Autoaloja tu propia VPN WireGuard en un VPS

Hay un picor particular que una VPN comercial nunca rasca del todo: sigues confiando en la promesa de sin-logs de otro. Autoalojar WireGuard le da la vuelta a eso — el servidor es tuyo, las claves son tuyas, y la única política de sin-logs que importa es la que de verdad configuraste. También es genuinamente rápido y lleva unos diez minutos. Aquí está la cosa entera.

Primero, el único requisito que la gente se pierde

Una VPN necesita una IP dedicada — no un plan NAT/IP-compartida. La razón es simple: una VPN escucha conexiones entrantes en un puerto UDP y envía tu tráfico de vuelta hacia fuera bajo la propia dirección del servidor. Eso necesita tu propia IP pública y la libertad de abrir puertos. Una máquina NAT de IP compartida (SSH en un puerto reenviado, sin entrada arbitraria) no puede hacerlo. Así que elige un plan con IP dedicada antes de empezar — todo lo de abajo asume uno.

No necesita ser grande, sin embargo. WireGuard es ligero: una máquina de 1 GB / 2 núcleos tuneliza varios dispositivos sin sudar. Pagas por la IP y el ancho de banda, no por la CPU.

Instalar (el camino fácil)

En una máquina Ubuntu/Debian nueva con IP dedicada, la ruta más rápida es el conocido script ayudante wireguard-install, que maneja las claves, la interfaz y el primer cliente por ti:

sudo apt update && sudo apt install -y curl
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
sudo bash wireguard-install.sh

Hace un par de preguntas (IP pública — normalmente la autodetecta, puerto, DNS), luego genera una config de cliente y la muestra como un código QR. Ese es todo el lado del servidor.

¿Prefieres hacerlo a mano? La versión manual es solo: apt install wireguard, genera un par de claves con wg genkey, escribe /etc/wireguard/wg0.conf con tu [Interface] y un bloque [Peer] por dispositivo, activa el reenvío de IP (net.ipv4.ip_forward=1), y systemctl enable --now wg-quick@wg0. El script simplemente hace esto por ti sin erratas.

Conecta un dispositivo

• Teléfono: instala la app de WireGuard, toca +, escanea el código QR que el script imprimió. Listo.
• Portátil: instala WireGuard, importa el archivo .conf que el script guardó. Actívalo.

Para añadir otro dispositivo, vuelve a ejecutar el script y elige «añadir un cliente» — cada uno obtiene su propia config y clave.

No te saltes: cierra la máquina

Es una VPN, pero sigue siendo un servidor con una IP pública que está siendo escaneado. Gasta los cinco minutos en la checklist de seguridad primero — claves SSH, sin login por contraseña, una firewall que permita solo SSH y tu puerto UDP de WireGuard. Una VPN en una máquina sin endurecer es una contradicción.

Los compromisos honestos

Autoalojar gana claramente en confianza y velocidad: tu servidor, tus claves, el throughput casi nativo de WireGuard, sin logs a menos que los hagas. Donde no gana:

• Anonimato en una multitud. Todo tu tráfico sale de una IP fija que obviamente pertenece a un servidor. Eso es excelente para privacidad frente a tu red local o ISP y para una salida personal estable — pero es lo opuesto de desaparecer en un pool compartido. Objetivo distinto.
• Una ubicación. Obtienes la región en la que está tu servidor, punto. Sin salto entre países.
• Tú eres el admin. Actualizaciones, disponibilidad y gestión de claves son ahora tu trabajo — que es justo el punto, pero es un trabajo.

Una salvedad que vale la pena conocer: en algunas redes, el DPI detecta y bloquea el protocolo WireGuard directamente. Si esa es tu situación, WireGuard no conectará por mucho que lo configures — y la respuesta es un protocolo que se disfraza de tráfico TLS normal. Mira tu propio servidor VLESS/Xray para cuando WireGuard es bloqueado.

Si lo que quieres es un túnel rápido y privado que controlas por completo — para tus propios dispositivos, tu propio tráfico, sin confianza en terceros — el WireGuard autoalojado es difícil de superar. Coge un plan con IP dedicada (puedes pagar en cripto, sin KYC), ejecuta el script, escanea el QR, y estás tunelizando en unos diez minutos.

Mira también: VPS para VPN — el panorama completo — qué plan elegir, qué ejecutar, y exactamente cuándo se requiere una IP dedicada.

¿Listo para configurarlo? El plan Nano-IP más barato (8 $/mes) te da la IP dedicada que WireGuard necesita — eso es todo lo que hace falta.