# ¿Cómo conecto mi red doméstica a un VPS con WireGuard (detrás de CGNAT)? > Llegue a un servidor doméstico detrás de CGNAT a través de un hub WireGuard en un VPS, paso a paso. Dusk, con 2 GB de RAM, cuesta $5.25 al mes con 12 meses. - URL: https://gloamport.com/es/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ - Última actualización: 2026-11-10 - Editor: Gloamport (https://gloamport.com) Su router doméstico no tiene dirección pública. El VPS sí la tiene, así que se convierte en el punto de encuentro al que ambos lados se conectan de salida. **Respuesta rápida — ¿Cómo conecto mi red doméstica a un VPS con WireGuard (detrás de CGNAT)?** Para conectar su red doméstica a un VPS con WireGuard detrás de CGNAT, ejecute WireGuard en el VPS como hub y deje que la máquina doméstica se conecte de salida a él con PersistentKeepalive = 25. Un plan Dusk de Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, aloja el hub por $5.25 al mes con 12 meses. ## ¿Qué dirección usa cada lado en esta configuración? | Máquina | Función | Dirección del túnel | Se conecta de salida a | | --- | --- | --- | --- | | VPS (Dusk) | Hub con dirección IPv4 pública | 10.8.0.1/24 | Nadie; escucha en UDP 51820 | | Máquina doméstica | Par detrás de CGNAT, con LAN 192.168.1.0/24 | 10.8.0.3/24 | El VPS, cada 25 segundos | | Portátil | Par itinerante | 10.8.0.2/24 | El VPS | Las direcciones son ejemplos de rangos privados. Precios: Dusk cuesta $5.25 al mes con 12 meses y $10.50 con 1 mes. ## ¿Por qué CGNAT bloquea una configuración normal de WireGuard? Detrás de CGNAT, su router comparte una dirección IPv4 pública con otros clientes, así que nada desde fuera puede abrir una conexión hacia su casa. WireGuard necesita que un lado sea alcanzable por dirección, y el VPS es ese lado: tiene Una dirección IPv4 y un /64 IPv6 por VPS, en un puerto de 1 Gbit/s. El tráfico de un plan cuenta solo los datos salientes, y superarlo nunca genera por sí solo una factura. La máquina doméstica abre el túnel hacia fuera. La guía rápida de WireGuard describe `PersistentKeepalive` justamente para este caso: configúrelo en un par detrás de un cortafuegos o NAT, y 25 segundos es «un intervalo razonable que funciona con una gran variedad de cortafuegos». La asignación NAT se mantiene abierta entonces, y el VPS puede devolver paquetes por ella. ## ¿Qué plan de Gloamport encaja para el hub? Dusk encaja con un hub que transporta tráfico entre unas pocas máquinas. Gloamport lo presenta como «Una VPN más un relé Tor o un sitio onion», con 1 vCPU, 2 GB de RAM y 2 TB de tráfico mensual. Según el estudio de Gloamport sobre 10 de noviembre de 2026, el precio mediano de un VPS de 1 vCPU y 2 GB entre 32 hosts fue de $18.91 al mes. Si solo necesita un túnel para un servicio pequeño, Ember basta; la configuración base está en [¿Cómo configuro WireGuard en un VPS?](https://gloamport.com/es/guides/how-to-set-up-wireguard-on-a-vps/ "¿Cómo configuro WireGuard en un VPS?"). ## ¿Cómo conecto mi red doméstica a un VPS con WireGuard, paso a paso? Seis pasos. Haga primero el VPS y después la máquina doméstica. 1. **Configure el hub** — Instale WireGuard en el VPS y genere su par de claves, como en la guía base. Abra el UDP 51820 en el cortafuegos que gestione allí. 2. **Active el reenvío en el VPS** — Los paquetes del portátil a la máquina doméstica atraviesan el VPS, así que el reenvío IPv4 debe estar activado. net.ipv4.ip_forward tiene el valor 0 por defecto. 3. **Declare los dos pares en el VPS** — Añada un [Peer] para la máquina doméstica y otro para el portátil. El par de casa también puede llevar la LAN doméstica en AllowedIPs. 4. **Configure la máquina doméstica** — Instale WireGuard en casa, ponga Endpoint con la dirección del VPS y añada PersistentKeepalive = 25. No hace falta reenvío de puertos en el router doméstico. 5. **Configure el portátil** — Asígnele AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 para que el tráfico del túnel y el de casa pasen ambos por el VPS. 6. **Pruebe desde el portátil** — Ejecute wg show en el VPS, y después haga ping a 10.8.0.3 desde el portátil. Un handshake reciente para cada par significa que ambos se conectaron. ## ¿Cómo escribo la configuración del hub? El archivo del hub enumera cada par con su clave pública y las direcciones a las que el VPS puede enviar tráfico. Declarar la LAN doméstica en el par de casa permite que el VPS enrute 192.168.1.0/24 hacia el túnel. */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] # home machine PublicKey = AllowedIPs = 10.8.0.3/32, 192.168.1.0/24 [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## ¿Cómo configuro la máquina doméstica y el portátil? La máquina doméstica necesita `PersistentKeepalive` y una ruta a la subred del túnel; el portátil necesita rutas a ambas subredes. Levante cada uno con `wg-quick up wg0`. Si quiere que el portátil alcance otros dispositivos de la LAN doméstica, y no solo la máquina de casa, la propia máquina de casa debe reenviar paquetes: ponga `net.ipv4.ip_forward` en 1 también allí, por ejemplo con una línea `PostUp = sysctl -w net.ipv4.ip_forward=1`. */etc/wireguard/wg0.conf on the home machine* ```ini [Interface] Address = 10.8.0.3/24 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24 PersistentKeepalive = 25 ``` */etc/wireguard/wg0.conf on the laptop* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 PersistentKeepalive = 25 ``` *Levántelo y pruébelo* ```bash wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show ping -c 3 10.8.0.3 ``` > **El túnel solo alcanza lo que enruta** El enrutamiento por clave criptográfica envía un paquete al par cuyo AllowedIPs contiene su destino. Si una dirección de la LAN no responde, compruebe que la subred aparece en AllowedIPs del par correcto, en el VPS y en el portátil. ## ¿Qué puedo hacer con el túnel una vez levantado? Puede llegar a un NAS, una cámara o un servicio autoalojado de casa desde cualquier lugar sin abrir un puerto en casa. El portátil habla con 10.8.0.3 como si estuviera en la habitación de al lado, y nada queda expuesto en su router doméstico. Mantenga el VPS accesible y ordenado: [¿Cómo endurezco SSH en un VPS nuevo?](https://gloamport.com/es/guides/how-to-harden-ssh-on-a-vps/ "¿Cómo endurezco SSH en un VPS nuevo?") cubre el lado del inicio de sesión, y [¿Es mejor una VPN autoalojada en un VPS que un servicio de VPN?](https://gloamport.com/es/self-hosted-vpn-vs-vpn-service/ "¿Es mejor una VPN autoalojada en un VPS que un servicio de VPN?") sopesa el enfoque completo. Para el hub, Dusk con el plazo de 12 meses cuesta $5.25 al mes; los planes figuran en [la página de precios](https://gloamport.com/es/pricing/ "¿Cuánto cuesta un VPS de Gloamport?"). **Resumen** - CGNAT bloquea las conexiones entrantes, así que la máquina doméstica se conecta de salida al VPS. - El VPS ejecuta el hub con una dirección IPv4 pública y el UDP 51820 abierto. - `PersistentKeepalive = 25` mantiene abierta la asignación NAT en casa. - El reenvío IPv4 (`net.ipv4.ip_forward=1`) es necesario en el VPS, y en casa para llegar a la LAN. - El `AllowedIPs` de cada par decide a qué subredes puede llegar. - Dusk (1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic) cuesta $5.25 al mes con 12 meses. ## Red doméstica a VPS con WireGuard: preguntas frecuentes ### ¿Necesito reenvío de puertos en el router de casa? No. La máquina doméstica abre la conexión hacia fuera, hacia el VPS, así que el router solo necesita permitir UDP saliente. El keepalive mantiene abierta la vía de retorno. ### ¿Qué es CGNAT? CGNAT (NAT a nivel de operador) es una configuración en la que su proveedor de internet comparte una dirección IPv4 pública entre muchos clientes. No puede recibir conexiones entrantes no solicitadas, por eso el VPS hace de punto de encuentro. ### ¿Puede el VPS alcanzar toda mi LAN doméstica? Sí, si el par de casa incluye la LAN, como 192.168.1.0/24, en su `AllowedIPs` en el VPS, y la máquina doméstica reenvía paquetes con `net.ipv4.ip_forward` en 1. ### ¿Qué plan de Gloamport debo elegir para el hub? Dusk, a $5.25 al mes con 12 meses, sirve para un hub de unas pocas máquinas. Ember basta si solo se conecta un dispositivo. ### ¿Transporta el túnel IPv6? Sí. Añada una dirección IPv6 a `Address` y un prefijo IPv6 a `AllowedIPs`; wg-quick acepta ambas familias, y el kernel tiene un ajuste de reenvío IPv6 aparte. ## Fuentes 1. [Guía rápida de WireGuard (keepalive persistente)](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Página de manual de wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [sysctl de IP: ip_forward y reenvío IPv6](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) --- Gloamport: Gloamport es un proveedor de VPS que vende servidores Linux KVM sin KYC, se piden con un número de cuenta y se pagan en criptomonedas, Monero primero; lo opera DomaineGoat LLC, una empresa registrada en Panamá. Un pedido pide un plan, una moneda y, solo si lo quiere, una dirección de correo: ni nombre, ni dirección postal, ni teléfono ni documento de identidad. En el plazo de 12 meses, cada plan tiene un precio al menos un 25% inferior al de un plan comparable concreto de un estudio de 38 hosts de VPS sin KYC que aceptan cripto, consultado el 10 de noviembre de 2026.