¿Qué es PPTP?
PPTP, siglas de Point-to-Point Tunneling Protocol, es uno de los protocolos VPN más antiguos. Windows sigue incluyendo un cliente VPN PPTP, así que allí una conexión PPTP no necesita ninguna app adicional. PPTP es rápido, pero su seguridad es débil. Los 7 protocolos de SHP.network no incluyen PPTP. Si quiere un protocolo VPN moderno en su propio servidor, SHP.network le configura WireGuard, IKEv2 u OpenVPN en los 10 minutos siguientes al pago.
- Microsoft lo da por obsoleto en futuras versiones de Windows Server
- Funciona sobre el puerto TCP 1723, con los datos dentro de GRE
- Hay código de ataque publicado que recupera las credenciales de MS-CHAP v2
Conceptos básicos del protocolo VPN PPTP
El protocolo PPTP fue una de las primeras tecnologías VPN de uso generalizado. Ingenieros de Microsoft redactaron la especificación de PPTP, RFC 2637, junto con colegas de Ascend, 3Com, Copper Mountain Networks y ECI Telematics; se publicó en julio de 1999. Es un RFC informativo: documenta el protocolo, pero no lo convierte en un estándar de internet. En el esquema que describe el RFC, un concentrador de acceso conectado a líneas telefónicas PSTN o ISDN transporta su sesión PPP (Point-to-Point Protocol) sobre IP hasta un servidor dentro de la red de destino. Apple eliminó PPTP en iOS 10 y macOS Sierra, y en Android 12 y versiones posteriores el cliente integrado ya no lo ofrece.
Cómo funciona PPTP
Un túnel PPTP consta de cuatro piezas:
- Su dispositivo abre una conexión de control por TCP al puerto 1723 del servidor, y ese canal establece, mantiene y cierra el túnel.
- Los datos viajan por separado, como tramas PPP dentro de una versión ampliada de GRE (Generic Routing Encapsulation, protocolo IP 47).
- PPP gestiona su inicio de sesión, normalmente con MS-CHAP v2.
- El cifrado también lo aporta PPP, mediante MPPE (Microsoft Point-to-Point Encryption), que usa el algoritmo de cifrado RC4 con claves de 40, 56 o 128 bits.
Seguridad de PPTP: por qué se considera inseguro
La seguridad de PPTP tiene vulnerabilidades conocidas tan graves que descartan el protocolo para cualquier uso privado.
¿Es seguro PPTP?
No, no para datos privados. Microsoft no recomienda PPTP porque el protocolo carece de funciones de seguridad, y Apple también lo desaconseja. El principal argumento a favor de PPTP es la velocidad, y no compensa el riesgo. Los dos puntos débiles son el inicio de sesión y el cifrado. MS-CHAP v2, el método más usado con PPTP, tiene debilidades criptográficas conocidas: en 2012, Microsoft advirtió de que un código de ataque publicado recupera las credenciales del usuario a partir de una negociación interceptada, capturada en una red Wi-Fi abierta o mediante un ataque de intermediario. El aviso recomendaba envolver el inicio de sesión en PEAP o pasar a L2TP, IKEv2 o SSTP. Con MS-CHAP v2, MPPE deriva las claves de sesión iniciales de su contraseña y usa RC4, un algoritmo de cifrado prohibido en TLS desde 2015 por sus debilidades. El protocolo también tiene carencias propias. Su especificación admite que los mensajes de control no están autenticados ni protegidos en su integridad. Los paquetes GRE que forman el túnel tampoco tienen protección criptográfica.
PPTP frente a otros protocolos VPN
En una comparación de PPTP frente a L2TP o de PPTP frente a OpenVPN, PPTP gana en velocidad y pierde en seguridad. L2TP/IPsec, IKEv2, WireGuard y OpenVPN son todos más seguros, aunque ninguno de los cinco resiste bien la DPI.
| PPTP | L2TP/IPsec | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Velocidad | alta | moderada: el doble encapsulado añade sobrecarga | alta | alta | moderada |
| Seguridad | débil: las credenciales de MS-CHAP v2 se pueden recuperar | no recomendado por Microsoft | estándar del IETF con años de revisión por pares | protocolo verificado formalmente | auditado varias veces, la última por SRLabs en 2026 |
| Resistencia a la DPI | débil: TCP 1723 y GRE | débil: puertos fijos UDP 500, 4500 y 1701 | débil: puertos UDP fijos 500 y 4500 | débil: no está diseñado para sortear bloqueos | débil: no está diseñado para sortear bloqueos |
| Integrado en el SO | Windows | Windows, macOS, iOS | Windows, macOS, iOS | con la app de WireGuard | con la app OpenVPN Connect |
¿Cuándo se sigue usando PPTP?
PPTP sobrevive en instalaciones heredadas que aún no han pasado a un protocolo más nuevo:
- Servidores corporativos actualizados in situ a Windows Server 2025, donde las configuraciones PPTP existentes siguen funcionando y los clientes Windows se conectan como antes.
- Algunos routers que aún ofrecen un servidor VPN PPTP, entre ellos los routers de viaje de TP-Link.
- Clientes de Linux como pptpclient, cuyo propio sitio califica PPTP de peligrosamente inseguro, y NetworkManager-pptp.
Las instalaciones nuevas de Windows Server 2025 rechazan por defecto las conexiones PPTP, y Microsoft ha declarado el protocolo obsoleto para futuras versiones. Una red nueva no debería empezar con PPTP.
Alternativas modernas a PPTP
Estas alternativas están entre los protocolos VPN que SHP.network instala en su propio servidor, listo en los 10 minutos siguientes al pago.
Alta velocidad
WireGuard es rápido, a la par de PPTP. Su tráfico viaja por el puerto UDP 51820, cifrado con ChaCha20-Poly1305. Una prueba en Tamarin verifica formalmente el protocolo. Cada dispositivo tiene su propio par de claves, como en SSH.
Integrado como PPTP
IKEv2 funciona con los clientes VPN integrados en Windows, macOS y iOS, así que ninguno de estos sistemas necesita una app adicional. El protocolo es rápido. En Android, IKEv2 se conecta mediante la app strongSwan.
Funciona casi en cualquier parte
OpenVPN funciona en Windows, macOS, iOS, Android y Linux, y muchos routers (entre ellos modelos de ASUS, MikroTik, GL.iNet y Keenetic) lo admiten en su firmware de fábrica. Su código se ha auditado varias veces, la última por SRLabs en 2026.
Preguntas frecuentes
Point-to-Point Tunneling Protocol. Un protocolo VPN especificado en 1999 que transporta su tráfico PPP dentro de paquetes GRE.
El puerto TCP 1723 gestiona la conexión de control, mientras que los datos viajan en GRE (protocolo IP 47). Abrir solo el puerto de PPTP no basta: el cortafuegos también debe dejar pasar GRE, ya que ese protocolo no tiene puerto propio.
Sí, siempre que el servidor VPN PPTP de su empresa siga aceptando conexiones: Windows trae el cliente integrado. Microsoft desaconseja PPTP y recomienda IKEv2 o SSTP. Las instalaciones nuevas de Windows Server 2025 rechazan PPTP por defecto, así que consulte a su equipo de TI sobre el cambio.
Más rápido que L2TP/IPsec y OpenVPN, y a la par de IKEv2 y WireGuard. WireGuard le ofrece esa velocidad con criptografía moderna y un protocolo verificado formalmente.
WireGuard si busca velocidad, IKEv2 con los clientes VPN integrados en Windows, macOS y iOS, u OpenVPN, que también funciona en muchos routers. SHP.network instala cualquiera de estos protocolos en su propio servidor en los 10 minutos siguientes al pago.