La mejor VPN para Starlink: protocolo, CGNAT y malla

Starlink ha cambiado las reglas del juego para quienes viven en zonas rurales o remotas: por primera vez, una conexión por satélite ofrece velocidades y latencias comparables a la banda ancha terrestre. Pero hay un detalle que muchos descubren tarde: Starlink utiliza CGNAT (Carrier-Grade NAT), lo que significa que no recibes una IP pública enrutable y no puedes configurar port forwarding1. La latencia base, además, oscila entre 25 y 60 ms2, un rango más amplio que el de una conexión por cable.

Estas dos características —CGNAT y latencia variable— hacen que la elección del protocolo VPN sea más crítica en Starlink que en cualquier conexión por cable. No se trata solo de cifrar tu tráfico; se trata de elegir una tecnología que añada la menor latencia posible y, si lo necesitas, que resuelva el problema del CGNAT sin port forwarding.

WireGuard: el protocolo diseñado para redes modernas

WireGuard es, sin discusión, el primer protocolo que deberías considerar para Starlink. Fue diseñado pensando en las condiciones de red modernas, usa una base de código deliberadamente pequeña y maneja la latencia ligeramente variable de un enlace satelital mejor que los protocolos más antiguos2. Su handshake minimalista y su diseño exclusivamente sobre UDP minimizan la latencia añadida, algo que en una conexión satelital se nota en cada interacción.

Un estudio empírico publicado en MDPI comparó WireGuard con OpenVPN en entornos virtualizados y encontró diferencias sustanciales: bajo condiciones de alta latencia, WireGuard mostró una pérdida de paquetes del 12,35 % frente al 47,01 % de OpenVPN en el escenario base de VMware5. En la práctica, esto se traduce en una conexión más estable y con menos cortes cuando la latencia del satélite fluctúa.

El problema del CGNAT y cómo resolverlo

El CGNAT de Starlink bloquea el acceso directo a puertos, lo que complica servicios que dependen de IPs únicas para port forwarding, como alojar servidores o acceder remotamente a dispositivos de tu red doméstica14. Hay tres enfoques para sortear este obstáculo:

1. Alojar el servidor VPN en un VPS con IP pública. Si despliegas tu propio servidor WireGuard en un VPS cloud, obtienes una IP enrutable. PiVPN es la forma más sencilla de hacerlo: un solo comando instala y configura WireGuard en una Raspberry Pi o un VPS6. Para los usuarios de Starlink detrás de CGNAT, alojar el servidor PiVPN en un VPS con IP pública es la solución recomendada6.

2. Usar una VPN en malla. Tailscale (o su alternativa self-hosted Headscale) crea una red malla segura usando WireGuard internamente. No requiere port forwarding porque utiliza servidores de coordinación para establecer conexiones directas peer-to-peer mediante NAT traversal3. Es el enfoque ideal si tienes Starlink, CGNAT o no puedes configurar port forwarding3. En conexión directa, Tailscale puede alcanzar más de 200 Mbps; si recurre a relay (DERP), el rendimiento cae a 5-15 Mbps3.

3. Usar una red overlay P2P. ZeroTier ofrece una alternativa similar: una Ethernet virtual peer-to-peer que funciona detrás de CGNAT sin port forwarding, con una configuración sencilla y multiplataforma.

WireGuard vs. OpenVPN: la comparación que importa

OpenVPN sigue siendo el estándar de la industria y su soporte de dispositivos es masivo, pero en Starlink su overhead de latencia es un inconveniente real. OpenVPN puede funcionar sobre TCP o UDP, y su base de código es considerablemente mayor que la de WireGuard. Bajo condiciones de alta latencia, ambos protocolos sufren, pero WireGuard degrada con mucha más gracia5.

OpenVPN tiene sentido como fallback: si te encuentras en una red restringida donde WireGuard está bloqueado —algunos firewalls filtran el tráfico UDP característico de WireGuard—, OpenVPN sobre TCP 443 puede ser tu única opción. Pero en condiciones normales con Starlink, WireGuard es la mejor elección24.

Self-hosted vs. malla: control vs. conveniencia

La decisión entre desplegar tu propio servidor y usar una VPN en malla depende de tu nivel técnico y de cuánto control quieres:

• Self-hosted (PiVPN en VPS): Control total sobre el servidor, las claves y los logs. Necesitas un VPS (desde unos pocos euros al mes) y conocimientos básicos de línea de comandos. Ideal para quienes valoran la privacidad por encima de la comodidad.
• Malla (Headscale/Tailscale, ZeroTier): Configuración casi nula. La malla maneja el NAT traversal automáticamente. Headscale te permite mantener el servidor de coordinación bajo tu propio control, mientras que Tailscale lo gestiona por ti. Es el camino más rápido para resolver el problema del CGNAT.

Nuestra recomendación

Para la mayoría de usuarios de Starlink, la combinación ganadora es WireGuard como protocolo combinado con una VPN en malla (Headscale o Tailscale) si necesitas acceder a tu red remotamente sin complicaciones. Si prefieres control total y no te importa configurar un VPS, PiVPN es la ruta más directa. Y si WireGuard está bloqueado en tu red, OpenVPN es el plan B que siempre funciona.

> Nota de transparencia: Recomate puede recibir una comisión si contratas un servicio a través de los enlaces de esta página. Esto no afecta a nuestra valoración editorial: recomendamos lo que consideramos las cosas que realmente merecen la pena.

¿Quieres una aclaración que el artículo no respondió? Pregunta al motor — lleva el contexto del artículo.