Introducción

Trabajar con OpenBSD es un gusto para quienes valoramos la seguridad y la simplicidad. Su sistema se organiza en base system más paquetes independientes, gestionados con pkg_add (o bien pkgin si has bootstrapeado pkgsrc). El usuario tipo suele ser administradores de sistemas o entusiastas de la seguridad, que prefieren escritorios ligeros como cwm, fvwm o Xfce (en Xenocara). Además, OpenBSD cuenta con su propio firewall (pf), un subconjunto de herramientas de red muy pulidas y una filosofía “secure by default”.

VPN más aptas para OpenBSD y por qué

• Mullvad:
  Ofrece soporte impecable de WireGuard (nativo en OpenBSD 6.8 ), configuración clara y documentación para pf. Sus archivos de configuración se adaptan fácilmente al esquema de /etc/hostname.wg y al sistema de servicios de rcctl.
• ProtonVPN:
  Dispone de perfiles OpenVPN que funcionan sin problemas en OpenBSD. Con pkg_add openvpn y un par de ajustes en /etc/rc.conf.local, podemos tenerlo arrancando al inicio. Muy adecuado si buscas auditoría rigurosa y cero logs.
• IVPN:
  Soporta tanto WireGuard como OpenVPN. Su documentación incluye ejemplos para ifconfig en OpenBSD y tiene plantillas de hostname.if que facilitan la integración con pf.
• Private Internet Access:
  Aunque su principal foco es Linux y Windows, ofrece configuraciones OpenVPN estándar que en OpenBSD funcionan perfectamente con rcctl. Ideal si ya eres usuario de PIA en otros sistemas.

Comparativa de las mejores VPN para OpenBSD

Instalación y configuración

Mullvad (WireGuard)

Vamos a aprovechar el soporte nativo de WireGuard en OpenBSD. Partimos de OpenBSD ≥6.8.

• Instalación de herramientas:

# pkg_add wireguard-tools

• Genera claves y obtén tu public key en la web de Mullvad.
• Crea /etc/hostname.wg0 con este contenido (ajusta IP/keys/endpoints):

inet 10.64.0.2/32
wgpeer TUPUBLICKEY wgendpoint 185.229.182.150 port 51820 wgkey TUPRIVATEKEY wgallowedips 0.0.0.0/0

• Habilita e inicia la interfaz:

# rcctl enable wg-quick@wg0    # si usas wg-quick
# rcctl start wg-quick@wg0
# rcctl enable ifconfig_wg0    # o bien simplemente
# rcctl start ifconfig_wg0

Si prefieres no usar wg-quick, basta con rcctl enable hostname_wg0.

ProtonVPN (OpenVPN)

Se apoya en la sólida implementación de OpenVPN de OpenBSD.

• Instala el cliente:

# pkg_add openvpn

• Descarga tu perfil .ovpn de ProtonVPN y colócalo en /etc/openvpn/client.conf.
• Modifica /etc/rc.conf.local para que arranque al inicio:

openvpn_flags=--config /etc/openvpn/client.conf

• Habilita e inicia:

# rcctl enable openvpn
# rcctl start openvpn

Puedes comprobar que la interfaz tun0 está operativa con ifconfig tun0 y revisar el estado de la conexión en /var/log/messages.

IVPN (OpenVPN y WireGuard)

IVPN proporciona ambas configuraciones. Vamos con OpenVPN como ejemplo:

# pkg_add openvpn
# wget -O /etc/openvpn/ivpn.conf https://www.ivpn.net/config/openvpn/ovpn.zip
# unzip /etc/openvpn/ivpn.conf -d /etc/openvpn/
# rcctl enable openvpn
# rcctl start openvpn

Para WireGuard sigue un esquema muy similar al de Mullvad: genera claves, descarga el archivo .conf de IVPN, ubícalo en /etc/hostname.wg1 y arranca con rcctl enable hostname_wg1 rcctl start hostname_wg1.

Conclusión

En resumen, Mullvad, ProtonVPN e IVPN son opciones muy recomendables para entornos OpenBSD. Cada una ofrece distintos protocolos, pero todas se integran “a la OpenBSD” mediante pkg_add, rcctl y archivos de /etc/hostname. o rc.conf.local. De esta manera, mantienes la filosofía de seguridad y mínima huella que caracteriza a nuestra BSD favorita.