¿Cómo configuro WireGuard en un VPS?

¿Qué va en el wg0.conf del servidor?

El archivo del servidor contiene la clave privada del servidor, su dirección de túnel, el puerto de escucha, las reglas NAT y un bloque [Peer] por dispositivo. El heredoc de abajo rellena ambas claves desde los archivos creados en el paso 3. Sustituye eth0 por la interfaz del paso 4 antes de ejecutarlo.

WireGuard identifica cada dispositivo por su clave pública: un paquete solo se acepta si está firmado por una clave conocida y proviene del AllowedIPs de ese peer.

cd /etc/wireguard
cat > wg0.conf <<EOF
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = $(cat server.key)
# Forward tunnel traffic and hide it behind the VPS address (eth0 = your interface)
PostUp = iptables -I FORWARD -i %i -j ACCEPT
PostUp = iptables -I FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostUp = iptables -t nat -I POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

[Peer]
# phone
PublicKey = $(cat phone.pub)
AllowedIPs = 10.8.0.2/32
EOF
chmod 600 wg0.conf

¿Qué va en la configuración del cliente?

El archivo del cliente contiene la clave privada del dispositivo, su dirección de túnel, un servidor DNS y la clave pública y la dirección del servidor. AllowedIPs = 0.0.0.0/0, ::/0 envía todo el tráfico al túnel, incluido IPv6, así que nada se filtra fuera de él. Con el servidor solo IPv4 de arriba, el tráfico IPv6 simplemente se detiene, y la mayoría de las apps recurren a IPv4.

cd /etc/wireguard
cat > phone.conf <<EOF
[Interface]
PrivateKey = $(cat phone.key)
Address = 10.8.0.2/32
DNS = 9.9.9.9

[Peer]
PublicKey = $(cat server.pub)
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
EOF

# Phone: scan this QR code in the WireGuard app
apt install -y qrencode
qrencode -t ansiutf8 < phone.conf

# Linux computer: copy phone.conf to /etc/wireguard/, then
# wg-quick up phone

¿Tengo que abrir un puerto en el firewall?

Solo si hay un firewall en el VPS: debe permitir la entrada de UDP 51820 y dejar pasar el tráfico del túnel. Con ufw, ejecuta ufw allow 51820/udp. Las reglas FORWARD de wg0.conf se insertan al principio de la cadena, por delante de la política DROP por defecto que ufw establece para el tráfico enrutado. Mantén abierto el puerto 22 antes de activar cualquier firewall, o te quedarás fuera.

¿Cómo añado otro dispositivo?

Cada dispositivo recibe su propio par de claves, su propia dirección de túnel y su propio bloque [Peer]. Ejecuta wg genkey | tee laptop.key | wg pubkey > laptop.pub en /etc/wireguard. Añade un bloque [Peer] con PublicKey configurado con la nueva clave pública y AllowedIPs = 10.8.0.3/32. Aplícalo sin desconectar otros dispositivos: systemctl reload wg-quick@wg0, que ejecuta wg syncconf. Construye laptop.conf como phone.conf, con Address = 10.8.0.3/32.

¿Cómo enruto IPv6 a través del túnel?

Añade un rango IPv6 privado en ambos lados, reenvíalo y tradúcelo como IPv4. Elige un rango local único aleatorio, como fd42:42:42::/64.

• Servidor: Address = 10.8.0.1/24, fd42:42:42::1/64, y en el peer AllowedIPs = 10.8.0.2/32, fd42:42:42::2/128.
• NAT: copia las tres líneas PostUp y PostDown con ip6tables y el rango IPv6.
• Cliente: Address = 10.8.0.2/32, fd42:42:42::2/128.
• Reenvío: añade net.ipv6.conf.all.forwarding=1 a /etc/sysctl.d/99-wireguard.conf.

Comprueba una cosa primero. Con el reenvío activado, el kernel de Linux ignora los anuncios de router a menos que accept_ra sea 2. Si tu VPS aprende su ruta IPv6 de esa forma, configura net.ipv6.conf.eth0.accept_ra=2 en el mismo archivo.

¿Por qué el túnel se conecta pero no carga ninguna web?

El handshake funciona pero el tráfico se detiene en el servidor, casi siempre por una de cuatro razones.

• El reenvío está desactivado: sysctl net.ipv4.ip_forward debe mostrar 1.
• Interfaz incorrecta en la regla NAT: compara eth0 en wg0.conf con ip route show default.
• Ningún handshake: la IP o el puerto del endpoint son incorrectos, o un firewall bloquea UDP 51820.
• Los nombres no se resuelven: el cliente no tiene una línea DNS funcional, o falta resolvconf en un cliente Linux.

Después de cada corrección, ejecuta systemctl restart wg-quick@wg0 y vuelve a probar.

¿Qué VPS debería usar para WireGuard?

Sirve cualquier KVM VPS con una dirección IPv4; el plan depende de cuánto tráfico pase por el túnel. La página sobre cuál es el mejor offshore VPS para WireGuard compara planes, cuotas y ubicaciones. Los precios de todos los planes están en cuánto cuesta un offshore VPS en OffshoreKVM. Antes de confiar en él para tu privacidad, lee qué puede ver tu proveedor de VPS en tu servidor.