Dominio y Let's Encrypt para VPN en VPS: guía completa

Para un servidor VPN en un VPS, usar un dominio propio y un certificado Let's Encrypt garantiza conexiones estables para 10-50 usuarios, enmascara el tráfico y proporciona cifrado TLS de confianza, evitando reconfiguraciones de clientes ante cambios de IP o bloqueos, y su configuración con Certbot toma hasta 30 minutos.

¿Por qué usar un dominio en tu servidor VPN en lugar de una IP y qué es TLS de confianza?

Muchos usuarios que configuran una VPN por primera vez en su propio servidor virtual (VPS) comienzan con una conexión directa a través de una dirección IP. Es sencillo, rápido y parece lógico. Sin embargo, este enfoque tiene varias desventajas significativas, especialmente cuando se trata de un funcionamiento estable de la VPN para múltiples usuarios o en condiciones de bloqueos activos. El uso de un dominio propio y un certificado Let's Encrypt resuelve estos problemas, ofreciendo una solución mucho más fiable y flexible.

Estabilidad y comodidad para los usuarios: tu propio dominio en lugar de una IP

Imagina que tu proveedor de VPS cambia la dirección IP del servidor (lo cual es raro, pero ocurre) o, lo que es mucho más probable, que tu dirección IP actual sea bloqueada por el proveedor de internet en tu país. En este caso, todos tus usuarios conectados a la VPN se encontrarán con que el servicio no funciona. Si tienes 5, 10 o 50 usuarios, cada uno de ellos tendrá que cambiar manualmente la dirección IP en la configuración de su cliente. Esto es laborioso, incómodo y causa frustración.

Cuando tu servidor VPN está vinculado a un nombre de dominio (por ejemplo, myvpn.com), la situación cambia radicalmente. Si la dirección IP del servidor se bloquea o cambia, solo necesitas modificar un registro en la configuración DNS del dominio, apuntando a la nueva IP. Después de la actualización del DNS (que generalmente toma desde unos minutos hasta varias horas), todos tus usuarios comenzarán a conectarse automáticamente a la nueva IP a través del antiguo nombre de dominio, sin requerir ningún cambio en sus configuraciones. Esta es una ventaja crucial para garantizar un funcionamiento ininterrumpido y la comodidad. Encontrarás una guía detallada sobre cómo crear y configurar una VPN en un VPS en nuestro artículo principal sobre VPN en tu propio VPS.

Enmascaramiento y confianza: certificado SSL del servidor VPN

Los protocolos VPN modernos, como VLESS, Reality, Trojan, Shadowsocks con TLS, utilizan activamente el cifrado TLS para enmascarar el tráfico. Sin un certificado TLS, el tráfico VPN es fácilmente identificable como tal, lo que lo hace vulnerable a bloqueos por firmas. Aquí es donde entra en juego el certificado SSL del servidor VPN.

Un certificado TLS, emitido por una autoridad de certificación (CA) de confianza como Let's Encrypt, hace que tu tráfico VPN sea indistinguible del tráfico HTTPS normal, por ejemplo, al navegar por sitios web o usar servicios en línea. Esto dificulta significativamente su bloqueo mediante métodos de inspección profunda de paquetes (DPI). Además, el uso de un certificado Let's Encrypt en un VPS para VLESS u otros protocolos proporciona:

• Confianza: El software cliente VPN (por ejemplo, Xray, Sing-box, Nekoray) confía en los certificados de Let's Encrypt por defecto, ya que forman parte de los almacenes de confianza raíz estándar de los sistemas operativos. Esto elimina la necesidad de instalar certificados autofirmados, lo que simplifica la configuración y mejora la seguridad.
• Enmascaramiento: Cuando tu servidor VPN utiliza un dominio y un certificado SSL, su tráfico parece tráfico web normal hacia ese dominio. Esto es especialmente efectivo en combinación con protocolos que imitan HTTPS, como VLESS con WebSocket y TLS, o Reality.
• Seguridad: TLS proporciona cifrado de extremo a extremo, protegiendo tu tráfico de la interceptación y la suplantación de datos.

Sin un dominio y un certificado, tu servidor VPN, incluso si utiliza TLS, emitirá advertencias sobre un certificado no fiable (si es autofirmado) o será fácilmente identificado si TLS está ausente por completo. Para protocolos como VLESS a través de Cloudflare CDN, el dominio y el certificado TLS son la piedra angular de la arquitectura.

Tu VPS para VPN: ¿cuántos usuarios puede soportar?

Para 50 usuarios simultáneos, son suficientes 4 vCPU, 8 GB de RAM y un disco NVMe de 80 GB.

Usuarios	vCPU	RAM	Disco	Puerto de red	Precio estimado ($/mes)
1-5	1	1 GB	20 GB SSD	100 Mbit/s	$5-7
5-20	2	2 GB	40 GB SSD/NVMe	500 Mbit/s	$7-15
20-50	4	4-8 GB	80 GB NVMe	1 Gbit/s	$15-30
50-100+	6-8	8-16 GB	160+ GB NVMe	1-10 Gbit/s	$30-60+

Ten en cuenta que estas son recomendaciones generales. La carga real depende de la actividad de los usuarios, el protocolo VPN utilizado y otros procesos en segundo plano en tu VPS. Para la mayoría de los usuarios, especialmente en entornos domésticos o para equipos pequeños, un VPS con 2 vCPU y 2-4 GB de RAM será más que suficiente. Valebyte.com ofrece varios planes de VPS que son ideales para desplegar servidores VPN.

¿Cómo elegir y registrar un dominio para tu servidor VPN en un VPS?

Elegir un nombre de dominio para tu servidor VPN es un paso importante que influye en la facilidad de uso y, potencialmente, en la resistencia a los bloqueos. Debes considerar varios factores.

Criterios para elegir un nombre de dominio

• Sencillez y facilidad de recordar: Elige un dominio que sea fácil de recordar y escribir. Los nombres cortos y claros siempre son preferibles.
• Neutralidad: Evita nombres que indiquen directamente "VPN" o "proxy" si quieres aumentar el enmascaramiento. Un nombre neutral, como myservice.online o securelink.net, parece un sitio web normal.
• Disponibilidad de TLD: .com, .net, .org son dominios de nivel superior (TLD) universales, pero pueden ser más caros y más difíciles de encontrar un nombre disponible. Los nuevos TLD, como .online, .tech, .xyz, .app, ofrecen más opciones y a menudo son más baratos. Asegúrate de que el TLD elegido sea compatible con todos los proveedores de DNS y no tenga restricciones específicas.
• Precio: Los precios de los dominios pueden variar mucho, desde $5 hasta más de $50 al año, dependiendo del TLD y del registrador.

¿Dónde registrar un dominio?

Existen muchos registradores de nombres de dominio acreditados. Aquí tienes algunas opciones populares:

• Namecheap: Destaca por su buen precio, WhoisGuard gratuito (protección de datos personales) y una interfaz fácil de usar.
• Cloudflare Registrar: Ofrece dominios a precio de coste sin recargo, pero requiere el uso de sus servidores DNS. Una excelente opción si planeas usar Cloudflare CDN.
• GoDaddy: Uno de los mayores registradores, ofrece una amplia gama de servicios, pero a veces puede ser más caro.
• Registradores regionales: En algunos países existen grandes registradores propios que pueden ofrecer TLD locales (por ejemplo, .ru, .kz).

Después de elegir un registrador y un nombre de dominio, el proceso de registro suele ser el siguiente:

1. Ve al sitio web del registrador.
2. Usa el buscador para verificar la disponibilidad del dominio elegido.
3. Añade el dominio al carrito y completa el pedido siguiendo las instrucciones.
4. Paga el registro. Deberás proporcionar tus datos de contacto, que se utilizarán para la información de Whois. Se recomienda utilizar el servicio WhoisGuard (si no está incluido) para proteger tus datos personales del acceso público.

¿Cómo vincular tu dominio a tu VPS y configurar los registros DNS?

Después de registrar el dominio, es necesario vincularlo a la dirección IP de tu VPS. Esto se hace a través de la configuración DNS (Domain Name System). DNS es como la guía telefónica de internet, que traduce los nombres de dominio a direcciones IP.

Configuración de registros DNS: A y AAAA

El registro DNS principal que necesitas configurar es un registro de tipo A (Address record) para IPv4 o AAAA (Quad-A record) para IPv6. La mayoría de los proveedores de VPS, incluido Valebyte.com, proporcionan al menos una dirección IPv4 pública. Algunos también ofrecen IPv6.

1. Obtén la dirección IP de tu VPS: Estará indicada en el panel de control de tu proveedor de VPS.
2. Accede al panel de control de DNS: Puede ser el panel de tu registrador de dominios o un proveedor de DNS externo, como Cloudflare.
3. Añade un registro A:
   • Nombre (Host): Generalmente es @ para el dominio raíz (por ejemplo, example.com) o el nombre de un subdominio (por ejemplo, vpn para vpn.example.com).
   • Valor (Value/Points to): Introduce la dirección IPv4 de tu VPS.
   • TTL (Time To Live): Tiempo en segundos durante el cual los servidores DNS deben almacenar en caché este registro. Para cambios rápidos, puedes establecer un valor bajo (por ejemplo, 300 segundos o 5 minutos), pero para un funcionamiento estable, puedes usar 3600 o 14400.
4. (Opcional) Añade un registro AAAA: Si tu VPS tiene una dirección IPv6, repite el paso 3, pero selecciona el tipo de registro AAAA e introduce la dirección IPv6.

Ejemplo de registros DNS para el dominio myvpn.com, apuntando a un VPS con IP 192.0.2.1:

Tipo    Nombre    Valor        TTL
A       @         192.0.2.1    300
A       vpn       192.0.2.1    300

En este ejemplo, @ apunta a myvpn.com, y vpn a vpn.myvpn.com. Puedes usar cualquier subdominio que te resulte conveniente.

Uso de Cloudflare CDN para proxy y enmascaramiento

Cloudflare no es solo una CDN, sino también un potente proveedor de DNS con funciones de seguridad y proxy. El uso de Cloudflare para tu dominio puede mejorar significativamente el enmascaramiento y la resistencia de tu servidor VPN.

1. Cambia los registros NS: En el panel de tu registrador de dominios, apunta a los servidores NS de Cloudflare (por ejemplo, anna.ns.cloudflare.com y denis.ns.cloudflare.com). Esto delega la gestión de DNS a tu cuenta de Cloudflare.
2. Configura el registro A en Cloudflare: Añade un registro A, como se describió anteriormente.
   • Con proxy (nube naranja): Si activas el proxy de Cloudflare (la nube naranja está activa), el tráfico hacia tu dominio pasará por los servidores de Cloudflare. Esto oculta la dirección IP real de tu VPS y puede ayudar a eludir los bloqueos, ya que el tráfico hacia tu VPS parecerá tráfico hacia Cloudflare. Esto es especialmente efectivo para protocolos que utilizan WebSocket+TLS, como VLESS. Sin embargo, no todos los protocolos VPN funcionan bien a través del proxy de Cloudflare, ya que puede añadir latencia y modificar los encabezados.
   • Sin proxy (nube gris): Si desactivas el proxy (la nube gris), Cloudflare funcionará como un proveedor de DNS normal, simplemente apuntando a tu dirección IP. Esto es adecuado para la mayoría de los protocolos VPN que no son compatibles con el proxy, pero aun así obtienes los beneficios de un DNS rápido y la protección DDoS que ofrece Cloudflare.

Para los protocolos VLESS Reality, el uso de un dominio propio y una conexión directa (sin proxy de Cloudflare) suele ser la solución óptima, ya que el propio protocolo Reality ya proporciona un excelente enmascaramiento. Sin embargo, para VLESS a través de Cloudflare CDN, el proxy es un elemento clave.

Después de configurar los registros DNS, se necesitará un tiempo (hasta 24-48 horas, aunque suele ser más rápido) para que se propaguen por todo el mundo. Puedes verificar la propagación de DNS con herramientas como dnschecker.org.

Let's Encrypt en VPS: configuración del certificado SSL para tu servidor VPN

Obtener un certificado SSL/TLS de Let's Encrypt es un paso obligatorio para garantizar la seguridad y el enmascaramiento de tu tráfico VPN. Let's Encrypt proporciona certificados gratuitos y de confianza que son aceptados automáticamente por todos los navegadores y sistemas operativos.

¿Qué es Let's Encrypt y por qué es importante?

Let's Encrypt es una autoridad de certificación (CA) que emite certificados SSL/TLS gratuitos. Ha automatizado el proceso de emisión de certificados, haciendo que HTTPS sea accesible para todos. Para un servidor VPN, el certificado Let's Encrypt es críticamente importante porque:

• Proporciona confianza: tu cliente VPN no emitirá advertencias sobre una conexión no fiable.
• Permite el uso de cifrado TLS, que es la base para enmascarar el tráfico y protegerlo de la interceptación.
• Es parte de muchos protocolos VPN modernos, como VLESS, Reality, Trojan, para crear la apariencia de tráfico HTTPS normal.

Instalación de Certbot para obtener el certificado

Certbot es el cliente oficial de Let's Encrypt que automatiza el proceso de obtención e instalación de certificados. Para instalar Certbot en tu VPS (se asume que se usa Debian/Ubuntu o CentOS/RHEL) sigue estos pasos.

Para Debian/Ubuntu:

sudo apt update
sudo apt install certbot python3-certbot-nginx -y # Si usas Nginx
# O sudo apt install certbot python3-certbot-apache -y # Si usas Apache
# O sudo apt install certbot -y # Para métodos standalone o webroot

Para CentOS/RHEL:

sudo dnf install epel-release -y
sudo dnf install certbot python3-certbot-nginx -y # Si usas Nginx
# O sudo dnf install certbot python3-certbot-apache -y # Si usas Apache
# O sudo dnf install certbot -y # Para métodos standalone o webroot

Asegúrate de tener Nginx o Apache instalados si planeas usar sus plugins de Certbot. Si no, puedes obtener un certificado usando el método standalone o webroot.

Obtención del certificado con Certbot

Hay varias formas de obtener un certificado con Certbot:

1. Uso del plugin Nginx/Apache (recomendado si tienes un servidor web)

Si ya tienes un servidor web (Nginx o Apache) instalado y configurado para tu dominio en tu VPS, Certbot puede configurarlo automáticamente y obtener el certificado. Asegúrate de que tu dominio ya apunte a la IP de tu VPS y que el servidor web responda en el puerto 80.

sudo certbot --nginx -d tu_dominio.com -d www.tu_dominio.com
# O sudo certbot --apache -d tu_dominio.com -d www.tu_dominio.com

Certbot te hará algunas preguntas: tu correo electrónico (para notificaciones de vencimiento), aceptación de los términos de servicio. Si todo es exitoso, configurará automáticamente Nginx/Apache para usar HTTPS y emitirá el certificado.

2. Uso del método Standalone

Este método inicia temporalmente un servidor web Certbot integrado en el puerto 80 para la verificación. Es conveniente si no tienes Nginx/Apache o no quieres que Certbot los modifique. Antes de usarlo, asegúrate de que el puerto 80 esté libre (detén Nginx/Apache si están en ejecución).

sudo systemctl stop nginx # Si Nginx está en ejecución
sudo certbot certonly --standalone -d tu_dominio.com
sudo systemctl start nginx # Inicia Nginx de nuevo

El certificado se emitirá en el directorio /etc/letsencrypt/live/tu_dominio.com/. Necesitarás los archivos fullchain.pem y privkey.pem para configurar tu servidor VPN.

3. Uso del método Webroot

Este método requiere que tengas un servidor web en funcionamiento que pueda servir archivos desde un directorio específico (webroot). Certbot colocará un archivo de desafío en este directorio, y Let's Encrypt lo verificará a través de HTTP.

sudo certbot certonly --webroot -w /var/www/html -d tu_dominio.com

Reemplaza /var/www/html con la ruta real al directorio raíz de tu servidor web.

Después de obtener el certificado, verás un mensaje de emisión exitosa y las rutas a los archivos del certificado. Generalmente se encuentran en /etc/letsencrypt/live/tu_dominio.com/.

/etc/letsencrypt/live/tu_dominio.com/fullchain.pem  # Cadena completa de certificados
/etc/letsencrypt/live/tu_dominio.com/privkey.pem   # Clave privada

Estas rutas se utilizan al configurar servidores VPN, como Xray-core o Sing-box, para soportar TLS. Por ejemplo, para Xray-core, la configuración podría verse así:

{
  "inbounds": [
    {
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "TU_UUID",
            "level": 0
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "ws",
        "security": "tls",
        "tlsSettings": {
          "alpn": ["http/1.1"],
          "certificates": [
            {
              "certificateFile": "/etc/letsencrypt/live/tu_dominio.com/fullchain.pem",
              "keyFile": "/etc/letsencrypt/live/tu_dominio.com/privkey.pem"
            }
          ]
        },
        "wsSettings": {
          "path": "/tu_ruta"
        }
      }
    }
  ]
}

Puedes encontrar instrucciones más detalladas sobre cómo configurar VLESS Reality con Xray-core en el artículo Crea tu VPN en un VPS: VLESS Reality + Xray-core en 10 minutos.

Renovación automática con Certbot: ¿cómo asegurar la continuidad de tu VPN?

Los certificados de Let's Encrypt se emiten por 90 días. Esto se hace para aumentar la seguridad, pero requiere una renovación regular. Afortunadamente, Certbot incluye un mecanismo de renovación automática que garantiza que tu certificado SSL del servidor VPN esté siempre actualizado.

Configuración de la renovación automática

Certbot instala por defecto una tarea del sistema o un trabajo cron para la renovación automática de certificados. Esto ocurre dos veces al día, y si un certificado está a punto de caducar (generalmente 30 días antes del vencimiento), Certbot intenta renovarlo.

Verificación del estado de la renovación automática:

sudo certbot renew --dry-run

Este comando simula el proceso de renovación sin realizar cambios reales. Si ves mensajes de renovación "en seco" exitosa para todos tus dominios, significa que la renovación automática funciona correctamente. Si hay errores, Certbot te los notificará.

Mecanismo de renovación automática:

• Systemd Timer (para la mayoría de los sistemas Linux modernos): Certbot instala un archivo de unidad certbot.timer, que ejecuta certbot.service (que a su vez ejecuta certbot renew) dos veces al día.

  
          sudo systemctl status certbot.timer
          

  Si el temporizador no está activo, puedes habilitarlo:

  
          sudo systemctl enable certbot.timer
          sudo systemctl start certbot.timer
          

• Cron Job (para sistemas antiguos o si no se usa systemd): En algunos casos, Certbot puede añadir una entrada a cron. Puedes verificarlo revisando el archivo cron:

  
          sudo cat /etc/crontab
          # O sudo crontab -l
          

  Busca una línea similar a 0 */12 * * * root /usr/bin/certbot renew.

Hooks para reiniciar el servidor VPN

Después de una renovación exitosa del certificado, tu servidor VPN necesita "saberlo" para empezar a usar los nuevos archivos de certificado. La mayoría de los servidores VPN no recargan los certificados "sobre la marcha", por lo que se requiere un reinicio del servicio. Certbot permite añadir "hooks" (post-hook), comandos que se ejecutarán después de una renovación exitosa.

Edita el archivo de configuración de Certbot para tu dominio (por ejemplo, /etc/letsencrypt/renewal/tu_dominio.com.conf) y añade la línea post_hook:

# /etc/letsencrypt/renewal/tu_dominio.com.conf
# ...
[renewalparams]
authenticator = nginx
installer = nginx
# ...
post_hook = systemctl reload nginx && systemctl restart xray # Ejemplo para Nginx y Xray-core
# O post_hook = systemctl restart sing-box # Ejemplo para Sing-box

Reemplaza systemctl restart xray o systemctl restart sing-box con el comando que reinicia tu servidor VPN. Si usas Nginx como frontend para VLESS/WebSocket, basta con recargar Nginx (systemctl reload nginx), ya que actualizará los certificados sin un reinicio completo.

El uso de Certbot para la renovación automática de certificados es un elemento clave para el funcionamiento estable de tu servidor VPN, especialmente para protocolos como sing-box en VPS, que utilizan activamente TLS.

Dominio para VLESS y otros protocolos: escenarios prácticos y enmascaramiento

La aplicación de un dominio propio y un certificado TLS va mucho más allá de la simple vinculación de una IP. Es la base para técnicas avanzadas de enmascaramiento y elusión de bloqueos, especialmente relevantes para los protocolos VLESS y Reality.

VLESS con WebSocket y TLS: imitación de HTTPS

El protocolo VLESS en combinación con WebSocket y TLS (WSS) es una de las soluciones más populares y resistentes para VPN. Utiliza cifrado TLS para hacer que el tráfico sea indistinguible del tráfico HTTPS normal. El dominio aquí juega un papel central:

1. Identificación del servidor: El cliente VLESS se conecta al dominio, no a la dirección IP. Esto permite el uso de CDN, como Cloudflare, para proxy el tráfico y ocultar la dirección IP real del VPS.
2. Handshake TLS: Al establecer la conexión, se produce un handshake TLS estándar utilizando el certificado Let's Encrypt, emitido para tu dominio. Esto crea la ilusión de una conexión HTTPS normal con un sitio web.
3. WebSocket: Después de un handshake TLS exitoso, se establece una conexión WebSocket dentro del túnel TLS, a través de la cual se transmite el tráfico VLESS. WebSocket también es un protocolo web estándar, lo que refuerza aún más el enmascaramiento.

Para configurar un servidor de este tipo, a menudo se utiliza Nginx como proxy inverso, que acepta las conexiones entrantes en el puerto 443, procesa TLS y luego redirige el tráfico WebSocket a un puerto interno de Xray-core o Sing-box. De esta manera, tu servidor VPN parece un servidor web normal, sirviendo tráfico HTTPS a través del dominio, lo que reduce significativamente la probabilidad de detección y bloqueo por parte de los sistemas DPI.

Reality: enmascaramiento avanzado sin CDN

Reality es un protocolo innovador, desarrollado para Xray-core, que proporciona un nivel de enmascaramiento sin precedentes sin el uso de CDN. Funciona haciendo que tu servidor VPN se haga pasar por un sitio web existente y popular (por ejemplo, microsoft.com, google.com). Para ello, Reality utiliza su propio mecanismo de handshake TLS, que imita el handshake del sitio objetivo.

Incluso en el caso de Reality, un dominio propio para VLESS sigue siendo importante. Aunque el tráfico principal se enmascara como otro sitio, tu propio dominio se puede utilizar para:

• Servicios adicionales: En el mismo VPS puedes alojar un pequeño sitio web u otros servicios que utilizarán tu dominio, reforzando la legitimidad del servidor.
• Fallback: Si Reality no funciona por alguna razón, siempre puedes cambiar a VLESS+WS+TLS, utilizando tu propio dominio y certificado Let's Encrypt.
• Gestión: La comodidad de gestionar y actualizar la dirección IP a través de DNS sigue siendo relevante.

Para configurar VLESS Reality + Xray-core en 10 minutos, te recomendamos consultar este artículo.

Recomendaciones para reforzar el enmascaramiento

1. Usa un dominio poco conocido: Cuanto menos conocido sea tu dominio, menor será la probabilidad de que esté en listas negras.
2. Aloja un sitio web sencillo: En el puerto 80/443 puedes alojar un sitio estático sencillo (por ejemplo, un "Hello World" o una página de marcador de posición) para tu dominio. Esto hará que tu servidor se parezca aún más a un servidor web normal.
3. Usa diferentes dominios para diferentes usuarios/protocolos: Si tienes muchos usuarios o experimentas con diferentes protocolos, considera usar varios subdominios o incluso diferentes dominios.
4. Cambia los dominios regularmente: En condiciones de bloqueos severos, un cambio rápido de dominio puede ser una medida necesaria.

¿Qué hacer si bloquean tu dominio VPN? Reemplazo rápido y estrategias de resistencia

Incluso con el enmascaramiento más cuidadoso, en condiciones de censura activa existe el riesgo de que se bloquee el nombre de dominio utilizado para el servidor VPN. Sin embargo, tener un dominio propio simplifica significativamente el proceso de restauración del servicio en comparación con el bloqueo de una dirección IP.

Señales de bloqueo de dominio

• Los usuarios no pueden conectarse a la VPN a través del nombre de dominio.
• La verificación del dominio mediante ping o nslookup desde la región bloqueada no da respuesta o apunta a la dirección IP de la organización bloqueadora.
• El acceso al dominio a través del navegador también está bloqueado.

Reemplazo rápido del dominio: instrucciones paso a paso

La ventaja de usar un dominio es que, si se bloquea, no necesitas cambiar la dirección IP del VPS ni reconfigurar el propio servidor. Basta con reemplazar el nombre de dominio.

1. Registra un nuevo dominio: Es aconsejable tener varios dominios de repuesto registrados de antemano, o estar preparado para adquirir uno nuevo rápidamente. Elige dominios con diferentes TLD para evitar un bloqueo general.
2. Configura el DNS del nuevo dominio: Vincula el nuevo dominio (o subdominio) a la dirección IP de tu VPS existente, como se describe en la sección "Configuración de registros DNS". Establece un TTL bajo (por ejemplo, 300 segundos).
3. Emite un certificado Let's Encrypt para el nuevo dominio: Usa Certbot para obtener un certificado para el nuevo dominio. Si usas Nginx como frontend, asegúrate de que el nuevo dominio esté añadido a su configuración.

   
           sudo certbot --nginx -d nuevo_dominio.com
           

   Si ya usas Nginx con varios dominios, simplemente añade el nuevo dominio al certificado existente u obtén uno nuevo usando la opción --expand.

4. Actualiza la configuración del servidor VPN: Cambia el nombre de dominio en la configuración de tu servidor VPN (Xray-core, Sing-box, etc.) al nuevo dominio.

   
           # Ejemplo para Xray-core
           # ...
           "host": "nuevo_dominio.com",
           # ...
           "certificateFile": "/etc/letsencrypt/live/nuevo_dominio.com/fullchain.pem",
           "keyFile": "/etc/letsencrypt/live/nuevo_dominio.com/privkey.pem"
           # ...
           

5. Reinicia el servidor VPN: Después de actualizar la configuración, reinicia el servicio VPN para que empiece a usar el nuevo dominio y certificado.

   
           sudo systemctl restart xray # O sing-box, o tu_servicio
           

6. Distribuye las nuevas configuraciones a los usuarios: Informa a los usuarios del nuevo dominio y, si es posible, proporciona archivos de configuración actualizados. Dado que la dirección IP del VPS sigue siendo la misma, los cambios en las configuraciones son mínimos.

Estrategias de resistencia a los bloqueos

• Uso de múltiples dominios/subdominios: Ten varios dominios o subdominios apuntando al mismo VPS. Si uno se bloquea, puedes cambiar rápidamente a otro.
• Fronting CDN (Cloudflare): Como se mencionó, Cloudflare puede ocultar la dirección IP real de tu VPS. Si el dominio se bloquea, puedes cambiarlo rápidamente en Cloudflare sin cambiar la IP del servidor. Esto es efectivo para VLESS+WS+TLS. Sin embargo, el propio Cloudflare también puede ser bloqueado en algunas regiones.
• Uso de enrutamiento SNI: Algunos protocolos, como Reality, utilizan SNI (Server Name Indication) para enmascararse como otro sitio web. Esto dificulta el bloqueo por nombre de dominio, ya que tu servidor se hace pasar por un recurso importante.
• Monitoreo regular: Vigila la disponibilidad de tu dominio desde diferentes regiones. Las herramientas de monitoreo de servidores VPN en VPS te ayudarán a detectar problemas rápidamente.
• VPS de respaldo: En los casos más extremos, si se bloquean no solo los dominios, sino también las direcciones IP de centros de datos enteros, puede ser necesario un VPS de respaldo en otra ubicación. Valebyte.com ofrece VPS en varias ubicaciones geográficas, lo que permite elegir la región más resistente a los bloqueos.

Para los usuarios de países donde los bloqueos son particularmente agresivos (por ejemplo, Kazajistán), es importante comprender que los certificados raíz y los protocolos pueden estar bajo una atención especial. Consulta el artículo VPS para Kazajistán: certificado raíz, bloqueos y protocolos funcionales para una comprensión más profunda.

Preguntas frecuentes

¿Se puede usar un dominio gratuito para un servidor VPN?

Sí, teóricamente es posible, pero no se recomienda para servidores VPN críticos. Los dominios gratuitos suelen ser menos fiables, pueden tener limitaciones en la configuración DNS y son más fáciles de bloquear o revocar, lo que provocaría interrupciones en tu VPN. Una inversión de $5-10 al año en un dominio fiable se amortiza con la estabilidad y la confianza.

¿Es necesario instalar un servidor web (Nginx/Apache) para Let's Encrypt?

No es obligatorio. Aunque instalar Nginx o Apache simplifica el proceso con Certbot gracias a sus plugins, puedes obtener un certificado usando el método --standalone de Certbot. En este caso, Certbot iniciará temporalmente su propio servidor web en el puerto 80 para la verificación del dominio. Una vez obtenido el certificado, este servidor web se detendrá y el puerto 80 quedará libre para otros usos. Para VLESS con Reality, no se necesita un servidor web, pero para VLESS+WS+TLS, Nginx se usa a menudo como frontend.

¿Con qué frecuencia hay que renovar el certificado de Let's Encrypt?

Los certificados de Let's Encrypt se emiten por 90 días. Sin embargo, gracias a Certbot y su mecanismo de renovación automática (a través de un temporizador de systemd o una tarea cron), no necesitas hacerlo manualmente. Certbot verifica automáticamente la validez de los certificados dos veces al día y los renueva si quedan menos de 30 días para su vencimiento. Esto garantiza el funcionamiento continuo de tu servidor VPN sin intervención manual.

¿Qué pasa si mi VPS no tiene IPv6, pero quiero usar un dominio?

Es completamente normal. La mayoría de los servidores y clientes VPN utilizan IPv4 por defecto. Si tu VPS solo tiene una dirección IPv4, solo necesitas crear un registro A en el DNS que apunte a tu dirección IPv4. Todos los servidores DNS y clientes VPN modernos funcionan correctamente solo con IPv4. La disponibilidad de IPv6 es una ventaja adicional, pero no un requisito indispensable para la funcionalidad de una VPN con dominio.

¿Se puede usar un solo dominio para varios servidores VPN?

Sí, puedes usar un dominio raíz con diferentes subdominios para varios servidores VPN. Por ejemplo, vpn1.myvpn.com para un servidor en Alemania y vpn2.myvpn.com para un servidor en EE. UU. Cada subdominio tendrá su propio registro A que apunta a la dirección IP del VPS correspondiente, y su propio certificado Let's Encrypt. Esta es una forma conveniente de gestión centralizada, especialmente si utilizas varios VPS de Valebyte.com en diferentes ubicaciones.

Conclusiones

El uso de un dominio propio y un certificado Let's Encrypt no es solo una "buena práctica", sino un requisito fundamental para crear un servidor VPN en un VPS que sea estable, seguro y resistente a los bloqueos. Esto garantiza la comodidad para los usuarios finales, un enmascaramiento fiable del tráfico y la posibilidad de adaptarse rápidamente a los cambios de dirección IP o a los bloqueos. La inversión en un dominio por $5-10 al año y 30 minutos para configurar Certbot se amortizará con creces, asegurando el funcionamiento ininterrumpido de tu servicio VPN.