntar. Por eso, en una red inestable, UDP paradójicamente se comporta mejor que el “fiable” TCP.

Por qué el proveedor corta UDP y qué tiene que ver DPI

Muchos usuarios notan: en casa con Wi-Fi la VPN funciona, pero en la red móvil — no. O funcionaba, y luego dejó de hacerlo. No es una casualidad.

Cómo DPI (Inspección Profunda de Paquetes) reconoce el tráfico VPN

DPI no es solo un cortafuegos que observa los puertos. Analiza el contenido de los paquetes, su tamaño, temporización, entropía de datos. OpenVPN y WireGuard tienen firmas características: patrones específicos de apretón de manos, encabezados fijos. Los sistemas DPI modernos (en Rusia, las soluciones TSPU de Roskomnadzor son comunes) pueden reconocerlos independientemente del puerto.

Bloqueos y ralentizaciones por parte de proveedores y Roskomnadzor

Desde 2021, Roskomnadzor ha estado implementando activamente TSPU en las redes de grandes operadores. Durante diferentes períodos, Twitter/X, YouTube, así como el tráfico VPN con firmas características, han sido objeto de ralentización. UDP en puertos no estándar es el más fácil de bloquear — basta con filtrar todo lo que no sea DNS, QUIC o servicios conocidos.

Cuando UDP funciona y TCP no — y viceversa

En redes corporativas y en Wi-Fi públicos, la situación es la inversa: a menudo solo se permite el tráfico HTTP/HTTPS, es decir, TCP en los puertos 80 y 443. UDP puede estar completamente bloqueado — esta es una práctica estándar de los firewalls corporativos. El doble NAT en hoteles y aeropuertos también suele permitir solo TCP 443.

Por qué es más difícil bloquear TCP 443

Bloquear TCP 443 significa bloquear todo HTTPS. Ningún proveedor en su sano juicio haría eso: se caerían los bancos, los servicios gubernamentales, todo. Es por eso que TCP en el puerto 443 sigue siendo la última frontera cuando todo lo demás está bloqueado. Pero subrayo: no es una panacea — un DPI inteligente puede distinguir OpenVPN TLS de un verdadero HTTPS incluso en el puerto 443.

Paso a paso: cómo cambiar TCP/UDP en diferentes dispositivos

Pasos específicos para cada plataforma. No haré capturas de pantalla — las interfaces cambian con cada actualización, mientras que las descripciones permanecen vigentes por más tiempo.

OpenVPN en Android e iPhone

En OpenVPN Connect (versión 3.x) abre el perfil → haz clic en el lápiz → «Avanzado» → «Protocolo». Allí hay un interruptor UDP/TCP. Si el perfil fue importado de un archivo .ovpn, es más fácil editar el propio archivo: busca la líneaproto udp oproto tcp y reemplázala. Luego elimina el perfil antiguo e importa el archivo actualizado nuevamente.

En iPhone con Amnezia — en la sección de configuración del servidor específico hay un menú desplegable de protocolos, incluyendo OpenVPN TCP y UDP.

OpenVPN en Windows y Mac

Los archivos .ovpn generalmente se encuentran enC:\Users\[nombre]\OpenVPN\config\ en Windows y en~/.config/openvpn/ en Mac (o en el directorio de la aplicación Tunnelblick). Abres con un editor de texto, cambias la líneaproto, guardas. Para TCP 443 también necesitas cambiar el puerto:remote server.example.com 443 tcp. Después de cambiar — reconecta el túnel.

Amnezia (AmneziaWG / OpenVPN)

Amnezia es quizás la solución más conveniente para cambiar protocolos sin complicarse con archivos. En la aplicación eliges la conexión → «Configuraciones» → «Protocolo». Están disponibles OpenVPN UDP, OpenVPN TCP, AmneziaWG y Shadowsocks. El cambio se aplica sin reiniciar la aplicación. Esta es una de las razones por las que Amnezia es popular para eludir bloqueos rusos.

Configuración en el router

En routers con OpenWrt o firmware como Keenetic, cambiarproto requiere editar la configuración a través de SSH o la interfaz web y reiniciar el servicio OpenVPN con el comandoservice openvpn restart. Simplemente cerrar y abrir la aplicación en el teléfono no es suficiente — el túnel se establece del lado del router. Esto es importante para Smart TVs y consolas de juegos: ellos no pueden elegir el protocolo, solo el router.

Cómo saber qué protocolo está activo

En los registros de OpenVPN Connect busca una línea del tipoProto: UDP oTCP justo después de conectarte. En la terminal de Linux/Mac, el comandoss -tunp | grep openvpn mostrará las conexiones activas con el protocolo. En Amnezia, el protocolo actual se muestra en la pantalla principal bajo el nombre del servidor.

Si ni TCP ni UDP ayudan: qué hacer a continuación

Conversación honesta. Si has llegado hasta aquí y cambiar entre TCP/UDP no ha ayudado, significa que el problema es más profundo. La pregunta sobre VPN TCP vs UDP: cómo solucionar la situación cuando los métodos clásicos no funcionan, tiene una respuesta: se necesita ofuscación.

Cambio de puerto: 1194, 443, 80

El puerto 1194 UDP es el estándar para OpenVPN, y es el primero que bloquean. Prueba secuencialmente: 443 TCP, luego 80 TCP (HTTP), luego 8080 TCP. Algunos proveedores cortan puertos no estándar en bloque, dejando solo 80 y 443. Si el servidor VPN admite varios puertos, la prueba tomará menos de cinco minutos.

Cambio a protocolos ofuscados: Shadowsocks, VLESS/XRay, AmneziaWG

El DPI moderno puede identificar OpenVPN y WireGuard incluso en el puerto 443, por los patrones de apretón de manos y la estructura del tráfico. Shadowsocks cifra no solo los datos, sino también los encabezados, haciendo que el tráfico sea estadísticamente similar al ruido aleatorio. VLESS/XRay van aún más lejos: se ocultan dentro de una conexión WebSocket o gRPC legítima a un dominio real. AmneziaWG añade paquetes basura a WireGuard, rompiendo su firma.

Servicios como NvoVPN y soluciones basadas en Amnezia admiten estos protocolos sin configuración manual; esta es una de las opciones si no quieres desplegar tu propio servidor. Para la configuración manual se necesita un VPS y una hora de tiempo con la documentación de XRay o 3x-ui.

Cuando el problema no está en el protocolo, sino en el MTU

Síntoma: VPN se conecta, estado "conectado", pero los sitios o no cargan en absoluto, o se abren parcialmente: hay texto, no hay imágenes. Este es un signo clásico de conflicto de MTU. VPN añade encabezados a los paquetes, aumentando su tamaño más allá del MTU permitido de 1500 bytes. Los paquetes comienzan a fragmentarse o perderse.

Solución para OpenVPN: añade las líneas al archivo .ovpnmssfix 1400 yfragment 1400. Para WireGuard, en la configuración de la interfaz, establece el MTU en 1380. Puedes encontrar el valor exacto con el comandoping -M do -s 1400 8.8.8.8 (Linux/Mac) — reduce el tamaño hasta que el ping deje de informar sobre errores de fragmentación.

Verificación del lado del servidor y cambio de ubicación

A veces el problema no está en la configuración del cliente. El servidor VPN puede estar sobrecargado, su IP puede haber sido incluida en la lista negra de Roskomnadzor, o el hosting puede tener problemas de enrutamiento hacia las redes rusas. Intenta conectarte a otro servidor en otro país; si funciona, significa que el problema estaba en un nodo específico. Los Países Bajos y Finlandia tradicionalmente tienen mejor rendimiento a través de proveedores rusos que, por ejemplo, EE. UU. o Australia.

Si resumimos brevemente todo lo dicho sobre VPN TCP vs UDP: cómo solucionar la mayoría de los problemas: comienza con UDP, al bloquearse cambia a TCP 443, y si esto tampoco ayuda, mira hacia la ofuscación. La elección entre TCP y UDP es la primera herramienta en el arsenal, pero no la última.