Protocolo VPN IKEv2: qué es, cómo funciona y cuándo usarlo

Si has oído hablar del protocolo VPN IKEv2 pero no terminas de tener claro qué es exactamente, cómo se combina con IPsec o en qué se diferencia de otros protocolos como OpenVPN o WireGuard, no eres el único. Detrás de ese nombre tan técnico hay una tecnología pensada para algo muy simple: que tu conexión a internet sea privada, rápida y estable, sobre todo cuando vas cambiando de red con el móvil.

En las siguientes líneas vamos a desgranar IKEv2/IPsec de arriba abajo: qué significa, cómo funciona paso a paso, por qué se lleva tan bien con los dispositivos móviles, qué ventajas e inconvenientes tiene, cómo se compara con otros protocolos populares y cómo puedes configurarlo en los principales sistemas operativos. También tocaremos casos de uso más avanzados (como entornos empresariales con equipamiento de red profesional) para quien necesite ir un poco más allá.

Qué es IKEv2 y por qué siempre aparece junto a IPsec

IKEv2 son las siglas de Internet Key Exchange Version 2, un protocolo desarrollado originalmente por Microsoft y Cisco con el objetivo de negociar y gestionar claves de cifrado entre dos extremos de una conexión segura. Por sí solo, IKEv2 no cifra el tráfico, sino que establece cómo se van a proteger los datos y qué claves se van a usar.

Para tener una VPN completa y funcional, IKEv2 se empareja casi siempre con IPsec (Internet Protocol Security), que es el conjunto de protocolos encargado de cifrar, autenticar y garantizar la integridad de los paquetes IP. Por eso, lo correcto sería hablar de IKEv2/IPsec, aunque habitualmente se abrevia simplemente como IKEv2.

La combinación IKEv2/IPsec es una de las más utilizadas en el mundo VPN porque ofrece un equilibrio muy atractivo entre seguridad robusta, buen rendimiento y estabilidad de la conexión, especialmente en redes móviles o entornos donde la IP del cliente cambia con frecuencia.

Cómo funciona IKEv2 paso a paso

El funcionamiento de IKEv2 puede verse como la construcción de un túnel cifrado sobre internet, dentro del cual viajarán tus datos protegidos por IPsec. Ese proceso se divide en varias fases lógicas que conviene entender, aunque sea a nivel general.

1. Handshake y autenticación inicial

Cuando tu dispositivo intenta conectarse a la VPN mediante IKEv2, lo primero que ocurre es un intercambio de mensajes (handshake) entre tu equipo y el servidor VPN. En este intercambio ambos se presentan, negocian parámetros básicos de seguridad y, sobre todo, se autentican mutuamente.

La autenticación puede basarse en certificados digitales, usuario y contraseña o claves precompartidas. El objetivo es que el cliente y el servidor tengan la certeza de que están hablando con la parte correcta y no con alguien que se hace pasar por ella. Sería el equivalente digital a enseñar el DNI y comprobar que no es falso antes de abrir una puerta blindada.

2. Intercambio de claves criptográficas

Una vez que ambas partes se han reconocido y aceptado, IKEv2 utiliza mecanismos como el intercambio de claves Diffie-Hellman para acordar material criptográfico que servirá de base a las claves de cifrado. Estas claves son las que IPsec empleará después para cifrar y descifrar el tráfico real.

Piensa en este paso como si tú y el servidor acordarais un “idioma secreto” que solo entendéis vosotros. Aunque alguien intercepte los paquetes, sin esas claves no podrá reconstruir el contenido de la comunicación.

3. Creación del túnel seguro con IPsec

Con la autenticación superada y las claves listas, IKEv2 negocia las asociaciones de seguridad (SA). Una SA es, simplificando mucho, un conjunto de reglas sobre cómo se va a proteger el tráfico: algoritmos de cifrado (por ejemplo AES-256 o ChaCha20), algoritmos de integridad, tiempos de vida de las claves, etc.

Tras este intercambio se establece el túnel IPsec, que es la vía cifrada por la que circularán todas tus solicitudes web, correos, descargas y demás tráfico. A partir de aquí es IPsec quien se encarga de aplicar el cifrado y la autenticación a cada paquete, mientras que IKEv2 se ocupa de mantener y renovar las asociaciones de seguridad.

4. Fase 1 y Fase 2 de IKEv2

Formalmente, IKEv2 organiza todo este proceso en dos grandes fases, a menudo llamadas IKE_SA_INIT (fase 1) e IKE_AUTH (fase 2), más la creación de las llamadas Child SA para el tráfico de datos.

En la Fase 1 (IKE_SA_INIT) se negocian parámetros criptográficos básicos, se realiza el intercambio Diffie-Hellman y se establece la IKE SA, que es el canal seguro de control sobre el que viajarán los mensajes posteriores de IKEv2. Esta fase sienta las bases para todo lo que viene después.

En la Fase 2 (IKE_AUTH) se autentican definitivamente los extremos y se crean una o varias Child SA de IPsec. Estas Child SA son las que realmente protegerán el tráfico de usuario, y tienen parámetros propios (algoritmos, tiempos de vida, etc.). Cada cierto tiempo se regeneran, renovando claves y mejorando la seguridad.

5. Mantenimiento y restablecimiento de la conexión

Uno de los puntos fuertes de IKEv2 es su capacidad para mantener la VPN estable incluso cuando la red se comporta de forma irregular. Gracias al soporte de MOBIKE (Mobility and Multi-homing Protocol), el protocolo soporta bien cambios de IP o saltos entre redes distintas.

Esto se nota especialmente en móviles: si pasas de la Wi‑Fi de casa a los datos 4G/5G, IKEv2 puede rehacer el túnel de forma rápida sin obligarte a reconectar manualmente ni dejar tu tráfico desprotegido durante demasiado tiempo. No es perfecto (WireGuard, por ejemplo, puede ir aún más fino en algunos casos), pero sigue siendo una opción muy sólida.

Ventajas y desventajas de IKEv2/IPsec

IKEv2/IPsec no es el único protocolo VPN disponible, pero sí uno de los más equilibrados. Para saber si te compensa usarlo, conviene tener claras sus principales fortalezas y puntos flacos.

Ventajas de IKEv2

• Alta velocidad y baja latencia: IKEv2/IPsec está diseñado para ser eficiente, con menos sobrecarga de mensajes que su predecesor IKEv1. Combinar el plano de control en espacio de usuario con IPsec en el núcleo del sistema permite aprovechar mejor el hardware y reducir la latencia, especialmente cuando se usa UDP 500.

• Seguridad muy robusta: admite cifrados modernos como AES-256 o ChaCha20/Poly1305, autenticación mediante certificados o claves precompartidas y soporte de EAP para integrar esquemas de login avanzados. Además, incorpora mecanismos para resistir ataques DDoS básicos y ofrece más algoritmos que IKEv1.

• Estabilidad en movilidad: el soporte MOBIKE hace que IKEv2 destaque en dispositivos móviles. Puedes cambiar de red o sufrir pequeños cortes y el túnel suele recuperarse sin que tengas que tocar nada. Para quien vive pegado al smartphone o a la tablet, esto se nota.

• Amplia compatibilidad nativa: sistemas como macOS, iOS, muchas versiones de Windows y distintas distribuciones Linux soportan IKEv2/IPsec de forma integrada o con clientes muy extendidos como strongSwan. Esto simplifica la configuración en entornos domésticos y corporativos.

• Eficiencia de recursos: necesita menos asociaciones de seguridad que IKEv1 y emplea menos mensajes en la negociación, lo que reduce consumo de ancho de banda y de CPU en comparación con protocolos más pesados.

Inconvenientes de IKEv2

• Protocolo de origen propietario: aunque hoy existen implementaciones de código abierto (por ejemplo, en strongSwan), el estándar nació impulsado por Microsoft y Cisco. Esto hace que algunos usuarios muy centrados en el software libre prefieran alternativas 100 % abiertas como WireGuard u OpenVPN.

• Fácil de bloquear en redes restrictivas: IKEv2 usa principalmente los puertos UDP 500 y 4500. Al tratarse de puertos concretos y fácilmente identificables, los cortafuegos agresivos y sistemas de inspección profunda de paquetes (DPI) pueden detectar y bloquear el tráfico IKEv2 sin demasiadas complicaciones.

• Complejidad de configuración manual: en plataformas como Android “puro” o ciertos routers, montar IKEv2/IPsec a mano pasa por lidiar con certificados, tipos de autenticación (MSCHAPv2, PSK, RSA…), perfiles, etc. Para usuarios sin experiencia, es fácil perderse o cometer errores de seguridad.

• Dependencia de contraseñas robustas cuando no se usan certificados: si se opta por autenticación basada en usuario/contraseña y no se gestionan bien las claves, se abre la puerta a ataques de fuerza bruta o diccionario, algo menos probable cuando se usa autenticación estrictamente basada en certificados.

Diferencias entre IKEv1 e IKEv2

IKEv2 es la evolución directa de IKEv1 y prácticamente todos los proveedores serios lo consideran la opción recomendable cuando está disponible. Las mejoras introducidas son notables.

En primer lugar, IKEv2 reduce el número de mensajes necesarios para levantar la conexión, lo que se traduce en menor latencia y negociación más rápida. También incorpora de serie NAT Traversal, soporte EAP, mejoras frente a ataques de denegación de servicio y compatibilidad con más algoritmos criptográficos.

Otra diferencia relevante es la gestión de la movilidad: IKEv1 no contemplaba bien los cambios de IP o de red, mientras que IKEv2 con MOBIKE está pensado justo para eso. Si tu conexión se cae un momento o cambias de red, IKEv2 tiene muchas más probabilidades de reanudar el túnel sin pedirte que lo configures todo otra vez.

Finalmente, IKEv2 simplifica el número de asociaciones de seguridad necesarias y mejora la mensajería interna, lo que incrementa la fiabilidad general del protocolo y aligera la carga sobre la red y los equipos que intervienen en la VPN.

IKEv2 frente a otros protocolos VPN

Además de IKEv2/IPsec, en el mundo VPN conviven otros protocolos muy utilizados: OpenVPN, WireGuard, Lightway, L2TP/IPsec, PPTP, SSTP… Cada uno tiene su propia “personalidad” y casos de uso donde brilla más o menos.

IKEv2 vs. IPsec “a secas”

IPsec no es realmente un competidor de IKEv2, sino su compañero de viaje. IKEv2 se ocupa de negociar y mantener las asociaciones de seguridad y las claves; IPsec cifra y autentica los paquetes de datos IP. Sin uno de los dos, la solución quedaría coja.

Compararlos en plan “cuál es mejor” no tiene mucho sentido, porque en realidad forman partes diferentes de la misma arquitectura. La combinación IKEv2/IPsec sigue siendo una de las parejas más fiables y desplegadas en entornos tanto domésticos como profesionales.

IKEv2 vs. L2TP/IPsec

L2TP (Layer 2 Tunneling Protocol) también suele aparecer acompañado de IPsec. Sin embargo, en la práctica IKEv2/IPsec suele superar a L2TP/IPsec en casi todos los frentes importantes.

A nivel de velocidad, IKEv2 suele ser más rápido porque introduce menos sobrecarga y gestiona el tráfico de forma más eficiente. Esto se agradece cuando haces streaming, juegos online o descargas pesadas.

En cuanto a seguridad, L2TP arrastra su edad y ciertos cuestionamientos, incluyendo sospechas de que pueda haber sido debilitado en algunos contextos. Trabaja encima de IPsec para aportar cifrado, pero esa doble capa lo hace más propenso a errores de configuración, lo que puede acabar generando vulnerabilidades.

En estabilidad y resistencia a problemas con NAT, IKEv2 vuelve a llevar ventaja. Si bien L2TP/IPsec puede ser más sencillo en algunos sistemas antiguos, en plataformas modernas como iOS o macOS normalmente resulta más cómodo usar directamente IKEv2.

IKEv2 vs. OpenVPN

OpenVPN es el gran clásico de las VPN de código abierto. Es extremadamente flexible, altamente configurable y puede funcionar sobre UDP o TCP. El uso de TCP 443, el mismo puerto que HTTPS, le permite camuflarse muy bien en entornos con cortafuegos estrictos.

En términos de seguridad, tanto IKEv2/IPsec como OpenVPN ofrecen niveles muy altos, siempre que estén bien configurados. OpenVPN cuenta con la ventaja de ser completamente de código abierto y haber sido auditado durante muchos años.

En velocidad pura, IKEv2 suele ir por delante en muchos escenarios, sobre todo frente a implementaciones de OpenVPN algo pesadas o mal optimizadas. No obstante, cuando el entorno de red es muy restrictivo, OpenVPN sobre TCP tiende a atravesar mejor los bloqueos que IKEv2, que se queda limitado a UDP 500/4500.

IKEv2 vs. WireGuard

WireGuard es el protocolo “moderno y minimalista” que ha ganado fama a gran velocidad. Es de código abierto, tiene un código extremadamente pequeño (del orden de miles de líneas, no cientos de miles) y apuesta por unos pocos algoritmos criptográficos muy robustos y bien elegidos, como ChaCha20/Poly1305.

En rendimiento, WireGuard suele estar a la altura o incluso por encima de IKEv2, con conexiones muy rápidas y una latencia muy baja. También ofrece una gran estabilidad en dispositivos móviles, aunque, al usar únicamente UDP, puede ser bloqueado con relativa facilidad en redes muy vigiladas.

IKEv2 tiene a su favor un historial más largo en entornos corporativos y de misión crítica. Aunque WireGuard ha pasado auditorías externas, todavía no acumula tantos años de uso intensivo como IKEv2/IPsec.

IKEv2 vs. protocolos obsoletos (PPTP, SSTP)

PPTP y SSTP se consideran hoy opciones anticuadas y poco recomendables. PPTP está claramente roto desde el punto de vista criptográfico y SSTP, aunque mejora algo la seguridad, se ha quedado obsoleto y muy por detrás de alternativas modernas.

Frente a ellos, IKEv2/IPsec ofrece un salto enorme en seguridad, rendimiento y soporte, por lo que salvo que te veas obligado por compatibilidad con sistemas muy viejos, es mejor descartarlos y optar por IKEv2, OpenVPN, WireGuard o protocolos modernos equivalentes.

Uso de IKEv2 en entornos de red avanzados (ejemplo con picoceldas y equipos SRX)

Más allá del uso típico en clientes VPN domésticos, IKEv2 también se utiliza en despliegues muy avanzados, por ejemplo en redes móviles con picoceldas y firewalls de gama alta como la familia SRX.

En estos escenarios, IKEv2 puede encargarse de algo más que levantar un túnel cifrado: se usa para cargar configuraciones completas a dispositivos remotos recién desplegados. Las picoceldas llegan de fábrica con una configuración mínima que les permite conectarse al equipo SRX mediante IPsec, y a partir de ahí el SRX obtiene de un servidor RADIUS la información de aprovisionamiento necesaria.

Durante la negociación IKEv2, el SRX actúa como servidor de “carga de configuración”, y devuelve al cliente parámetros como dirección IP, máscara, DNS o incluso ajustes que afectan a los selectores de tráfico (TSi y TSr). Estos selectores definen qué tráfico concreto pasará por cada VPN, permitiendo separar, por ejemplo, túneles de gestión (OAM) y túneles de datos (3GPP).

Este tipo de integración es compatible con IPv4 e IPv6 en determinadas versiones de Junos OS, y puede trabajar tanto con interfaces de túnel punto a punto como con interfaces multipunto (st0). En despliegues reales también se combinan con políticas de seguridad específicas, alta disponibilidad multinodo y reglas estrictas de filtrado.

Compatibilidad de IKEv2 por plataformas y redes

Una de las razones de la popularidad de IKEv2 es su amplia compatibilidad con sistemas y dispositivos modernos, aunque existen matices según la plataforma y el proveedor de VPN que utilices.

Sistemas operativos compatibles

• macOS: versiones recientes de macOS incluyen soporte nativo para IKEv2/IPsec. Puedes crear perfiles VPN desde Ajustes del Sistema → Red, importar certificados y configurar el protocolo sin instalar software adicional, o bien usar aplicaciones de proveedores VPN que ya integran todo el proceso.

• iOS (iPhone y iPad): iOS soporta IKEv2 de forma integrada desde hace varias versiones. Permite crear configuraciones manuales (Ajustes → General → VPN y gestión de dispositivos) o usar apps de terceros que añaden el perfil automáticamente. Es uno de los protocolos preferidos en iOS por su estabilidad y velocidad.

• Android: en muchas versiones de Android es posible usar IKEv2 mediante aplicaciones como strongSwan o el soporte nativo del sistema en versiones recientes. Dependiendo de la capa de personalización del fabricante, la configuración puede variar ligeramente y en algunos casos exige más pasos manuales.

• Windows: Windows incluye compatibilidad integrada con IKEv2 en su cliente VPN del sistema. No obstante, algunos proveedores han ido abandonando este protocolo en Windows para centrarse en alternativas como WireGuard o soluciones propias, por lo que conviene revisar la documentación de tu servicio concreto.

• Linux y otros sistemas: en Linux, IKEv2 suele gestionarse con paquetes como strongSwan o libreswan, que permiten configuraciones muy detalladas tanto en modo cliente como en modo gateway. En routers y firewalls comerciales, el soporte de IKEv2/IPsec también es habitual, sobre todo en equipos profesionales.

Redes, cortafuegos y restricciones regionales

A nivel de red, IKEv2 suele llevarse bien con la mayoría de entornos domésticos y de oficina estándar, especialmente donde hay NAT típico de router de casa. La funcionalidad de NAT Traversal le permite funcionar detrás de dispositivos que traducen direcciones IP privadas a públicas.

En redes corporativas muy controladas o en países con fuerte censura en internet, los cortafuegos avanzados y los sistemas DPI pueden distinguir el tráfico IKEv2 y bloquearlo, al reconocer fácilmente sus puertos y patrones. En esos casos, protocolos que se camuflan mejor como OpenVPN sobre TCP 443 o soluciones específicas del proveedor suelen funcionar mejor.

En cuanto a redes móviles, la mayoría de operadores permiten el tráfico IKEv2 sin problemas, aunque el rendimiento puede variar por factores como la cobertura, la latencia, las políticas internas del operador o acuerdos de itinerancia internacional.

Cómo configurar una VPN IKEv2 en diferentes dispositivos

La forma más sencilla de usar IKEv2 suele ser a través de la app oficial de tu proveedor VPN, seleccionando el protocolo en los ajustes. Aun así, es útil saber cómo se configura de manera manual en los principales sistemas, bien sea con un servicio comercial o con una infraestructura propia.

Configuración IKEv2 en macOS (visión general)

En Mac puedes optar por dos enfoques: usar la app del proveedor (que suele ocultar toda la complejidad) o crear el perfil manualmente desde la configuración del sistema.

En una configuración manual típica se siguen pasos como estos: descargar e instalar el certificado del servidor IKEv2, añadirlo al llavero y marcarlo como de confianza; ir a Ajustes del Sistema → Red, crear una nueva conexión VPN de tipo IKEv2, introducir la dirección del servidor, el ID remoto/local y el método de autenticación (certificado, usuario/contraseña o PSK); y finalmente aplicar los cambios y conectar.

Configuración IKEv2 en iPhone (iOS)

En iOS el proceso es similar, pero adaptado a móvil. Lo habitual es descargar el certificado o perfil desde tu proveedor, instalarlo en Ajustes → General → Perfil y luego ir a Ajustes → VPN para crear o activar la conexión IKEv2, indicando servidor, credenciales y, si corresponde, el certificado adecuado.

Las apps de los principales servicios VPN simplifican este proceso presentando simplemente una lista de protocolos y ubicaciones de servidor: eliges IKEv2, pulsas conectar y la app se encarga de manejar certificados, puertos y demás.

Configuración IKEv2 en Windows

En Windows, el cliente VPN integrado permite crear conexiones IKEv2 desde el panel de Configuración. Hay que ir a Configuración → Red e Internet → VPN, añadir una nueva conexión, elegir “Windows (integrado)” como proveedor, escribir nombre del servidor, nombre de la conexión, credenciales y seleccionar IKEv2 como tipo de VPN.

Algunos proveedores han dejado de ofrecer perfiles IKEv2 para Windows en favor de protocolos como WireGuard, por lo que en la práctica puede que tengas que usar su aplicación propia en lugar del cliente nativo si quieres mantenerte en IKEv2/IPsec.

Configuración IKEv2 en Android

En Android la experiencia depende mucho de la versión y de la capa del fabricante. En muchos casos, la forma más robusta de usar IKEv2 es instalar el cliente strongSwan desde Google Play y seguir estos pasos generales: importar el certificado del servidor, crear un nuevo perfil VPN IKEv2, introducir la dirección del servidor, elegir el método de autenticación (normalmente certificado + usuario/contraseña) y guardar.

Algunos Android recientes permiten crear conexiones IKEv2/IPsec directamente desde Ajustes → Red e Internet → VPN, eligiendo entre variantes como IKEv2/IPsec MSCHAPv2, PSK o RSA según pida tu proveedor. En cualquier caso, la idea es siempre la misma: servidor, credenciales y, si procede, certificados instalados en el dispositivo.

Problemas habituales con IKEv2 y cómo resolverlos

Aunque IKEv2 es bastante estable, no está libre de fallos de conexión. La buena noticia es que la mayoría de incidencias se repiten y suelen tener soluciones razonablemente claras.

Bloqueos en “conectando” o “negociando seguridad”

Si la conexión se queda indefinidamente en estados como “conectando” o “negociando seguridad”, lo más habitual es que haya un problema de autenticación o un parámetro mal configurado.

Merece la pena revisar los datos del servidor, la validez del certificado, la hora del sistema y las credenciales. También puede ayudar probar con otra ubicación de servidor o pedir a tu proveedor archivos de configuración actualizados, sobre todo si has importado el perfil hace tiempo.

Sin acceso a internet tras conectar la VPN

Otro fallo típico es conectarte “bien” a la VPN pero quedarte sin tráfico. En muchas ocasiones tiene que ver con un problema de DNS o de rutas.

Una solución frecuente es configurar manualmente servidores DNS fiables asociados a la VPN o desactivar IPv6 si hay conflictos entre pilas IPv4/IPv6 mal resueltas. Algunos proveedores recomiendan usar sus propios DNS internos para evitar fugas de nombres y garantizar el funcionamiento de la resolución.

Errores relacionados con certificados

Cuando la autenticación se basa en certificados, estos deben estar vigentes y bien instalados. Certificados caducados, importados en el llavero equivocado o no marcados como de confianza causan muchos quebraderos de cabeza.

En estos casos, lo normal es descargar de nuevo el certificado desde la web del proveedor, asegurarse de que la fecha y hora del dispositivo son correctas y volver a instalarlo siguiendo paso a paso las indicaciones. Si hay un certificado raíz de CA y uno intermedio, conviene importar ambos en el orden adecuado.

Fugas de DNS o IP cuando cae la VPN

Si el túnel IKEv2/IPsec se cae y el dispositivo sigue usando la conexión “normal” sin avisar, puedes acabar filtrando tu IP real o tus consultas DNS a tu proveedor de acceso a internet.

Para mitigar este riesgo lo ideal es usar la función Kill Switch que incluyen muchos clientes VPN, de manera que, si la VPN se desconecta, el dispositivo se queda sin acceso a internet hasta que el túnel se restablece. También ayuda configurar DNS propios de la VPN y desactivar IPv6 si el proveedor no lo soporta bien.

Si juntamos todo lo anterior, IKEv2/IPsec se presenta como un protocolo VPN muy potente, rápido y estable, especialmente atractivo para usuarios de móviles y para quienes valoran una conexión fluida con buena seguridad. No siempre será la elección ideal en redes hiper­restrictivas, donde OpenVPN o soluciones más camufladas pueden rendir mejor, ni es la opción favorita de los defensores más estrictos del software libre frente a WireGuard, pero para la inmensa mayoría de casos prácticos ofrece un equilibrio difícil de batir entre rendimiento, fiabilidad y protección de datos.