Configuracion de WireGuard en VPS: Tu Propia VPN en 10 Minutos

WireGuard es el protocolo VPN mas rapido y sencillo. Configuralo en un VPS economico y tendras tu propia VPN privada — sin suscripciones, sin registros, control total.

Por que WireGuard?

Protocolo VPN	Velocidad	Simplicidad	Tamano del Codigo
WireGuard	El mas rapido	~4,000 lineas	Minimo
OpenVPN	Buena	~100,000 lineas	Grande
IPSec	Buena	~400,000 lineas	Enorme

WireGuard es:

• Mas rapido — Implementacion a nivel de kernel
• Mas simple — Menos codigo = menos errores
• Moderno — Criptografia de ultima generacion
• Amigable con la bateria — Ideal para dispositivos moviles

Requisitos del VPS

WireGuard es increiblemente ligero:

• CPU: Cualquiera
• RAM: 64MB para WireGuard en si
• Almacenamiento: <10MB
• Red: Buena conectividad, IP estatica

Las especificaciones del VPS importan mas por tu ancho de banda que por WireGuard.

Mejor VPS para WireGuard

Proveedor	Plan	Precio	Ideal Para
Vultr	VC2	$6/mes	32 ubicaciones
Hetzner	CX11	€3.79/mes	Mejor relacion calidad-precio
Hostinger	KVM1	$4.99/mes	Buen rendimiento general
DigitalOcean	Basic	$6/mes	Configuracion facil

Para VPN, la ubicacion es lo mas importante. Elige una region cercana a ti para velocidad, o lejana para evadir restricciones geograficas.

Configuracion Rapida (5 Minutos)

Paso 1: Crear el VPS

Cualquier VPS con Ubuntu 22.04+ funciona. Conectate por SSH:

ssh root@your-vps-ip

Paso 2: Instalar WireGuard

apt update
apt install wireguard -y

Paso 3: Generar Claves

cd /etc/wireguard
wg genkey | tee privatekey | wg pubkey > publickey
chmod 600 privatekey

Paso 4: Crear la Configuracion del Servidor

cat > /etc/wireguard/wg0.conf << 'EOF'
[Interface]
PrivateKey = YOUR_SERVER_PRIVATE_KEY
Address = 10.0.0.1/24
ListenPort = 51820
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.0.0.2/32
EOF

Reemplaza:

• YOUR_SERVER_PRIVATE_KEY con el contenido de privatekey
• CLIENT_PUBLIC_KEY con la clave publica de tu cliente (la generaremos a continuacion)

Paso 5: Habilitar el Reenvio de IP

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

Paso 6: Abrir el Firewall

ufw allow 51820/udp

Paso 7: Iniciar WireGuard

systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Verificar:

wg show

Configuracion del Cliente

Generar Claves del Cliente

En el servidor:

cd /etc/wireguard
wg genkey | tee client1-privatekey | wg pubkey > client1-publickey

Crear la Configuracion del Cliente

cat > client1.conf << 'EOF'
[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
EOF

Reemplaza:

• CLIENT_PRIVATE_KEY con el contenido de client1-privatekey
• SERVER_PUBLIC_KEY con el contenido de publickey
• YOUR_VPS_IP con la IP de tu VPS

Agregar el Cliente al Servidor

Edita /etc/wireguard/wg0.conf y agrega:

[Peer]
PublicKey = CONTENTS_OF_CLIENT1_PUBLICKEY
AllowedIPs = 10.0.0.2/32

Recargar:

wg syncconf wg0 <(wg-quick strip wg0)

Transferir la Configuracion al Cliente

Opcion 1: Codigo QR (para moviles)

apt install qrencode
qrencode -t ansiutf8 < client1.conf

Opcion 2: Copiar el archivo de forma segura

cat client1.conf
# Copy contents to your device

Instalacion en Clientes

macOS

brew install wireguard-tools
# Create /etc/wireguard/wg0.conf with client config
sudo wg-quick up wg0

O usa la aplicacion WireGuard desde la Mac App Store.

Windows

1. Descarga desde wireguard.com
2. Importar tunel → pegar configuracion
3. Activar

Linux

sudo apt install wireguard
# Create /etc/wireguard/wg0.conf
sudo wg-quick up wg0

iOS/Android

1. Instala la aplicacion WireGuard
2. Agregar tunel → escanear codigo QR o importar archivo
3. Conectar

Multiples Clientes

Cada cliente necesita claves unicas y una IP propia:

# Generate for client2
wg genkey | tee client2-privatekey | wg pubkey > client2-publickey

Agregar a la configuracion del servidor:

[Peer]
PublicKey = CLIENT2_PUBLIC_KEY
AllowedIPs = 10.0.0.3/32

Crear la configuracion de client2 con:

• Su propia clave privada
• Address = 10.0.0.3/24

Tunelizacion Dividida

Enruta solo trafico especifico a traves de la VPN:

Enrutar Solo Ciertas IPs

En la configuracion del cliente:

AllowedIPs = 10.0.0.0/24, 192.168.1.0/24

Solo estas subredes pasan por la VPN.

Excluir la Red Local

AllowedIPs = 0.0.0.0/0, ::/0
PostUp = ip route add 192.168.1.0/24 via 192.168.1.1

Configuracion de DNS

Usar DNS de Cloudflare

En la configuracion del cliente:

DNS = 1.1.1.1, 1.0.0.1

Usar Tu Propio DNS (Pi-hole)

Si ejecutas Pi-hole en el mismo VPS:

DNS = 10.0.0.1

Bloquear Fugas de DNS

En el servidor, bloquea DNS externo:

iptables -I FORWARD -i wg0 -p udp --dport 53 -j DROP
iptables -I FORWARD -i wg0 -p tcp --dport 53 -j DROP
iptables -I FORWARD -i wg0 -d 10.0.0.1 -p udp --dport 53 -j ACCEPT

Optimizacion del Rendimiento

Ajuste de MTU

Encuentra el MTU optimo:

ping -c 5 -M do -s 1400 your-vps-ip
# Decrease until no fragmentation

Configurar en el archivo:

[Interface]
MTU = 1420

Keepalive Persistente

Para clientes detras de NAT:

PersistentKeepalive = 25

Envia un paquete cada 25 segundos para mantener la conexion activa.

Refuerzo de Seguridad

Cambiar el Puerto Predeterminado

Usa un puerto no estandar (menos escaneos):

Servidor:

ListenPort = 44321

Cliente:

Endpoint = your-vps-ip:44321

Fail2Ban para WireGuard

# WireGuard doesn't log auth failures by default
# But you can monitor connection attempts
cat > /etc/fail2ban/jail.d/wireguard.local << 'EOF'
[wireguard]
enabled = false
# WireGuard is already secure by design
EOF

WireGuard es inherentemente seguro — las claves desconocidas se descartan silenciosamente.

Firewall Solo para el Puerto de WireGuard

Para una configuracion completa del firewall, consulta nuestra guia de seguridad para VPS.

ufw default deny incoming
ufw allow ssh
ufw allow 51820/udp
ufw enable

Solucion de Problemas

No Se Puede Conectar

# Check WireGuard is running
wg show

# Check firewall
ufw status

# Check port is open
nc -zvu your-vps-ip 51820

Sin Internet a Traves de la VPN

# Check IP forwarding
cat /proc/sys/net/ipv4/ip_forward
# Should be 1

# Check NAT rules
iptables -t nat -L POSTROUTING

Velocidades Lentas

# Test without VPN
speedtest-cli

# Test with VPN
# If much slower, try different MTU

Caidas de Conexion

Agregar al cliente:

PersistentKeepalive = 25

Uso con Docker

Contenedor de WireGuard

version: '3.8'
services:
  wireguard:
    image: linuxserver/wireguard
    container_name: wireguard
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=UTC
      - SERVERURL=your-vps-ip
      - PEERS=5
    volumes:
      - ./config:/config
    ports:
      - 51820:51820/udp
    sysctls:
      - net.ipv4.conf.all.src_valid_mark=1
    restart: unless-stopped

Genera automaticamente configuraciones para 5 pares en ./config/peer*.

WireGuard vs VPN Comercial

Factor	WireGuard VPS	NordVPN/etc
Costo	~$5/mes	$3-12/mes
Servidores	1 (tuyo)	5000+
Velocidad	La mas rapida	Buena
Privacidad	Completa	Confias en ellos
Registros	Ninguno	”Sin registros”
Control	Total	Ninguno

Tu propio VPS = tus propias reglas. Si prefieres una VPN sin configuracion con SSO, consulta Tailscale en su lugar.

Configuracion Multi-Ubicacion

Para multiples puntos de salida:

1. Crea VPS en diferentes regiones
2. Configura WireGuard en cada uno
3. Crea configuraciones para cada uno
4. Cambia entre ellos

# Switch to US exit
wg-quick down wg0
wg-quick up wg-us

# Switch to EU exit
wg-quick down wg-us
wg-quick up wg-eu

Preguntas Frecuentes

Es seguro WireGuard?

Extremadamente. Usa criptografia moderna (Curve25519, ChaCha20, Poly1305). Auditado por investigadores de seguridad.

Puede mi ISP ver que estoy usando VPN?

Pueden ver trafico cifrado hacia la IP de tu VPS, pero no el contenido.

Cuantos dispositivos pueden conectarse?

Ilimitados. Agrega mas secciones [Peer].

Funciona WireGuard en China?

A veces. Puede ser bloqueado. Considera herramientas de ofuscacion como udp2raw.

WireGuard vs OpenVPN?

WireGuard es mas rapido y simple. OpenVPN es mas configurable. Para la mayoria de usuarios, WireGuard gana.

Configuracion Recomendada

Caso de Uso	VPS	Ubicacion
Privacidad general	Hetzner CX11	Region mas cercana
Streaming EE.UU.	Vultr	EE.UU. (NYC, LA)
Streaming Reino Unido	Vultr	Londres
Velocidad maxima	Region local	Mismo pais

€3.79/mes te da una VPN privada que es mas rapida que cualquier opcion comercial. Sin registros, sin limites, solo tu propio servidor.