Cómo configurar y usar Windscribe con DD-WRT

Esta guía explica cómo configurar el cliente 'OpenVPN' de Windscribe en un router con firmware DD-WRT. Todos los dispositivos que usen ese router para acceder a Internet dirigirán el tráfico a través del túnel de la VPN mientras el túnel OpenVPN esté conectado, siempre que no haya excepciones de enrutamiento basado en políticas y que IPv6 se gestione correctamente.

Nota sobre las funciones de la aplicación: una configuración manual del router no incluye todas las funciones disponibles en las aplicaciones oficiales de 'Windscribe'. Los controles del firewall de la aplicación, la conmutación automática por error entre protocolos y la protección contra fugas gestionada por la aplicación no están disponibles en esta configuración. La prevención de fugas debe gestionarse manualmente, como se explica en la Parte 4.

Tiempo estimado: 15–30 minutos.

Usa una conexión por cable al router durante la configuración. Cambiar los ajustes de la VPN puede interrumpir temporalmente la conexión Wi-Fi.

Nota sobre el firmware: usa siempre la compilación de DD-WRT creada específicamente para el modelo exacto de tu router. Instalar una compilación incorrecta puede dejar el router sin respuesta. Antes de comenzar, asegúrate de saber cómo restablecer tu dispositivo a los valores de fábrica por si se pierde la conectividad durante la configuración.

Requisitos & condiciones previas

• Compilación de DD-WRT con OpenVPN: confirma que la sección OpenVPN Client aparezca en Services > VPN en tu router. Si esa sección no aparece, tu compilación actual no incluye OpenVPN. Consulta la base de datos oficial de routers DD-WRT, la wiki y los hilos del foro específicos del modelo, así como las notas de la compilación para la revisión exacta de tu hardware antes de instalar una compilación compatible.
• Plan de pago de Windscribe: la configuración manual de OpenVPN requiere una suscripción Pro o Build-A-Plan. Build-A-Plan solo puede generar perfiles para las ubicaciones incluidas en el plan; el plan Free no incluye el generador de configuraciones de OpenVPN.
• Credenciales de administrador de DD-WRT: el nombre de usuario y la contraseña del panel de administración 'DD-WRT' del router, no los datos de inicio de sesión de Windscribe.
• IP de administración del router: la dirección de administración predeterminada de DD-WRT es 192.168.1.1. Usa tu dirección personalizada si la cambiaste.

Acerca de OpenVPN

OpenVPN es un protocolo de VPN maduro y de código abierto que cifra mediante TLS el tráfico entre un dispositivo cliente y un servidor de VPN. Windscribe admite perfiles manuales de OpenVPN en los planes de pago mediante el OpenVPN Config Generator. El generador actual descarga un perfil .ovpn y obtiene por separado las credenciales de OpenVPN. Para configurar DD-WRT manualmente, hay que trasladar ese perfil al panel de administración del router.

Parte 1: Genera tu perfil OpenVPN de Windscribe

Paso 1: Abre el OpenVPN Config Generator

1. Abre windscribe.com/getconfig/openvpn en un navegador.
2. Inicia sesión con las credenciales de tu cuenta de Windscribe si se te solicita.

Paso 2: Descarga el perfil OpenVPN

1. En el Step 1 del generador, selecciona Location / IP, Protocol, Port y OpenVPN Version.
2. Elige una ubicación geográficamente cercana o una que proporcione la región de salida que necesitas.
3. Selecciona el protocolo y el puerto. Usa un puerto que el generador ofrezca para ese protocolo:
4. UDP suele ofrecer menor latencia y funciona en la mayoría de los entornos.
   • TCP 443 es una alternativa cuando UDP está bloqueado, como ocurre en algunas redes de hoteles o empresas.
   • Si cambias el protocolo más adelante, genera un perfil nuevo. No cambies solo el puerto en DD-WRT.
   • Elige la versión de OpenVPN que coincida con la compilación de DD-WRT de tu router. Si no estás seguro, sigue la nota sobre versiones del generador y usa la opción anterior compatible en lugar de suponer que el perfil más reciente funcionará.
5. Haz clic en Download Config. Se guardará un archivo con un nombre similar a Windscribe-Location.ovpn.

Paso 3: Abre y revisa el perfil OpenVPN

Abre el archivo .ovpn descargado en un editor de texto sin formato. Usarás sus valores y bloques integrados en DD-WRT:

• La línea remote proporciona el nombre de host y el puerto del servidor: remote [hostname] [port].
  • La línea proto proporciona el protocolo del túnel.
  • Anota las directivas dev, cipher o data-ciphers, auth, compresión, verificación de certificados, MTU y MSS presentes. Haz que los campos de DD-WRT coincidan con este perfil generado, en lugar de usar valores de ejemplo de otra guía.
• Busca el bloque integrado <ca>. Copiarás el contenido del certificado situado entre <ca> y </ca> en el campo CA Cert de DD-WRT.
• Busca el bloque integrado <tls-auth>. Copiarás su contenido en TLS Auth Key y conservarás la dirección de la clave del perfil si tu compilación de DD-WRT muestra ese ajuste.

Paso 4: Obtén tus credenciales de OpenVPN

Windscribe genera un conjunto independiente de credenciales de OpenVPN, distinto de los datos de acceso de tu cuenta principal.

1. En la misma página del OpenVPN Config Generator, ve a Step 2 y haz clic en Get Credentials.
2. Copia tu OpenVPN Username y tu OpenVPN Password. Son cadenas generadas automáticamente, no el correo electrónico y la contraseña de tu cuenta de Windscribe. Al pegarlas en DD-WRT, evita copiar espacios adicionales antes o después de cualquiera de los valores.

Figura 1: El generador OpenVPN actual produce un perfil y las credenciales se obtienen por separado. El diagrama muestra los valores y bloques del perfil que necesita DD-WRT.

Parte 2: Configura el cliente OpenVPN en DD-WRT

Paso 1: Inicia sesión en el panel de administración de DD-WRT

1. Abre un navegador en un dispositivo conectado al router.
2. Ve a http://192.168.1.1 (o a tu IP de administración personalizada).
3. Introduce el nombre de usuario y la contraseña de administrador de DD-WRT.

Paso 2: Ve a los ajustes del cliente OpenVPN

1. Haz clic en Services en la barra de navegación superior.
2. Haz clic en la pestaña VPN.
3. Desplázate hasta la sección OpenVPN Client.

Paso 3: Activa el cliente OpenVPN

Antes de activarlo: ve a Administration > Backup y guarda una copia de tu configuración actual de DD-WRT. Si la configuración de la VPN interrumpe la conectividad, podrás restaurar esta copia después de restablecer el router o recuperar el acceso.

Establece Start OpenVPN Client en Enable. Aparecerán más campos de configuración debajo.

Paso 4: Introduce los ajustes principales

Usa los valores copiados de tu archivo .ovpn en la Parte 1, Paso 3 y tus credenciales de OpenVPN de la Parte 1, Paso 4.

Los nombres de los campos de DD-WRT varían según la compilación. Haz coincidir los campos condicionales con el perfil generado y la compilación exacta del router. Si no aparece un campo, no inventes un equivalente ni copies un valor de ejemplo de otro perfil.

• Server IP/Name: nombre de host exacto de la línea remote de tu archivo .ovpn
• Port: puerto exacto de la línea remote de tu archivo .ovpn
• Tunnel Device: haz que coincida con la directiva dev del perfil. Los perfiles actuales de Windscribe para routers usan un dispositivo TUN enrutado.
• Tunnel Protocol: protocolo de la línea proto de tu archivo .ovpn o el protocolo seleccionado en el generador de configuraciones de Windscribe (UDP o TCP)
• Encryption Cipher / Data Ciphers: haz que coincida con cipher, data-ciphers y cualquier directiva alternativa presente en tu perfil. No des por hecho que un único algoritmo sirve para todas las versiones de OpenVPN.
• Hash Algorithm: haz que coincida con la directiva auth del perfil.
• User Pass Authentication: Enable
• Username: tu nombre de usuario de OpenVPN de Windscribe (de la Parte 1, Paso 4)
• Password: tu contraseña de OpenVPN de Windscribe (de la Parte 1, Paso 4)

Compilaciones antiguas: si tu compilación de DD-WRT no muestra los campos Username y Password después de activar User Pass Authentication, usa una compilación de DD-WRT para el modelo y la revisión exactos que incluya los campos de nombre de usuario y contraseña de OpenVPN. Si dejas vacíos los campos de autenticación, la conexión no podrá autenticarse.

Paso 5: Configura las opciones avanzadas

Establece Advanced Options en Enable. Esto muestra el conjunto completo de campos de configuración.

• TLS Cipher: haz que coincida con cualquier directiva tls-cipher o tls-ciphersuites del perfil. De lo contrario, mantén el valor predeterminado de tu compilación de DD-WRT.
• Compression: haz que coincida con compress o comp-lzo solo cuando aparezca en el perfil generado. De lo contrario, mantén la compresión desactivada.
• NAT: Enabled
• Firewall Protection: Enabled
• IP Address: dejar en blanco
• Subnet Mask: dejar en blanco
• Tunnel MTU Setting: haz que coincida con tun-mtu cuando el perfil lo especifique. De lo contrario, mantén el valor predeterminado de la compilación y cámbialo solo si has comprobado que existe un problema con la MTU de la ruta.
• Tunnel UDP Fragment: haz que coincida con fragment solo si está presente; de lo contrario, déjalo en blanco.
• Tunnel UDP MSS-Fix: haz que coincida con mssfix si está presente. Cámbialo solo si has comprobado que existe un problema de MTU o fragmentación.
• Verificación de certificados: conserva el requisito remote-cert-tls, verify-x509-name o el requisito antiguo ns-cert-type mediante el control correspondiente o el campo Additional Config disponible en tu compilación.

Paso 6: Introduce la configuración adicional

Usa Additional Config únicamente para las directivas del archivo .ovpn generado que no tengan un campo equivalente en DD-WRT:

• Copia solo las directivas obligatorias del perfil que no estén ya representadas en los campos anteriores.
• No añadas reneg-sec 432000; el generador actual de Windscribe elimina intencionadamente esa directiva de los perfiles descargados.

No pegues bloques de ejemplo completos de capturas de pantalla ni de guías antiguas. Si no puedes asignar una directiva de forma segura, deja el campo sin cambios y compáralo con el perfil generado y con la compilación exacta de DD-WRT.

Paso 7: Pega el certificado CA

1. En tu archivo .ovpn, busca el bloque <ca>.
2. Copia únicamente el contenido del certificado situado entre <ca> y </ca>, incluidas las líneas completas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.
3. Pega el certificado copiado en el campo CA Cert de DD-WRT.

Paso 8: Pega la clave de autenticación TLS

1. En tu archivo .ovpn, busca el bloque <tls-auth>.
2. Copia todo el contenido de la clave estática situado entre <tls-auth> y </tls-auth>, incluidas las líneas reales de encabezado y pie de página de tu archivo.
3. Pega la clave copiada en TLS Auth Key. Conserva key-direction o el valor de dirección de la etiqueta <tls-auth> si tu compilación de DD-WRT muestra ese control.

Paso 9: Deja en blanco los campos del certificado de cliente

Deja vacíos Public Client Cert y Private Client Key, a menos que el archivo .ovpn generado contenga bloques <cert> o <key>. Los perfiles actuales de Windscribe con nombre de usuario y contraseña no requieren campos de certificado por cliente.

Figura 2: Los campos de OpenVPN Client utilizados en esta guía. Los valores verdes proceden de tu perfil o de tus credenciales; los campos condicionales deben coincidir con el archivo generado y la compilación exacta de DD-WRT.

Paso 10: Aplica los ajustes

Haz clic en Save al final de la página y, después, en Apply Settings. El router suele tardar unos 30–60 segundos en aplicar los cambios e intentar conectarse.

Parte 3: Verifica la conexión

Paso 1: Comprueba el estado de la VPN en DD-WRT

1. En el panel de administración de DD-WRT, ve a Status > OpenVPN.
2. Comprueba el campo State:
   • Una conexión correcta suele mostrar CONNECTED SUCCESS (el texto exacto puede variar según la compilación de DD-WRT).
   • Si sigue mostrando CONNECTING después de dos minutos o cambia repetidamente a RECONNECTING, consulta la sección Solución de problemas.
3. El campo Local IP muestra la dirección IP del túnel asignada por el servidor de Windscribe.

Paso 2: Confirma que tu IP pública ha cambiado

1. En un dispositivo conectado a este router, abre el comprobador de IP de Windscribe o ipleak.net.
2. Confirma que la IP pública no sea la dirección de tu ISP y que coincida, a grandes rasgos, con la región de la VPN seleccionada. Las bases de datos de geolocalización de IP pueden mostrar una ciudad cercana o una ubicación desactualizada; considera el proveedor y la región como las señales útiles.
3. En la sección DNS de la misma prueba, comprueba si aparecen servidores DNS inesperados. La verificación de DNS se completa en el Parte 4, Paso 1.

Parte 4: Verifica la protección contra fugas de DNS & IPv6

Las configuraciones manuales de VPN no bloquean automáticamente todos los vectores de fuga. Completa los dos pasos siguientes antes de confiar en esta configuración para proteger tu privacidad.

Sin interruptor de corte: esta guía no añade un interruptor de corte en el router. Sin reglas de firewall y enrutamiento de cierre ante fallos que se hayan probado por separado, una configuración típica de DD-WRT con ruta predeterminada puede devolver el tráfico a la WAN habitual cuando se interrumpe el túnel OpenVPN. Los ajustes de DNS por sí solos no impiden ese retorno.

Figura 3: El modo de fallo por interrupción del túnel en esta configuración. Sin reglas de cierre ante fallos probadas por separado, el tráfico puede volver a la WAN normal y exponer la IP orientada al ISP.

Paso 1: Comprueba si hay fugas de DNS

1. En un dispositivo conectado, ve a ipleak.net o dnsleaktest.com.
2. Comprueba si aparecen servidores DNS inesperados del ISP. Sus etiquetas pueden estar incompletas, el DNS seguro del navegador puede eludir el DNS del router y que un servidor DNS no pertenezca a tu ISP no significa automáticamente que sea la ruta prevista de Windscribe. Evalúa este resultado junto con los ajustes del router y varias pruebas.

Si aparecen servidores DNS inesperados, no confíes en la configuración hasta corregir la ruta de DNS y volver a probarla.

El generador actual de OpenVPN indica que algunos routers de consumo no aceptan el DNS enviado por el servidor. Si esto se aplica a tu compilación de DD-WRT, configura manualmente el DNS de Windscribe como se indica a continuación. Esto reduce las fugas de DNS; no es un interruptor de corte del tráfico:

1. En DD-WRT, ve a Setup > Basic Setup.
2. En Network Setup, localiza los campos Static DNS.
3. Establece el primer servidor Static DNS en 10.255.255.1. Es una dirección interna de Windscribe y solo funciona mientras exista una conexión a Windscribe.
4. Establece Use DNSMasq for DNS en Enable.
5. Establece DHCP-Authoritative en Enable solo si este router DD-WRT es el servidor DHCP principal de tu red.
6. Haz clic en Save y, después, en Apply Settings.
7. Vuelve a conectar los clientes si es necesario y repite la prueba en ipleak.net. Comprueba también si algún navegador o dispositivo usa su propio ajuste de DNS seguro.

Paso 2: Desactiva IPv6 o confirma que no haya fugas de IPv6

Considera esta configuración de router con OpenVPN como exclusiva para IPv4, a menos que hayas verificado explícitamente que el perfil generado y la compilación de DD-WRT enrutan IPv6 a través del túnel. La gestión automática de IPv6 de las aplicaciones oficiales de Windscribe no configura DD-WRT por ti.

1. En DD-WRT, ve a Setup > IPv6. El nombre del menú puede variar según la compilación.
2. Establece IPv6 en Disable cuando este perfil sea exclusivo para IPv4.
3. Haz clic en Save y, después, en Apply Settings. Vuelve a conectar los dispositivos cliente para eliminar cualquier configuración obsoleta de IPv6.
4. Ve a ipleak.net y confirma que el cliente probado no tenga ninguna dirección IPv6 del ISP enrutable globalmente. Una dirección de enlace local como fe80::/10 no se puede enrutar por Internet.

Si necesitas IPv6, no confíes en esta configuración hasta verificar la ruta IPv6 generada, la ruta de DNS y el comportamiento al interrumpirse el túnel en tu compilación exacta de DD-WRT.

Figura 4: Cuatro comprobaciones independientes del estado del túnel, la IP pública, el DNS e IPv6. Superar una no demuestra que las demás sean seguras.

Lista de comprobación para completar la configuración

• El estado de OpenVPN muestra CONNECTED SUCCESS o el estado de éxito equivalente de tu compilación.
• La IP pública del cliente probado no es la dirección de su ISP y coincide, a grandes rasgos, con la región de la VPN seleccionada.
• La prueba de DNS no muestra ningún servidor DNS inesperado del ISP y se ha verificado la ruta de DNS prevista.
• El cliente probado no tiene ninguna dirección IPv6 del ISP enrutable globalmente en esta configuración exclusiva para IPv4.
• Los dispositivos de las redes Wi-Fi, Ethernet, de invitados, VLAN y los segmentos con enrutamiento basado en políticas que quieras proteger se enrutan como se espera.

Si se superan las comprobaciones de conexión y fugas, detén deliberadamente el túnel y confirma el comportamiento esperado de cierre ante fallos o retorno a la WAN antes de confiar en la configuración.

Cambiar de ubicación de servidor

1. Vuelve al OpenVPN Config Generator y genera un perfil .ovpn nuevo para la ubicación de destino.
2. Abre el perfil nuevo y anota sus valores remote, proto, cipher/auth, verificación de certificados, <ca> y <tls-auth>.
3. En DD-WRT, ve a Services > VPN > OpenVPN Client.
4. Actualiza en DD-WRT todos los campos y bloques que hayan cambiado. No cambies únicamente Server IP/Name, Port y Tunnel Protocol si el perfil nuevo presenta otras diferencias.
5. Haz clic en Save y, después, en Apply Settings.

Solución de problemas

El estado de la VPN muestra "CONNECTING" o "RECONNECTING"

• Confirma que el nombre de host del servidor y el puerto de DD-WRT coincidan exactamente con la línea remote de tu archivo .ovpn y que Tunnel Protocol coincida con la línea proto.
• Confirma que se haya copiado todo el contenido de los bloques <ca> y <tls-auth> sin omitir ninguna línea. Conserva la dirección de la clave TLS.
• Si UDP está bloqueado, genera un perfil TCP nuevo con el OpenVPN Config Generator y vuelve a trasladar todos los valores modificados.
• Confirma que la fecha y la hora del router sean correctas en Setup > Basic Setup o Status > Router. Un reloj incorrecto provoca que falle la validación de certificados de OpenVPN.

La VPN se conecta, pero el tráfico no pasa por el túnel

• Confirma que NAT esté establecido en Enabled en Advanced Options (Parte 2, Paso 5).
• Confirma que Firewall Protection esté establecido en Enabled.
• Confirma que Tunnel Device esté establecido en TUN y no en TAP.
• Si tu compilación de DD-WRT tiene una sección de enrutamiento basado en políticas, confirma que ninguna regla excluya el dispositivo de prueba ni eluda el túnel de la VPN.

Credenciales rechazadas

• Tus credenciales de OpenVPN de Windscribe son distintas de los datos de acceso de tu cuenta. Vuelve al OpenVPN Config Generator, usa Step 2 y cópialas exactamente como aparecen.

La prueba de fugas de DNS sigue mostrando servidores DNS del ISP

• Ve a Services > Services en DD-WRT y confirma que DNSMasq esté establecido en Enable.
• Establece Use DNSMasq for DNS en Enable.
• Si este router no acepta el DNS enviado por el servidor, establece el DNS previsto del router en 10.255.255.1. No consideres este ajuste de DNS como un interruptor de corte.
• Haz clic en Save y, después, en Apply Settings; vuelve a conectar los clientes si es necesario y repite la prueba en ipleak.net.

WireGuard: Una alternativa de mayor rendimiento

Si tu compilación de DD-WRT admite WireGuard, puede rendir mejor que OpenVPN en routers de menor potencia. Busca Setup > Tunnels. Si no aparece, tu compilación no incluye WireGuard. Para consultar las instrucciones de configuración, usa la guía recomendada de Windscribe para configurar WireGuard en DD-WRT.

Preguntas frecuentes

¿Necesito un plan de pago para usar Windscribe en un router?

Sí. Los perfiles manuales para routers requieren una suscripción Pro o Build-A-Plan. Build-A-Plan solo puede generar perfiles para las ubicaciones incluidas en el plan; el plan Free no incluye el generador de configuraciones de OpenVPN.

¿Esta configuración protege todos los dispositivos de mi red?

Protege los dispositivos que usan este router como puerta de enlace a Internet mientras el túnel OpenVPN está activo, salvo que otro router, una aplicación de VPN, una red de invitados, una VLAN o una regla de enrutamiento basado en políticas los dirija a otro lugar. Sin reglas de cierre ante fallos comprobadas, el tráfico puede volver a la WAN habitual si se interrumpe el túnel.

¿Las aplicaciones oficiales de Windscribe funcionan de la misma manera?

No. Las aplicaciones oficiales incluyen el firewall de Windscribe, la conmutación automática por error entre protocolos y la gestión automática de IPv6. Un perfil manual para router no configura esas funciones de las aplicaciones. El filtrado de R.O.B.E.R.T. depende de la cuenta y de que el router use realmente el DNS de Windscribe; verifica la ruta de DNS en lugar de darlo por hecho.

¿Qué ocurre si se interrumpe el túnel de la VPN?

Sin reglas de firewall y enrutamiento de cierre ante fallos que se hayan probado por separado, una configuración típica de DD-WRT con ruta predeterminada puede devolver el tráfico a la WAN habitual. El tráfico de las aplicaciones puede seguir usando HTTPS u otro tipo de cifrado, pero ya no está protegido por el túnel de la VPN y la IP orientada al ISP puede quedar expuesta.

¿Esta configuración de OpenVPN en DD-WRT admite IPv6 a través de la VPN?

Considérala exclusiva para IPv4, a menos que el perfil generado y tu compilación exacta de DD-WRT enruten explícitamente IPv6 a través del túnel y superen las pruebas de IPv6, DNS e interrupción del túnel. De lo contrario, desactiva IPv6 como se describe en el Parte 4, Paso 2.

¿Puedo usar una IP estática con esta configuración?

Sí. En el OpenVPN Config Generator, selecciona tu Static IP en Location / IP. Si se te solicita, selecciona el dispositivo Static IP correcto antes de obtener las credenciales.

La velocidad es notablemente más lenta con la VPN activada. ¿Es normal?

Sí, en routers con CPU antiguas o de menor potencia. El cifrado de OpenVPN exige mucho a la CPU. Si tu compilación de DD-WRT admite WireGuard, ese protocolo consume muchos menos recursos de hardware.

¿Puedo cambiar de ubicación de servidor sin repetir toda la configuración?

Sí, pero genera un perfil .ovpn nuevo y compara todos los valores y bloques integrados pertinentes. No des por hecho que basta con cambiar únicamente el nombre de host, el puerto y el protocolo.

Obtén Windscribe

Los perfiles manuales para routers requieren una suscripción Pro o Build-A-Plan. Build-A-Plan solo puede generar perfiles para las ubicaciones incluidas en el plan.

¿Ya lo has configurado, pero algo sigue sin funcionar? La comunidad de Windscribe en Reddit y Discord ha visto prácticamente todos los problemas de configuración de routers que existen.