WireGuard es un protocolo VPN moderno que utiliza criptografía de curva elíptica (Curve25519) para establecer túneles seguros con un handshake minimalista. En FreeBSD 14.3, WireGuard se integra nativamente a través del módulo del kernel if_wg, eliminando la necesidad de herramientas externas como wg-quick.

Fundamentos Técnicos

• Arquitectura: Modelo de túnel basado en interfaces de red virtuales (wg0, wg1)
• Criptografía: ChaCha20-Poly1305 para cifrado, BLAKE2s para hashing, Curve25519 para DH
• Estado de conexión: Stateless design con keepalive automático (persistent keepalive)
• Claves: Pares públicos/privados por peer, sin infraestructura PKI centralizada

Diferencias Clave vs OpenVPN/IPsec

• Rendimiento: Operaciones en espacio de usuario, sin copias de memoria innecesarias
• Simplicidad: Configuração con solo 3 parámetros por peer (clave pública, endpoint, allowed-ips)
• Seguridad: Sin handshake complejo, solo intercambio de claves estáticas

• Protocolo minimalista con criptografía moderna
• Integración nativa en kernel FreeBSD 14.3
• Sin handshake complejo ni PKI obligatoria

La implementación en FreeBSD 14.3 requiere configurar el módulo if_wg, generar claves, y crear reglas PF para permitir el tráfico UDP/51820 y enrutar paquetes entre redes.

Paso 1: Configuración del Módulo y Claves

bash

Cargar módulo WireGuard

kldload if_wg

Generar claves (servidor)

wg genkey | tee private.key | wg pubkey > public.key

Crear interfaz wg0

ifconfig wg0 create

Paso 2: Configuración de la Interfaz

bash

Configurar servidor (FreeBSD)

ifconfig wg0 10.0.0.1/24
wgkey $(cat private.key)
wgpeer <clave-publica-peer>
wgendpoint 192.168.1.100 51820
wgaallowedips 10.0.0.2/32,192.168.2.0/24
wgpersistentkeepalive 25

Paso 3: Reglas PF para Firewall y NAT

pf.conf

Permitir tráfico WireGuard entrante

pass in on $ext_if proto udp from any to any port 51820

Permitir tráfico desde la VPN hacia redes internas

pass in on wg0 from 10.0.0.0/24 to 192.168.1.0/24

NAT para salida a Internet desde VPN

pass out on $ext_if from 10.0.0.0/24 to any nat-to ($ext_if)

Paso 4: Routing entre Redes

bash

Habilitar forwarding

sysctl net.inet.ip.forwarding=1

Ruta estática hacia red remota

route add -net 192.168.2.0/24 10.0.0.2

El routing se maneja mediante tablas de enrutamiento estándar de FreeBSD, permitiendo que el túnel WireGuard actúe como gateway entre redes.

• Configuración de interfaz con comandos `ifconfig` nativos
• Reglas PF específicas para filtrado y NAT
• Habilitación de IP forwarding y rutas estáticas

WireGuard en FreeBSD 14.3 resuelve problemas críticos de infraestructura: acceso remoto seguro a NAS, interconexión de sucursales, y teletrabajo sin VPNs comerciales costosas.

Casos de Uso Reales

• Teletrabajo seguro: Empleados acceden a 192.168.1.0/24 (oficina) desde casa con latencia <20ms
• Backup remoto: NAS FreeBSD envía datos cifrados a DR site via túnel persistente
• IoT industrial: Sensores en fábricas envían datos a centro de procesamiento sin exponer IPs públicas

Métricas de Impacto

• Coste: $0 (software libre) vs $500/año (solutions comerciales)
• Rendimiento: Throughput de 1 Gbps en hardware moderno (AES-NI no requerido)
• Latencia: 0.5ms adicional por hop vs 2-5ms con OpenVPN

ROI Medible

Una empresa con 50 teletrabajadores ahorra ~$25,000/año en licencias, mientras mejora la experiencia de usuario con conexiones más rápidas y estables. La integración con PF permite microsegmentación: cada peer puede tener reglas de firewall específicas.

Ventajas Competitivas

• Escalabilidad: Añadir peers toma segundos, sin reconfigurar todo el túnel
• Resiliencia: Keepalive de 25s detecta caídas en <30s
• Auditoría: Logs de PF detallan exactamente qué tráfico pasa por el túnel

• Ahorro de costes en licencias VPN comerciales
• Rendimiento superior con latencia mínima
• Microsegmentación con reglas PF granulares

WireGuard en FreeBSD es ideal cuando necesitas VPNs site-to-site, acceso remoto a infraestructuras críticas, o interconexión de redes heterogéneas (FreeBSD ↔ Linux).

Mejores Prácticas

1. Claves: Rotar claves cada 90 días; usa wg set para actualización en caliente
2. Endpoints: Usa DNS dinámico (ddclient) para IPs cambiantes
3. Firewall: Siempre usa PF; evita ipfw para WireGuard (PF es más eficiente)
4. MTU: Ajusta MTU a 1420 para evitar fragmentación (evita overhead de 802.1Q si usas VLANs)
5. Persistent Keepalive: 25s para NAT; 300s para conexiones simétricas

Errores Comunes a Evitar

• No habilitar forwarding: sysctl net.inet.ip.forwarding=1 es obligatorio
• Reglas PF incorrectas: Olvidar pass in on wg0 bloquea todo el tráfico
• Allowed-IPs demasiado amplios: 0.0.0.0/0 expone toda la red; usa subnets específicas
• Claves mezcladas: No uses la misma clave pública para múltiples peers

Configuración Recomendada para Linux Peer

bash

Arch Linux / Debian: instalar wireguard-tools

pacman -S wireguard-tools # o apt install wireguard

Configurar peer

wg set wg0 peer <clave-publica-freebsd>
endpoint <ip-freebsd>:51820
allowed-ips 10.0.0.0/24,192.168.1.0/24
persistent-keepalive 25

Verificar conexión

wg show wg0

Cuándo NO Usar WireGuard

• Firewalls stateful complejos: WireGuard es UDP; algunos firewalls bloquean UDP/51820
• Requiere PKI centralizada: WireGuard no tiene CA; usa OpenVPN si necesitas X.509
• Multicast: No soporta multicast nativamente (solución: relay con smcroute)

• Ideal para site-to-site y acceso remoto seguro
• Evita `0.0.0.0/0` en allowed-ips; usa subnets específicas
• Ajusta MTU y persistent-keepalive según tu red

Caso práctico: Interconectar NAS FreeBSD en 192.168.1.100 con servidor Linux en 192.168.2.200 para backup remoto cifrado.

Escenario

• FreeBSD NAS: IP pública 203.0.113.10, red interna 192.168.1.0/24
• Linux Server: IP pública 198.51.100.20, red interna 192.168.2.0/24
• Objetivo: Backup NFS cifrado entre redes

Configuración FreeBSD (NAS)

bash

/etc/rc.conf

ifconfig_wg0="10.0.0.1/24 wgkey <privada> wgpeer <publica-linux> wgendpoint 198.51.100.20 51820 wgaallowedips 10.0.0.2/32,192.168.2.0/24 wgpersistentkeepalive 25"

/etc/pf.conf

ext_if="em0" pass in on $ext_if proto udp to port 51820 pass in on wg0 from 10.0.0.2 to 192.168.1.0/24

Configuración Linux (Servidor)

bash

/etc/wireguard/wg0.conf

[Interface] Address = 10.0.0.2/24 PrivateKey = <clave-privada-linux> ListenPort = 51820

[Peer] PublicKey = <clave-publica-freebsd> Endpoint = 203.0.113.10:51820 AllowedIPs = 10.0.0.1/32, 192.168.1.0/24 PersistentKeepalive = 25

Activar

wg-quick up wg0

Verificación y Debug

bash

FreeBSD

wg show wg0 # Muestra peers, transferencias, últimos handshake ifconfig wg0 # Ver interfaz y IPs netstat -rn | grep 192.168.2 # Ver ruta

Linux

wg show wg0 ip route show # Ver ruta hacia 192.168.1.0/24 ping -c 3 192.168.1.100 # Test de conectividad

Resultado

• Handshake: <1s inicial, keepalive cada 25s
• Throughput: 940 Mbps (test con iperf3 entre redes)
• Seguridad: Tráfico cifrado con ChaCha20-Poly1305, sin exposición de IPs internas
• Backup: rsync -avz /datos/ usuario@192.168.1.100:/backup/ funciona transparentemente

• Configuración simétrica en ambos extremos
• Verificación con `wg show` y `ping`
• Throughput cercano a 1 Gbps en hardware estándar