WireGuard en VPS: configuración en 5 minutos con panel web

Para el despliegue de WireGuard en un VPS, es suficiente con un servidor con 1 vCPU, 512 MB de RAM y un sistema operativo Ubuntu 22.04 o 24.04. El uso del contenedor Docker wg-easy permite configurar un servidor VPN completo con interfaz web y gestión de clientes mediante códigos QR en menos de 5 minutos.

Ventajas de VPN WireGuard frente a OpenVPN e IPsec

WireGuard es un protocolo de comunicación moderno que funciona a nivel del kernel de Linux, lo que proporciona un rendimiento colosal en comparación con OpenVPN. Mientras que OpenVPN opera en el espacio de usuario (userspace) y cambia constantemente el contexto del procesador, WireGuard minimiza los retardos y apenas carga la CPU.

Comparación de características de los protocolos

Para mayor claridad, veamos los parámetros técnicos de los principales protocolos utilizados para crear redes personales.

Parámetro	WireGuard	OpenVPN (UDP)	IPsec (IKEv2)
Líneas de código	~4 000	~100 000+	Muchísimas
Criptografía	ChaCha20, Poly1305	AES, RSA, SHA (varios)	Diversos conjuntos
Velocidad de conexión	Instantánea (0.1 seg)	2-8 segundos	1-3 segundos
Ancho de banda	Alto (hasta 95% del canal)	Medio (60-70%)	Alto
Consumo de batería (Móvil)	Mínimo	Alto	Medio

El uso de vpn wireguard está justificado para dispositivos móviles, ya que el protocolo no mantiene una conexión constante si no hay tráfico. Esto ahorra batería en el smartphone y permite cambiar instantáneamente entre Wi-Fi y 4G sin interrumpir la sesión.

Selección de configuración y características de wg-easy vps

Para ejecutar wg-easy vps, no se requieren recursos potentes. Sin embargo, para un funcionamiento estable bajo carga (por ejemplo, si 5-10 personas usan la VPN simultáneamente), conviene prestar atención a la latencia de red y la ubicación del servidor.

Requisitos mínimos y recomendados

• Procesador: 1 núcleo (vCPU) — suficiente para cifrar tráfico de hasta 500 Mbps.
• Memoria RAM: 512 MB — mínimo, 1 GB — para un trabajo fluido con Docker y el panel web.
• Disco: 10 GB SSD/NVMe — los logs y las imágenes de Docker ocupan poco espacio.
• Red: Canal de 100 Mbps a 1 Gbps con tráfico ilimitado.

Si busca condiciones ventajosas, vale la pena considerar una DigitalOcean alternative, donde puede obtener capacidades similares a un menor costo. Para tareas profesionales donde el rendimiento del subsistema de disco y del procesador es crucial, es útil estudiar la comparativa Contabo vs Valebyte para elegir el nodo óptimo en Europa o EE. UU.

Instalación paso a paso de WireGuard en Ubuntu mediante Docker

La forma más rápida de realizar el wireguard server setup es utilizar el proyecto wg-easy. Se trata de un contenedor Docker que combina el propio servidor VPN y una cómoda interfaz gráfica para la gestión de claves.

Etapa 1: Preparación del sistema

Primero, actualice los paquetes en su sistema wireguard ubuntu e instale Docker.

sudo apt update && sudo apt upgrade -y
curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh
sudo usermod -aG docker $USER

Etapa 2: Creación de la configuración de Docker Compose

Cree un directorio para el proyecto y el archivo de configuración. El uso de Docker Compose permite actualizar fácilmente el servidor con un solo comando.

mkdir ~/wireguard && cd ~/wireguard
nano docker-compose.yml

Inserte la siguiente configuración, sustituyendo YOUR_SERVER_IP por la IP pública de su VPS, y YOUR_ADMIN_PASSWORD por una contraseña segura para acceder al panel:

services:
  wg-easy:
    environment:
      - WG_HOST=YOUR_SERVER_IP
      - PASSWORD=YOUR_ADMIN_PASSWORD
      - WG_PORT=51820
      - WG_DEFAULT_DNS=1.1.1.1
      - WG_ALLOWED_IPS=0.0.0.0/0
      - UI_TRAFFIC_STATS=true
    image: ghcr.io/wg-easy/wg-easy
    container_name: wg-easy
    volumes:
      - .:/etc/wireguard
    ports:
      - "51820:51820/udp"
      - "51821:51821/tcp"
    restart: unless-stopped
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.conf.all.src_valid_mark=1
      - net.ipv4.ip_forward=1

Etapa 3: Lanzamiento del servidor

Inicie el contenedor en segundo plano:

docker compose up -d

Ahora el panel web está disponible en la dirección http://su_ip:51821. Aquí puede crear clientes con un solo clic y descargar sus configuraciones o escanear códigos QR.

Seguridad y configuración de Firewall para WireGuard en VPS

Tras completar la instalación de wireguard en vps, es necesario limitar el acceso a los puertos para que atacantes no puedan vulnerar su panel de control o intentar adivinar la contraseña de SSH.

Configuración de UFW (Uncomplicated Firewall)

Se recomienda dejar abiertos solo los puertos necesarios:

1. 22/TCP — para SSH (es mejor cambiarlo por uno no estándar).
2. 51820/UDP — puerto principal de WireGuard.
3. 51821/TCP — interfaz web (se recomienda cerrarlo tras la configuración o usar la VPN para acceder a él).

Comandos para la configuración:

sudo ufw allow 22/tcp
sudo ufw allow 51820/udp
sudo ufw allow 51821/tcp
sudo ufw enable

Para aumentar el nivel de seguridad, considere la migración a hostings más protegidos si su proveedor actual bloquea cuentas con frecuencia. Consulte Hetzner alternative para encontrar plataformas con una actitud leal hacia los servidores VPN personales.

Integración con AdGuard Home y Pi-hole para el bloqueo de publicidad

Una de las funciones más demandadas al configurar wireguard en vps es el filtrado de tráfico. Puede forzar que todo el tráfico pase por AdGuard Home, lo que eliminará la publicidad en aplicaciones y sitios web en todos los dispositivos conectados.

Configuración de DNS en wg-easy

Para integrar AdGuard, debe ejecutarlo en un contenedor Docker separado e indicar su dirección IP en la variable WG_DEFAULT_DNS en el archivo docker-compose.yml.

• Instale AdGuard Home mediante Docker.
• En la configuración de wg-easy, indique la dirección IP local del contenedor AdGuard (normalmente es 172.x.x.x dentro de la red de Docker).
• Ahora todos los clientes de WireGuard recibirán automáticamente un internet "limpio" sin rastreadores.

Esto ahorra significativamente el tráfico móvil y acelera la carga de páginas en smartphones.

Cómo evadir bloqueos: enmascaramiento de WireGuard bajo TCP

En algunas regiones, el protocolo WireGuard es bloqueado mediante DPI (Deep Packet Inspection), ya que utiliza paquetes UDP específicos. Si su vpn wireguard deja de conectarse, existen varias formas de solucionar el problema.

Uso de AmneziaWG o enmascaramiento mediante Shadowsocks

El WireGuard estándar no sabe mimetizarse con el tráfico HTTPS normal. Sin embargo, puede:

1. Usar AmneziaWG — una versión modificada de WireGuard con cabeceras de paquetes alteradas que atraviesa con éxito los filtros de censura.
2. Configurar una combinación con VLESS Reality. Es un método más complejo pero extremadamente fiable. Puede encontrar detalles en el artículo Su propia VPN en VPS: VLESS Reality + Xray-core en 10 minutos.
3. Aplicar UDP2RAW — una herramienta que encapsula los paquetes UDP de WireGuard en paquetes TCP ficticios, engañando a los sistemas de análisis de tráfico.

Optimización de MTU para redes móviles

Un problema común al usar wireguard ubuntu en smartphones es que los sitios web dejan de abrirse, aunque la conexión esté establecida. Esto sucede porque los paquetes de WireGuard, junto con sus cabeceras, superan el tamaño estándar de MTU (1500 bytes) del operador de telefonía.

Valores de MTU recomendados

Para un funcionamiento estable, se recomienda establecer el MTU en la configuración del cliente (en la aplicación móvil o en el archivo de configuración):

• 1280 — el valor más universal, funciona en todas partes.
• 1380 — óptimo para la mayoría de las redes LTE.
• 1420 — estándar para internet por cable.

En el panel de wg-easy, puede definir un valor global de MTU para todos los nuevos clientes añadiendo la variable WG_MTU=1280 al entorno del contenedor.

Monitoreo y gestión de clientes

El panel web wg-easy proporciona estadísticas básicas: cuántos datos ha descargado y enviado un usuario específico, así como la hora de la última conexión. Esto es útil si comparte el acceso con amigos o familiares. Para uso profesional, por ejemplo, si planea lanzar un servicio de proxy o un negocio de VPN, necesitará herramientas de facturación y API más avanzadas, pero para necesidades personales, la combinación de Docker + wg-easy es más que suficiente.

Conclusiones

Para configurar WireGuard en un VPS, lo mejor es utilizar el contenedor Docker wg-easy, que proporciona una configuración de red automática y una cómoda interfaz web. Si el protocolo estándar es bloqueado por su proveedor, se recomienda pasar a AmneziaWG o utilizar una combinación con VLESS Reality para enmascarar el tráfico.