Un túnel privado con un propósito claro.

Define la ruta

Decide si el túnel transporta solo el tráfico de servicios privados o todo el tráfico de internet. Configura las rutas permitidas de forma intencionada y ten en cuenta tanto IPv4 como IPv6. Una configuración de túnel dividido y una de túnel completo tienen consideraciones distintas de fugas y alcanzabilidad.

Mantén una clave por dispositivo

Genere las claves privadas en el dispositivo cuando sea posible y nunca las publique. Use identidades de par separadas para que un dispositivo perdido pueda revocarse sin reemplazar a todos los clientes. Guarde la configuración del servidor con permisos protegidos.

Configura el reenvío y DNS

Configure deliberadamente las reglas de reenvío y de firewall. Compruebe la resolución de nombres, la MTU y la ruta de retorno. Pruebe la dirección pública efectiva y el comportamiento de DNS desde el cliente en lugar de suponer que un handshake exitoso significa que todo el tráfico usa la ruta prevista.

Comprenda el cambio de confianza

Una VPN autoalojada puede proteger el tráfico en la red local, pero el VPS y el proveedor de servicios de Internet siguen viendo metadatos y cualquier tráfico no cifrado. No hace que una sesión de navegador sea anónima ni anula las políticas de los servicios a los que accedes.

Usa un listener explícito e inspecciona el handshake

UDP 51820 es una elección común de configuración de WireGuard, no una política de host obligatoria ni garantizada. Abra solo el puerto UDP elegido y mantenga la administración restringida por separado. El comando wg show puede informar sobre el handshake y la transferencia de los pares sin necesidad de publicar claves privadas.

• Verifique un handshake reciente
• Probar el servicio privado previsto
• Pruebe las rutas de internet y de DNS solo si se pretende un túnel completo

wg show

Documentación oficial: Inicio rápido de WireGuard

Usa keepalives solo cuando la red los necesite

Un par detrás de NAT puede necesitar tráfico keepalive periódico para preservar una asignación para paquetes entrantes. La configuración adecuada depende de la red. Mantén la configuración intencional; no copies una receta de túnel completo si el objetivo es solo el acceso a una aplicación privada.

Elija túnel dividido o un diseño de túnel completo

Empieza por el objetivo real. Un túnel dividido puede transportar solo una subred privada o un servicio administrativo; un túnel completo también necesita reenvío de internet, reglas de salida y un plan de DNS. Elige direcciones de túnel que no se solapen y decide cómo se gestiona IPv6. UDP51820 es un puerto común, no obligatorio. Confirma la política del host seleccionado y mantén disponible el acceso a la consola o de administrador mientras cambias rutas o reglas de firewall.

• Asigna a cada dispositivo un par de claves único y una identidad de par estrecha.
• Mantenga las claves privadas en sus dispositivos previstos y fuera de archivos públicos o de su compartición mediante QR.
• Trata los puntos de conexión públicos y la itinerancia de los clientes como parte del diseño de la red.

Documentación oficial: Inicio rápido de WireGuard

Levante un túnel pequeño antes de añadir el enrutamiento a internet

Sigue la instalación del sistema operativo compatible y genera claves con permisos de archivo restrictivos. Configura la interfaz del servidor, un par y el listener UDP elegido. Un par del lado del servidor normalmente debería tener su propia dirección de túnel en AllowedIPs en lugar de un comodín superpuesto asignado a varios clientes. Empieza con acceso a la dirección del túnel y luego añade el reenvío aprobado y las rutas de destino. Un handshake exitoso demuestra el contacto con el par, no que DNS o la salida a internet sea correcta.

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

Documentación oficial: Configuración de interfaz y par de WireGuard

Pruebe la ruta esperada y una ruta prohibida

Desde el cliente, verifique un handshake reciente y un servicio privado permitido. Pruebe un destino que debería denegarse. Si usa un túnel completo, compruebe la ruta pública efectiva, el resolutor DNS y el comportamiento de IPv6 desde ese cliente; el tráfico de túnel dividido debe conservar la ruta local prevista. Repita tras un cambio de red del cliente. Use un keepalive de NAT solo cuando la red del par lo necesite, y mantenga el intervalo coherente con el diseño documentado.

• Sin handshake: inspecciona el endpoint DNS, la alcanzabilidad UDP, las claves y el mapeo de pares.
• Handshake pero sin servicio: inspecciona AllowedIPs, el firewall, el reenvío y la ruta de retorno.
• Algunos sitios se atascan: investiga la MTU de ruta antes de aplicar un valor permanente aleatorio.

Haga que la revocación y el comportamiento de reinicio sean repetibles

Elimina la clave de par de un dispositivo perdido y confirma que ya no puede establecer el acceso previsto. Mantén copias de seguridad cifradas de la configuración y un inventario de qué clave pública pertenece a qué dispositivo. Comprueba si la interfaz y las reglas de enrutamiento necesarias vuelven tras un reinicio normal. Una VPN desplaza la confianza hacia el VPS y su proveedor ascendente; no elimina los identificadores de aplicación, las cookies de cuenta ni la necesidad de HTTPS hasta el destino final.

Documentación oficial: Manual de WireGuard wg-quick