VPN con IKEv2/IPsec: guía para elegir en 2026

IKEv2 e IPsec: dos piezas distintas

IKEv2 negocia la conexión: acuerda cómo se autentican el cliente y el servidor y establece las claves. IPsec protege después el tráfico que circula por el túnel. Suelen aparecer juntos como «IKEv2/IPsec», pero no son nombres intercambiables: IKEv2 se ocupa del intercambio de claves y ESP, parte de IPsec, transporta los datos protegidos.

La tabla de esta página está filtrada para mostrar solo VPN que ofrecen IKEv2/IPsec. Eso no significa que todas mantengan la conexión al cambiar de red: la continuidad depende, entre otras cosas, de que el servidor y el cliente admitan MOBIKE. Revisa también cómo se configura el protocolo y qué método de autenticación ofrece el plan.

Para situar los precios, en nuestra comparación completa de VPN hay 22 planes de 22 proveedores. En ese conjunto, los precios mensuales van de 0,74 € a 4,48 €, con una media de 2,62 €; no son cifras exclusivas de este filtro. La última sincronización de precios fue el 31 octubre 2026.

IKEv2 está definido en el estándar RFC 7296 y cuenta con clientes integrados en varios sistemas. Su diseño contempla la movilidad, pero eso no garantiza que cualquier configuración mantenga la sesión al cambiar de acceso. El servidor, la red por la que sales y la autenticación también influyen.

Clientes integrados: móvil y ordenador

Windows, macOS y iOS incluyen clientes IKEv2 en versiones compatibles. Puedes configurar el perfil desde los ajustes del sistema sin instalar una aplicación VPN específica, aunque necesitarás la dirección del servidor y las credenciales que facilite el servicio. En Windows 11, por ejemplo, puedes elegir IKEv2 como tipo de conexión.

En iPhone y Mac, el perfil nativo es útil si quieres gestionar la conexión desde los ajustes del dispositivo. Comprueba el certificado del servidor: el nombre de dominio completo (FQDN) que usas para conectar debe aparecer como nombre alternativo del sujeto. Si no coincide, iOS puede rechazar la conexión sin mostrar un aviso claro. No conviene aceptar una excepción para ocultar un error de identidad.

Android requiere más comprobaciones. Las referencias disponibles no coinciden en la versión mínima que ofrece IKEv2 de forma nativa. Antes de contar con que no necesitarás una app, revisa la documentación de tu versión y del servicio. Si el cliente del sistema no ofrece lo necesario, la aplicación de strongSwan es una alternativa con más opciones de configuración.

En Linux no hay una experiencia nativa única para todas las distribuciones. strongSwan es una implementación habitual y LibreSwan, otra opción. Si buscas conectar sin instalar una app, confirma la compatibilidad de tu sistema concreto: que el plan anuncie IKEv2 no asegura que tu distribución incluya el cliente o el perfil que necesitas.

El cambio entre Wi-Fi y datos depende de MOBIKE

MOBIKE, definido en RFC 4555, permite cambiar las direcciones IP asociadas a IKE y al túnel IPsec sin negociar de nuevo toda la conexión. Es la función que puede facilitar una transición cuando sales del alcance del Wi-Fi y el móvil pasa a la red celular. IKEv2, por sí solo, no garantiza que el túnel sobreviva al cambio.

Para que funcione, el cliente y el servidor deben admitir MOBIKE y tener una configuración compatible. La implementación también cuenta: un equipo puede admitir la función solo como receptor, no cuando inicia el túnel. Algunas combinaciones de direcciones, puertos o traducciones NAT pueden impedir que las respuestas lleguen por la ruta esperada. «Compatible con IKEv2» no confirma por sí solo que la itinerancia esté resuelta.

Si necesitas mantener una llamada o una sesión de trabajo al salir de casa, pregunta expresamente si el servidor VPN admite MOBIKE. Después, pruébalo en tu dispositivo: conecta por Wi-Fi, inicia una actividad y pasa a datos móviles. Observa si la conexión sigue activa o si el cliente vuelve a establecerla. Incluso con soporte, puede haber una pausa; no des por hecho que una llamada no se cortará.

La compatibilidad puede variar entre servidores o configuraciones de router. Valora la prueba en la red y el dispositivo que realmente usarás, no una promesa general sobre IKEv2. Si no te confirman MOBIKE, cuenta con que el túnel podría interrumpirse y reconectarse al cambiar de acceso.

Autenticación: valida bien la identidad

Los certificados permiten comprobar la identidad del servidor y, según la configuración, autenticar también al usuario o al dispositivo. EAP es otra opción que puede permitir autenticación mutua sin certificados de cliente. La elección depende de lo que admitan el servicio y el sistema, pero conviene que el dispositivo valide correctamente el servidor y que cada usuario tenga credenciales propias.

Algunos perfiles usan una clave precompartida (PSK), es decir, un secreto compartido entre los extremos. No la consideres equivalente a un sistema de certificados por el mero hecho de usar IKEv2. Las debilidades documentadas de IKEv1 con PSK de baja entropía son una advertencia sobre las claves débiles o reutilizadas; no permiten afirmar sin más que una PSK de IKEv2 sea segura o insegura en cualquier implementación.

Evita una clave corta compartida entre muchas personas o dispositivos. Si administras un servidor, valora certificados o EAP y protege las claves. Si usas una VPN comercial, revisa qué autenticación requiere el perfil. En móviles, un error en el nombre del certificado puede parecer un fallo de contraseña cuando el problema está en la identidad del servidor.

Puertos, redes y configuración del router

IKE suele usar UDP 500. Cuando hay NAT, NAT-T transporta IKE y ESP por UDP 4500. Si ESP no va encapsulado, circula como protocolo IP número 50. En redes de hoteles, empresas o routers con reglas estrictas, el bloqueo de UDP o ESP puede impedir la conexión aunque el perfil y las credenciales sean correctos.

Si falla solo en una red, prueba con otra antes de cambiar ajustes al azar. Una red que bloquea UDP o ESP no es adecuada para IKEv2. El protocolo no debe considerarse oculto ni diseñado para esquivar filtros. Si necesitas conectarte desde redes restrictivas, comprueba qué alternativas ofrece el servicio; OpenVPN sobre TCP 443 puede funcionar cuando la red permite ese tráfico.

También puedes usar IKEv2 en un router compatible. OpenWrt dispone de paquetes de strongSwan para configurar accesos remotos. Revisa el soporte de MOBIKE en el servidor y comprueba quién inicia la conexión: que el menú del router mencione IKEv2 no confirma que mantenga el túnel al cambiar de red. La documentación de la implementación concreta es más útil que una etiqueta general.

• Para pasar de Wi-Fi a datos sin una reconexión completa, verifica MOBIKE en cliente y servidor.
• Para diagnosticar fallos, comprueba UDP 500, UDP 4500 y ESP según haya o no NAT-T.
• Si usas certificado, confirma que el nombre del servidor aparece en él.
• En un router propio, revisa la documentación de la implementación y su función de iniciador o receptor.

Cuándo elegir IKEv2 frente a otras opciones

IKEv2/IPsec encaja si quieres usar el cliente integrado de un móvil u ordenador compatible, o si tu router ya lo admite. MOBIKE puede ayudar en dispositivos que alternan entre Wi-Fi y red móvil, siempre que el servidor implemente la función. Esa condición es la que debes confirmar antes de contar con una transición estable.

Compara también las opciones de WireGuard u OpenVPN que ofrezca el servicio. Importan la compatibilidad de tus equipos, la autenticación disponible y las redes desde las que te conectarás. IKEv2 no es la mejor opción si la red bloquea los protocolos o puertos que necesita; tampoco hay una garantía de continuidad al cambiar de cobertura.

Usa la tabla filtrada para localizar planes que declaran compatibilidad con IKEv2/IPsec y comprueba en cada ficha si puedes configurar el cliente del sistema o necesitas una app. Si te mueves entre redes, pregunta por MOBIKE de forma explícita. Si no puedes confirmarlo, elige contando con una posible interrupción y reconexión.