¿Cómo configuro WireGuard en un VPS?

¿Qué plan de Gloamport ejecuta un servidor WireGuard?

Ember basta para un servidor WireGuard: Gloamport lo indica para "Una VPN WireGuard para unos pocos dispositivos". Tiene 1 vCPU, 1 GB de RAM y 1 TB de tráfico al mes, y WireGuard usa poco de los dos primeros.

Según la encuesta de Gloamport sobre 10 de noviembre de 2026, el precio mediano de un VPS comparable de 1 vCPU y 1 GB en 32 hosts fue de $10.55 al mes. No afirmamos ser los más baratos en cada tamaño; lo importante es que un servidor VPN no necesita un plan grande. Virtualización KVM completa: su propio kernel, sus propias reglas de cortafuegos y su propio cifrado de disco si lo configura. Para la parte de la cuenta, vea ¿Cómo compro un VPS con Monero (XMR)?.

¿Cómo genero las claves y escribo la configuración del servidor?

Genere las claves con wg genkey y wg pubkey, con umask 077 definido antes para que el archivo de clave privada solo sea legible por root. El inicio rápido de WireGuard da la misma orden de una línea que se usa abajo.

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

¿Cómo escribo la configuración del cliente e inicio el túnel?

Escriba un segundo archivo en el cliente con su propia clave privada, la clave pública del servidor y la dirección del VPS, y luego súbalo con wg-quick up. La línea AllowedIPs decide qué tráfico entra en el túnel: 10.8.0.0/24 envía solo el tráfico del túnel, 0.0.0.0/0, ::/0 envía todo.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

¿Cómo enruto todo mi tráfico a través del VPS?

Para usar el VPS como salida de todo su tráfico, active el reenvío IPv4 y añada una regla de enmascaramiento en el servidor. La documentación del kernel define net.ipv4.ip_forward como el interruptor que reenvía paquetes entre interfaces, y su valor por defecto es 0. El destino MASQUERADE solo es válido en la tabla nat, en la cadena POSTROUTING.

Ponga ambas cosas en la sección [Interface] del archivo del servidor con PostUp y PostDown, que wg-quick ejecuta en bash y donde %i se expande al nombre de la interfaz. Averigüe primero el nombre de la interfaz pública con ip route show default, y luego sustituya eth0 más abajo.

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

¿Cómo sé que el túnel WireGuard funciona?

Ejecute wg show en el servidor: un par con un "latest handshake" reciente y contadores de transferencia distintos de cero está conectado. Si el handshake nunca aparece, compruebe que ambas claves públicas están en el lado correcto, que la dirección Endpoint es la IPv4 del VPS y que el UDP 51820 está abierto.

Una vez que funciona, un Ember de 12 meses a $3.74 al mes cubre una VPN personal para unos pocos dispositivos, como indica la descripción del plan. Compare esta ruta con una comercial en ¿Es mejor una VPN autoalojada en un VPS que un servicio de VPN?. Si el otro extremo es un servidor doméstico detrás de un CGNAT de operador, siga con ¿Cómo conecto mi red doméstica a un VPS con WireGuard (detrás de CGNAT)?. Después, bloquee el VPS con ¿Cómo endurezco SSH en un VPS nuevo?.