WireGuard en MikroTik y Grandstream: una VPN que se configura en minutos

WireGuard es un VPN de código abierto que trabaja sobre UDP y se distingue por su simplicidad: usa un conjunto fijo de algoritmos modernos (Curve25519, ChaCha20-Poly1305, BLAKE2s), sin negociación, y su código es mucho más pequeño que el de OpenVPN o IPsec, lo que reduce la superficie de ataque y facilita auditarlo.

Cada equipo tiene una llave privada y una lista de peers, identificados por su llave pública. A cada peer se le asigna AllowedIPs, que sirve a la vez como tabla de rutas (a qué peer se envía cada destino) y como filtro de origen (qué IPs acepta de ese peer).

• Silencioso: no responde a paquetes de peers desconocidos.
• Roaming: si el peer cambia de IP pública, el túnel continúa.
• Rotación automática de las llaves de sesión.
• Persistent Keepalive (normalmente 25 s) para peers detrás de NAT.
• Llave precompartida (PSK) opcional como capa adicional.

Comparativa rápida

IPsec sigue siendo el más interoperable entre fabricantes, y en equipos con aceleración AES por hardware puede igualar a WireGuard.

En MikroTik

Disponible desde RouterOS 7. Configuración mínima de un servidor:

/interface wireguard add name=wg-reditek listen-port=13231
/ip address add address=10.10.10.1/24 interface=wg-reditek
/interface wireguard peers add interface=wg-reditek \
    public-key="LLAVE_PUBLICA_DEL_PEER" \
    allowed-address=10.10.10.2/32,192.168.20.0/24
/ip firewall filter add chain=input protocol=udp dst-port=13231 \
    action=accept place-before=0

Puntos a cuidar: la regla del puerto UDP debe ir antes del drop de entrada, allowed-address debe incluir las redes detrás del peer, y si hay lentitud conviene ajustar MTU (por defecto 1420) y MSS.

En Grandstream

Soportan VPN los routers GWN7052, GWN7062 (y variantes), GWN7001/7002/7003 y los GCC6010, GCC6011, GCC6020 y GCC6021. En el GWN7062E/ET, WireGuard funciona en modos sitio a sitio y punto a sitio.

• Configuración: en la interfaz web, VPN > WireGuard, se crea el servidor y luego los peers. El puerto por defecto es 51820, y permite generar peers automáticamente y escanear un código QR desde el celular.
• Límite importante: algunos modelos, como el GWN7062E/ET, permiten solo un túnel VPN activo a la vez. Si necesitas más capacidad, conviene elegir las series GWN700x o GCC60xx.
• Firmware: se requiere una versión mínima según el modelo (por ejemplo, 1.0.5.6 o superior en la serie GWN700X).

Beneficios de combinar MikroTik y Grandstream

Un MikroTik como concentrador en la matriz, con routers GWN o GCC en las sucursales, da una arquitectura simple y económica:

1. Telefonía IP remota sin exponer SIP: los teléfonos Grandstream se registran contra la central por el túnel, sin abrir el puerto 5060 a Internet.
2. Menos problemas de NAT: SIP y RTP viajan dentro del túnel, lo que reduce casos de audio en un solo sentido.
3. Baja latencia y poca sobrecarga, adecuada para voz (siempre con QoS en el enlace WAN).
4. Interconexión de sedes con mucha menos configuración que IPsec.
5. Administración segura: acceso a la red de gestión a través del túnel, no por puertos expuestos.
6. Sin costo extra: usa equipos que ya tienes, sin licencias ni appliances adicionales.

Recomendaciones de diseño

• Usa rangos de red distintos en cada sede; redes duplicadas no se pueden enrutar entre sí.
• Define AllowedIPs y reglas de firewall con mínimo privilegio.
• Si una sede está detrás de CGNAT, coloca el servidor en el sitio con IP pública.
• Protege las llaves privadas y revoca los peers que ya no se usen.
• Agrega Persistent Keepalive en los peers detrás de NAT.

Problemas frecuentes

• El túnel no levanta: puerto UDP bloqueado, llaves mal copiadas o endpoint incorrecto.
• Handshake sin tráfico: AllowedIPs o rutas mal definidas.
• Se cae detrás de NAT: falta el keepalive.
• Aplicaciones que cargan a medias: ajustar MTU/MSS.

WireGuard resuelve lo que hacía tedioso a los VPN tradicionales: la complejidad. Y como MikroTik y Grandstream ya lo traen integrado, puedes unir sedes, usuarios remotos y telefonía IP con una configuración corta y un rendimiento sólido, sin exponer la central a Internet.

Aun así, el éxito está en los detalles: direccionamiento sin traslapes, firewall en el orden correcto, MTU ajustado, QoS para la voz y elegir el modelo de router según el número de túneles que necesitas. En Reditek hacemos esto a diario: diseñamos la topología, configuramos el concentrador MikroTik, desplegamos los equipos Grandstream en cada sede y verificamos que la telefonía funcione limpia a través del túnel, con todo documentado.

Si tienes sucursales con VPNs lentos o difíciles de mantener, o quieres conectar extensiones remotas de forma segura, cuéntanos cómo está tu red y con Reditek lo dejamos funcionando desde el primer día.