Cuando la red bloquea VPN — usa AmneziaWG en Apple TV

Cada vez más redes — hoteles, escuelas, ISPs restrictivos, ciertos firewalls a nivel país — detectan y bloquean WireGuard a nivel de protocolo. El cifrado está bien; el problema es que los paquetes parecen VPN. AmneziaWG lo arregla. WG Connect lo soporta nativo en Apple TV.

El problema

WireGuard es rápido y limpio, pero sus paquetes tienen una forma reconocible. El handshake es un mensaje de tamaño fijo. Los paquetes siguientes son de longitud uniforme y usan un puerto UDP conocido. Operadores con deep packet inspection (DPI) — comunes en hoteles, redes corporativas y países con filtrado activo — pueden identificar WireGuard con alta precisión y descartar el tráfico.

El resultado: WG Connect muestra "Conectando…" indefinidamente, o el túnel se levanta pero los datos no fluyen. El cifrado no está roto — la red simplemente se niega a reenviar los paquetes.

Cómo lo resuelve AmneziaWG

AmneziaWG es una extensión de WireGuard desarrollada por el proyecto Amnezia VPN. Usa la misma criptografía probada — ChaCha20-Poly1305, Curve25519, BLAKE2 — pero remodela los paquetes para que DPI no pueda clasificarlos. Los cambios son simples pero efectivos:

• Paquetes basura al inicio de la sesión para confundir a los clasificadores
• Padding aleatorio en cada paquete para que el fingerprinting por longitud falle
• Cabeceras de handshake modificadas que no coinciden con la firma WireGuard
• Padding universal (en AmneziaWG 2.0) que sigue aplicándose durante toda la sesión

Para DPI, el tráfico parece internet ordinario, ligeramente ruidoso. Para el cliente y servidor AmneziaWG, es el mismo túnel rápido.

  WireGuard                 AmneziaWG

  ▓▓▓▓ ▓▓▓▓ ▓▓▓▓ ▓▓▓▓       ░ ▓▓▓ ▓ ░ ▓▓▓▓ ░ ▓▓ ░ ▓▓▓▓
  ▓▓▓▓ ▓▓▓▓ ▓▓▓▓ ▓▓▓▓       ▓▓ ░ ▓▓▓▓▓ ░ ▓▓ ▓▓▓ ░ ▓▓
  uniforme · identificable  basura + padding · parece ruido
  

WG Connect lo soporta nativo

No necesitas otra app. WG Connect detecta si el archivo .conf que importas es WireGuard puro o AmneziaWG (1.0 o 2.0) leyendo sus parámetros (Jc, S1, S2, H1, etc.). La interfaz te dice qué protocolo está activo. Sin interruptores. Sin modo experto.

Paso a paso

1. Consigue una configuración AmneziaWG. Opciones:
   • Amnezia Free — genera configs AmneziaWG gratis
   • Firewalla — tiene soporte nativo AmneziaWG en su app; exporta .conf para Apple TV
   • Auto-hospedar — usa el servidor open-source amnezia-wg en un VPS (cualquiera barato con 256 MB RAM funciona) o una Raspberry Pi doméstica
2. Importa en WG Connect. Añadir Perfil → Subir desde Móvil → escanear QR → subir el .conf.
3. Verifica detección de protocolo. Abre el detalle del perfil. WG Connect mostrará AmneziaWG 1.0 o AmneziaWG 2.0 en los metadatos.
4. Conecta. El handshake tarda un poco más que WireGuard puro (los paquetes basura se envían primero), pero el túnel se levanta igual.
5. Prueba en la red bloqueada. Una red que antes descartaba WireGuard debe aceptar AmneziaWG sin problema.

Dónde es más útil AmneziaWG

• Redes restrictivas a nivel país — lugares donde los protocolos VPN estándar son filtrados nacionalmente
• Wi-Fi corporativo o escolar con políticas VPN aplicadas vía DPI
• Algunos hoteles — especialmente centros de convenciones — que bloquean VPN basados en UDP
• Servicios de streaming con detección VPN avanzada — más raro, pero existe

Consideraciones

• Necesitas un servidor AmneziaWG, no solo un cliente. Los servidores WireGuard estándar no hablan AmneziaWG. Ambos extremos deben soportarlo.
• Sobrecarga ligera. Paquetes basura y padding añaden 2–5% de ancho de banda y un pequeño retraso de handshake. Para streaming es invisible.
• Mismo cifrado. AmneziaWG no cambia las propiedades de seguridad. Solo cambia cómo se ven los paquetes en el cable.

Preguntas frecuentes