WireGuard en sí es muy ligero.

Un VPS normal de 1 núcleo y 1 GB puede ejecutarlo, e incluso 512 MB de RAM aguantan un uso ligero. Lo que realmente afecta a la experiencia no es la CPU, sino:

Si estás en China continental y quieres baja latencia, normalmente conviene mirar primero ubicaciones como Hong Kong, Japón, Singapur y la costa oeste de EE. UU. No te fijes solo en "1 Gbps de ancho de banda": la línea en horas punta es lo que importa.

Si solo lo usas para acceder en remoto a servicios de la red interna, el servidor puede estar más cerca de ti; si es para aislar entornos de negocio transfronterizos, primero revisa los requisitos de la plataforma objetivo en cuanto a IP, región y estabilidad.

Sistemas recomendados:

• Ubuntu 22.04 / 24.04
• Debian 12

Los comandos siguientes usan Ubuntu / Debian como ejemplo.

Primero actualiza el sistema:

apt update
apt upgrade -y

Instala WireGuard:

apt install wireguard -y

Confirma que el comando está disponible:

wg --version

Si ves un número de versión, está instalado.

Primero entra en el directorio de configuración de WireGuard:

cd /etc/wireguard
umask 077

Genera la clave del servidor:

wg genkey | tee server_private.key | wg pubkey > server_public.key

Genera una clave de cliente:

wg genkey | tee client_private.key | wg pubkey > client_public.key

Consulta las claves:

cat server_private.key
cat server_public.key
cat client_private.key
cat client_public.key

Ten en cuenta:

• No compartas la clave privada con nadie
• La clave pública puede ir en la configuración del par
• Lo mejor es generar un par de claves distinto para cada cliente

No hagas que todos los móviles y ordenadores compartan la misma configuración de cliente. Si más adelante pierdes un dispositivo, te resultará muy difícil revocarlo por separado.

Primero confirma el nombre de tu interfaz de red:

ip route get 8.8.8.8

Normalmente verás algo como:

dev eth0

También podría ser ens3, ens5 o enp1s0. El ejemplo siguiente usa eth0; cámbialo por el nombre real de tu interfaz.

Crea la configuración:

nano /etc/wireguard/wg0.conf

Escribe:

[Interface]
Address = 10.66.66.1/24
ListenPort = 51820
PrivateKey = 服务端私钥

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = 客户端公钥
AllowedIPs = 10.66.66.2/32

Sustituye estos dos puntos:

• 服务端私钥: el resultado de cat server_private.key
• 客户端公钥: el resultado de cat client_public.key

Si tu interfaz de red pública no es eth0, cambia también eth0 en PostUp / PostDown por el nombre real de la interfaz.

WireGuard solo crea el túnel. Para que los clientes salgan a internet a través del VPS, también hay que activar el reenvío IPv4.

Edita:

nano /etc/sysctl.conf

Añade o descomenta:

net.ipv4.ip_forward=1

Hazlo efectivo:

sysctl -p

Confirma:

sysctl net.ipv4.ip_forward

Si ves:

net.ipv4.ip_forward = 1

Es correcto.

El puerto por defecto de WireGuard es 51820/udp.

Si usas UFW:

ufw allow 51820/udp
ufw status

Si usas el grupo de seguridad del proveedor cloud, ábrelo también en el panel:

UDP 51820
来源：你的 IP 或 0.0.0.0/0

Esto es lo que más se les olvida a los principiantes:

• El cortafuegos dentro del VPS está abierto
• El grupo de seguridad de la plataforma cloud no

El resultado es que el cliente puede escanear todo lo que quiera y no conectará.

Si no estás seguro de si es un problema de puerto, primero comprueba si el servidor está escuchando:

ss -lunp | grep 51820

Inicia:

systemctl start wg-quick@wg0

Configura el arranque automático:

systemctl enable wg-quick@wg0

Consulta el estado:

systemctl status wg-quick@wg0
wg show

Si la configuración está bien escrita, wg show mostrará la interfaz y la información del Peer.

Si falla el arranque, mira primero los registros:

journalctl -u wg-quick@wg0 -b --no-pager

Errores habituales:

• Clave privada copiada mal
• Nombre de interfaz incorrecto en PostUp
• Permisos del archivo de configuración demasiado abiertos
• Address entra en conflicto con la subred del cliente

La configuración del cliente puede llamarse client.conf:

[Interface]
PrivateKey = 客户端私钥
Address = 10.66.66.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = 服务端公钥
Endpoint = 你的VPS公网IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Sustituye:

• 客户端私钥: cat client_private.key
• 服务端公钥: cat server_public.key
• 你的VPS公网IP: la IP pública del VPS

Lo más importante aquí es AllowedIPs.

Si quieres que todo el tráfico pase por el VPS:

AllowedIPs = 0.0.0.0/0

Si solo quieres acceder a la red interna de WireGuard, por ejemplo solo a 10.66.66.0/24:

AllowedIPs = 10.66.66.0/24

Si eres principiante y solo quieres "todo a través de la VPN", usa 0.0.0.0/0.

El cliente oficial de WireGuard es compatible con:

• Windows
• macOS
• Linux
• iOS
• Android

En el ordenador puedes importar client.conf directamente.

En el móvil es más cómodo con un código QR.

Instala la herramienta de códigos QR en el VPS:

apt install qrencode -y

Genera el código QR:

qrencode -t ansiutf8 < client.conf

Luego abre la app de WireGuard en el móvil y elige escanear para importar.

Atención: el código QR contiene la clave privada del cliente. No hagas capturas y las envíes a un grupo, ni lo pongas en documentos públicos.

El problema más habitual de WireGuard no es no poder instalarlo, sino "muestra conectado, pero no se abren las páginas web".

Revisa en este orden.

wg show

sysctl net.ipv4.ip_forward

net.ipv4.ip_forward = 1

iptables -t nat -S | grep MASQUERADE

ip route get 8.8.8.8

ping 1.1.1.1
ping google.com

DNS = 1.1.1.1

No copies el mismo client.conf a todos los dispositivos.

Cada dispositivo debe tener su propio:

• private key
• public key
• IP interna

Por ejemplo, un segundo dispositivo:

10.66.66.3/32

Añade en el wg0.conf del servidor:

[Peer]
PublicKey = 第二台客户端公钥
AllowedIPs = 10.66.66.3/32

Tras editar, recarga:

systemctl restart wg-quick@wg0

Si más adelante quieres expulsar un dispositivo, basta con borrar el [Peer] correspondiente a ese dispositivo.

WireGuard es muy útil, pero no es la solución para todo.

Piensa bien estas situaciones:

• Tu red bloquea UDP con frecuencia
• Necesitas camuflaje complejo y capacidad antibloqueo
• No tienes ni idea de mantener un cortafuegos Linux
• El VPS tiene poco tráfico, pero piensas pasar por él todos los dispositivos de la casa
• El negocio objetivo es muy sensible al control de riesgo por IP y no puede compartir salidas a la ligera

Sobre todo el último punto: si usas WireGuard para compartir una misma IP de salida entre varias cuentas y varios negocios, es fácil mezclar entornos. Cuando trabajes con cuentas transfronterizas, comercio electrónico, TikTok y negocios similares, no compartas a lo loco por ahorrarte esfuerzo.

Si tras configurarlo no conecta, sigue este orden:

1. systemctl status wg-quick@wg0: ¿está iniciado el servicio
2. wg show: ¿hay handshake
3. ss -lunp | grep 51820: ¿está el puerto en escucha
4. Grupo de seguridad de la plataforma cloud: ¿está abierto UDP 51820
5. sysctl net.ipv4.ip_forward: ¿está activado el reenvío
6. iptables -t nat -S | grep MASQUERADE: ¿ha surtido efecto NAT
7. ip route get 8.8.8.8: ¿es correcto el nombre de la interfaz pública
8. Cliente Endpoint: ¿están mal la IP y el puerto
9. Cliente AllowedIPs: ¿proxy global o solo red interna
10. DNS: si puedes hacer ping a IPs pero no abrir nombres de dominio, revisa primero el DNS

La ventaja de WireGuard es que el archivo de configuración es corto y los problemas están bastante concentrados. Lo realmente difícil no es la instalación, sino tener claras las capas: grupo de seguridad del VPS, cortafuegos del sistema, NAT y enrutamiento del cliente.

Si solo quieres una VPN estable, ligera y bajo tu control, merece la pena dedicarle un rato a WireGuard.