Cliente para Windows 1.1.1
WireGuard cifra el paquete y luego elige el par por la clave pública.
WireGuard es un túnel VPN de capa 3 para quien ya tiene un par al que llegar. Esta descarga de WireGuard VPN es el cliente para Windows, versión 1.1.1, etiquetada el 20 de septiembre de 2026. El MSI amd64 pesa 3.3 MB y la licencia es MIT. Funciona en Windows 10, Windows 11 y Server 2016 a 2025.
Versión 1.1.1. 20 de septiembre de 2026. MSI amd64 3.3 MB. Licencia MIT. Windows 10, 11 y Server 2016 a 2025.
Actualizado el .
Cryptokey Routing
- 1. Paquete dst 10.10.10.230 IP en claro, aún sin cifrar.
- 2. Par gN65BkIK... AllowedIPs coincide con esta clave pública.
- 3. UDP endpoint :51820 Envío al último endpoint autenticado.
Ejemplo publicado en la descripción del proyecto. No es una clave real. Cuando llega un paquete, la misma tabla comprueba el acceso según la dirección de origen.
¿Qué es WireGuard?
WireGuard añade una interfaz de túnel, a menudo llamada wg0 en otros sistemas, y un túnel de Windows por cada configuración. Le das tu clave privada y la clave pública de cada par. Encapsula paquetes IP en UDP. No incluye inicio de sesión, suscripción ni servidor de salida.
El programa para Windows es el cliente WireGuardNT. Jason A. Donenfeld es el autor que nombra el proyecto. Tras importar un .conf o un .zip, Activate (Activar) levanta el túnel. La ventana muestra entonces el último handshake y un recuento de transferencia del par.
Qué hace realmente el cliente
Cinco partes del cliente, cada una enlazada a su propia sección.
-
Criptografía fija
Noise_IKpsk2 con Curve25519, ChaCha20-Poly1305, BLAKE2s, SipHash24 y HKDF. Una sola construcción, no un menú de cifrados.
Abrir la tabla de primitivas -
Cryptokey Routing
Cada par tiene una clave pública y una lista AllowedIPs. Los paquetes de salida eligen un par. Los paquetes de entrada deben proceder de esa lista.
Ver las reglas de enrutamiento -
Itinerancia y keepalive
El endpoint de un par se actualiza con el último paquete autenticado. PersistentKeepalive se queda en 0, salvo que NAT necesite 25 segundos.
Cuándo poner 25 segundos -
Servicios de Windows
WireGuardManager dibuja la interfaz de la bandeja. Cada túnel es su propio servicio, WireGuardTunnel$ más el nombre de la configuración. Las configuraciones se guardan con DPAPI.
Lista de comandos -
Block untunneled traffic (Bloquear el tráfico fuera del túnel)
Un par con 0.0.0.0/0 o ::/0 activa el interruptor de corte. Si el túnel cae, el tráfico no sale por la conexión normal.
Restaurar una ruta atascada
Quién llega con un archivo de configuración
- Laboratorio en casa
- Importa un .conf y limita AllowedIPs a la LAN de casa. El tráfico web conserva la ruta normal. Pasos de importación
- Túnel completo de oficina
- Un par con 0.0.0.0/0 activa Block untunneled traffic, así que una caída en una cafetería no derrama la sesión. Comportamiento del interruptor de corte
- Portátil que cambia de red
- La itinerancia reescribe el endpoint a partir del último paquete autenticado. No reinicias el túnel solo porque cambió el Wi-Fi. Notas de itinerancia
- Despliegue de administración
- Despliega el MSI, también con la Directiva de grupo. DO_NOT_LAUNCH omite la ventana tras la instalación. Cada configuración puede ser su propio servicio de túnel. Archivos MSI
WireGuard, OpenVPN e IPsec
El proyecto describe WireGuard frente a IPsec y OpenVPN. El libro blanco sitúa la implementación de Linux por debajo de 4.000 líneas, sin contar las primitivas criptográficas. Una comparación de Softonic sitúa OpenVPN cerca de 100.000 líneas. Aquí no se inventa ninguna prueba de velocidad.
| Criterio | WireGuard | OpenVPN | IPsec |
|---|---|---|---|
| Transporte | UDP | TCP o UDP | ESP, normalmente negociado con IKE |
| Identidad | Claves públicas cortas, intercambiadas como las claves SSH | Certificados o una clave estática, sobre TLS | Certificados y política IKE |
| Elección de cifrado | Noise_IKpsk2_25519_ChaChaPoly_BLAKE2s fijo | Un menú TLS | Suites negociadas |
| Tamaño que se cita | Menos de 4.000 líneas de Linux en el libro blanco, sin primitivas | Cerca de 100.000 líneas en la comparación de Softonic | El proyecto llama a las pilas habituales grandes y difíciles de auditar |
| Itinerancia | Endpoint sigue al último paquete autenticado | Estado de sesión | Estado de IKE y de la política |
| Control de fugas en Windows | Block untunneled traffic cuando un par tiene una ruta /0 | Depende de ese cliente | Depende de ese cliente |
| Cuenta en la aplicación de Windows | Ninguna | Depende del servidor | Depende del servidor |
Comprueba el archivo antes de ejecutarlo
El instalador de Windows elige el MSI según la CPU, comprueba la firma y el hash, y luego lo ejecuta. Esta página no imprime un resumen. Un resumen solo sirve si lo comparas con el archivo de tu carpeta de descargas. Comprueba primero la versión y el tamaño: 1.1.1, amd64 o x86 a 3.3 MB, arm64 a 2.9 MB.
Algunos catálogos aún muestran 0.5.3 del 23 de diciembre de 2021, unos 2.89 MB, con una puntuación de 4.6 en ese listado antiguo. Ese no es este cliente. Confianza, licencia y uso aceptable
- MIT en Windows El repositorio de Windows declara una licencia MIT. Sin cuota por puesto. Sin cuenta.
- DPAPI en reposo El administrador cifra una configuración importada a .conf.dpapi y la limita a Local System.
- Los registros se quedan en el equipo El registro circular está en el PC. Solo sale si lo guardas o ejecutas wireguard /dumplog hacia un archivo.
- El hash cambia Un analizador puede poner wireguard.exe en cuarentena tras una actualización porque cambió el hash del archivo. Qué comprobar
Informes de campo
Informes publicados. La extensión varía. Uno de ellos es una queja sobre una compilación más antigua.
El handshake no se completó a los 5 segundos y reintenta. Reiniciar el túnel lo resolvía casi siempre. Apareció en cerca de una docena de PC con Windows, a veces cada semana, mientras los ping a la dirección del par seguían funcionando.
McAfee puso wireguard.exe en cuarentena justo después de una actualización. Una excepción duró hasta que la siguiente compilación cambió el hash, y entonces se descartó.
El ping a través del túnel funcionaba. HTTP no. El soporte de G Data lo llamó una incompatibilidad fundamental y sugirió apagar el cortafuegos, conectar y volver a encenderlo.
El catálogo llama a esa compilación antigua simple y más rápida que las instalaciones de OpenVPN e IPsec que comparó. También la llama inestable, escasa en soporte de controladores de Windows y sin mesa de soporte técnico.
Respuestas breves
El cliente para Windows es gratis y el repositorio lo licencia bajo MIT. No hay puesto que comprar ni cuenta que crear. Sigues necesitando un par que tengas permiso de usar. Esta descarga es el programa de túnel, no una VPN alojada.
Sí. El proyecto incluye Windows 10, Windows 11 y Windows Server 2016, 2019, 2022 y 2025. El cliente actual para Windows es 1.1.1, etiquetado el 20 de septiembre de 2026.
Un informe de mayo de 2021 describió que McAfee puso wireguard.exe en cuarentena tras una actualización y luego descartó la excepción cuando cambió el hash. Comprueba la versión 1.1.1 y el tamaño de la página de descarga antes de restaurar un archivo.
No. La aplicación importa una configuración e intercambia UDP cifrado con un par que ya tienes. No te da un nodo de salida ni una cuenta.
Si un par tiene AllowedIPs de 0.0.0.0/0 o ::/0, Block untunneled traffic permanece activo para que los paquetes no se filtren a la conexión normal. Usa Deactivate en el túnel para levantar ese bloqueo.
Obtener el cliente 1.1.1
Los MSI amd64 y x86 pesan 3.3 MB. El MSI arm64 pesa 2.9 MB. El instalador comprueba la firma y el hash antes de ejecutar el MSI.