WireGuard en VPS: la guía definitiva para el enfoque self-hosted

Las preocupaciones actuales por la privacidad en internet y la necesidad de acceso remoto seguro han convertido la tecnología VPN en algo imprescindible tanto para personas como para empresas. Los servicios VPN comerciales ofrecen comodidad, pero tienen sus limitaciones: le confías tus datos a un tercero, lidias con posibles políticas de registro y muchas veces experimentas un rendimiento inconsistente en infraestructura compartida.

Esta guía completa te enseña a construir tu propia solución de WireGuard en VPS desde cero. Aprenderás cada paso para desplegar un servidor VPN de alto rendimiento que tú controlas por completo. Ya sea que estés protegiendo tu navegación personal, habilitando el acceso remoto para tu equipo de trabajo o asegurando comunicaciones confidenciales, este tutorial te da los conocimientos técnicos y los comandos prácticos para crear una infraestructura VPN escalable. ¿Prefieres una configuración más sencilla? Porque WireGuard es open-source, puedes seguir los pasos manuales de esta guía o usar la opción gratuita de WireGuard con 1 clic de Contabo para tener un servidor funcionando en minutos. El resto de esta guía explica ambos caminos para que elijas el que más te conviene.

Introducción: ¿por qué configurar WireGuard en un VPS?

Configurar WireGuard en un VPS es una de las formas más eficaces de tomar el control de tu seguridad en línea y tu acceso a la red. En lugar de depender de proveedores VPN comerciales, alojar tu propio servidor WireGuard en un VPS significa que tú decides por dónde fluye tu tráfico, quién administra las conexiones y cómo se manejan tus datos. Este enfoque self-hosted te da independencia, transparencia y la libertad de optimizar el rendimiento exactamente para lo que necesitas.

WireGuard es un protocolo VPN de nueva generación diseñado para ser rápido y simple sin comprometer la seguridad. Con una fracción del código comparado con protocolos más antiguos como OpenVPN o IPSec, es menos propenso a errores, más fácil de auditar y más veloz en rendimiento. Desplegado en un VPS, WireGuard proporciona túneles seguros y de alta velocidad – ya sea que navegues con seguridad en una red Wi-Fi pública, protejas las comunicaciones de tu equipo remoto o asegures el acceso a tu red desde cualquier parte del mundo.

¿Prefieres la opción fácil? Instala WireGuard con 1 clic en Contabo (gratis)

Si no quieres seguir los pasos manuales de esta guía, ahora puedes desplegar WireGuard + WGDashboard en un VPS de Contabo con un solo clic y sin costo adicional más allá de tu plan VPS. Es la forma más rápida de tener un túnel funcionando con una interfaz web sencilla para administrar peers.

¿Cómo instalar WireGuard + WGDashboard?

Si quieres configurar una nueva instancia con el complemento WireGuard de 1 clic:

• Elige el producto que prefieras en la página de WireGuard en VPS.
• Selecciona tu ubicación y establece una contraseña (se usa tanto para el VPS como para la aplicación).
• Completa el proceso de compra.
• Inicia sesión en el Customer Control Panel de Contabo y navega a «VPS».
• Ten en cuenta que puede tomar hasta 30 minutos para que tu aplicación se instale y active. Una vez instalada, puedes acceder a ella directamente haciendo clic en su logo en la sección «Acción rápida» del lado derecho.

Si eres un cliente existente y quieres ejecutar la aplicación en una instancia existente:

• En la sección VPS, elige la instancia en la que quieres instalar la aplicación.
• Haz clic en los tres puntos verticales en «Más» y luego en «Reinstalar».
• Selecciona el tipo de instalación que prefieras y configúrala.
• Haz clic en «Instalar».
• El botón de la aplicación aparecerá en «Acción rápida». Puedes acceder directamente haciendo clic en el ícono de la aplicación. Ten en cuenta que puede tomar hasta 30 minutos para que tu aplicación se instale.

Requisitos previos: cómo elegir un proveedor de VPS para WireGuard

El primer paso al configurar WireGuard no es la instalación – es elegir un proveedor de VPS confiable. WireGuard puede correr en prácticamente cualquier distribución Linux, pero el rendimiento, la seguridad y la flexibilidad de tu VPN dependen en gran medida del servidor que elijas.

Como mínimo, busca un VPS que tenga:

• 1 núcleo de CPU y al menos 512 MB de RAM (suficiente para una VPN personal pequeña)
• Ancho de banda estable, con velocidad de transferencia suficiente para streaming y transferencia de archivos sin interrupciones
• Acceso root completo, indispensable para instalar paquetes, configurar la red y administrar el firewall

Al comparar proveedores de VPS, considera estos factores:

• Ubicación del servidor: elige un datacenter cerca de tu ubicación física para mayor velocidad y estabilidad, o uno en la región donde necesites aparentar estar para saltarte restricciones geográficas. Con una VPN, tu ubicación virtual puede coincidir con donde necesitas acceso – abriendo contenido global y ventajas locales.
• Escalabilidad: si planeas conectar varios peers – amigos, compañeros de trabajo o tus propios dispositivos – asegúrate de que el proveedor ofrezca opciones sencillas para escalar CPU, RAM y ancho de banda conforme crece tu red. Muchos proveedores permiten escalar recursos sin tiempo de inactividad.
• Funciones de seguridad: da prioridad a proveedores que incluyan protección DDoS, backups automáticos y redes privadas. Los usuarios avanzados también pueden querer soporte IPv6 o la capacidad de cargar módulos de kernel personalizados para configuraciones más complejas.

¿Por qué no usar simplemente una VPN comercial? Con una configuración WireGuard en VPS, eliminas la brecha de confianza que implica enrutar todo tu tráfico de internet a través de los servidores de otra persona. Sabes exactamente qué está instalado, por dónde fluyen tus datos y quién tiene acceso. Además, un VPS es versátil: puedes correr WireGuard junto con apps self-hosted, herramientas de desarrollo u otros servicios.

Elegir el proveedor de VPS correcto desde el principio sientan las bases para una instalación de WireGuard fluida, segura y escalable en el siguiente paso.

Preparación del servidor e instalación de WireGuard

Para instalar WireGuard correctamente, primero asegúrate de que tu VPS esté completamente actualizado y listo para recibir nuevos paquetes. Mantener el sistema al día facilita la instalación y reduce las vulnerabilidades de seguridad.

Actualiza tu servidor con el gestor de paquetes de tu distribución:

Ubuntu/Debian:

sudo apt update && sudo apt upgrade -y

CentOS/Fedora:

sudo dnf update -y

A continuación, conviene sincronizar el reloj del servidor con NTP (Network Time Protocol), ya que las diferencias de hora pueden interrumpir los handshakes de la VPN.

Con la preparación lista, procede a la instalación. WireGuard está incluido en los repositorios predeterminados de muchas distribuciones Linux:

Ubuntu/Debian:

sudo apt install wireguard -y

CentOS 8:

sudo dnf install epel-release elrepo-release -y
sudo dnf install kmod-wireguard wireguard-tools

Fedora:

sudo dnf install wireguard-tools -y

Después de la instalación, verifícala con:

wg --version

Con esto, el paso de instalación del servidor WireGuard está completo. Ahora puedes pasar a generar las llaves criptográficas y configurar tu VPN.

Generación de llaves pública y privada

La generación de llaves es el primer paso para asegurar tu VPN. WireGuard usa un par criptográfico – una llave privada (siempre secreta) y una llave pública (compartida con los peers) – para garantizar que solo los dispositivos autorizados puedan conectarse e intercambiar tráfico cifrado.

En una sola línea: genera ambas llaves a la vez

Para crear rápidamente las llaves de tu servidor en tu directorio de trabajo, usa:

wg genkey | tee server_private.key | wg pubkey > server_public.key

Esto crea dos archivos en tu directorio actual:

• server_private.key es tu secreto. Guárdalo bien.
• server_public.key puede compartirse con cualquier peer que vaya a conectarse.

Si guardas las llaves en un directorio del sistema como /etc/wireguard/, agrega sudo para los permisos:

wg genkey | sudo tee /etc/wireguard/server_private.key | wg pubkey | sudo tee /etc/wireguard/server_public.key

Ambos archivos se crean de inmediato – no necesitas comandos adicionales.

Método en dos pasos

Si prefieres generar primero la llave privada y después la pública:

1. Genera la llave privada:

wg genkey | tee server_private.key

2. Genera la llave pública a partir de la llave privada guardada:

wg pubkey < server_private.key > server_public.key

Formato y seguridad de las llaves

Cada llave aparece como una cadena base64 de 44 caracteres (como VQF1+gjxBdtS...=). Verifica que tu salida tenga ese formato. Establece los permisos para que solo root pueda leer la llave privada:

sudo chmod 600 /etc/wireguard/server_private.key

o bien:

chmod 600 server_private.key

Mantén la llave privada confidencial y comparte la llave pública solo con los clientes que quieras conectar. La llave privada se referencia en la configuración del servidor; la llave pública se entrega según sea necesario a los peers autorizados.

Configuración de la interfaz del servidor WireGuard

Para configurar los ajustes de tu servidor WireGuard, crea un archivo de configuración (normalmente /etc/wireguard/wg0.conf) que define el comportamiento de la VPN. El nombre de la interfaz (wg0) puede cambiarse si quieres correr varios túneles VPN (por ejemplo, wg1).

Una configuración típica tiene dos secciones principales:

• [Interface]: define el servidor – su llave privada, la IP interna de la VPN y el puerto UDP en el que escucha.
• [Peer]: cada peer (cliente) que conectes agrega un bloque con su llave pública y su IP VPN asignada.

Ejemplo de /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = <clave_privada_del_servidor>
Address = 10.0.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <clave_publica_del_cliente>
AllowedIPs = 10.0.0.2/32

• PrivateKey: la llave privada del servidor (no la compartas).
• Address: IP interna de la VPN para el servidor (usa /24 para hasta 253 peers posibles, por ejemplo 10.0.0.1/24).
• ListenPort: puerto UDP (el predeterminado es 51820; puedes cambiarlo).
• PostUp: ejecuta comandos cuando la interfaz arranca. Normalmente se usa para configurar las reglas de enrutamiento y firewall necesarias para el tráfico VPN.
• PostDown: ejecuta comandos cuando la interfaz se detiene. Generalmente limpia o elimina las reglas de enrutamiento y firewall aplicadas al iniciar la VPN.
• PublicKey: llave pública del cliente.
• AllowedIPs: IP VPN asignada al cliente (o subred).

Para agregar más clientes, simplemente repite la sección [Peer] con su propia llave pública y dirección IP.

Después de guardar la configuración, asegúrala restringiendo los permisos:

sudo chmod 600 /etc/wireguard/wg0.conf

Esto evita el acceso no autorizado a la llave privada que contiene.

Tu servidor WireGuard ya está configurado. El siguiente paso es asegurar el enrutamiento con reglas de firewall y habilitar el reenvío de IP para que tus clientes VPN puedan comunicarse a través de tu VPS.

Reglas de firewall y reenvío de IP en WireGuard

Las reglas de firewall y el reenvío de IP son necesarios para que los clientes VPN puedan enrutar tráfico a través de tu servidor y acceder a internet. Sin estas configuraciones, los peers solo pueden comunicarse directamente con el servidor.

Habilitar el reenvío de IP

Primero, habilita el reenvío de paquetes en el kernel editando /etc/sysctl.conf:

sudo nano /etc/sysctl.conf

Descomenta (elimina el # al inicio) o agrega estas líneas. La segunda solo es necesaria para habilitar el reenvío de paquetes IPv4:

net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

Aplica los cambios de inmediato:

sudo sysctl -p

Configurar las reglas de firewall

El enfoque para configurar el firewall depende de tu distribución Linux y la complejidad que necesites. Cada distribución tiene su herramienta preferida, pero todas logran el mismo objetivo: permitir el tráfico de WireGuard y habilitar NAT para el acceso a internet.

Ubuntu (UFW recomendado):

UFW ofrece una interfaz simplificada para administrar iptables:

sudo ufw allow 51820/udp
sudo ufw enable

Para el enmascaramiento NAT, edita /etc/ufw/before.rules e inserta al inicio:

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE
COMMIT

Reemplaza eth0 con la interfaz principal de tu servidor (verifica con ip a). Luego recarga:

sudo ufw reload

CentOS/Fedora/Debian (firewalld o iptables):

Los sistemas basados en Red Hat modernos usan firewalld:

sudo firewall-cmd --permanent --add-port=51820/udp
sudo firewall-cmd --permanent --add-masquerade
sudo firewall-cmd --reload

iptables universal (todas las distribuciones):

iptables directo ofrece máximo control y consistencia:

sudo iptables -A INPUT -p udp --dport 51820 -j ACCEPT
sudo iptables -A FORWARD -i wg0 -j ACCEPT
sudo iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE

Puntos de configuración importantes

• Acceso al puerto: permite el puerto UDP 51820 (o el que hayas elegido) para los handshakes de WireGuard.
• Reenvío de interfaz: habilita el flujo de tráfico entre la interfaz WireGuard (wg0) y la interfaz externa.
• Enmascaramiento NAT: permite que los clientes VPN compartan la IP pública de tu servidor.
• Nombres de interfaz: reemplaza eth0 con tu interfaz de red real (verifica con ip a).

Hacer las reglas persistentes

Las reglas de iptables se pierden al reiniciar. Para hacerlas persistentes:

• Ubuntu/Debian: sudo apt install iptables-persistent
• CentOS/Fedora: sudo systemctl enable iptables
• Todos los sistemas: considera usar los comandos PostUp/PostDown en la configuración de WireGuard para administrar las reglas automáticamente.

Sin estas reglas, los clientes pueden conectarse al servidor pero no tendrán acceso a internet ni a tu red local.

Por qué importa esta configuración

El reenvío de IP permite que tu servidor enrute paquetes entre diferentes interfaces, mientras que el enmascaramiento NAT permite que los clientes VPN usen la IP pública de tu servidor al acceder a la web. Juntas, estas configuraciones convierten tu VPS en un gateway seguro para todos los peers WireGuard.

Iniciar y habilitar el servicio WireGuard

Para poner tu VPN en línea, usa wg-quick, que lee tu configuración de /etc/wireguard/wg0.conf y activa la interfaz:

sudo wg-quick up wg0

Una vez iniciado, verifica que WireGuard esté corriendo y listo para aceptar conexiones:

sudo wg show

Esto muestra el estado de la interfaz, las llaves y (una vez que los clientes se conectan) los detalles de los peers en tiempo real.

Controlar y monitorear el servicio

Para la administración continua, usa los comandos de systemd (compatibles con la mayoría de las distribuciones Linux modernas) para verificar el estado, iniciar, detener o reiniciar la interfaz VPN en caso de cambios o para solucionar problemas:

Verificar el estado actual:

sudo systemctl status wg-quick@wg0

Iniciar la interfaz manualmente (alternativa a wg-quick up):

sudo systemctl start wg-quick@wg0

Los comandos systemctl stop, reload y restart te dan control adicional sobre tu interfaz WireGuard.

Habilitar el inicio automático al arrancar

Para mayor confiabilidad, haz que WireGuard persista entre reinicios del servidor:

sudo systemctl enable wg-quick@wg0

Esto garantiza que tu servicio VPN siempre esté disponible sin intervención manual, completando la configuración principal de tu solución self-hosted.

Verificar la conexión y agregar más peers

Con esta guía de configuración de WireGuard casi completa, los últimos pasos consisten en probar la conectividad y escalar tu VPN para soportar múltiples dispositivos. Así confirmas que tu servidor funciona correctamente y puede manejar los clientes que quieres conectar.

Crear y probar tu primer cliente

Antes de hacer pruebas, necesitas crear una configuración de cliente. Genera las llaves para el cliente:

wg genkey | tee client_private.key | wg pubkey > client_public.key

Crea un archivo de configuración del cliente (por ejemplo, client.conf) que apunte a tu servidor:

[Interface]
PrivateKey = <llave_privada_del_cliente>
Address = 10.0.0.2/24
DNS = 8.8.8.8

[Peer]
PublicKey = <llave_publica_del_servidor>
Endpoint = <ip_publica_del_servidor>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Explicación de los parámetros:

• Endpoint: la IP pública de tu servidor y el puerto WireGuard.
• AllowedIPs: usa 0.0.0.0/0 para enrutar todo el tráfico a través de la VPN.
• PersistentKeepalive: ayuda a mantener la conexión activa detrás de routers con NAT.

Verificar la conectividad

Inicia la interfaz del cliente:

sudo wg-quick up client

Prueba la conexión con estos pasos:

• Haz ping a la IP VPN del servidor: ping 10.0.0.1
• Verifica el estado del handshake en el servidor: sudo wg show
• Comprueba la conectividad a internet: curl ifconfig.me (debe mostrar la IP del servidor)

Un handshake exitoso muestra la llave pública del cliente y la marca de tiempo en la salida de sudo wg show.

Agregar peers adicionales

Para cada nuevo cliente, sigue este proceso:

1. Genera llaves únicas para el nuevo cliente:

wg genkey | tee client2_private.key | wg pubkey > client2_public.key

2. Agrega el peer a la configuración de tu servidor (/etc/wireguard/wg0.conf):

[Peer]
PublicKey = <llave_publica_del_cliente2>
AllowedIPs = 10.0.0.3/32

3. Recarga la configuración del servidor:

sudo wg-quick down wg0 && sudo wg-quick up wg0

Buenas prácticas para escalar

• Gestión de IPs: asigna a cada cliente una IP VPN única (10.0.0.2, 10.0.0.3, etc.)
• Organización: usa nombres descriptivos para los archivos de configuración de los clientes (laptop.conf, celular.conf)
• Seguridad: cada peer debe tener su propio par de llaves – nunca reutilices llaves
• Monitoreo: revisa periódicamente sudo wg show para monitorear conexiones activas y transferencia de datos

Solución de problemas de conexión

No aparece handshake:

• Verifica que las reglas de firewall permitan tráfico UDP en el puerto que elegiste
• Comprueba que el parámetro Endpoint del cliente apunte a la IP y el puerto correctos del servidor
• Asegúrate de que ambos peers tengan las llaves públicas correctas del otro

Handshake exitoso pero sin acceso a internet:

• Verifica que el reenvío de IP esté habilitado en el servidor
• Comprueba que las reglas de NAT/enmascaramiento estén activas
• Confirma que AllowedIPs en el cliente esté configurado correctamente: 0.0.0.0/0 para túnel completo o rangos personalizados para split tunneling. Puedes explorar y calcular estos rangos con esta herramienta: WireGuard AllowedIPs Calculator
• Primero prueba con ping 10.0.0.1 y luego con IPs externas

Con esto, tu VPN WireGuard soporta múltiples clientes con conexiones seguras y cifradas. Cada peer puede acceder a internet de forma segura a través de tu VPS, completando tu infraestructura VPN self-hosted.

WireGuard para equipos: configuración multi-peer, QR codes y wg-easy

La sección anterior cubre cómo agregar peers uno por uno. Aquí te explicamos el panorama general: distribuir configuraciones de forma segura, incorporar celulares y revocar accesos sin apagar el servidor.

Distribuir configuraciones de peer de forma segura

Nombra los archivos de configuración de forma descriptiva según la persona – alice.conf, bob-laptop.conf – para que la revocación sea obvia después. Nunca envíes archivos .conf por correo sin cifrar; usa un medio de transferencia cifrado o entrégalos en persona.

Para eliminar un peer sin reiniciar el túnel:

sudo wg set wg0 peer <LLAVE_PUBLICA_DEL_PEER> remove && sudo wg-quick save wg0

Luego elimina el bloque [Peer] correspondiente de wg0.conf para mantener el archivo limpio.

Configuración por QR code para dispositivos móviles

Instala qrencode y genera un código a partir del archivo de configuración de cualquier peer:

sudo apt install qrencode -y
qrencode -t ansiutf8 < /etc/wireguard/peers/alice.conf

Abre la app de WireGuard en el celular, toca Agregar túnel → Escanear QR code – el peer queda configurado al instante. Muestra el QR code solo en una sesión de terminal privada y no lo captures en pantalla.

wg-easy: una interfaz web para equipos

wg-easy es una interfaz web basada en Docker que administra la creación de peers, la generación de configuraciones y los QR codes desde el navegador – sin necesidad de usar la terminal en el día a día. Funciona bien para equipos de 5 a 50 personas o en cualquier caso donde miembros sin experiencia técnica necesiten incorporarse.

Revisa el tag de imagen más reciente en github.com/wg-easy/wg-easy y luego despliega:

services:
  wg-easy:
    image: ghcr.io/wg-easy/wg-easy # usar el tag del release actual
    environment:
      - WG_HOST=<tu-ip-del-servidor>
      - PASSWORD_HASH=<hash> # docker run ghcr.io/wg-easy/wg-easy wgpw PASSWORD
    volumes:
      - ./etc_wireguard:/etc/WireGuard
    ports:
      - "51820:51820/udp"
      - "51821:51821/tcp"
    cap_add:
      - NET_ADMIN
      - NET_RAW
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
    restart: unless-stopped

Escalar a más de 20 peers

WireGuard es ligero – un VPS estándar maneja 50 o más peers inactivos sin problema. Lo que impacta el uso de recursos es el rendimiento de tráfico activo, no la cantidad de peers. Si el tráfico simultáneo activo satura constantemente el ancho de banda de tu servidor, o si necesitas controles de acceso separados por departamento o región, es momento de dividir en varios servidores. Las regiones globales de Contabo facilitan colocar un endpoint VPN cerca de cada equipo. Cuando necesites más capacidad, hacer un upgrade de VPS a Max Performance VPS dentro de la misma cuenta es sencillo.

FAQ de WireGuard en VPS