Alojamiento VPS Docker para WireGuard

WireGuard es un protocolo VPN gratuito y de código abierto que crea túneles cifrados entre pares usando criptografía de clave pública en la red. Se ejecuta en el kernel de Linux como módulo del kernel desde la versión 5.6 en marzo de 2020 y distribuye clientes en espacio de usuario para Windows, macOS, iOS y teléfonos y tabletas Android. El código base tiene unas 4.000 líneas, frente a cientos de miles de líneas para las implementaciones de OpenVPN o IPsec, lo que lo hace mucho más fácil de auditar y analizar en términos de seguridad que los protocolos VPN heredados.

WireGuard utiliza criptografía moderna y auditada en la red: ChaCha20 para cifrado simétrico, Poly1305 para autenticación, Curve25519 para intercambio de claves, BLAKE2s para hashing y HKDF para derivación de claves. El código base de unas 4.000 líneas es lo suficientemente pequeño para auditarse en una sesión, frente a los cientos de miles de líneas en las implementaciones de OpenVPN o IPsec. El protocolo admite secreto perfecto hacia delante, con nuevas claves de sesión derivadas de intercambios Diffie-Hellman efímeros, por lo que capturar una sesión no permite a un atacante descifrar otras sesiones.

En velocidad, latencia de handshake y duración de batería en móvil, los benchmarks independientes sitúan a WireGuard en aproximadamente 2 a 4 veces el rendimiento de OpenVPN en el mismo hardware. El handshake se completa en menos de 100 milisegundos frente a varios segundos para OpenVPN sobre TLS. El uso de CPU se sitúa en torno al 15 por ciento frente al 65 por ciento a 500 Mbps, y el consumo de batería en Android es aproximadamente un 4 por ciento frente al 12 por ciento en una prueba de 2 horas. OpenVPN sigue siendo más configurable en la elección de cifrado y el fallback TCP para redes restrictivas.

El autoalojamiento es la forma de despliegue estándar para WireGuard fuera de los proveedores VPN comerciales. Las dos rutas comunes son ejecutar wg-quick desde la línea de comandos con archivos de configuración editados manualmente, o ejecutar wg-easy, un contenedor Docker que da al operador una interfaz de administración web para la gestión de peers. Un servidor con un endpoint públicamente enrutable y un puerto UDP 51820 abierto es la condición previa, que es lo que un VPS con una dirección IPv4 pública estática proporciona al operador en el momento de la instalación.

Aprovisiona un VPS Linux con una dirección IPv4 pública, abre UDP 51820 de entrada en el firewall, instala WireGuard o ejecuta wg-easy a través de Docker. El operador genera claves de servidor y peer, escribe o genera el archivo de configuración, y arranca la interfaz a través de wg-quick o systemd. wg-easy reduce la instalación completa a un único comando Docker run y un panel web para la gestión de peers. El resultado más limpio es un contenedor wg-easy detrás de un proxy inverso con HTTPS para el propio panel de administración.

WireGuard es software gratuito y de código abierto, licenciado bajo GPLv2 en la implementación del kernel de Linux. No hay tarifas de licencia para ejecutar un servidor WireGuard, ni cargos por peer, ni nivel premium para ninguna función del protocolo. Los clientes en espacio de usuario para Windows, macOS, iOS y Android también son gratuitos, con aplicaciones publicadas en las tiendas oficiales de cada plataforma. El wrapper web wg-easy también es de código abierto, distribuido como imagen Docker en GitHub que el operador ejecuta sin coste.

Los pares intercambian claves públicas, similares en forma a las claves SSH, y luego se comunican sobre UDP en el puerto 51820 por defecto. Cada lado tiene una lista AllowedIPs que funciona como tabla de enrutamiento al enviar y como lista de control de acceso al recibir. WireGuard se instala en el kernel de Linux como módulo para máximo rendimiento, con clientes en espacio de usuario en otras plataformas. El handshake se completa en menos de 100 milisegundos, y el último handshake válido gana, que es lo que hace que el roaming entre redes sea transparente.

Se necesita muy poca RAM. Se han reportado instalaciones funcionales en instancias de VPS Debian con tan solo 64 MB a 128 MB de RAM, con swap configurado. Para un servidor personal gestionando tres o cuatro peers concurrentes, 1 GB de RAM es cómodo y deja margen para la interfaz de administración wg-easy y un proxy inverso delante del panel de administración. El protocolo WireGuard permanece inactivo con uso de CPU y RAM casi nulo, que es lo que hace viables los planes de VPS pequeños para él.

wg-easy es una imagen Docker de código abierto que envuelve WireGuard con una interfaz de administración web para la gestión de peers. El panel crea, edita, habilita, deshabilita y elimina peers, descarga configuraciones de cliente y muestra códigos QR para la configuración móvil mediante la cámara. La versión v15 de 2025 añadió soporte IPv6, autenticación de dos factores TOTP en el panel de administración, reglas de firewall por cliente, enlaces de invitación de un solo uso, expiración de clientes, métricas de Prometheus para monitorización, temas de modo oscuro y claro, y una interfaz multiidioma para traducciones de la comunidad.

AllowedIPs es la lista de rangos IP para los que un peer tiene permitido enviar o recibir tráfico. Establecerlo en 0.0.0.0/0 crea un túnel completo donde cada byte de tráfico de internet del cliente viaja por la VPN. Establecerlo en subredes específicas crea un túnel dividido donde solo esas subredes viajan por la VPN y el resto del tráfico sale directamente por la conexión local. El campo funciona como tabla de enrutamiento al enviar y como lista de control de acceso al recibir en el otro lado.