MTU de WireGuard: ¿1420, 1380 o 1280? Valores correctos

Todo sobre el valor MTU y la unidad máxima de transmisión, con recomendaciones para móvil, Starlink, DSL y operadores españoles de fibra óptica (Movistar, Digi, Orange y compañía)

UniFi Network 10.6.101

UniFi OS 5.1 o posterior

Actualizado a: septiembre de 2026

Lo más importante en breve

• ¿No está seguro? Ajuste la MTU de WireGuard a 1280. Funciona prácticamente en todas partes.
• Fibra óptica sin PPPoE (DHCP/IPoE): 1420.
• PPPoE con 1492 bytes (p. ej., Movistar): 1412.
• PPPoE con 1500 bytes (novedad desde Network 10.5, solo si el operador admite RFC 4638): 1420.
• Móvil: 1280.

¿Qué hay de nuevo desde UniFi Network 10.2?

La primera versión de este artículo se refería a Network 10.2.105. Desde entonces han cambiado tres cosas relevantes para la MTU:

Versión	Cambio	Qué significa para WireGuard
Network 10.5 (junio de 2026)	PPPoE con MTU completa de 1500 según RFC 4638	Si su operador lo admite, la MTU del WAN sube de 1492 a 1500. La MTU de WireGuard puede entonces subir de 1412 a 1420. Detalles en la sección 5.
Network 10.6 (agosto de 2026)	Test & Confirm (SafeOps) se aplica ahora también a las configuraciones VPN	Si el gateway pierde la conexión tras un cambio de VPN, UniFi revierte el cambio automáticamente. Esto ayuda cuando cambia la MTU de forma remota.
Boletín de seguridad SAB 067 (26/08/2026)	Vulnerabilidades críticas en Network hasta la versión 10.4.57 inclusive	Antes de trabajar en la VPN, instale como mínimo Network 10.5.67, mejor 10.6.101. Los Cloud Gateways y las Dream Machines necesitan UniFi OS 5.1.31 o posterior.

Nota sobre UniFi OS 6.0.7: esta versión corrige, entre otras cosas, un error por el que los clientes WireGuard con IPv6 perdían la conexión tras un cambio del prefijo IPv6 en el WAN. A principios de septiembre de 2026 sigue siendo, sin embargo, Early Access y no debe instalarse en instalaciones de clientes.

1. ¿Qué es la MTU?

MTU significa Maximum Transmission Unit, en español: unidad máxima de transmisión. Determina la mayor cantidad de datos (en bytes) que puede enviarse en un único paquete de red.

Explicado de forma sencilla: imagine que envía cajas de mudanza en una furgoneta. Cada furgoneta tiene un tamaño máximo de carga, y eso es la MTU. Si una caja es demasiado grande, hay que dividirla (fragmentación) o directamente no cabe y se devuelve. Cuanto mejor encaje el tamaño de la caja con la furgoneta, más rápido y fiable llega todo.

El valor estándar en redes Ethernet es de 1500 bytes. Esto significa que cada paquete de datos que envía su router puede tener como máximo 1500 bytes. En las conexiones VPN como WireGuard, sin embargo, se añade un «sobre» adicional (cabecera/overhead), y es justo aquí donde la cosa se pone interesante.

2. Valor MTU frente a unidad máxima de transmisión: ¿cuál es la diferencia?

En UniFi Network encontrará dos ajustes que a primera vista suenan parecido:

El valor MTU (en la interfaz WireGuard)

Es la MTU que se establece directamente en la interfaz del túnel WireGuard. Determina el tamaño que pueden tener los paquetes de datos que se envían a través del propio túnel VPN. Este valor debe ser menor que la MTU de la conexión a internet subyacente, porque WireGuard envuelve cada paquete con su propia cabecera (el «sobre VPN»).

MTU estándar para WireGuard

WireGuard utiliza por defecto 1420 bytes. Son 1500 menos 80 bytes de overhead, y por tanto vale tanto para túneles sobre IPv4 como sobre IPv6. El servidor WireGuard de UniFi también arranca con 1420.

La unidad máxima de transmisión (en la interfaz WAN/de red)

Este ajuste se refiere a la MTU de la interfaz de red física, es decir, la conexión entre su gateway UniFi e internet (WAN). Define qué tamaño pueden tener los paquetes en la línea de internet propiamente dicha, antes de que se empaqueten en el túnel VPN.

Importante: ¡los dos valores están relacionados!

El valor MTU del túnel WireGuard debe ser siempre menor que la unidad máxima de transmisión de la interfaz WAN. Porque la cabecera de WireGuard necesita espacio dentro del paquete total.

La relación de un vistazo

Ajuste	Se refiere a	Valor por defecto	Significado
Valor MTU	Túnel WireGuard (interfaz virtual)	1420	Tamaño máximo de paquete dentro del túnel VPN
Unidad máxima de transmisión	Interfaz WAN (conexión física)	1500 (Ethernet) / 1492 (PPPoE) / 1500 (PPPoE con RFC 4638, desde Network 10.5)	Tamaño máximo de paquete en la línea de internet, incluida la cabecera VPN

3. ¿Por qué es tan importante la MTU en WireGuard?

WireGuard empaqueta sus datos en un «sobre» cifrado. Este sobre tiene un tamaño fijo:

Componente	Bytes
Cabecera IPv4 (externa)	20
Cabecera UDP	8
Cabecera WireGuard, incl. etiqueta de autenticación	32
Overhead total (IPv4)	60 bytes
Cabecera IPv6 (externa, en lugar de IPv4)	40
Overhead total (IPv6)	80 bytes

Si su línea de internet admite una MTU de 1500 bytes, con IPv4 quedan como máximo 1500 − 60 = 1440 bytes para los datos reales dentro del túnel. Con IPv6 son solo 1500 − 80 = 1420 bytes.

IPv4 o IPv6: ¿qué valor se aplica? Lo decisivo es el protocolo por el que circula el propio túnel, es decir, cómo alcanza el cliente el extremo VPN. El tráfico dentro del túnel no influye. Si no lo sabe con seguridad o sus clientes se conectan unas veces por IPv4 y otras por IPv6, utilice el valor de IPv6.

Si elige un valor MTU demasiado grande para el túnel, los paquetes se fragmentan o se pierden. Esto provoca:

• Conexiones lentas o que se cortan
• Páginas web que no cargan (especialmente HTTPS)
• Tiempos de espera agotados en descargas y subidas
• Conexión VPN inestable con cortes frecuentes

4. ¿Dónde encuentro el ajuste en UniFi Network 10.6?

La MTU se configura por separado para el servidor y para el cliente. Los nombres pueden variar ligeramente según el idioma de la interfaz.

Servidor WireGuard (empleados o dispositivos se conectan a usted):

1. Abra la app UniFi Network en Configuración (Settings)
2. Vaya a VPN → Servidor VPN (VPN Server)
3. Seleccione su servidor WireGuard
4. Abra los ajustes avanzados (Advanced) e introduzca el valor en el campo MTU
5. Haga clic en Aplicar cambios (Apply Changes)

Cliente WireGuard (su gateway se conecta a un servidor WireGuard ajeno):

1. Configuración (Settings) → VPN → Cliente VPN (VPN Client)
2. Seleccione el cliente WireGuard
3. En los ajustes avanzados, introduzca la MTU
4. Deje vacío el campo MSS: así UniFi adapta el valor automáticamente

Atención: ¡la conexión se interrumpe brevemente!

Si cambia el valor MTU mientras hay una conexión WireGuard activa, la conexión se corta unos instantes y se restablece automáticamente.

Consejo: proteja los cambios remotos

Desde Network 10.6, Test & Confirm también se aplica a los cambios de VPN. Compruebe en los ajustes de SafeOps si la función está activa antes de cambiar la MTU en una instalación remota. Si la conexión se corta, UniFi revierte el cambio automáticamente.

¿Servidor o cliente: dónde cambiarlo? La MTU de WireGuard actúa sobre los paquetes que envía la interfaz correspondiente. Redúzcala primero en el lado con la línea más débil, normalmente el cliente que está de viaje (móvil, portátil en el hotel). Un cambio en el servidor afecta a todos los dispositivos conectados a la vez.

5. Novedad desde Network 10.5: PPPoE con MTU completa de 1500

Hasta ahora, en PPPoE había un límite fijo: 8 bytes se van en la cabecera PPPoE y quedan 1492 bytes. Desde Network 10.5, los gateways UniFi admiten RFC 4638 («Baby Jumbo Frames»). Con ello, el gateway envía tramas de 1508 bytes al módem de fibra (ONT) y la MTU IP se mantiene en los 1500 bytes completos.

Requisitos:

• Su operador debe admitir RFC 4638. Muchos no lo hacen.
• El ONT o el módulo SFP GPON deben dejar pasar las tramas más grandes.
• Network 10.5 o posterior en el gateway.

Cómo comprobar si funciona (desactivando la VPN):

ping -D -s 1472 -c 5 8.8.8.8

Este es el comando para macOS. 1472 bytes de carga útil más 28 bytes de cabecera suman exactamente 1500. Si los paquetes pasan, su línea funciona con MTU 1500 y puede ajustar la MTU de WireGuard a 1420. Si no pasan, se queda en 1492 y 1412.

Situación de los operadores españoles (septiembre de 2026)

• Movistar: según la comunidad de Movistar, la red ignora la solicitud y la MTU se queda en 1492.
• O2 (red de Movistar): los informes de usuarios son contradictorios. Hay que probar.
• Digi: los usuarios informan de que 1500 funciona. Hay que probar.
• Orange / Jazztel, Vodafone (PPPoE): no hay datos fiables. Hay que probar.

Ubiquiti y los operadores no publican ninguna lista oficial al respecto. Por eso, confíe en la prueba de ping y no en los informes de los foros.

6. Valores MTU recomendados según el tipo de conexión

La siguiente tabla le muestra los valores MTU de WireGuard recomendados para distintos tipos de conexión a internet. El valor correcto depende de la MTU de su conexión subyacente y de si el túnel circula por IPv4 o por IPv6.

Tipo de conexión	MTU del WAN	MTU WireGuard (IPv4)	MTU WireGuard (IPv6)	Notas
Fibra óptica (DHCP/IPoE)	1500	1440	1420	El mejor valor posible. Sin overhead de PPPoE.
Fibra óptica con PPPoE (Movistar, Orange, Jazztel)	1492	1432	1412	PPPoE se lleva 8 bytes. ¡Típico de los operadores españoles!
Fibra óptica con PPPoE y RFC 4638	1500	1440	1420	Desde Network 10.5, solo si el operador colabora (véase la sección 5).
DSL / VDSL con PPPoE	1492	1432	1412	Mismo cálculo que fibra óptica + PPPoE.
Internet por cable (DOCSIS)	1500	1440	1420	Sin PPPoE, MTU completa disponible.
Starlink	1500	1420	1400	20 bytes de margen, porque los usuarios informan de MTU de ruta fluctuantes.
Móvil (4G/5G)	variable, a menudo inferior a 1500*	1280–1380	1280–1360	Depende mucho del operador y de la calidad de la red. En caso de duda: 1280.
NAT doble / CGNAT	variable	1280–1380	1280	El NAT en sí no cuesta bytes, pero los túneles previos (p. ej., DS-Lite) sí.
Internet por satélite (no Starlink)	variable	1280	1280	Máxima compatibilidad. Una mayor latencia es inevitable.

* Los operadores móviles establecen la MTU de forma distinta. La MTU real puede variar según la ubicación, la carga de la red y el operador.

Regla general para principiantes

Si no está seguro, ajuste el valor MTU de WireGuard a 1280. Es el valor más pequeño que toda conexión compatible con IPv6 debe poder transportar y, por eso, funciona prácticamente en todas partes, aunque se pierda algo de caudal. Más adelante puede ir subiendo poco a poco y comprobar si la conexión se mantiene estable.

7. Particularidades de los operadores españoles

Quien vive en Mallorca o en otro lugar de España trabaja con frecuencia con conexiones de fibra óptica (FTTH) que técnicamente funcionan de forma distinta a las de, por ejemplo, Alemania. Estos son los detalles más importantes:

Movistar / O2 (Telefónica)

Movistar utiliza para el acceso a internet PPPoE sobre VLAN 6. Las credenciales de acceso PPPoE son públicamente conocidas (adslppp@telefonicanetpa / adslppp). Por el overhead de PPPoE, la MTU del WAN se reduce a 1492 bytes. Según los informes de la comunidad, la red de Movistar rechaza la MTU completa de 1500 según RFC 4638.

Valor MTU de WireGuard recomendado: 1412

Orange / Jazztel

Orange también utiliza PPPoE, aunque sobre otra VLAN (normalmente la VLAN 832 para internet). También aquí se aplica una MTU del WAN de 1492 bytes.

Valor MTU de WireGuard recomendado: 1412

Vodafone España (antes ONO)

Vodafone emplea en muchas zonas DHCP (IPoE) en lugar de PPPoE, aunque en parte también PPPoE. Con DHCP, la MTU del WAN es de 1500 bytes completos; con PPPoE, solo 1492.

Valor MTU de WireGuard recomendado: 1420–1440 (DHCP) o 1412 (PPPoE)

Digi (fibra óptica)

Digi utiliza PPPoE con una MTU del WAN de 1492. Los usuarios informan de que Digi admite RFC 4638. Con Network 10.5 o posterior, por tanto, merece la pena hacer la prueba de ping de la sección 5.

Valor MTU de WireGuard recomendado: 1412, con MTU 1500 confirmada 1420

MásMóvil / Pepephone / Yoigo

Estos operadores suelen utilizar DHCP (IPoE) y permiten una MTU del WAN de 1500 bytes.

Valor MTU de WireGuard recomendado: 1420–1440

Consejo para UniFi con GPON de Movistar

Si sustituye su router de Movistar por un UniFi Cloud Gateway (p. ej., UCG Max, UDM Pro) con módulo SFP GPON, tiene que configurar manualmente la VLAN 6 y PPPoE. La MTU se establece entonces automáticamente en 1492. Procure que el valor MTU de WireGuard se ajuste en consecuencia.

Operador	Protocolo	VLAN	MTU del WAN	¿MTU 1500 por RFC 4638?	MTU WireGuard (recomendación)
Movistar / O2	PPPoE	6	1492	Movistar: no, O2: poco claro	1412
Orange / Jazztel	PPPoE	832	1492	desconocido	1412
Vodafone (DHCP)	IPoE/DHCP	100	1500	no es necesario	1420–1440
Vodafone (PPPoE)	PPPoE	100	1492	desconocido	1412
Digi	PPPoE	20	1492	según los usuarios, sí	1412, con RFC 4638: 1420
MásMóvil / Yoigo	IPoE/DHCP	20	1500	no es necesario	1420–1440
Starlink (Mallorca)	DHCP	–	1500	no es necesario	1400–1420

Nota: los ID de VLAN pueden variar según la región y el momento de la instalación. En caso de duda, compruebe la configuración en el router existente.

8. Problemas típicos con un valor MTU incorrecto

Un valor MTU mal configurado provoca síntomas que, a primera vista, pueden parecer un problema completamente distinto:

Síntoma	Causa probable	Solución
La VPN conecta, pero no cargan páginas web	MTU demasiado alta: se descartan los paquetes HTTPS grandes	Reducir la MTU de 20 en 20
El ping funciona, pero las descargas se cortan	Los paquetes de ping pequeños caben, los paquetes de datos grandes no	Ajustar la MTU a 1280 y luego ir subiendo
Solo algunas páginas web no cargan	Las páginas con handshakes TLS grandes se fragmentan	MTU a 1380 o menos
Velocidad de VPN lenta	MTU demasiado baja: demasiados paquetes pequeños innecesarios	Aumentar la MTU poco a poco
La VPN se corta una y otra vez en el móvil	Celdas móviles cambiantes con MTU distintas	MTU a 1280 (el valor más seguro)
La VPN funciona en casa, pero no fuera	La red doméstica tiene una MTU mayor que el móvil o el WiFi del hotel	Ajustar la MTU del cliente a 1280
Tras cambiar a PPPoE con 1500, la VPN se atasca	El operador o el ONT no dejan pasar, a fin de cuentas, las tramas más grandes	Repetir la prueba de ping con 1472; si no, volver WireGuard a 1412

9. Para usuarios avanzados: cómo calcular la MTU óptima

Si quiere sacar el mejor caudal posible a su conexión WireGuard, merece la pena calcular el valor MTU con exactitud en lugar de usar un valor estándar conservador.

La fórmula

MTU WireGuard = MTU del WAN − overhead de WireGuard

IPv4: MTU de WireGuard = MTU del WAN − 60

IPv6: MTU de WireGuard = MTU del WAN − 80

El overhead de WireGuard en detalle

Componente	IPv4 (bytes)	IPv6 (bytes)
Cabecera IP externa	20	40
Cabecera UDP	8	8
Cabecera WireGuard (tipo de mensaje, reservado, índice del receptor)	8	8
Contador de WireGuard (nonce)	8	8
Etiqueta de autenticación Poly1305	16	16
Overhead total	60	80

Ejemplos de cálculo

Escenario	MTU del WAN	Resta	Resultado
Fibra óptica sin PPPoE, IPv4	1500	− 60	1440
Fibra óptica sin PPPoE, IPv6	1500	− 80	1420
FTTH de Movistar (PPPoE), IPv4	1492	− 60	1432
FTTH de Movistar (PPPoE), IPv6 (recom.)	1492	− 80	1412 ✅
PPPoE con RFC 4638 (p. ej., Digi), IPv6	1500	− 80	1420
Starlink (conservador), IPv6	1500	− 80 − 20*	1400

* Con Starlink se recomienda restar además 20 bytes de margen, ya que los usuarios informan de MTU de ruta fluctuantes.

Por qué 1412 es el «valor de oro» para España

La mayoría de los operadores FTTH españoles utilizan PPPoE con 1492 bytes. 1412 tiene en cuenta tanto el overhead de PPPoE (8 bytes) como el mayor overhead de WireGuard con IPv6 (80 bytes), y por eso funciona con independencia de si el túnel circula por IPv4 o por IPv6. Solo si su operador admite de forma demostrable RFC 4638 puede pasar a 1420.

MSS Clamping: un detalle importante

Además de la MTU existe el valor MSS (Maximum Segment Size). Afecta solo a las conexiones TCP y normalmente se ajusta de forma automática. La fórmula es:

MSS = MTU − 40 (IPv4) o MTU − 60 (IPv6)

Con una MTU de WireGuard de 1412 resulta, por tanto, un MSS de 1372 (IPv4) o 1352 (IPv6). Los gateways UniFi aplican el MSS Clamping automáticamente mientras deje vacío el campo MSS en el cliente WireGuard. Si introduce ahí un valor fijo, tendrá que ajustarlo usted mismo con cada cambio de MTU.

10. Probar y comprobar la MTU

Para determinar de forma empírica la MTU de su línea, ejecute en su ordenador una prueba de ping sin fragmentación. Desactive la VPN, porque está midiendo la línea hasta el extremo VPN.

En macOS (Terminal)

ping -D -s 1472 -c 5 8.8.8.8

En Linux (Terminal)

ping -M do -s 1472 -c 5 8.8.8.8

En Windows (CMD)

ping -f -l 1472 8.8.8.8

-D (macOS), -M do (Linux) y -f (Windows) impiden la fragmentación. Empiece con 1472 y vaya reduciendo el valor hasta que los paquetes pasen. En Windows, de lo contrario, aparece «Se necesita fragmentar el paquete pero se establece DF». El cálculo:

1. Mayor valor que funciona + 28 (cabeceras IP e ICMP) = MTU de ruta de su línea
2. MTU de ruta − 80 = MTU de WireGuard segura

Ejemplo: 1464 pasa, 1465 no. 1464 + 28 = 1492 (típico de PPPoE), 1492 − 80 = 1412.

A través de la consola UniFi (SSH)

SSH se activa en Configuración (Settings) → Control Plane → Consola (Console). Después puede conectarse a su gateway UniFi y comprobar los valores configurados:

ip link show | grep -i -A1 wg

Esto muestra las interfaces WireGuard junto con su MTU. Si su conexión PPPoE funciona con 1492 o con 1500 se ve con:

ip link show ppp0

Procedimiento de optimización

1. Empiece con el valor conservador 1280 y pruebe la conexión.

2. Auméntelo poco a poco de 20 en 20 (1300, 1320, 1340 …).

3. Pruebe tras cada cambio: establecimiento de la VPN, carga de páginas web, test de velocidad.

4. El valor estable más alto es su valor MTU óptimo.

11. Resumen y conclusión

En UniFi Network 10.6, la MTU de WireGuard para servidor y cliente se ajusta directamente en la interfaz. La mayor novedad para las conexiones en España llegó con Network 10.5: PPPoE con MTU completa de 1500. Pero solo se beneficia de ello si su operador admite RFC 4638, algo que en el caso de Movistar no ocurre actualmente. Network 10.6 aporta además, con Test & Confirm para los cambios de VPN, una red de seguridad para trabajar de forma remota.

Los puntos más importantes:

Pregunta	Respuesta
¿Cuál es la diferencia entre «valor MTU» y «unidad máxima de transmisión»?	Valor MTU = tamaño de paquete en el túnel VPN. Unidad máxima de transmisión = tamaño de paquete en la línea física. La MTU del túnel debe ser menor.
¿Qué valor uso si no estoy seguro?	1280: funciona en todas partes, aunque no sea lo óptimo.
¿Mejor valor para Movistar/Orange en Mallorca?	1412: tiene en cuenta PPPoE + el overhead de IPv6.
Tengo PPPoE con MTU 1500 (RFC 4638). ¿Qué valor?	1420, pero solo tras superar la prueba de ping con 1472.
¿Mejor valor para Starlink?	1400–1420, con algo de margen.
¿Mejor valor para móvil?	1280: máxima compatibilidad con redes cambiantes.
¿Qué versión debería tener como mínimo?	Network 10.5.67 por el boletín de seguridad SAB 067, mejor 10.6.101.

Error frecuente

Nunca ajuste el valor MTU de WireGuard a 1500 o más. Casi siempre provoca problemas, ya que no queda espacio para el overhead de WireGuard. Incluso con una MTU del WAN de 1500, también con PPPoE según RFC 4638, la MTU del túnel puede ser como máximo 1440 (IPv4) o 1420 (IPv6).