Autoaloja tu propia VPN WireGuard en un VPS

Hay un picor particular que una VPN comercial nunca rasca del todo: sigues confiando en la promesa de sin-logs de otro. Autoalojar WireGuard le da la vuelta a eso — el servidor es tuyo, las claves son tuyas, y la única política de sin-logs que importa es la que de verdad configuraste. También es genuinamente rápido y lleva unos diez minutos. Aquí está la cosa entera.

Primero, el único requisito que la gente se pierde

Una VPN necesita una IP dedicada — no un plan NAT. La razón es simple: una VPN escucha conexiones entrantes en un puerto UDP y envía tu tráfico de vuelta hacia fuera bajo la propia dirección del servidor. Eso necesita tu propia IP pública y la libertad de abrir puertos. Una máquina NAT (SSH/RDP por un puerto personal, sin entrada arbitraria) no puede hacerlo. Así que elige un plan con IP dedicada antes de empezar — todo lo de abajo asume uno.

No necesita ser grande, sin embargo. WireGuard es ligero: una máquina de 1 GB / 2 núcleos tuneliza varios dispositivos sin sudar. Pagas por la IP y el ancho de banda, no por la CPU.

Instalar (el camino fácil)

En una máquina Ubuntu/Debian nueva con IP dedicada, la ruta más rápida es el conocido script ayudante wireguard-install, que maneja las claves, la interfaz y el primer cliente por ti:

sudo apt update && sudo apt install -y curl
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
sudo bash wireguard-install.sh

Hace un par de preguntas (IP pública — normalmente la autodetecta, puerto, DNS), luego genera una config de cliente y la muestra como un código QR. Ese es todo el lado del servidor.

¿Prefieres hacerlo a mano? La versión manual es solo: apt install wireguard, genera un par de claves con wg genkey, escribe /etc/wireguard/wg0.conf con tu [Interface] y un bloque [Peer] por dispositivo, activa el reenvío de IP (net.ipv4.ip_forward=1), y systemctl enable --now wg-quick@wg0. El script simplemente hace esto por ti sin erratas.

Conecta un dispositivo

• Teléfono: instala la app de WireGuard, toca +, escanea el código QR que el script imprimió. Listo.
• Portátil: instala WireGuard, importa el archivo .conf que el script guardó. Actívalo.

Para añadir otro dispositivo, vuelve a ejecutar el script y elige «añadir un cliente» — cada uno obtiene su propia config y clave.

No te saltes: cierra la máquina

Es una VPN, pero sigue siendo un servidor con una IP pública que está siendo escaneado. Gasta los cinco minutos en la checklist de seguridad primero — claves SSH, sin login por contraseña, una firewall que permita solo SSH y tu puerto UDP de WireGuard. Una VPN en una máquina sin endurecer es una contradicción.

Los compromisos honestos

Autoalojar gana claramente en confianza y velocidad: tu servidor, tus claves, el throughput casi nativo de WireGuard, sin logs a menos que los hagas. Donde no gana:

• Anonimato en una multitud. Todo tu tráfico sale de una IP fija que obviamente pertenece a un servidor. Eso es excelente para privacidad frente a tu red local o ISP y para una salida personal estable — pero es lo opuesto de desaparecer en un pool compartido. Objetivo distinto.
• Una ubicación. Obtienes la región en la que está tu servidor, punto. Sin salto entre países.
• Tú eres el admin. Actualizaciones, disponibilidad y gestión de claves son ahora tu trabajo — que es justo el punto, pero es un trabajo.

Una salvedad que vale la pena conocer: en algunas redes, el DPI detecta y bloquea el protocolo WireGuard directamente. Si esa es tu situación, WireGuard no conectará por mucho que lo configures — y la respuesta es un protocolo que se disfraza de tráfico TLS normal. Mira tu propio servidor VLESS/Xray para cuando WireGuard es bloqueado.

Si lo que quieres es un túnel rápido y privado que controlas por completo — para tus propios dispositivos, tu propio tráfico, sin confianza en terceros — el WireGuard autoalojado es difícil de superar. Coge un plan con IP dedicada (puedes pagar en cripto, sin KYC), ejecuta el script, escanea el QR, y estás tunelizando en unos diez minutos.

Mira también: VPS para VPN — el panorama completo — qué plan elegir, qué ejecutar, y exactamente cuándo se requiere una IP dedicada.

¿Listo para configurarlo? El plan Nano-IP más barato (8 $/mes) te da la IP dedicada que WireGuard necesita — eso es todo lo que hace falta.

VPS para Headscale: servidor de control Tailscale propio →