# ¿Cómo configuro WireGuard en un VPS? > Configure una VPN WireGuard en un VPS en 7 pasos en Debian 13 o Ubuntu 24.04. Ember, con 1 vCPU y 1 GB de RAM, la ejecuta desde $3.74 al mes. - URL: https://gloamport.com/es/guides/how-to-set-up-wireguard-on-a-vps/ - Última actualización: 2026-11-10 - Editor: Gloamport (https://gloamport.com) Un servidor WireGuard completo en un VPS 1 GB, con los comandos exactos para Debian 13 y Ubuntu 24.04. **Respuesta rápida — ¿Cómo configuro WireGuard en un VPS?** Para configurar WireGuard en un VPS, instale el paquete wireguard en Debian 13 o Ubuntu 24.04, genere un par de claves con wg genkey, escriba /etc/wireguard/wg0.conf con un ListenPort e inícielo con wg-quick up wg0. Un plan Ember de Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, lo ejecuta por $3.74 al mes con un plazo de 12 meses. ## ¿Qué necesito para configurar WireGuard en un VPS? | Elemento | Valor usado en esta guía | | --- | --- | | Plan | Ember: 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | Precio | $3.74 al mes con 12 meses, $7.48 al mes con 1 mes | | Sistema | Debian 13 o Ubuntu 24.04 | | Paquete | `wireguard` (instala `wg` y `wg-quick`) | | Archivo de configuración | `/etc/wireguard/wg0.conf` | | Puerto UDP | 51820 (el puerto usado en el inicio rápido de WireGuard) | | Subred del túnel | 10.8.0.0/24 (un rango privado elegido para esta guía) | *Precios comprobados el 10 de noviembre de 2026.* Los comandos proceden del inicio rápido de WireGuard, la página del manual de wg-quick y la documentación del kernel, revisados el 2026-11-10. ## ¿Qué plan de Gloamport ejecuta un servidor WireGuard? Ember basta para un servidor WireGuard: Gloamport lo indica para "Una VPN WireGuard para unos pocos dispositivos". Tiene 1 vCPU, 1 GB de RAM y 1 TB de tráfico al mes, y WireGuard usa poco de los dos primeros. Según la encuesta de Gloamport sobre 10 de noviembre de 2026, el precio mediano de un VPS comparable de 1 vCPU y 1 GB en 32 hosts fue de $10.55 al mes. No afirmamos ser los más baratos en cada tamaño; lo importante es que un servidor VPN no necesita un plan grande. Virtualización KVM completa: su propio kernel, sus propias reglas de cortafuegos y su propio cifrado de disco si lo configura. Para la parte de la cuenta, vea [¿Cómo compro un VPS con Monero (XMR)?](https://gloamport.com/es/buy-vps-with-monero/ "¿Cómo compro un VPS con Monero (XMR)?"). ## ¿Cómo configuro WireGuard en un VPS, paso a paso? Siete pasos desde un inicio de sesión root nuevo hasta un túnel en funcionamiento. 1. **Inicie sesión e instale WireGuard** — Abra una sesión SSH como root en el VPS nuevo y ejecute apt update y luego apt install wireguard. El paquete aporta wg y wg-quick. 2. **Genere las claves del servidor** — Defina umask 077, luego cree una clave privada y derive de ella la clave pública. La clave privada nunca sale del servidor. 3. **Genere las claves del cliente** — Haga lo mismo en su portátil o teléfono. Cada dispositivo tiene su propio par de claves; solo intercambia claves públicas. 4. **Escriba wg0.conf en el servidor** — Dé al servidor una dirección dentro de la subred del túnel, un ListenPort, su clave privada y un [Peer] por dispositivo, con la clave pública de ese dispositivo y una única dirección de túnel. 5. **Escriba la configuración del cliente** — Apunte Endpoint a la dirección IPv4 y al puerto del VPS, defina AllowedIPs, y añada PersistentKeepalive = 25 si el cliente está detrás de NAT. 6. **Inicie la interfaz** — Ejecute wg-quick up wg0 en ambos extremos, y luego systemctl enable --now wg-quick@wg0 en el servidor para que vuelva a arrancar tras un reinicio. 7. **Compruebe el handshake** — Ejecute wg show. Una línea "latest handshake" bajo el par significa que las claves coinciden y que el puerto UDP es accesible. ## ¿Cómo genero las claves y escribo la configuración del servidor? Genere las claves con `wg genkey` y `wg pubkey`, con `umask 077` definido antes para que el archivo de clave privada solo sea legible por root. El inicio rápido de WireGuard da la misma orden de una línea que se usa abajo. *Instale y genere el par de claves del servidor* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## ¿Cómo escribo la configuración del cliente e inicio el túnel? Escriba un segundo archivo en el cliente con su propia clave privada, la clave pública del servidor y la dirección del VPS, y luego súbalo con `wg-quick up`. La línea `AllowedIPs` decide qué tráfico entra en el túnel: `10.8.0.0/24` envía solo el tráfico del túnel, `0.0.0.0/0, ::/0` envía todo. *wg0.conf en el portátil (túnel completo)* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *Inícielo y compruebe el handshake* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## ¿Cómo enruto todo mi tráfico a través del VPS? Para usar el VPS como salida de todo su tráfico, active el reenvío IPv4 y añada una regla de enmascaramiento en el servidor. La documentación del kernel define `net.ipv4.ip_forward` como el interruptor que reenvía paquetes entre interfaces, y su valor por defecto es 0. El destino MASQUERADE solo es válido en la tabla nat, en la cadena POSTROUTING. Ponga ambas cosas en la sección `[Interface]` del archivo del servidor con `PostUp` y `PostDown`, que `wg-quick` ejecuta en bash y donde `%i` se expande al nombre de la interfaz. Averigüe primero el nombre de la interfaz pública con `ip route show default`, y luego sustituya `eth0` más abajo. *Líneas extra para la sección [Interface] del servidor* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **Abra el puerto UDP y proteja las claves** Permita UDP 51820 en el cortafuegos que use en el VPS, porque WireGuard solo responde a los pares que conoce. No pegue nunca una clave privada en un chat ni en un ticket: si se filtra, cree un par nuevo y sustituya la clave pública en el otro extremo. ## ¿Cómo sé que el túnel WireGuard funciona? Ejecute `wg show` en el servidor: un par con un "latest handshake" reciente y contadores de transferencia distintos de cero está conectado. Si el handshake nunca aparece, compruebe que ambas claves públicas están en el lado correcto, que la dirección Endpoint es la IPv4 del VPS y que el UDP 51820 está abierto. Una vez que funciona, un Ember de 12 meses a $3.74 al mes cubre una VPN personal para unos pocos dispositivos, como indica la descripción del plan. Compare esta ruta con una comercial en [¿Es mejor una VPN autoalojada en un VPS que un servicio de VPN?](https://gloamport.com/es/self-hosted-vpn-vs-vpn-service/ "¿Es mejor una VPN autoalojada en un VPS que un servicio de VPN?"). Si el otro extremo es un servidor doméstico detrás de un CGNAT de operador, siga con [¿Cómo conecto mi red doméstica a un VPS con WireGuard (detrás de CGNAT)?](https://gloamport.com/es/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "¿Cómo conecto mi red doméstica a un VPS con WireGuard (detrás de CGNAT)?"). Después, bloquee el VPS con [¿Cómo endurezco SSH en un VPS nuevo?](https://gloamport.com/es/guides/how-to-harden-ssh-on-a-vps/ "¿Cómo endurezco SSH en un VPS nuevo?"). **Resumen** - Instale `wireguard` con apt en Debian 13 o Ubuntu 24.04. - Cree las claves con `umask 077` y `wg genkey | tee … | wg pubkey`. - El archivo del servidor necesita Address, ListenPort, PrivateKey y un Peer por dispositivo. - El archivo del cliente necesita la clave pública del servidor, Endpoint y AllowedIPs. - `PersistentKeepalive = 25` mantiene abierta una asignación NAT. - El uso de túnel completo necesita `net.ipv4.ip_forward=1` y una regla MASQUERADE. - Ember cuesta $3.74 al mes con 12 meses. ## WireGuard en un VPS: preguntas frecuentes ### ¿Qué puerto usa WireGuard? WireGuard usa el puerto UDP definido por ListenPort en la configuración. El ejemplo del inicio rápido usa 51820, y esta guía hace lo mismo. Abra ese puerto en su cortafuegos. ### ¿Es Ember suficiente para WireGuard? Gloamport indica Ember (1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic) para una VPN de WireGuard para unos pocos dispositivos. El límite de tráfico de 1 TB al mes es el que conviene vigilar. ### ¿Qué hace PersistentKeepalive? Envía un paquete cada N segundos para que un dispositivo NAT mantenga abierta la asignación. El inicio rápido de WireGuard llama a 25 segundos un intervalo sensato, y 0 lo desactiva. ### ¿Cómo inicio WireGuard al arrancar? Ejecute `systemctl enable --now wg-quick@wg0`. El paquete wireguard-tools de Debian incluye la unidad `wg-quick@.service`. ### ¿Puedo añadir un segundo dispositivo más tarde? Sí. Genere un par de claves en el dispositivo nuevo, añada otro bloque `[Peer]` con su clave pública y una nueva dirección de túnel como 10.8.0.3/32, y luego recargue con `wg syncconf wg0 <(wg-quick strip wg0)`. ## Fuentes 1. [Inicio rápido de WireGuard](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Página de manual de wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [Lista de archivos del paquete wireguard-tools (trixie)](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [Sysctl de IP: ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8): MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamport es un proveedor de VPS que vende servidores Linux KVM sin KYC, se piden con un número de cuenta y se pagan en criptomonedas, Monero primero; lo opera DomaineGoat LLC, una empresa registrada en Panamá. Un pedido pide un plan, una moneda y, solo si lo quiere, una dirección de correo: ni nombre, ni dirección postal, ni teléfono ni documento de identidad. En el plazo de 12 meses, cada plan tiene un precio al menos un 25% inferior al de un plan comparable concreto de un estudio de 38 hosts de VPS sin KYC que aceptan cripto, consultado el 10 de noviembre de 2026.