¿Qué es PPTP VPN? El protocolo de túnel punto a punto explicado
PPTP es uno de los protocolos VPN más antiguos que todavía hoy sigue en uso. Aunque aún se puede configurar una VPN basada en PPTP en dispositivos antiguos y en Windows 10 y 11, está ampliamente considerado como obsoleto, inseguro y poco fiable, hasta tal punto que la mayoría de los proveedores de VPN han dejado de ofrecer compatibilidad con este protocolo.
Esta guía explica qué es PPTP VPN, cómo funciona en realidad y por qué ya no cumple las expectativas actuales. También puedes ver una comparativa con los protocolos actuales como OpenVPN y WireGuard.
¿Qué es PPTP VPN?
El protocolo de túnel punto a punto (PPTP) es uno de los protocolos VPN más antiguos. Fue creado por Microsoft a mediados de los años 90 para dar a los usuarios remotos acceso a redes corporativas a través de Internet. En aquella época era muy rápido y fácil configurarlo, algo necesario en la era de la conexión por módem.
Al igual que cualquier otro protocolo VPN, PPTP dirige el tráfico de Internet a través de un túnel hasta un servidor VPN antes de enviarlo a su destino. En teoría, ese túnel está cifrado. En la práctica, los métodos de cifrado y autenticación de los que depende PPTP no son adecuados para las necesidades de seguridad actuales.
PPTP usa MS-CHAPv2, un método de cifrado que las computadoras modernas pueden descifrar en cuestión de horas, a veces incluso minutos. Una vez comprometido, los atacantes pueden deducir la clave que usa el tráfico de cifrado punto a punto de Microsoft y descifrar los datos que pasan por el túnel.
Como consecuencia de estas debilidades, los expertos en seguridad recomiendan evitar PPTP y la mayoría de los proveedores de VPN lo han abandonado por completo, como es el caso de Private Internet Access. PIA solo es compatible con protocolos modernos que cumplen estándares de cifrado actualizados.
Microsoft también ha dejado de usar PPTP en favor de protocolos más seguros como SSTP o IKEv2, aunque es posible que PPTP siga funcionando en configuraciones antiguas.
Cómo funciona PPTP
PPTP combina varios componentes más antiguos para crear un túnel VPN. Juntos gestionan la configuración, autenticación y cifrado de la conexión, así como el transporte de datos:
- Protocolo de control de transmisión (TCP) 1723: maneja las funciones de control de PPTP como el establecimiento, configuración y gestión de la sesión entre tu dispositivo y el servidor VPN.
- MS-CHAPv2: autentica tu conexión usando un mecanismo de desafío-respuesta que compara tu respuesta en forma de contraseña con función hash con lo que espera el servidor.
- Cifrado punto a punto de Microsoft (MPPE): cifra tu tráfico y lo hace ilegible sin una clave de sesión concreta.
- RC4: sistema de cifrado que distorsiona el tráfico de byte en byte usando una única clave de sesión.
- Protocolo punto a punto (PPP): encapsula y estructura el tráfico de Internet, asigna una dirección IP virtual y define las reglas de direcionamiento.
- Encapsulado de enrutamiento genérico (GRE): envuelve los paquetes PPP para que puedan viajar a través del túnel VPN por redes IP estándar, como la Internet pública.
Así es exactamente como se desplaza el tráfico cuando se usa PPTP VPN:
- Inicio de conexión: tu dispositivo abre un canal de control al servidor VPN en el puerto TCP 1723.
- Negociación de la sesión: en el canal de control TCP, el servidor VPN y tu dispositivo negocian varios parámetros para la sesión PPP; por ejemplo, el tamaño de los paquetes, la compresión y los métodos de corrección de errores.
- Desafío de autenticación: tras acordar los aspectos básicos de la sesión, el servidor VPN desafía a tu cliente a que se autentique. El servidor VPN envía un valor aleatorio; tu dispositivo lo combina con tu contraseña para crear un hash MS-CHAP v2 y lo devuelve.
- Respuesta de autenticación: el servidor VPN compara tu respuesta con lo que espera (ya que conoce el hash de contraseña correcto). Si coinciden, te autentica. En esta etapa, MS-CHAPv2 ha verificado tus credenciales. Si falla la autenticación, se deniega la conexión.
- Generación de clave: si el hash coincide, tu dispositivo y el servidor VPN generan una clave de sesión RC4 para el cifrado MPPE. MPPE cifrará todos tus datos de VPN con el cifrado RC4 y esta clave. Después de este punto, todo el tráfico PPTP está cifrado con RC4 usando esta clave.
- Encapsulado: el servidor VPN asigna una dirección IP virtual a tu dispositivo (de forma que ahora tu dispositivo tenga una dirección IP de la red VPN) y tus datos forman paquetes PPP. PPP envuelve cada paquete de red que envías, preparándolo para el transporte.
- Tunelizado: cada paquete PPP está encapsulado en paquetes GRE para formar el túnel VPN. Estos paquetes encapsulados en GRE son los que en realidad viajan por Internet como túnel VPN.
- Direccionamiento: un router con paso directo PPTP reenvía los paquetes GRE al servidor VPN.
- Descifrado y entrega: el servidor VPN descifra los paquetes, extrae los datos y los envía a su destino en Internet.
PPTP usa uno de estos dos modos. En el modo voluntario, tu dispositivo inicia el túnel VPN después de conectarse a Internet. En el modo obligatorio, la red fuerza todo el tráfico a pasar por un túnel VPN antes de llegar a Internet.
Pros de PPTP
| Ventaja | Explicación |
| Compatible con sistemas antiguos | A principios de los años 2000, PPTP era la opción VPN por defecto en las versiones más antiguas de Windows, macOS y plataformas para dispositivos móviles. En algunos dispositivos antiguos que requieran una VPN, es probable que PPTP sea la única opción. |
| Funciona en hardware lento | El cifrado de flujo RC4 de PPTP requiere poca potencia de procesamiento. Se ejecuta sin problema en portátiles y routers viejos, así como en dispositivos integrados. |
| Sencillo de instalar | Normalmente, la instalación únicamente requiere una dirección de servidor, un nombre de usuario y una contraseña. No necesitas instalar certificados o software de terceros en plataformas compatibles. |
| Se puede usar con tráfico que no sea confidencial | El cifrado frágil de PPTP lo hace aceptable para aislar dispositivos invitados, probar conexiones VPN o encaminar datos no confidenciales por internet. |
Contras de PPTP
| Inconvenientes | Explicación |
| El cifrado RC4 es frágil | RC4 tiene una clave de 128 bits que debería ser potente, pero las debilidades en su proceso de generación de claves dejan pistas en los datos cifrados que los atacantes pueden aprovechar para descifrarlos y, además, el cifrado produce resultados sesgados y predecibles que reducen su fortaleza efectiva. Esto hace que PPTP sea vulnerable a los ataques de fuerza bruta y el análisis estadístico moderno. |
| MS-CHAPv2 es susceptible a ciberataques | Los atacantes pueden descifrar los hash de MS-CHAPv2 mediante tablas precalculadas o herramientas de fuerza bruta, por lo que este método de autenticación resulta inseguro según los estándares actuales. |
| No admite secreto perfecto hacia adelante | MPPE y RC4 usan una única clave de cifrado que no se renueva ni se actualiza durante la sesión. Si esta clave queda expuesta, los atacantes podrían leer la mayoría de tus datos web pasados y futuros. |
| Sin compatibilidad con NAT traversal | Los routers usan Traducción de Direcciones de Red (NAT) para rastrear las conexiones salientes usando los números de puertos TCP o UDP. PPTP envía sus datos sobre GRE (que no tiene puertos), por lo que muchos routers requieren el paso directo de PPTP (compatibilidad con GRE) para que la conexión funcione correctamente. |
PPTP vs. otros protocolos VPN (L2TP, IKEv2, OpenVPN, WireGuard)
Comparado con protocolos como IKEv2, OpenVPN y WireGuard, PPTP se queda corto en casi todas las categorías importantes hoy en día: desde la potencia de cifrado y gestión de claves a la compatibilidad con cortafuegos y fiabilidad a largo plazo.
| Protocolo | Cifrado | Secreto perfecto hacia adelante | Nivel de compatibilidad con NAT | Tasa de transferencia media | Valoración de seguridad | Dispositivos compatibles |
| PPTP | MPPE con RC4 (descifrado) | No | Requiere paso directo de GRE para funcionar | Alta en sistemas antiguos | Baja | Windows y routers antiguos |
| L2TP + IPSec | AES-256 (dependiente de la configuración) | Configurable | Requiere puertos UDP 500 y 4500 | Media | Media | Integrado en la mayoría de los SO |
| IKEv2 + IPSec | AES-256-GCM / ChaCha20 | Sí | Muy potente en roaming/dispositivos móviles | Alta | Muy alta | La mayoría de los SO, routers |
| OpenVPN | AES-256-GCM / ChaCha20 | Sí | Funciona en cualquier puerto usando TCP o UDP | Muy alta | Muy alta | La mayoría de los SO (necesita cliente) |
| WireGuard | ChaCha20-Poly1305 | Sí | Usa un único puerto UDP (51820) | Muy alta | Muy alta | La mayoría de los SO (adopción más reciente) |
Esto es lo que significan estas características en términos sencillos:
- Cifrado: convierte tus datos de Internet en código ilegible que solo puede descifrar alguien que tenga la clave correcta. Los estándares de cifrado más robustos hacen que sea más difícil descifrarlos
- Secreto perfecto hacia adelante: genera claves de cifrado únicas para cada sesión de VPN y las cambia periódicamente para que, aunque una clave acabe comprometida, esta no deje expuestas sesiones pasadas y futuras.
- Nivel de compatibilidad con NAT: describe lo bien que un protocolo VPN funciona con Traducción de Direcciones de Red (NAT), el sistema que utilizan la mayoría de los routers domésticos y redes públicas para permitir que varios dispositivos compartan una sola dirección IP pública. Los protocolos muy compatibles con NAT se conectan de forma más fiable a través de cortafuegos y routers sin necesidad de una configuración especial.
- Tasa de transferencia: mide cuántos datos puede enviar o recibir la VPN por segundo. Una tasa de transferencia más alta proporciona velocidades más altas para la navegación, el streaming o la transferencia de archivos.
¿Cuándo deberías usar PPTP VPN?
La respuesta corta es que no deberías usarlo, a no ser que no tengas otra opción como, por ejemplo, cuando:
- Conectas un dispositivo antiguo que no admite protocolos VPN modernos.
- Estás aislando tráfico no confidencial (como dispositivos de invitados conectados por wifi) en una red privada.
- Estás probando la configuración VPN o solucionando problemas de compatibilidad.
Las VPN de alta calidad como PIA usan protocolos muy seguros y rápidos que funcionan en casi cualquier dispositivo o router moderno. Lo mejor de todo es que puedes probar PIA con una garantía de reembolso de 30 días para comprobar si es adecuada para ti.
Cómo configurar PPTP VPN
Si PPTP es la única opción disponible, puedes configurarlo usando el cliente de VPN integrado en tu sistema operativo. Se hace así:
Es mejor configurar la VPN en redes privadas y seguras. El entorno ideal sería tu casa o una red wifi de oficina. Los puntos de acceso públicos hacen que el débil cifrado de PPTP sea incluso más fácil de interceptar, por lo que tu actividad podría quedar a merced de los atacantes que estén conectados a la misma red.
1. Recopila los datos de tu VPN
Obtén la dirección del servidor (nombre de host o IP), el nombre de usuario, la contraseña y el nombre de dominio si fuera necesario. El nombre de dominio es un campo opcional (normalmente en redes corporativas) que identifica el conjunto de credenciales de inicio de sesión asociadas a tu cuenta.
Si vas a registrar una cuenta PPTP VPN, crea una contraseña potente y única (con letras, números y símbolos).
2. Abre los ajustes integrados de la VPN
Usa un cliente de VPN integrado en tu sistema operativo (si tu versión lo admite):
- Windows: Configuración > Red e Internet > VPN > Agregar una conexión VPN > PPTP.
- macOS: Preferencias del sistema > Red > Agregar interfaz > VPN > PPTP (no disponible en macOS 10.12 o posteriores).
- Android: Ajustes > Red e Internet > VPN > Agregar VPN > PPTP.
- iOS: General > VPN > Agregar configuración de VPN > PPTP (no disponible en iOS 10 y posteriores).
3. Introduce la información de conexión PPTP VPN
Rellena las credenciales en tu dispositivo.
- Nombre de la conexión: da el nombre que quieras a la conexión.
- Nombre o dirección del servidor: la dirección del servidor VPN proporcionada por tu administrador o tu proveedor.
- Tipo de VPN: selecciona Protocolo de túnel punto a punto (PPTP).
- Nombre de usuario y contraseña: introduce el nombre de usuario y contraseña que recopilaste antes.
4. Guarda y conéctate
Guarda la configuración, selecciona tu conexión VPN y pulsa en Conectar.
Restringe el uso a tareas esenciales, desconéctate cuando no necesites la VPN y cambia tu contraseña regularmente.
5. Configura ajustes avanzados de seguridad (opcional)
Puedes modificar los ajustes de la conexión PPTP para que se adapten a tus necesidades. Aconsejamos establecer la autenticación en MS-CHAPv2 y habilitar el cifrado.
Windows: Configuración > Red e Internet > VPN > [tu conexión PPTP] > Opciones avanzadas > Editar > Pestaña Seguridad
- Autenticación: selecciona Microsoft CHAP versión 2 (MS-CHAP v2)
- Cifrado: establécelo en Requiere cifrado (desconectarse si el servidor lo deniega)
macOS: Preferencias del sistema > Red > [conexión PPTP] > Ajustes de autenticación
- Autenticación: elige MS-CHAPv2
- Cifrado: marca Enviar todo el tráfico por la conexión VPN (para forzar el cifrado)
Android: Ajustes > Red e Internet > VPN > [tu PPTP VPN] > Editar
- Nombre de usuario y contraseña: usa tus credenciales
- Cifrado: Android usa automáticamente cifrado MPPE con PPTP
- Autenticación: en la mayoría de los dispositivos Android se usa MS-CHAPv2 por defecto (sin botón de activado manual)
iOS: Ajustes > General > VPN > [conexión PPTP] > Editar configuración
- Autenticación: establécelo en Contraseña (iOS usa MS-CHAPv2 en segundo plano)
- Cifrado: habilitado por defecto con MPPE
Preguntas frecuentes
¿Qué es una PPTP VPN y cómo funciona?
PPTP es un protocolo VPN antiguo que crea una conexión segura al encapsular tu tráfico de Internet usando PPP y GRE, y cifrándolo con MPPE de Microsoft usando el cifrado RC4. Usa el puerto TCP 1723 para el control de la conexión y GRE para la transferencia de datos. Aunque es relativamente simple y rápido, su seguridad está considerada obsoleta según los estándares actuales.
¿Es PPTP VPN todavía seguro para el uso moderno?
Los numerosos defectos de PPTP lo convierten en un protocolo poco seguro para los requisitos actuales. Por ejemplo, usa el cifrado RC4 y MS-CHAPv2 para la seguridad de inicio de sesión, que son susceptibles a los ataques de fuerza bruta (se adivinan las claves a base de prueba y error) y tienen fallos criptográficos que permiten descifrar los datos. Además, este protocolo no actualiza las claves de cifrado con cada sesión, por lo que, una vez descifrada una clave, los atacantes pueden leer todo lo que enviaste por la VPN.
¿Cómo configuro un servidor PPTP VPN?
Para configurar un servidor PPTP VPN, ve a la red de tu servidor o ajustes compartidos, habilita conexiones entrantes, elige PPTP como protocolo, crea cuentas de usuario y permite accesibilidad VPN. No olvides redirigir el puerto TCP 1723 en tu router y activar el paso directo de PPTP si es necesario.
¿Puedo usar PPTP VPN en dispositivos Mac?
Sí, puedes usar PPTP VPN en tu Mac si funciona con macOS 10.11 (El Capitan) o anteriores. Apple eliminó la compatibilidad con PPTP a partir de macOS 10.12 (Sierra).
¿Qué es un túnel VPN punto a punto?
Un túnel VPN punto a punto es una conexión directa y cifrada entre dos dispositivos o redes a través de Internet. Permite transferir datos seguros como si ambos estuvieran en la misma red. PPTP (protocolo de túnel punto a punto) se basa en un cifrado básico y autenticación para crear un enlace privado, con frecuencia entre un dispositivo de usuario y un servidor VPN.
¿Cómo configuro una conexión VPN punto a punto?
Depende de tu sistema operativo, ya que los pasos difieren para Windows, macOS, Android e iOS. Puedes usar nuestra guía para configurar PPTP VPN anterior.
¿Cuáles son las diferencias entre PPTP y otros protocolos VPN?
PPTP usa un cifrado obsoleto (RC4), se basa en GRE y tiene problemas con los routers NAT o los cortafuegos restrictivos. A diferencia de los protocolos modernos, no usa certificados basados en TLS o mecanismos modernos de intercambio de claves. Las opciones más actuales, como WireGuard u OpenVPN, usan un cifrado seguro, admiten secreto perfecto hacia adelante y se conectan mejor en configuraciones complejas de red sin necesidad de ajustes de paso directo.
¿Por qué PPTP está considerado obsoleto por algunos expertos en seguridad?
PPTP está obsoleto porque se basa en un cifrado débil y una autenticación vulnerable, ambos fácilmente penetrables por los atacantes. Además, carece de secreto perfecto hacia adelante, lo que significa que si una sesión resulta comprometida, todos los datos pasados y futuros en los que se usara la misma clave podrían quedar expuestos. Los protocolos VPN más modernos ofrecen una seguridad mucho más robusta.
¿Se puede usar una VPN de punto a punto para conexiones de sitio a sitio?
Sí, técnicamente, puedes usar una VPN de punto a punto como PPTP para conexiones de sitio a sitio. Sin embargo, PPTP no tiene un cifrado potente y funciones de seguridad modernas, por lo que no es muy bueno para proteger datos confidenciales de empresas. Además, tiene problemas de compatibilidad con NAT y es probable que falle al enfrentarse a las reglas modernas de los cortafuegos. En su lugar, es mejor usar IPSec, OpenVPN o WireGuard.
¿Qué es el paso directo PPTP?
El paso directo PPTP es un ajuste del router que permite al puerto TCP 1723 y al protocolo GRE 47 pasar a través de tu red. Sin él, PPTP no se conecta adecuadamente cuando intenta pasar por la mayoría de los routers y cortafuegos.
¿PPTP todavía tiene utilidad en una red moderna?
Solo en unos pocos casos. Puedes seguir usando PPTP para probar sistemas antiguos, instalar redes de invitados sencillas o recopilar datos no confidenciales de sensores. Ten en cuenta que siempre deberías aislarlo de los sistemas seguros y evitarlo en cualquier situación en la que importe la privacidad, la autenticación o la seguridad de los datos.
