Instalación y Configuración de Serv

Instalación de software — paso a paso

En esta sección, instalaremos OpenVPN y Easy-RSA, y luego configuraremos la infraestructura de clave pública (PKI) para una autenticación segura. Utilizaremos Easy-RSA versión 3.x, que es actual para el año 2026 y proporciona una gestión fiable de certificados.

1. Instalación de OpenVPN y Easy-RSA

Instalaremos los paquetes necesarios desde los repositorios oficiales de Ubuntu 24.04 LTS.

# Actualizamos la lista de paquetes
sudo apt update
# Instalamos OpenVPN y Easy-RSA
sudo apt install openvpn easy-rsa -y

Para el año 2026, lo más probable es que OpenVPN versión 2.6.x o posterior, y Easy-RSA 3.x estén disponibles.

2. Preparación de PKI con Easy-RSA

Easy-RSA es un conjunto de scripts para crear y gestionar una infraestructura de clave pública (PKI), que es necesaria para OpenVPN. Todos los certificados y claves se almacenarán en un directorio separado.

# Creamos el directorio para PKI
sudo make-cadir /etc/openvpn/easy-rsa
# Nos movemos al directorio Easy-RSA
cd /etc/openvpn/easy-rsa

3. Inicialización de PKI

Inicializamos la PKI. Esto creará los subdirectorios y archivos necesarios.

# Inicialización de PKI
sudo ./easyrsa init-pki

4. Creación de la Autoridad Certificadora (CA)

La Autoridad Certificadora (Certificate Authority, CA) es el certificado raíz que firmará todos los demás certificados (del servidor y de los clientes). Es la base de la confianza en su red VPN.

# Creamos la CA. Cuando se le solicite el Common Name (CN), introduzca algo significativo, por ejemplo "Corporate OpenVPN CA"
sudo ./easyrsa build-ca nopass

nopass significa que no se establecerá una contraseña para la clave raíz. Para máxima seguridad, se puede establecer una contraseña, pero entonces tendrá que introducirla en cada acción con la CA.

5. Generación del certificado y clave del servidor

Ahora crearemos una solicitud de certificado para nuestro servidor OpenVPN, la firmaremos con la CA y generaremos la clave.

# Generamos la solicitud de certificado del servidor. Cuando se le solicite el Common Name (CN), introduzca "server"
sudo ./easyrsa gen-req server nopass
# Firmamos la solicitud de certificado del servidor con la CA
sudo ./easyrsa sign-req server server

Cuando se le solicite confirmación, introduzca yes.

6. Generación de parámetros Diffie-Hellman (DH)

Los parámetros Diffie-Hellman se utilizan para un intercambio seguro de claves entre el servidor y los clientes. Este proceso puede tardar algún tiempo (hasta varios minutos, dependiendo de la potencia de su VPS).

# Generamos los parámetros Diffie-Hellman
sudo ./easyrsa gen-dh

7. Creación de la clave HMAC (tls-auth)

La clave HMAC (o tls-auth) añade una capa adicional de seguridad, protegiendo el handshake TLS de ataques de denegación de servicio (DoS) y escaneo de puertos. Se utiliza para la autenticación previa de paquetes.

# Generamos la clave HMAC
openvpn --genkey --secret /etc/openvpn/easy-rsa/pki/ta.key

8. Copia de archivos PKI al servidor OpenVPN

Moveremos todos los archivos generados, necesarios para el funcionamiento del servidor OpenVPN, a su directorio de configuración.

# Creamos el directorio para las configuraciones del servidor OpenVPN
sudo mkdir -p /etc/openvpn/server
# Copiamos el certificado CA
sudo cp pki/ca.crt /etc/openvpn/server/
# Copiamos el certificado y la clave del servidor
sudo cp pki/issued/server.crt /etc/openvpn/server/
sudo cp pki/private/server.key /etc/openvpn/server/
# Copiamos los parámetros Diffie-Hellman
sudo cp pki/dh.pem /etc/openvpn/server/dh.pem
# Copiamos la clave HMAC
sudo cp pki/ta.key /etc/openvpn/server/ta.key

9. Generación del certificado y clave del cliente (ejemplo para un cliente)

Para cada cliente que se conecte a la VPN, es necesario generar un par único de certificado/clave. Aquí mostraremos un ejemplo para un cliente llamado client1.

# Generamos la solicitud de certificado del cliente. Cuando se le solicite el Common Name (CN), introduzca "client1"
sudo ./easyrsa gen-req client1 nopass
# Firmamos la solicitud de certificado del cliente con la CA
sudo ./easyrsa sign-req client client1

Cuando se le solicite confirmación, introduzca yes. Estos archivos (client1.crt, client1.key, ca.crt, ta.key) serán necesarios para que el cliente se conecte. Los reuniremos en un solo archivo .ovpn más tarde.

En este punto, los componentes principales de OpenVPN están instalados y la PKI está configurada. Ahora pasaremos a la configuración del servidor.

Copias de seguridad y mantenimiento

Las copias de seguridad regulares y el mantenimiento oportuno del servidor OpenVPN son cruciales para garantizar su fiabilidad, seguridad y funcionamiento continuo.

Qué respaldar

Para el servidor OpenVPN, los componentes más importantes son los siguientes:

• Directorio PKI: /etc/openvpn/easy-rsa/. Contiene su Autoridad de Certificación (CA), todos los certificados y claves generados (del servidor y de los clientes), así como la base de datos PKI. Este es el componente más importante, sin el cual no podrá emitir nuevos certificados ni revocar los antiguos.
• Configuraciones del servidor: /etc/openvpn/server/. Contiene server.conf, copias de ca.crt, server.crt, server.key, dh.pem, ta.key.
• CRL (Certificate Revocation List): /etc/openvpn/server/crl.pem (si lo ha creado). Lista de certificados revocados.
• Configuraciones de cliente: /etc/openvpn/client_configs/. Contiene los archivos .ovpn de cliente generados.

Para una recuperación completa, es suficiente tener una copia de seguridad del directorio /etc/openvpn/.

Script simple de copia de seguridad automática

Crearemos un script simple que archivará los directorios importantes y los guardará en un lugar seguro.

sudo nano /usr/local/bin/backup_openvpn.sh

Pegue el siguiente contenido:

#!/bin/bash

# Directorios para la copia de seguridad
BACKUP_DIRS="/etc/openvpn"
# Directorio para almacenar las copias de seguridad en el servidor (se puede cambiar)
LOCAL_BACKUP_DIR="/var/backups/openvpn"
# Nombre del archivo
TIMESTAMP=$(date +%Y%m%d_%H%M%S)
ARCHIVE_NAME="openvpn_backup_${TIMESTAMP}.tar.gz"

echo "Iniciando copia de seguridad de OpenVPN en ${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}"

# Creamos el directorio para las copias de seguridad, si no existe
mkdir -p "$LOCAL_BACKUP_DIR"

# Creamos el archivo
sudo tar -czf "${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}" "$BACKUP_DIRS"

# Eliminamos las copias de seguridad antiguas (conservamos solo las de los últimos 7 días)
find "$LOCAL_BACKUP_DIR" -type f -name "openvpn_backup_*.tar.gz" -mtime +7 -delete

echo "Copia de seguridad completada. Archivo: ${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}"

# Opcional: copiar la copia de seguridad a un S3 remoto u otro servidor
# Ejemplo para rclone (requiere instalación y configuración de rclone)
# rclone copy "${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}" "my-s3-remote:openvpn-backups/"

# Ejemplo para SCP a otro VPS (requiere configuración de claves SSH sin contraseña)
# scp "${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}" user@another_vps:/path/to/remote/backups/

Haga el script ejecutable:

sudo chmod +x /usr/local/bin/backup_openvpn.sh

Ahora configuraremos cron para la ejecución automática del script. Por ejemplo, diariamente a las 3:00 de la madrugada.

sudo crontab -e

Añada la siguiente línea al final del archivo:

0 3 * * * /usr/local/bin/backup_openvpn.sh > /dev/null 2>&1

Guarde y cierre. Ahora las copias de seguridad se crearán automáticamente.

Dónde almacenar las copias de seguridad

Almacenar las copias de seguridad en el mismo servidor que los datos originales no es seguro. En caso de fallo del VPS, perderá todo. Se recomienda utilizar un almacenamiento externo:

• Almacenamiento en la nube compatible con S3: AWS S3, Backblaze B2, DigitalOcean Spaces, MinIO. Estas son soluciones fiables y escalables. Utilice utilidades como rclone para la sincronización.
• VPS separado: Puede alquilar un VPS pequeño y económico en otra ubicación específicamente para almacenar copias de seguridad. La sincronización se puede configurar a través de rsync por SSH.
• Almacenamiento local (para pequeñas empresas): Si tiene un almacenamiento local fiable (NAS, servidor) con una buena conexión a Internet, puede configurar scp o rsync para copiar las copias de seguridad allí.

Importante: Siempre cifre las copias de seguridad antes de enviarlas a un almacenamiento externo, si este no ofrece cifrado del lado del servidor (por ejemplo, usando gpg o restic/borg).

Actualizaciones: Continuas vs. Ventana de Mantenimiento

Mantener el sistema y OpenVPN actualizados es crítico para la seguridad.

• Actualizaciones Continuas (Rolling Updates):
  • SO: Para Ubuntu LTS, se recomienda utilizar actualizaciones de seguridad automáticas.

    
    sudo apt install unattended-upgrades -y
    sudo dpkg-reconfigure --priority=low unattended-upgrades
                        

    Seleccione "Yes" para la instalación automática de actualizaciones.
  • OpenVPN: Por lo general, OpenVPN se actualiza junto con el sistema a través de apt upgrade. Sin embargo, si utiliza repositorios de terceros o compila desde el código fuente, deberá monitorear las actualizaciones manualmente.
• Ventana de Mantenimiento (Maintenance Window):
  • Para actualizaciones importantes del SO, cambios de versión de OpenVPN u otros componentes críticos, se recomienda planificar una ventana de mantenimiento. Esto permite probar los cambios en un servidor de prueba, realizar una copia de seguridad, ejecutar la actualización y verificar la funcionalidad antes de que los usuarios se vean afectados.
  • Asegúrese de informar a los usuarios sobre las ventanas de mantenimiento programadas.

Gestión de CRL (Certificate Revocation List):

Si el certificado de un cliente ha sido comprometido o el usuario ya no debe tener acceso, su certificado debe ser revocado. Para ello se utiliza la CRL. Después de revocar un certificado, la CRL debe actualizarse y copiarse al servidor OpenVPN.

# Nos movemos al directorio Easy-RSA
cd /etc/openvpn/easy-rsa
# Revocamos el certificado del cliente (por ejemplo, client1)
sudo ./easyrsa revoke client1
# Generamos una nueva CRL
sudo ./easyrsa gen-crl
# Copiamos la CRL al servidor OpenVPN
sudo cp pki/crl.pem /etc/openvpn/server/
# Reiniciamos OpenVPN para que cargue la CRL actualizada
sudo systemctl restart openvpn-server@server

Verifique regularmente la validez de la CRL y actualícela si es necesario.

Solución de problemas + Preguntas frecuentes

En esta sección, analizaremos los problemas típicos que pueden surgir al configurar y operar un servidor OpenVPN, y responderemos a las preguntas más frecuentes.

El cliente no puede conectarse al servidor VPN. ¿Qué verificar?

Problema: El cliente OpenVPN intenta conectarse, pero la conexión no se establece o se interrumpe constantemente.

Qué verificar:

1. Disponibilidad del servidor: Asegúrese de que su VPS sea accesible desde internet. Intente ping SU_DIRECCIÓN_IP_DEL_VPS desde su máquina local.
2. Firewall UFW: Verifique si el puerto OpenVPN (por defecto UDP 1194) está permitido en UFW en el servidor.

   sudo ufw status verbose

   Asegúrese de que exista una regla 1194/udp ALLOW IN Anywhere.
3. Servicio OpenVPN: Verifique si el servicio OpenVPN está ejecutándose en el servidor y si hay errores en sus registros.

   sudo systemctl status openvpn-server@server

   sudo journalctl -u openvpn-server@server -f

   Busque errores relacionados con archivos de certificados, claves o configuración.
4. Configuración del cliente: Asegúrese de que el archivo .ovpn del cliente especifique la dirección IP y el puerto correctos del servidor. Verifique que todas las secciones (<ca>, <cert>, <key>, <tls-auth>) contengan datos correctos.
5. Sincronización de la hora: Una gran diferencia horaria entre el cliente y el servidor puede causar problemas con el handshake TLS. Asegúrese de que la hora esté sincronizada en ambas máquinas.

Baja velocidad de conexión VPN. ¿Cómo diagnosticar?

Problema: La conexión se establece, pero la velocidad de transferencia de datos es muy baja.

Qué verificar y cómo solucionar:

1. Carga del VPS: Verifique la carga de CPU y RAM en su VPS. Una carga alta puede ralentizar el cifrado.

   top

   o

   htop

   Si la CPU está constantemente cargada, es posible que su VPS no sea lo suficientemente potente para la cantidad actual de usuarios.
2. Ancho de banda de red del VPS: Verifique el ancho de banda de red de su VPS. Utilice herramientas como iperf3 para realizar pruebas.

   sudo apt install iperf3 -y

   Ejecute iperf3 -s en el servidor y iperf3 -c SU_DIRECCIÓN_IP_DEL_VPS en el cliente.
3. Cifrado: Asegúrese de que su servidor OpenVPN utilice cifrados modernos y rápidos (por ejemplo, AES-256-GCM). Los cifrados obsoletos o demasiado "pesados" pueden ralentizar el tráfico.
4. Compresión: Si está utilizando compresión (compress lz4-v2), intente deshabilitarla comentando la línea en server.conf y reiniciando OpenVPN. En algunos casos, la compresión puede reducir el rendimiento, especialmente para datos ya comprimidos.
5. Distancia al servidor: Cuanto mayor sea la distancia física entre el cliente y el servidor, mayor será la latencia y menor el ancho de banda potencial.

No hay acceso a internet o a la red local detrás del servidor después de conectarse a la VPN.

Problema: El cliente se conecta a la VPN, pero no puede acceder a internet o a los recursos de la red corporativa.

Qué verificar y cómo solucionar:

1. Reenvío de IP: Asegúrese de que el reenvío de IP esté habilitado en el servidor.

   sysctl net.ipv4.ip_forward

   Debe ser net.ipv4.ip_forward = 1. Si no, modifique /etc/sysctl.conf y ejecute sudo sysctl -p.
2. Reglas NAT/Masquerading: Verifique las reglas NAT en /etc/ufw/before.rules. Asegúrese de que la línea -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE esté presente y que eth0 haya sido reemplazado por su interfaz de red real. Después de los cambios, reinicie UFW.
3. Opciones DHCP (DNS/Rutas): Asegúrese de que push "redirect-gateway def1 bypass-dhcp" (para todo el tráfico) y push "dhcp-option DNS ..." estén configurados correctamente en server.conf.
4. UFW para tráfico saliente: Asegúrese de que DEFAULT_FORWARD_POLICY="ACCEPT" en /etc/default/ufw.
5. Rutas a la red interna: Si necesita acceso a una red corporativa interna, y no solo a internet, debe agregar las push "route X.X.X.X Y.Y.Y.Y" correspondientes en server.conf y asegurarse de que el servidor OpenVPN tenga una ruta a esa red interna.

¿Qué configuración mínima de VPS es adecuada para un servidor OpenVPN?

Para un servidor OpenVPN que atienda hasta 10-20 usuarios, una configuración mínima de VPS adecuada sería 1 vCPU, 512 MB - 1 GB de RAM, 10-20 GB de disco SSD y un canal de red de 100 Mbps con tráfico ilimitado. Esto será suficiente para tareas básicas y una carga de trabajo baja.

¿Qué elegir: VPS o dedicado para esta tarea?

La elección entre un VPS y un servidor dedicado depende de la escala de su tarea:

• VPS: Ideal para la mayoría de las necesidades corporativas (hasta 50-100 usuarios), si no requiere el máximo rendimiento o hardware específico. Es una solución más económica y flexible, adecuada para una implementación rápida.
• Servidor Dedicado: Necesario para un número muy grande de usuarios (más de 100-200), un ancho de banda extremadamente alto (varios Gbit/s), requisitos estrictos de control físico del hardware o si necesita un rendimiento garantizado sin la influencia de los "vecinos" del hipervisor.

¿Cómo añadir un nuevo usuario en OpenVPN?

Para añadir un nuevo usuario, es necesario generar un nuevo par certificado/clave y ensamblar el archivo .ovpn del cliente. Puede utilizar el script generate_client_config.sh que creamos anteriormente:

cd /etc/openvpn/easy-rsa
sudo ./generate_client_config.sh nombre_del_nuevo_cliente
    

Luego, copie el archivo generado /etc/openvpn/client_configs/nombre_del_nuevo_cliente.ovpn al dispositivo del nuevo usuario.

¿Cómo revocar el certificado de un usuario?

Si el certificado de un usuario ha sido comprometido o el usuario ya no debe tener acceso a la VPN, su certificado debe ser revocado. Esto se hace usando Easy-RSA:

cd /etc/openvpn/easy-rsa
sudo ./easyrsa revoke nombre_del_cliente
sudo ./easyrsa gen-crl
sudo cp pki/crl.pem /etc/openvpn/server/
sudo systemctl restart openvpn-server@server
    

Después de esto, el cliente con el certificado revocado ya no podrá conectarse a la VPN.

OpenVPN no se inicia o funciona con errores. ¿Dónde buscar primero?

Si OpenVPN no se inicia o observa un comportamiento extraño, siempre comience revisando los registros. Las fuentes principales son:

• Registros de systemd: sudo journalctl -u openvpn-server@server -f (para visualización en tiempo real).
• Archivo de registro de OpenVPN: sudo tail -f /var/log/openvpn.log (la ruta se especifica en server.conf).

Examine cuidadosamente las últimas líneas en busca de errores, advertencias o mensajes sobre problemas con los archivos de configuración o certificados. A menudo, el problema radica en una ruta de archivo incorrecta, permisos de acceso incorrectos o un error de sintaxis en server.conf.

Conclusiones y próximos pasos

En esta guía, hemos implementado y configurado con éxito un servidor OpenVPN en su VPS, proporcionando acceso remoto fiable y seguro para las necesidades corporativas. Ahora su equipo puede conectarse de forma segura a los recursos internos, y todo su tráfico estará protegido con cifrado. Ha obtenido control total sobre su infraestructura VPN, lo cual es una ventaja clave de una solución autoalojada.

Los siguientes pasos para optimizar y expandir su infraestructura VPN pueden incluir:

1. Monitoreo y registro: Configure sistemas de monitoreo más avanzados (por ejemplo, Prometheus + Grafana) para rastrear el rendimiento del servidor, el tráfico de red y la cantidad de clientes conectados. El registro centralizado (ELK Stack o Graylog) ayudará a identificar y resolver rápidamente problemas de seguridad.
2. Autenticación avanzada: Considere la integración con LDAP/Active Directory o el uso de autenticación de dos factores (2FA) para mejorar la seguridad del acceso a la VPN.
3. Automatización de la gestión de clientes: Para equipos grandes, se pueden desarrollar scripts o utilizar interfaces web para la generación, revocación y distribución automática de certificados de cliente, lo que simplificará significativamente la administración.
4. Optimización del rendimiento: Explore las opciones de ajuste del kernel de Linux y la configuración de OpenVPN para obtener el máximo rendimiento, especialmente si tiene muchos usuarios o un alto tráfico.