Configurar un servidor WireGuard

WireGuard es una VPN ligera: pocas líneas de configuración, conexión rápida, apps para Windows, macOS, Linux, Android e iOS. Sus propios dispositivos acceden así al vServer y a sus servicios (base de datos, administración, webs internas) de forma cifrada, sin que esos servicios queden abiertos en internet. Esta guía es válida para Debian 13 y Ubuntu 26.04.

No está permitido enviar todo el tráfico de internet de la red doméstica o de otra conexión a través de un vServer (salida VPN). Véase el punto 4.14 de las condiciones generales.

Qué servidor

WireGuard funciona en el kernel. Por eso lo más sencillo es un vServer con KVM, que tiene kernel propio. Necesita una dirección IPv4 pública y un puerto UDP libre.

1. Instalar y generar claves

apt update && apt install wireguard-tools qrencode
cd /etc/wireguard && umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee handy.key | wg pubkey > handy.pub

2. Configuración del servidor

/etc/wireguard/wg0.conf, insertar las claves de los archivos:

[Interface]
Address    = 10.66.0.1/24
ListenPort = 51820
PrivateKey = <Contenido de server.key>

[Peer]
# Móvil
PublicKey  = <Contenido de handy.pub>
AllowedIPs = 10.66.0.2/32

3. Iniciar

systemctl enable --now wg-quick@wg0

Si hay un cortafuegos activo, el puerto UDP 51820 debe estar abierto (ufw: ufw allow 51820/udp).

4. Conectar un dispositivo

Guardar la siguiente configuración como /etc/wireguard/handy.conf e importarla en la app WireGuard como archivo o código QR (qrencode -t ansiutf8 < handy.conf):

[Interface]
Address    = 10.66.0.2/32
PrivateKey = <Contenido de handy.key>

[Peer]
PublicKey  = <Contenido de server.pub>
Endpoint   = <Dirección IPv4 del servidor>:51820
AllowedIPs = 10.66.0.1/32
PersistentKeepalive = 25

Por la VPN solo pasa el tráfico hacia el vServer (10.66.0.1). Los servicios del servidor se pueden limitar a esta dirección, por ejemplo una base de datos con bind-address = 10.66.0.1. No está permitido enviar todo el tráfico de internet de una conexión a través del vServer (salida VPN). Véase el punto 4.14 de las condiciones generales.

Comprobar

wg show muestra el último handshake por dispositivo. Si no aparece nada, el dispositivo no llega: compare el puerto, la dirección Endpoint y los pares de claves.

Más: Ver vServer con KVM Primeros pasos en el vServer