[{"data":1,"prerenderedAt":231},["ShallowReactive",2],{"seo-verification":3,"blog-netbird-vpn-malla-vps-ma-es":6,"promo-bar-likely":230},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-netbird-vpn-malla-vps-ma-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"noindex":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":170,"ctaBody":171,"ctaButton":172,"ctaUrl":173,"relatedPosts":174},396,"netbird-vpn-malla-vps",{"fr":12,"en":13,"ar":14,"es":10},"netbird-vpn-mesh-vps","netbird-mesh-vpn-vps","netbird-شبكة-vpn-mesh-vps","VPN mesh sin puertos abiertos con NetBird en VPS","Conecta tus VPS, oficinas y estaciones de trabajo distribuidas en una red mesh privada sin abrir un solo puerto público, usando NetBird v0.76 y el comando netbird expose.",13,0,false,"2026-09-28T00:00:00+00:00","2026-11-09T20:55:15+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fnetbird-vpn-mesh-vps-poster.svg","Diez clientes, diez accesos VPS diferentes, diez conjuntos de claves WireGuard para gestionar manualmente. Por cada nueva estación de trabajo de administrador u oficina remota, hay que reabrir un firewall, redistribuir una clave y actualizar configuraciones en cada nodo. Este modelo falla a escala. NetBird 0.76 resuelve este problema automatizando completamente el descubrimiento de pares, el traversal NAT y los relés TURN — y su comando `netbird expose` permite hacer accesible un servicio interno desde el mesh sin abrir un solo puerto público en Internet.",[35,39,47,50,56,59,77,80,83,86,124,127,130,147,153,155,158,165,167],{"type":36,"title":37,"body":38},"h2","El problema: gestionar diez túneles WireGuard manuales","WireGuard es excelente — rápido, moderno, sólido criptográficamente. Pero su modelo de configuración es estático: cada par debe conocer la IP pública y la clave pública de todos sus homólogos. En un parque de diez clientes con estaciones de trabajo nómadas, oficinas detrás de CGNAT y VPS con IPs variables, se pasa más tiempo sincronizando archivos `wg0.conf` que haciendo trabajo productivo. Añadir un VPS implica modificar la lista de pares en nueve máquinas. Eliminar un técnico requiere revocar su clave en todas partes. ¿Cambió una subred? A empezar de nuevo. Esta es la pesadilla operativa que NetBird fue diseñado para eliminar.",{"type":40,"items":41},"ul",[42,43,44,45,46],"Mesh automático: NetBird gestiona el plano de control — cada nuevo par se anuncia, los demás lo descubren sin intervención manual.","Traversal NAT y CGNAT: NetBird usa STUN para establecer conexiones directas entre pares a través de NATs residenciales y corporativos.","Relé TURN automático: cuando la conexión directa es imposible, NetBird cambia silenciosamente a un relé cifrado.","Auditoría de acceso granular: las políticas de control de acceso definen qué pares pueden alcanzar qué servicios.","Open source (BSD-3 para el cliente, AGPLv3 para el servidor): sin vendor lock-in, posibilidad de autoalojamiento.",{"type":36,"title":48,"body":49},"Requisitos previos","Antes de instalar NetBird, verifica que tu infraestructura cumple los siguientes requisitos.",{"type":40,"items":51},[52,53,54,55],"Un VPS ServOrbit con Ubuntu 22.04\u002F24.04 o Debian 12, con acceso root.","Una cuenta de NetBird Cloud (gratuita hasta 5 pares) o un plano de control self-hosted ya desplegado.","Los puertos salientes 443 (HTTPS\u002FWSS) y 3478 (STUN\u002FUDP) no bloqueados desde el VPS.","La función Peer Expose activada en tu cuenta (disponible en los planes Team y superiores).",{"type":36,"title":57,"body":58},"Conectar un VPS ServOrbit a una red NetBird","Aquí está el procedimiento completo para conectar un VPS ServOrbit a tu red mesh NetBird.",{"type":60,"steps":61},"steps",[62,65,68,71,74],{"title":63,"body":64},"Instalar el agente NetBird","En el VPS, añade el repositorio oficial e instala el paquete:\n`curl -fsSL https:\u002F\u002Fpkgs.netbird.io\u002Finstall.sh | sh`\nVerifica la versión: `netbird version` debe mostrar `0.76.x`.",{"title":66,"body":67},"Generar una clave de configuración","En el panel de NetBird, ve a **Setup Keys** y crea una clave reutilizable o de un solo uso. Cópiala — solo se muestra una vez.",{"title":69,"body":70},"Conectar el par al plano de control","En el VPS:\n`netbird up --setup-key \u003CTU_SETUP_KEY>`\nEl par aparece en el panel en segundos.",{"title":72,"body":73},"Añadir el par al grupo de red","En la interfaz NetBird, ve a **Peers**, selecciona el nuevo VPS y añádelo al grupo deseado. Las políticas de acceso se aplican inmediatamente.",{"title":75,"body":76},"Verificar la conectividad mesh","Desde otro par ya en la red:\n`netbird status` luego `ping 100.x.x.x`\nUn ping que responde confirma que el túnel está establecido.",{"type":36,"title":78,"body":79},"`netbird expose`: un servicio interno sin puerto público","El comando `netbird expose` permite hacer accesible un servicio que escucha localmente a través del proxy inverso de NetBird — sin abrir ningún puerto en el firewall del VPS. El servicio creado es efímero: desaparece automáticamente al detener el comando.\n\nEjemplo práctico: tu panel de supervisión escucha en `localhost:3000` y solo debe ser accesible para miembros autorizados del mesh:\n`netbird expose --protocol http --local-address localhost:3000 --with-user-groups supervision-admins`\nNetBird genera una URL pública en `*.tunnel.netbird.io`. El puerto 3000 del VPS permanece cerrado a nivel de firewall.",{"type":81,"body":82},"tip","Para acceso protegido por contraseña sin SSO, añade `--with-password`: NetBird muestra una contraseña aleatoria que compartes con tus colaboradores. Útil para acceso de emergencia a un cliente sin cuenta en tu tenant NetBird.",{"type":36,"title":84,"body":85},"Caso de uso agencia: conectar VPS cliente, oficina y estación admin","Topología NetBird recomendada para una agencia que gestiona diez clientes independientes: crea un grupo por cliente. El VPS de cada cliente es miembro de su grupo. Las estaciones de admin son miembros solo de su grupo de cliente. La oficina de la agencia está en un grupo `agency-ops` con acceso a todos los grupos de clientes.\n\nPara SSH al VPS del cliente sin puerto público:\n`ufw allow in on netbird0 to any port 22` luego `ufw deny 22`",{"type":87,"headers":88,"rows":93},"comparison",[89,90,91,92],"Criterio","NetBird 0.76","Tailscale","WireGuard manual",[94,99,104,109,114,119],[95,96,97,98],"Gestión de pares","Automática (plano de control centralizado)","Automática (nube Tailscale)","Manual (archivos wg0.conf en cada nodo)",[100,101,102,103],"Traversal NAT\u002FCGNAT","STUN + TURN automático","STUN + DERP automático","Requiere IP pública o port-forward",[105,106,107,108],"Modelo de precios","Gratuito hasta 5 pares; planes Team\u002FBusiness; self-hosted gratuito","Gratuito hasta 3 usuarios; planes de pago","Gratuito (software), coste operativo en tiempo",[110,111,112,113],"Open source","Sí (BSD-3 cliente, AGPLv3 servidor)","Cliente open source (BSD-3), servidor propietario","Sí (GPLv2 kernel, MIT userland)",[115,116,117,118],"Exponer servicio sin puerto abierto","Sí (`netbird expose`)","No (Funnel disponible pero diferente)","No nativo (túnel SSH manual)",[120,121,122,123],"Auditoría y políticas de acceso","Interfaz web completa, grupos y políticas","ACL vía archivo HuJSON, interfaz web","Ninguna — solo AllowedIPs por par",{"type":36,"title":125,"body":126},"Resolución de problemas: 3 problemas frecuentes","**1. Par inaccesible (`Status: Disconnected`)** — Ejecuta `netbird status --detail` para ver el estado ICE. Verifica que el puerto 3478\u002FUDP saliente esté abierto.\n\n**2. STUN\u002FTURN bloqueado por firewall corporativo** — NetBird soporta TURN sobre TCP\u002F443. Configura **Force TCP** en el panel.\n\n**3. Leer los logs** — En Linux con systemd:\n`journalctl -u netbird -f --since '5 minutes ago'`",{"type":36,"title":128,"body":129},"Resolución de problemas: el proxy de NetBird se queda en «Issuing certificate…»","Desde que NetBird ofrece su proxy inverso autoalojado, un síntoma vuelve una y otra vez en los tickets: el servicio creado en el panel se queda indefinidamente en «Issuing certificate…» y nunca es accesible. El ticket netbird #5517, abierto el 5 de marzo de 2026 y todavía abierto en su última actividad del 19 de octubre de 2026, suma 35 comentarios. El log del proxy muestra con más frecuencia este mensaje: `acme\u002Fautocert: unable to satisfy \"https:\u002F\u002Facme-v02.api.letsencrypt.org\u002Facme\u002Fauthz\u002F…\" for domain \"subdomain.site.tld\": no viable challenge type found`. Dice que la autoridad de certificación no recibió ninguna respuesta válida a sus desafíos; no dice por qué. No existe, pues, una causa única: los participantes describen varias y solo una está confirmada por el equipo de NetBird. Este es un orden de diagnóstico que descarta las causas una a una.",{"type":60,"steps":131},[132,135,138,141,144],{"title":133,"body":134},"Leer el log del proxy","Ejecuta `docker compose logs proxy | grep -i acme`: la documentación de NetBird señala este comando para los servicios que se quedan en `certificate_pending` o pasan a `certificate_failed`. Anota el texto exacto del error antes de cambiar nada, porque `permission denied` y `no viable challenge type found` no tienen el mismo remedio.",{"title":136,"body":137},"Comprobar los permisos de la carpeta de certificados","Un error del tipo `open \u002Fcerts\u002Facme_account+key…: permission denied` es el único caso zanjado por un colaborador del repositorio, que responde que ninguna actualización lo corregirá y que el problema son los permisos. Un participante cuenta que lo resolvió entregando la carpeta `certs` al usuario 1000:1000 (`chown 1000:1000`) y montando una carpeta vacía en `\u002Fvar\u002Flib\u002Fnetbird`. Es una corrección reportada para su instalación: comprueba con qué usuario corre tu contenedor antes de copiarla.",{"title":139,"body":140},"Verificar el DNS, los registros CAA y los puertos","El nombre debe resolver a la dirección del proxy y ningún registro CAA debe excluir a la autoridad utilizada. El puerto 443 debe ser accesible desde Internet para el desafío `tls-alpn-01`, que es el valor por defecto; el puerto 80 también lo debe ser para `http-01`. La documentación indica que Let's Encrypt valida desde varias ubicaciones del mundo, así que un filtrado geográfico aguas arriba puede hacer fallar la validación.",{"title":142,"body":143},"Descartar un CDN que no retransmite el desafío","La documentación advierte de que un servicio situado delante del proxy, Cloudflare por ejemplo, puede no transmitir el protocolo ALPN `acme-tls\u002F1`. En ese caso, pasa a `NB_PROXY_ACME_CHALLENGE_TYPE=http-01`. Estas comprobaciones descartan causas sin garantizar el éxito: un participante verificó el DNS, Cloudflare en solo DNS, los puertos 80 y 443 abiertos y la ausencia de CAA, y obtiene el mismo error con los dos tipos de desafío.",{"title":145,"body":146},"Examinar el Traefik situado delante","Si Traefik retransmite el TLS al proxy mediante un enrutador TCP con `tls.passthrough=true`, comprueba que el punto de entrada HTTPS lleva `allowACMEByPass=true`. El recuadro siguiente explica qué hace esta opción y qué no demuestra.",{"type":40,"items":148},[149,150,151,152],"**Confirmado por el equipo** — un error `permission denied` en la carpeta `\u002Fcerts` viene de los permisos del sistema de archivos y no de la versión del proxy; la advertencia `failed to get active profile state` sobre el perfil del cliente integrado no tiene relación con el proxy y no es crítica, y su mensaje se corregirá en una próxima versión.","**Reportado por varios participantes** — añadir `allowACMEByPass=true` al punto de entrada HTTPS de Traefik desbloquea la emisión. Varios lo confirman, pero otros dos indican que la opción ya estaba puesta en su caso y que el bloqueo persiste, uno de ellos con la versión 0.74.4 del proxy.","**Reportado por un solo participante, sin verificar** — en NetBird Cloud, una emisión lenta por parte de ZeroSSL, combinada con un plazo de 5 minutos de la biblioteca autocert de Go, explicaría los fallos. El autor aclara que razona desde fuera, sin confirmación del equipo.","**No establecido** — ninguna causa única hasta hoy: el ticket sigue llevando la etiqueta `triage-needed` en la lectura del 31 de octubre de 2026. No presentes ninguna de estas pistas como la causa de tu caso antes de haberla probado.",{"type":81,"body":154},"El script `getting-started.sh` del repositorio de NetBird pone `--entrypoints.websecure.allowACMEByPass=true` en Traefik. Según la documentación de Traefik, esta opción, desactivada por defecto, hace que tus propios enrutadores traten los desafíos ACME TLS y HTTP en lugar del enrutador ACME interno, y deja pasar el desafío TLS-ALPN hacia un enrutador TLS que tú defines. Usa el nombre de tu propio punto de entrada (`websecure`, `https`…): un participante tuvo que ponerla a la vez en el punto de entrada HTTP y en el HTTPS. No exime de leer el log.",{"type":36,"title":156,"body":157},"Origen cerrado: obtener el certificado por DNS-01 con lego","Mientras el certificado dependa de un desafío `tls-alpn-01` o `http-01`, la autoridad debe llegar a tu proxy desde Internet. Eso choca con un origen cerrado solo a los rangos de un CDN, con un firewall aguas arriba que no gestionas o con un filtrado geográfico. El desafío `dns-01` elimina esa dependencia: demuestra el control del dominio con un registro TXT temporal creado mediante la API del proveedor DNS. A 31 de octubre de 2026, el proxy de NetBird no lo integra de forma nativa: la petición, ticket netbird #5450 abierto el 25 de febrero de 2026 y con 30 comentarios, sigue abierta. La documentación de NetBird sí describe una vía, «private proxy with lego»: lego obtiene y renueva un certificado wildcard por DNS-01, un hook de despliegue lo copia en un volumen compartido y el proxy lo carga y lo recarga en caliente tras cada renovación. Un participante del ticket dice haberla montado sin dificultad y que también sirve para servicios públicos.",{"type":40,"items":159},[160,161,162,163,164],"**Variables del proxy** — `NB_PROXY_WILDCARD_CERT_DIR` señala la carpeta del certificado wildcard y `NB_PROXY_PRIVATE=\"true\"` activa el modo privado. Fija la versión de la imagen: debe conocer ambas variables.","**El modo privado no cierra nada por sí solo** — `NB_PROXY_PRIVATE` no desactiva la escucha pública. Retira tú mismo los puertos públicos y las rutas de entrada hacia el proxy.","**Alcance del wildcard** — cubre un solo nivel de subdominio. Un nombre fuera de su cobertura vuelve al ACME integrado, que no puede completarse si el proxy es totalmente privado.","**Exposición del certificado** — las autoridades públicas registran el wildcard y el dominio base en los registros de Certificate Transparency, y una clave wildcard comprometida afecta a todos los nombres cubiertos.","**Operación** — usa el servidor ACME de producción, porque los certificados de prueba no son de confianza; haz copia de los volúmenes de lego y de los certificados; prevé un emisor único o una distribución segura del par de certificados para un clúster de varios hosts.",{"type":81,"body":166},"Política de control de acceso: crea una regla que solo permita al grupo `agency-ops` alcanzar el puerto 22 en los grupos de clientes. Esto evita que un equipo comprometido en el mesh sirva de pivote para acceder a todos los VPS de clientes.",{"type":36,"title":168,"body":169},"Conclusión: menos reglas de firewall, más seguridad real","NetBird 0.76 representa un cambio de paradigma para gestionar un parque de VPS distribuido. En lugar de multiplicar reglas UFW y claves WireGuard estáticas, defines grupos y políticas una vez — y el plano de control se encarga del resto. El comando `netbird expose` va más lejos: elimina físicamente servicios de la exposición a Internet sin reconfigurar el firewall. Para una agencia que gestiona diez clientes o una empresa con oficinas distribuidas, esta es la reducción de superficie de ataque más impactante por hora invertida.","¿Necesitas infraestructura segura para tu agencia?","Pide tus VPS en tu cuenta, a tarifa pública, y mantén el control de tu red. Descubre lo que ofrecemos a las agencias.","Ver planes para agencias","\u002Fsolutions\u002Fagences",[175,195,210],{"id":176,"slug":177,"slugs":178,"title":182,"excerpt":183,"readTime":184,"views":185,"isPinned":19,"noindex":19,"publishedAt":186,"updatedAt":187,"category":188,"categories":189,"featuredImage":30,"bgImage":31,"posterImage":191,"relatedSolution":192},141,"wireguard-en-un-vps-vpn-rapido-y-privado",{"fr":179,"en":180,"ar":181,"es":177},"installer-wireguard-vps","wireguard-on-a-vps-a-fast-lean-and-private-vpn","wireguard-على-خادم-vps-شبكة-vpn-سريعة-ومبسطة-وخاصة","WireGuard en VPS: VPN rápido, ligero y privado","Despliegue WireGuard en un VPS ServOrbit: túneles rápidos, configuración legible, códigos QR para clientes y acceso remoto privado.",7,2,"2026-02-04T00:00:00+00:00","2026-11-08T01:13:12+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[190],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Finstaller-wireguard-vps-poster.svg",{"categorySlug":193,"appSlug":194},"securite","wireguard-server",{"id":196,"slug":197,"slugs":198,"title":202,"excerpt":203,"readTime":204,"views":185,"isPinned":19,"noindex":19,"publishedAt":205,"updatedAt":21,"category":206,"categories":207,"featuredImage":30,"bgImage":31,"posterImage":209,"relatedSolution":30},382,"actualizaciones-seguridad-vps-debian-ubuntu",{"fr":199,"en":200,"ar":201,"es":197},"securite-vps-mises-a-jour-automatiques-debian-ubuntu","vps-automatic-security-updates-debian-ubuntu","تحديثات-أمان-تلقائية-vps-debian-ubuntu","Actualizaciones de seguridad automáticas en VPS Debian\u002FUbuntu","Configure unattended-upgrades en sus VPS Debian\u002FUbuntu para automatizar los parches de seguridad y reducir la superficie de ataque en su flota de clientes.",10,"2026-09-26T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[208],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fsecurite-vps-mises-a-jour-automatiques-debian-ubuntu-poster.svg",{"id":211,"slug":212,"slugs":213,"title":217,"excerpt":218,"readTime":219,"views":220,"isPinned":19,"noindex":19,"publishedAt":221,"updatedAt":21,"category":222,"categories":227,"featuredImage":30,"bgImage":31,"posterImage":229,"relatedSolution":30},291,"desplegar-netbird-vpn-mesh-wireguard-en-vps",{"fr":214,"en":215,"ar":216,"es":212},"deployer-netbird-controle-vpn-mesh-vps","netbird-self-hosted-wireguard-mesh-vpn-on-a-vps","netbird-شبكة-vpn-مشبكة-wireguard-باستضافة-ذاتية","Netbird: red mesh WireGuard autoalojada en un VPS","Conecte VPS de clientes sin abrir puertos: despliegue el plano de control Netbird (servidor combinado, relé, interfaz web) y aísle cada cliente.",18,4,"2026-08-21T00:00:00+00:00",{"id":223,"name":224,"slug":225,"color":226,"icon":225},3,"Despliegue","deploiement","bg-success\u002F10 text-success",[228],{"id":223,"name":224,"slug":225,"color":226,"icon":225},"\u002Fblog\u002Fcovers\u002Fdeployer-netbird-controle-vpn-mesh-vps-poster.svg",true,1794270634480]