WireGuard en VPS: VPN rápido, ligero y privado

WireGuard se apoya en un código fuente deliberadamente reducido (unas 4 000 líneas), lo que lo hace más fácil de auditar y bastante menos expuesto a fallos de seguridad que sus alternativas. Al alojarlo en un VPS dedicado, obtiene una dirección IP fija bajo su control, velocidades cercanas al ancho de banda nativo del servidor y la posibilidad de conceder o revocar accesos con granularidad de cliente. Es la solución preferida por los desarrolladores y los equipos distribuidos que quieren proteger sus comunicaciones sin sacrificar el rendimiento.

Tres puntos lo distinguen de una VPN comercial. La dirección de salida no se comparte con nadie, así que puede añadirla a la lista blanca de una API, de un back office o del cortafuegos de un cliente. La política de registros es la suya, porque nadie más administra la máquina. Y el protocolo sigue siendo sobrio: un único puerto UDP, una criptografía fija (Curve25519 para el intercambio de claves, ChaCha20 y Poly1305 para el cifrado autenticado) y un túnel que se recupera cuando el dispositivo cambia de dirección IP, por ejemplo al pasar del Wi-Fi al 4G.

WireGuard necesita muy pocos recursos: con la interfaz wg-easy, 1 vCPU y 1 GB de RAM bastan para un equipo pequeño, y el límite lo fija el ancho de banda del VPS, no el procesador. La plantilla del Marketplace instala Ubuntu 24.04; el módulo WireGuard forma parte del núcleo Linux desde la versión 5.6, así que no hay nada que compilar.

Tres puntos que prever antes de contratar:

El puerto UDP del túnel (51820 por defecto) debe ser accesible desde Internet. Si un cortafuegos filtra el tráfico antes del servidor, ábralo explícitamente.

Un acceso SSH desde su equipo: la interfaz de administración nunca se publica, se accede a ella por un túnel SSH.

Un nombre de host (opcional): un registro A como vpn.su-dominio.com hacia la IP del VPS hace más legibles las configuraciones de los clientes y sobrevive a un cambio de servidor. La dirección IP sola también funciona.

Quien accede a wg-easy puede crear clientes, y por tanto entrar en su red: trate esta interfaz como un acceso root.

Manténgala en la interfaz local. El túnel SSH basta para el uso diario. Si tiene que publicarla, colóquela detrás de un proxy inverso HTTPS (vea nuestra guía de Caddy), declare la dirección del proxy en la variable TRUSTED_PROXIES y deje INSECURE en false; nunca la sirva en HTTP sin cifrar.

Active la doble autenticación. Desde el menú de usuario, la página Account activa un código TOTP que se pide en cada inicio de sesión.

Desconfíe de los enlaces de un solo uso. wg-easy puede generar un enlace corto de descarga válido cinco minutos, pero su documentación advierte de que estos enlaces se pueden adivinar y entregan la clave privada del cliente sin autenticación. Prefiera el código QR o el archivo, enviados por un canal privado.

Revoque con orden. Desactivar un cliente corta su acceso y conserva su configuración; eliminarlo es definitivo. Una fecha de caducidad hace el trabajo sola para un proveedor o un acceso puntual. Si pierde la contraseña de administrador, el comando cli db:admin:reset, ejecutado dentro del contenedor, la restablece.

Por defecto, wg-easy genera configuraciones de túnel completo: AllowedIPs = 0.0.0.0/0, ::/0, todo el tráfico del dispositivo sale por el VPS. Es la opción correcta en una Wi-Fi pública, o para presentar en todas partes la misma IP de salida.

Para usar la VPN solo como pasarela hacia sus servicios privados, pase a un túnel dividido: en Admin Panel → Config → Allowed IPs (valor global) o en la ficha de un cliente (valor propio de ese cliente), conserve solo la subred de la VPN, 10.8.0.0/24 en una instalación por defecto, y las redes internas que necesita alcanzar. El resto de la navegación sale por la conexión local. El servidor tiene la dirección 10.8.0.1: vincule a ella sus bases de datos, paneles y back offices en lugar de 0.0.0.0, y solo serán accesibles desde el túnel.

Atención: AllowedIPs regula el enrutamiento en el lado del cliente, y el usuario puede modificarlo. Para imponer una restricción, wg-easy ofrece un cortafuegos por cliente (Admin Panel → Interface → Per-Client Firewall), aplicado en el servidor con iptables y todavía marcado como experimental: pruébelo antes de confiar en él. Más allá de unas pocas máquinas que enlazar entre sí, una malla como Netbird evita gestionar estas listas a mano.