WireGuard es una VPN moderna, ultrarrápida y muy segura. A diferencia de OpenVPN, es nativa del kernel de Linux (va como parte del sistema, no como un programa aparte), consume muy pocos recursos y se configura en minutos.

¿Para qué querrás una VPN en tu Raspberry Pi?

• Acceder a tu red local desde cualquier lugar (archivos, impresoras, otros equipos)
• Navegar con la IP de tu casa cuando estés fuera (evitar bloqueos geográficos)
• Sincronizar contraseñas de forma segura con KeePass + Syncthing (el siguiente tutorial)
• Usar WiFi públicas sin miedo a que espíen tu tráfico

Ventajas de montarla en una Raspberry Pi:

• Consumo eléctrico ridículo (puede estar 24/7 encendida)
• Control total de tus datos (no dependes de servicios de terceros)
• Aprendizaje enorme

Requisitos

• Una Raspberry Pi (cualquier modelo desde la 3B funciona, pero mejor una Pi 4 o 5)
• Raspberry Pi OS instalado y actualizado (puede ser la versión Lite sin escritorio)
• DuckDNS (gratuito) o cualquier servicio de DNS dinámico ( no lo configuramos aquí)
• Un puerto abierto en tu router (el 51820 UDP)
• Un teléfono Android (para probar el cliente)

1. Instalación de WireGuard

Conéctate a tu Raspberry Pi por SSH o directamente con teclado y pantalla.

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard wireguard-tools qrencode iptables nftables -y

Verifica que el módulo del kernel se ha cargado correctamente:

sudo modprobe wireguard
lsmod | grep wireguard

Si ves algo como wireguard 131072 0, está todo bien.

2. Generar las claves del servidor

Cada VPN necesita un par de claves (pública y privada) para el servidor y otro par para cada cliente. Empezamos con las del servidor.

sudo mkdir -p /etc/wireguard
cd /etc/wireguard
sudo umask 077
sudo wg genkey | sudo tee private.key
sudo cat private.key | sudo wg pubkey | sudo tee public.key

Comprueba que se han creado los archivos:

sudo ls -la /etc/wireguard/

Debes ver private.key y public.key, ambos con permisos -rw------- (600).

3. Crear la configuración del servidor

Ahora creamos el archivo de configuración que arrancará la VPN.

sudo nano /etc/wireguard/wg0.conf

Pega este contenido (cambiando la PrivateKey por la tuya):

[Interface]
PrivateKey = PEGA_AQUÍ_TU_CLAVE_PRIVADA
Address = 10.0.0.1/24
ListenPort = 51820
SaveConfig = false

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

¿Cómo obtener tu clave privada?

sudo cat /etc/wireguard/private.key

Copia el resultado y pégalo donde pone PrivateKey = ...

Importante sobre la interfaz de red:

• Si tu Raspberry Pi usa cable Ethernet, deja eth0
• Si usa WiFi, cambia eth0 por wlan0
• Si no estás seguro, ejecuta ip route | grep default y mira qué interfaz aparece

Las líneas PostUp y PostDown son las que permiten que tu móvil tenga acceso a internet a través de la VPN (enmascaramiento NAT). Sin ellas, la VPN conectará pero no habrá internet.

Guarda el archivo (Ctrl+O, Enter, Ctrl+X).

4. Configurar el sistema para enrutar tráfico

La VPN necesita que el sistema operativo permita reenviar paquetes de una interfaz a otra.

echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Debes ver net.ipv4.ip_forward = 1 en la salida.

5. Arrancar WireGuard

sudo chmod 600 /etc/wireguard/*
sudo systemctl enable wg-quick@wg0
sudo systemctl start wg-quick@wg0

Verifica que funciona:

sudo wg show

Deberías ver algo como:

interface: wg0
  public key: TU_CLAVE_PUBLICA
  private key: (hidden)
  listening port: 51820

Y comprueba que el puerto está escuchando:

sudo ss -tuln | grep 51820

Debe aparecer 0.0.0.0:51820.

6. Crear la configuración para el móvil (cliente)

Cada dispositivo que se conecte a la VPN necesita su propio par de claves. Vamos a generar las del móvil.

sudo mkdir -p /etc/wireguard/clients
cd /etc/wireguard/clients
sudo umask 077
sudo wg genkey | sudo tee mobile_private.key
sudo cat mobile_private.key | sudo wg pubkey | sudo tee mobile_public.key

Ahora creamos el archivo de configuración que importaremos en el móvil.

sudo nano mobile.conf

Pega este contenido (cambia solo los campos entre [ ... ]):

[Interface]
PrivateKey = [CLAVE_PRIVADA_DEL_MOVIL]
Address = 10.0.0.2/32
DNS = 8.8.8.8

[Peer]
PublicKey = [CLAVE_PUBLICA_DEL_SERVIDOR]
Endpoint = [TU_DOMINIO_O_IP_PUBLICA]:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Rellena cada campo:

• [CLAVE_PRIVADA_DEL_MOVIL] → El contenido de sudo cat /etc/wireguard/clients/mobile_private.key
• [CLAVE_PUBLICA_DEL_SERVIDOR] → El contenido de sudo cat /etc/wireguard/public.key
• [TU_DOMINIO_O_IP_PUBLICA] → Tu dominio DuckDNS (ej: tublog.duckdns.org) o tu IP pública si no tienes DNS dinámico

Guarda el archivo.

7. Añadir el móvil como cliente permitido en el servidor

MOBILE_PUBKEY=$(sudo cat /etc/wireguard/clients/mobile_public.key)
sudo wg set wg0 peer $MOBILE_PUBKEY allowed-ips 10.0.0.2/32
sudo wg-quick save wg0

Verifica que aparece el peer:

sudo wg show

Ahora deberías ver una sección peer: adicional con la clave pública del móvil.

8. Preparar el código QR para el móvil

sudo cat /etc/wireguard/clients/mobile.conf | qrencode -t ansiutf8

Esto mostrará un código QR en la terminal.

En tu Android:

1. Instala la app WireGuard desde Play Store
2. Abre la app → Botón + → Escanear desde código QR
3. Escanea el código QR de la terminal

La app importará automáticamente la configuración. Solo tendrás que pulsar el interruptor para conectarte.

9. Abrir el puerto en el router (imprescindible para acceso remoto)

Este es el único paso que depende de tu router, pero es sencillo.

Primero, averigua la IP local de tu Raspberry Pi:

hostname -I

Anota la primera IP (ej: 192.168.1.150).

Accede a la web de tu router (normalmente 192.168.1.1 o 192.168.0.1).

Busca la sección «Reenvío de puertos» o «Port Forwarding» y añade una regla:

Guarda los cambios. Si tu router tiene la opción, reinícialo para aplicar la regla.

Si usas DuckDNS: Asegúrate de que el cliente de actualización está corriendo en tu Raspberry Pi o en el router, para que tu dominio siempre apunte a tu IP pública.

10. Comprobación final

Prueba dentro de casa (WiFi local)

1. En el móvil, activa WireGuard
2. Abre el navegador y busca «cuál es mi IP»
3. Debe mostrar la IP pública de tu casa (la de tu router)

Prueba desde fuera (con datos móviles)

1. Desactiva el WiFi del móvil
2. Activa WireGuard
3. Repite la búsqueda de IP
4. Sigue debiendo mostrar la IP de tu casa

Si ves la IP de tu casa, la VPN funciona perfectamente.

11. Posibles errores y soluciones (basados en errores reales)

12. Mantenimiento y buenas prácticas

• Actualiza regularmente: sudo apt update && sudo apt upgrade -y
• Monitorea el servicio: sudo systemctl status wg-quick@wg0
• Revoca el acceso a un dispositivo: Elimina su peer del servidor con sudo wg set wg0 peer [su_clave_publica] remove
• Copia de seguridad de las claves: Guarda en un lugar seguro (/etc/wireguard/ entero)
• Puerto seguro: El 51820 UDP es el estándar, pero puedes cambiarlo por cualquier otro si quieres algo menos predecible

13. ¿Qué viene después?

Con la VPN funcionando, ya puedes:

• Sincronizar contraseñas entre tu PC con Linux y tu Android usando KeePassXC + Syncthing (próximo tutorial)
• Acceder a tu red doméstica desde cualquier lugar (NAS, servidor multimedia, impresora)
• Usar Pi-hole para bloquear anuncios también en tu móvil cuando estás fuera de casa

Conclusión

Has montado tu propia VPN en una Raspberry Pi sin depender de servicios externos, sin Docker y con software libre. WireGuard es ligero, seguro y una vez configurado, olvidas que está ahí.

¿Te ha servido? ¿Tienes dudas? Puedes dejar un comentario y te ayudaré (porque yo ya pasé por todos los errores posibles mientras escribía este tutorial).

Este tutorial está basado en una instalación real en Raspberry Pi 5 con Raspberry Pi OS, sin Docker, y probado con Android 13.

Xfce es un entorno de escritorio ligero para sistemas tipo UNIX. Su objetivo es ser rápido y usar pocos recursos del sistema, sin dejar de ser visualmente atractivo y fácil de usar.

Según la arquitectura que hayas elegido, amd64, arm64, armf,etc, Xfec puede venir ligero de más, tan ligero que no reconoce los equipos que están en nuestra red. Supongo que el responsable de la distribución no instala algunos plugins para aligerar el escritorio.

Cuando abres Thunar veras que no aparecen las unidades de red

Si entras en Preferencias del gestor de archivos Thunar, Opciones avanzadas, ya vemos el problema. Faltan dependencias, GVfs no está disponible.

Para ver que complementos nos hacen falta, hacemos un apt show a Thunar con el siguiente comando:

apt show thunar

Nos fijamos en los paquete recomendados y en los sugeridos porque los vamos a instalar.

Recommends: default-dbus-session-bus | dbus-session-bus, gvfs, policykit-1-gnome | polkit-1-auth-agent, thunar-volman, tumbler, udisks2, xdg-user-dirs, libxfce4panel-2.0-4 (>= 4.13.0)

Suggests: thunar-archive-plugin, thunar-media-tags-plugin, gvfs-backends

Instalamos los paquetes recomendados.

sudo apt install default-dbus-session-bus gvfs policykit-1-gnome thunar-volman tumbler udisks2 xdg-user-dirs libxfce4panel-2.0-4

Instala los paquete sugeridos:

sudo apt install thunar-archive-plugin thunar-media-tags-plugin gvfs-backends

Reinicia la máquina y abre el gestor de archivos Thunar

Ahora tenemos a la vista la opción de «Red» y su carpeta «Navegar por la red«

Tenemos una instalación de 3 routers, de la que cuelgan 3 equipos y veremos la forma de hacer que se vean y comuniquen entre ellos.

Los routers se llamarán:

• Router 1
• Router 2
• Router 3

Los equipos se llamarán:

• Computer A
• Computer B
• Computer C

Escenario 1

La computadora A desea acceder a la computadora B , a través de dos enrutadores, el enrutador (2) y el enrutador (3) que están en la misma subred.

1. Inicia sesión en el enrutador (3) , desactiva el firewall y haz clic en [ Aplicar ] para finalizar la configuración en el enrutador (3) .

2. Inicia sesión en el enrutador (2) > ve a [ Lista de rutas estáticas ], ingresa la información del enrutador (3) y haz clic en el botón Agregar > [ Aplicar ] para finalizar la configuración en el enrutador (2) .

• (1) IP de red/host: ingresa la subred 192.168.3.0 del enrutador (3) .
• (2) Máscara de red: Ingresa el valor predeterminado 255.255.255.0
• (3) Puerta de enlace: Ingresa la IP WAN 192.168.1.40 del enrutador (3) .
• (4) Métrica: Ingresa 1, que representa el orden de las reglas de enrutamiento.
• (5) Interfaz: Selecciona [ MAN] porque el enrutador (2) y el enrutador (3) tienen la misma fuente de red en la misma subred (192.168.1.X).

Escenario 2

La computadora B desea acceder a la computadora A , consulta los pasos del [ Escenario 1 ] e intercambia las configuraciones del Enrutador (2) y el Enrutador (3) .

1. Inicia sesión en el enrutador (2) , desactiva el firewall y haz clic en [ Aplicar ] para finalizar la configuración en el enrutador (2) .

Paso 2. Inicia sesión en el enrutador (3) > ve a [ Lista de rutas estáticas ], ingresa la información del enrutador (2) y haga clic en el botón Agregar > [ Aplicar ] para finalizar la configuración en el enrutador (3) .

• (1) IP de red/host: ingresa la subred 192.168.2.0 del enrutador (2) .
• (2) Máscara de red: Ingresa el valor predeterminado 255.255.255.0
• (3) Puerta de enlace: Ingresa la IP WAN 192.168.1.200 del enrutador (3) .
• (4) Métrica: Ingresa 1, que representa el orden de las reglas de enrutamiento.
• (5) Interfaz: Seleccione [ MAN] porque el enrutador (2) y el enrutador (3) tienen la misma fuente de red en la misma subred (192.168.1.X).

Escenario 3

Cuando la computadora A y la computadora B desean acceder entre sí, es preferible configurar dos reglas de enrutamiento en el enrutador (1) .

1. Inicia sesión en el enrutador (2) y el enrutador (3) para deshabilitar el firewall y haz clic en [ Aplicar ] para finalizar la configuración en ellos.

2. Inicia sesión en el enrutador (1) > ve a [ Lista de rutas estáticas ].

3 Ingresa la información del enrutador (2) y haga clic en el botón Agregar.

1. IP de red/host: ingresa la subred 192.168.2.0 del enrutador (2) .
2. Máscara de red: Ingresa el valor predeterminado 255.255.255.0
3. Puerta de enlace: Ingresa la IP WAN 192.168.1.200 del enrutador (3) .
4. Métrica: Ingresa 1, que representa el orden de las reglas de enrutamiento.
5. Interfaz: Selecciona [ LAN]

4 Ingresa la información del enrutador (3) y haga clic en el botón Agregar.

1. IP de red/host: ingresa la subred 192.168.3.0 del enrutador (3) .
2. Máscara de red: Ingresa el valor predeterminado 255.255.255.0
3. Puerta de enlace: Ingresa la IP WAN 192.168.1.40 del enrutador (3) .
4. Métrica: Ingresa 1, que representa el orden de las reglas de enrutamiento.
5. Interfaz: Selecciona [ LAN].

5 Haga clic en [ Aplicar ] para finalizar la configuración en el enrutador (1) .

Fuente: https://www.asus.com/support/faq/1011706/#faq

Ruta estática con 2 router Asus

Si tienes dos enrutadores ASUS con diferentes subredes, puedes conectarlos entre ellos a través de una conexión cableada, como se muestra en la imagen a continuación.

Creando una ruta estática haremos que se vean entre sí, (por ejemplo, la computadora A verá a la computadora B y viceversa)

Los equipos que estén en el Router 2 serán inalcanzables desde internet, esto es útil cuando tienes equipos sensibles como un NAS, Camarás IP y no quieres que estén en primera línea, haciéndolos invisibles desde Internet. Tampoco podrás abrir puertos, no uses aMule ni tampoco otro programa que necesite tener los puertos abiertos.

Preparación

Comprueba las direcciones IP LAN de ambos enrutadores ASUS.

Configuración IP en ambos enrutadores.

Haz esto en ambos enrutadores, ve a [ LAN ] > [ Dirección IP LAN ] > escribe la IP que desees en [ Dirección IP ] cuando acabes pulsa en [Aplicar ].

La subred del primer enrutador será 192.168.1.1

La subred del segundo enrutador será 192.168.2.1

Conexión del Cableado.

Conecta cualquier puerto LAN (amarillo) del primer enrutador ASUS al puerto WAN (azul) del segundo enrutador ASUS.

Diagrama

Configuración del router 1

El router 1 será donde se configure la ruta estática.

Accede al router 1 a través de tu navegador, escribiendo la siguiente dirección 192.168.1.1

Ingresa tu nombre de usuario y contraseña y haz clic en Iniciar sesión.

Ve a [LAN] > [Ruta]

En configuración básica, selecciona [Si] en Habilitar rutas estáticas.

Añade la información del router 2 en la Lista de rutas estáticas. (Límite máximo: 32)

Dirección IP de red/host: Escribe la subred del segundo enrutador 192.168.2.0

Máscara de red: Ingresa el valor predeterminado 255.255.255.0

Puerta de enlace: Ingresa 192.168.1.200 (que es la IP que asigna el router 1 al router 2)

Métrica: Escribe 1, que se refiere al orden de las reglas de enrutamiento

Interfaz: el valor predeterminado es LAN, que representa la interfaz de red que debe seguir esta regla de enrutamiento.

Haz clic en el botón Agregar

Haz clic en [Aplicar] para terminar con la configuración del primer router.

Información adicional:
IP de red/host: cambia la IP de LAN 192.168.2.1 del segundo enrutador ASUS a 192.168.2.0 para que los dispositivos (como teléfonos móviles y computadoras) conectados al segundo enrutador ASUS puedan compartir información en diferentes subredes.
Puerta de enlace: ingresa la IP de WAN asignada por el primer enrutador ASUS al segundo enrutador ASUS en este campo.

Configuración del router 2.

Estos son los pasos para configurar el segundo enrutador (desactivar el firewall)

(1) Inicia sesión en el segundo enrutador, primero y ve a [ Firewall ] > [ General ] > selecciona [ No ] en Habilitar firewall para deshabilitarlo.

(2) Haga clic en [ Aplicar ] para finalizar la configuración en el segundo enrutador ASUS.

Eso es todo, tan solo queda comprobar que los equipos de las subredes pueden verse entre sí.

¿Cómo saber si los equipos se ven?

Para saber si los equipos de ambas subredes se ven, lo mejor es hacer un PING

Estando conectado en un equipo de la subred 2, con el rango de IP 192.168.2.X, voy a hacer un PING a un equipo la subred 1, con el rango 192.168.1.X

Y ahora lo hacemos al revés, estando conectados en un equipo de la subred 1, con el rango de IP 192.168.1.X, voy a hacer un PING a un equipo la subred 2, con el rango 192.168.2.X

En ambos casos, los PING enviados a los equipos, llegan a su destino.

Fuente: https://www.asus.com/support/faq/1011706/#faq