Presentación de Wireguard
WireGuard es una VPN ligera, integrada en el kernel de Linux, que se basa en claves públicas y en una configuración de pocas líneas. Su código es corto, por lo que resulta más sencillo de auditar que el de las VPN tradicionales, y el túnel se levanta casi al instante. Lo usan desarrolladores y equipos pequeños que quieren controlar su propio punto de salida a Internet.
Cuando se entrega tu VPS, el paquete wireguard ya está instalado y la interfaz wg0 queda configurada y arrancada por wg-quick@wg0. El servidor escucha en UDP en el puerto 51820, con la red privada 10.8.0.0/24 (el servidor es 10.8.0.1). El enrutamiento IPv4 y el NAT (masquerade) están activados, de modo que el tráfico de tus clientes sale por la IP pública del servidor.
Ya existe un primer cliente, con una clave precompartida además del par de claves habitual. Su configuración está en /root/wg-client.conf y un código QR para la aplicación móvil, en /root/wg-client-qr.txt. Solo tienes que importarlo.
Lo que puede hacer con Wireguard
Túnel completo preconfigurado
El cliente generado usa AllowedIPs = 0.0.0.0/0, así que todo el tráfico IPv4 pasa por el VPS. El DNS del cliente está fijado en 1.1.1.1.
Configuración de cliente y código QR
El archivo /root/wg-client.conf se importa tal cual en los clientes de WireGuard. El código QR de /root/wg-client-qr.txt se muestra en el terminal para la aplicación móvil.
Clave precompartida por par
Una clave generada con wg genpsk se suma al intercambio de claves públicas y refuerza la protección de la conexión. Los archivos sensibles se crean con modo 600.
Arranque automático con el sistema
El servicio wg-quick@wg0 está habilitado en systemd. El túnel vuelve a levantarse solo tras reiniciar el servidor.
NAT y reenvío ya configurados
El reenvío IPv4 se activa en /etc/sysctl.d/99-wireguard.conf. Las reglas iptables de FORWARD y de masquerade se aplican al arrancar wg0 y se retiran al detenerlo.
Empezar con Wireguard
Del pedido a la puesta en producción en pocos minutos.
- 1
Pide el VPS con WireGuard
Elige un VPS Linux en París o Fráncfort (Debian 12, Debian 13, Ubuntu 20.04, 22.04 o 24.04). En la pestaña «Aplicaciones» del formulario de pedido, marca WireGuard.
- 2
Conéctate y recupera el cliente
Cuando el servidor esté entregado, abre una sesión SSH con las credenciales recibidas. Comprueba que el túnel está activo y, después, muestra el código QR o copia el archivo de configuración a tu equipo.
Bashssh root@SERVER_IP systemctl status wg-quick@wg0 cat /root/wg-client-qr.txt # desde tu equipo: scp root@SERVER_IP:/root/wg-client.conf . - 3
Importa la configuración y prueba
Escanea el código QR con la aplicación móvil de WireGuard o importa wg-client.conf en la aplicación de escritorio. En Linux basta un solo comando; luego comprueba que se ha producido un handshake.
Bashsudo wg-quick up ./wg-client.conf sudo wg show - 4
Asegura el servidor para producción
Comprueba que el puerto UDP 51820 está abierto y limita el resto de puertos expuestos. Si prefieres un nombre a una IP, sustituye la línea Endpoint del cliente por YOUR_DOMAIN:51820 una vez creado el registro DNS. Guarda una copia de /etc/wireguard fuera del servidor.
Bashtar czf wg-backup.tgz /etc/wireguard /root/wg-client.conf
Casos de uso de Wireguard
Proteger el Wi-Fi público
Desde un hotel, un tren o una cafetería, tu tráfico IPv4 viaja por un túnel cifrado hasta tu VPS antes de salir a Internet.
Tener una IP de salida fija
Tu IP de salida pasa a ser la del VPS, lo que permite autorizar una única dirección en un cortafuegos, una base de datos o una API de administración.
Conectar tus dispositivos entre sí
Ordenador, móvil y máquinas remotas se unen a la red 10.8.0.0/24 y pueden comunicarse mediante sus direcciones privadas, con el servidor como punto central.
Elegir entre París y Fráncfort
Decides la región de salida al elegir la ubicación del VPS en el pedido, por ejemplo para probar un servicio desde Francia o desde Alemania.
Preguntas frecuentes sobre Wireguard
Conéctate por SSH y lee /root/wg-client.conf, o muestra el código QR con cat /root/wg-client-qr.txt. También puedes copiar el archivo a tu equipo con scp root@SERVER_IP:/root/wg-client.conf .
Más sobre Wireguard
Archivos y servicios instalados
/etc/wireguard/wg0.conf: configuración del servidor (clave privada, par client1, reglas PostUp y PostDown)./root/wg-client.conf: configuración del primer cliente./root/wg-client-qr.txt: código QR de esa configuración, que se muestra concat./etc/sysctl.d/99-wireguard.conf: activanet.ipv4.ip_forward./opt/install-wireguard.sh: el script de instalación ejecutado en la entrega.
El cliente recibe la dirección 10.8.0.2/32. La dirección pública que aparece en Endpoint es la detectada en el momento de la instalación.
Añadir otro dispositivo
Cada dispositivo necesita su propio par de claves y su propia dirección (10.8.0.3, 10.8.0.4, etc.). Genera las claves en el servidor y añade un bloque [Peer] a wg0.conf.
Bashcd /etc/wireguard umask 077 wg genkey | tee client2.key | wg pubkey > client2.pub wg genpsk > client2.psk
A continuación, añade en /etc/wireguard/wg0.conf el contenido de client2.pub y client2.psk con AllowedIPs = 10.8.0.3/32, y recarga sin cortar los túneles existentes:
Bashwg syncconf wg0 <(wg-quick strip wg0)
Crea el archivo del cliente a partir de /root/wg-client.conf: cambia PrivateKey y Address, y conserva la PublicKey del servidor y el Endpoint.
Puntos a tener en cuenta
El cliente generado solo enruta IPv4 (0.0.0.0/0). Si tu equipo tiene IPv6, ese tráfico no pasa por el túnel: desactiva IPv6 en el cliente si te importa.
El DNS del cliente es 1.1.1.1. Para usar otro resolvedor, modifica la línea DNS del archivo de cliente. Trata /root/wg-client.conf como una contraseña: contiene la clave privada del cliente. Una vez importado, elimina las copias que no necesites.
Si buscas más guías de administración de servidores Linux, consulta nuestros tutoriales o la página de VPS Linux.
