MeduzaVPN no obliga a usar nuestra propia aplicación: en tu cuenta se entregan las mismas configuraciones que entienden clientes externos: v2rayN, Karing, OpenVPN Connect, Shadowsocks, el VPN del sistema en iPhone y Mac. Explicamos qué archivo o enlace tomar para cada cliente, qué escribir en campos confusos como el core o el puerto local, y dónde empiezan las limitaciones honestas de los routers.
Este material es para quien configura la conexión a mano: en un dispositivo sin nuestra aplicación, en un portátil de trabajo, en un decodificador o en un router. Si no tienes esa necesidad, la aplicación de MeduzaVPN hace lo mismo con un solo toque.
Dónde conseguir la configuración
Todas las configuraciones están en tu cuenta, en la tarjeta de tu VPN. Ahí hay una lista de protocolos, un botón de código QR y un botón de descarga de archivo. Un detalle importante: no son tarifas distintas ni VPN distintos; el mismo servidor personal entrega todos los protocolos a la vez, así que puedes tener WireGuard en el teléfono, un enlace vless:// en v2rayN en el portátil de trabajo y un perfil IKEv2 en el iPad, sin cambiar nada por nuestro lado.
El puerto y la dirección ya están escritos dentro del archivo o del enlace; no hace falta introducirlos a mano. Si el cliente pide «servidor», «puerto» y «contraseña» por separado, significa que has elegido un protocolo que no sabe importar todo de golpe; es más sencillo tomar otro protocolo de la lista.
Qué corresponde a cada cliente
| Cliente | Qué tomar en tu cuenta | En qué formato |
|---|---|---|
| v2rayN (Windows) | VLESS Reality, Xray o V2Ray | Enlace vless:// o vmess:// |
| Karing (iOS, Android, Windows) | VLESS Reality, Shadowsocks | Enlace vless:// o ss:// |
| OpenVPN Connect | OpenVPN | Archivo client.ovpn con certificados incrustados (UDP y TCP en un mismo archivo) |
| Router con cliente OpenVPN | OpenVPN | Archivo client_tcp.ovpn, botón aparte, solo TCP |
| WireGuard oficial | WireGuard | Archivo .conf o código QR |
| Outline, Shadowsocks, Surge | Outline o Shadowsocks | Clave ss:// |
| VPN del sistema en iPhone y Mac | IKEv2/IPsec | Perfil .mobileconfig |
| Cliente oficial de Hysteria 2 | Hysteria 2 | Archivo YAML |
Karing y Surge aparecen en esta tabla según la documentación de esos propios clientes: los formatos que aceptan son los mismos, pero no los hemos verificado y no prometemos que todo encaje hasta el último ajuste. Si algo falla, escribe a soporte; en Windows, la vía probada es v2rayN.
El protocolo Meduza y MeduzaVPN ULTRA son propios nuestros, y los clientes externos no los entienden: para ellos hacen falta nuestras aplicaciones o el paquete para Linux y OpenWrt. En cambio, son precisamente los que mejor resisten donde la red filtra el tráfico con más intensidad.
v2rayN: core, enlace y puerto local
Hay dos campos en v2rayN que generan más dudas, y ambos tienen una respuesta clara.
Tipo de core. Elige Xray. Nuestros enlaces vless:// usan REALITY, y esa tecnología está implementada en el core Xray; con el core v2fly la conexión simplemente no se levantará. Para vmess:// sirve cualquiera de los dos cores, pero no tiene sentido mantener dos: Xray entiende ambos formatos.
Puerto local SOCKS. Deja el valor por defecto: v2rayN escucha SOCKS en el 10808 y HTTP en el 10809, solo en la dirección local, y configura el proxy del sistema por su cuenta. Ese número solo importa cuando el proxy se escribe a mano en el navegador o en otro programa; entonces usa lo que muestran los ajustes de v2rayN, no un número al azar. Cambiar el puerto solo tiene sentido si hay un conflicto con otro programa.
El orden es: copiar el enlace en tu cuenta, en v2rayN elegir importar desde el portapapeles y luego activar el proxy del sistema. Si la conexión no se levanta, comprueba primero que el core sea Xray y que la hora del ordenador sea correcta: una diferencia de más de un par de minutos rompe el protocolo de enlace TLS.
Karing y sing-box
Karing acepta nuestro enlace tal cual: copia vless:// (o ss:// para Shadowsocks) y añade el perfil desde el portapapeles. No existe un «archivo para Karing» aparte: es el mismo protocolo y el mismo enlace que para v2rayN, así que un mismo enlace se puede usar a la vez en el teléfono y en el ordenador. No hemos probado este cliente en sí: acepta nuestro formato, pero la vía que hemos verificado en Windows es v2rayN.
Con sing-box puro, la respuesta honesta es esta: no entregamos una configuración JSON ya lista. Si necesitas ese motor en concreto, toma Karing: está construido sobre sing-box y él mismo monta la configuración a partir del enlace. A quien necesite el JSON en sí, tendrá que pasar los campos del enlace a la configuración a mano; no publicamos esa plantilla para no dar por probado algo que no verificamos en cada actualización de sing-box.
Shadowsocks, Outline y Surge
Outline y Shadowsocks entregan en tu cuenta una clave del tipo ss://. La aplicación oficial de Outline la acepta directamente desde el portapapeles, igual que cualquier cliente de Shadowsocks. Surge en macOS y iOS entiende Shadowsocks y WireGuard, así que para él toma la clave ss:// o el archivo .conf de WireGuard y añádelo como proxy nuevo o como túnel.
Conviene recordar algo aparte: Shadowsocks y SOCKS5 son un proxy, no un VPN completo. Por ellos pasará el tráfico de los programas que sepan usar un proxy, no todo el tráfico del sistema. Si necesitas proteger el dispositivo entero, elige WireGuard, OpenVPN, IKEv2 o nuestras aplicaciones.
OpenVPN Connect y errores de importación
Para OpenVPN Connect hace falta un único archivo .ovpn; en él ya están el certificado y la clave, no se necesitan archivos aparte ni contraseña. Importación: «OVPN Profile» → elegir archivo → conectar.
Dos errores de importación se confunden constantemente, y se resuelven de forma distinta:
- «Incorrect response from server»: la dirección de la cuenta acabó en el campo «Import from URL». Ese campo está pensado para un servidor OpenVPN Access Server y espera su respuesta, pero recibe una página web normal. El archivo no tiene nada que ver: descarga el .ovpn al dispositivo e impórtalo con «Import Profile → FILE».
- «[inline]: cannot open for read»: este sí es sobre el archivo, el cliente ve una referencia a un bloque de certificado incrustado, pero el bloque no está en el archivo. La causa por nuestro lado ya está resuelta; descarga el archivo de nuevo, elimina el perfil anterior e importa el nuevo sin tocar nada de él.
En el archivo correcto hay bloques <ca>, <cert>, <key>, y se abre en un editor de texto sin cortarse a mitad de línea.
En la cuenta hay dos archivos de OpenVPN, hechos a partir del mismo certificado. El normal, client.ovpn, sirve tanto para OpenVPN Connect como para el ordenador: en él hay registrados los dos transportes, primero UDP, luego TCP como reserva, así que en una red donde el UDP no pasa, el cliente cambia a TCP solo. El segundo archivo, solo con TCP, es para los routers; lo explicamos más abajo.
IKEv2: perfil .mobileconfig para iPhone y Mac
Apple sabe conectar IKEv2 por sí sola, sin programas externos, pero no hace falta ni conviene escribir los parámetros a mano: para eso existe el perfil de configuración .mobileconfig. Ya contiene la dirección de tu VPN, el certificado del cliente y todos los parámetros de cifrado, así que es imposible equivocarse en el campo «ID remoto».
Elige en la tarjeta del VPN el protocolo IKEv2/IPsec; junto al botón normal de descarga aparecerá un botón de perfil para iPhone, iPad y Mac. A partir de ahí:
- iPhone y iPad: abre la cuenta en Safari, descarga el perfil, y luego «Ajustes» → «Perfil descargado» → «Instalar». Más tarde el perfil se ve en «Ajustes» → «General» → «VPN y gestión de dispositivos».
- Mac: el archivo descargado se abre en «Ajustes del Sistema» → «General» → «Gestión de dispositivos», donde también se confirma o se elimina el perfil.
Junto al perfil queda un archivo credentials.json; lo necesitan los clientes que no entienden .mobileconfig: el IKEv2 integrado en Windows, strongSwan en Android y Linux. El perfil y el archivo describen el mismo VPN, solo que en formatos distintos.
Conviene saber de antemano una limitación: nuestro IKEv2 no transporta tráfico IPv6, y tanto en la aplicación como en la cuenta aparece marcado con el icono correspondiente. Si necesitas IPv6, elige WireGuard, Meduza u OpenVPN.
Routers y OpenVPN por TCP
Los firmwares estándar de router, incluido el TP-Link Archer, aceptan un archivo .ovpn o parámetros manuales de WireGuard. Si el proveedor no deja pasar UDP, WireGuard y nuestros propios protocolos no se levantarán en ese router de ninguna manera: funcionan sobre UDP. Para este caso, nuestro OpenVPN también escucha por TCP.
En la cuenta, en la tarjeta del VPN con el protocolo OpenVPN, hay dos archivos, ambos hechos del mismo certificado:
- client.ovpn: el botón normal de descarga. En el archivo hay dos líneas
remote: primero UDP, luego TCP. OpenVPN las recorre en el orden del archivo, así que un solo perfil lleva los dos transportes y en una red sin UDP pasa a TCP solo. Es el archivo para OpenVPN Connect en el teléfono y el ordenador. - client_tcp.ovpn: el botón «Perfil OpenVPN por TCP para el router». Solo TCP, una sola línea
remote. Hace falta porque buena parte de los clientes OpenVPN de los routers solo lee la primera línearemotey con el perfil normal se queda en silencio en UDP únicamente, es decir, exactamente en el estado del que querías salir.
El TCP escucha en el puerto 1194, el mismo número que el UDP. Precisamente en el 443 nuestro OpenVPN no escucha, y prometerlo sería mentira: el 443/tcp está ocupado por VLESS Reality, que se mantiene justo en ese puerto. Si tu red solo deja pasar el 443, OpenVPN no ayudará; toma VLESS Reality o nuestros protocolos en un dispositivo donde haya aplicación.
Ambos archivos se regeneran con cada actualización del VPN, así que en un servicio contratado hace tiempo aparecerán tras la próxima actualización. Si en la cuenta solo se ve un botón de descarga, pulsa «Reinstalar» en la tarjeta y descarga los archivos de nuevo.
Qué más tiene sentido en una red sin UDP:
- OpenWrt con el paquete de MeduzaVPN: la vía completa para un router en una red con filtrado intenso, donde están disponibles nuestros propios protocolos. Más detalles en el artículo VPN para el router.
- Aplicaciones en lugar del router: la opción más rápida: el router se queda sin VPN, y los teléfonos, ordenadores y decodificadores se conectan con aplicaciones, donde el protocolo se elige automáticamente.
Conclusión
Un cliente externo no es una forma «alternativa» de usar MeduzaVPN, sino una de las previstas: el mismo VPN personal entrega tanto el enlace para v2rayN o Karing como el archivo para OpenVPN Connect y el perfil .mobileconfig para iPhone. Basta con tomar en tu cuenta el formato que espera tu cliente y no inventar valores para campos que ya están rellenados por ti.
Las suscripciones de MeduzaVPN incluyen 7 días sin cobro y devolución en un plazo de 15 días, y el número de dispositivos en la cuenta no tiene límite; puedes probar con calma tanto la aplicación como la configuración manual. Elegir plan.
Preguntas frecuentes
¿Dónde consigo la configuración para un cliente externo?
En tu cuenta, en la tarjeta de tu VPN, hay una lista desplegable de protocolos y, junto a ella, botones de código QR y de descarga de archivo. Eliges el protocolo que entiende tu cliente y obtienes exactamente el archivo o enlace que espera: .conf para WireGuard y Meduza, .ovpn para OpenVPN, un enlace vless:// o vmess:// para v2rayN y Karing, una clave ss:// para Shadowsocks y Outline, YAML para Hysteria 2, credentials.json y un perfil .mobileconfig para IKEv2.
¿Qué core elegir en v2rayN?
Xray. Nuestros enlaces vless:// usan REALITY, y esa tecnología la implementa precisamente el core Xray; con el core v2fly esa conexión no se establecerá. En el propio v2rayN el core se cambia en los ajustes, y lo más sencillo es importar el enlace con «Importar desde el portapapeles» tras copiarlo de tu cuenta.
¿Qué puerto local SOCKS hay que indicar en v2rayN?
No hace falta cambiar nada: por defecto v2rayN escucha SOCKS en el 10808 y HTTP en el 10809 en la dirección local, y configura el proxy del sistema por su cuenta. Ese número importa solo si escribes el proxy a mano en el navegador u otro programa; entonces usa el que muestran los ajustes de v2rayN, no uno inventado.
¿Cómo consigo la configuración para Karing?
Karing acepta el enlace tal cual. Copia en tu cuenta el enlace vless:// (o ss:// para Shadowsocks) y añade el perfil desde el portapapeles. No existe un archivo aparte para Karing: es el mismo protocolo y el mismo enlace que para v2rayN.
¿Hay una configuración JSON lista para sing-box?
No, ofrecemos enlaces y archivos de los protocolos, no un JSON ya montado para sing-box. Si necesitas específicamente el motor sing-box, es más sencillo usar Karing: está construido sobre sing-box y convierte nuestro enlace en su propia configuración. Para un sing-box puro habrá que montar el JSON a mano a partir de los campos del enlace.
¿Por qué OpenVPN Connect muestra «Incorrect response from server» o «cannot open for read»?
Son dos errores distintos. «Incorrect response from server» significa que se pegó la dirección de la cuenta en «Import from URL»: esa opción espera un servidor OpenVPN Access Server, no la página de un sitio web; hay que descargar el archivo e importarlo con «Import Profile → FILE». «[inline]: cannot open for read» es sobre el propio archivo: le falta el bloque de certificado incrustado. La causa por nuestro lado ya está resuelta; descarga el archivo de nuevo e impórtalo sin editarlo.
¿Dónde consigo el perfil .mobileconfig para IKEv2 en iPhone?
En tu cuenta, elige en la tarjeta del VPN el protocolo IKEv2/IPsec; junto al botón normal de descarga aparecerá un botón de perfil para iPhone, iPad y Mac. Hay que abrir el enlace en Safari: iOS mostrará «Perfil descargado», y luego el perfil se instala en «Ajustes → General → VPN y gestión de dispositivos». En macOS se abre en «Ajustes del Sistema → General → Gestión de dispositivos».
¿Se puede conectar OpenVPN por TCP en un router?
Sí. Nuestro OpenVPN escucha tanto UDP como TCP; el TCP va por el puerto 1194. El archivo client.ovpn normal contiene las dos direcciones: primero UDP, luego TCP como reserva, así que en una red sin UDP cambia solo. Muchos routers solo leen la primera dirección del archivo y se quedan en UDP únicamente; para ellos hay en la cuenta un archivo aparte solo con TCP, con el botón «Perfil OpenVPN por TCP para el router» en la tarjeta del VPN. En el puerto 443 nuestro OpenVPN no escucha: ese puerto está ocupado por VLESS Reality.