Este es el primer manual de una lista que debes poner en marcha en el siguiente orden.

1. WireGuard en Raspberry PI, VPN casera, segura y gratuita.
2. Pi-hole en Raspberry Pi: Instalación paso a paso.
3. Configura tu propio servidor DNS recursivo con Pi-hole y Unbound
4. El manual definitivo para navegar 100% seguro con WireGuard, Pi-hole y Unbound.

¿Por qué WireGuard?

WireGuard es una VPN moderna, ultrarrápida y muy segura. A diferencia de OpenVPN, es nativa del kernel de Linux (va como parte del sistema, no como un programa aparte), consume muy pocos recursos y se configura en minutos.

¿Para qué querrás una VPN en tu Raspberry Pi?

• Acceder a tu red local desde cualquier lugar (archivos, impresoras, otros equipos)
• Navegar con la IP de tu casa cuando estés fuera (evitar bloqueos geográficos)
• Sincronizar contraseñas de forma segura con KeePass + Syncthing (el siguiente tutorial)
• Usar WiFi públicas sin miedo a que espíen tu tráfico

Ventajas de montarla en una Raspberry Pi:

• Consumo eléctrico ridículo (puede estar 24/7 encendida)
• Control total de tus datos (no dependes de servicios de terceros)
• Aprendizaje enorme

Requisitos

• Una Raspberry Pi (cualquier modelo desde la 3B funciona, pero mejor una Pi 4 o 5)
• Raspberry Pi OS instalado y actualizado.
• DuckDNS (gratuito) o cualquier servicio de DNS dinámico ( no lo configuramos aquí)
• Un puerto abierto en tu router (el 51820 UDP)
• Un teléfono Android (para probar el cliente)

1. Instalación de WireGuard

Conéctate a tu Raspberry Pi por SSH o directamente con teclado y pantalla.

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard wireguard-tools qrencode iptables -y

Carga el módulo en el kernel con:

sudo modprobe wireguard

Verifica que el módulo del kernel se ha cargado correctamente:

~ $ lsmod | grep wireguard
wireguard              81920  0
libcurve25519          32768  1 wireguard
libchacha20poly1305    16384  1 wireguard
ip6_udp_tunnel         12288  1 wireguard
udp_tunnel             28672  1 wireguard
ipv6                  602112  153 wireguard
raspberry@terrapi:~ $ 

Esto nos indica que wireguard 131072 0, fue cargado y que está todo bien.

2. Generar las claves del servidor

Cada VPN necesita un par de claves (pública y privada) para el servidor y otro par para cada cliente. Empezamos con las del servidor.

sudo mkdir -p /etc/wireguard
sudo -i
cd /etc/wireguard
umask 077
wg genkey | tee private.key
cat private.key | wg pubkey | tee public.key
exit

Comprueba que se han creado los archivos:

~ $ sudo ls -la /etc/wireguard/
total 24
drwx------   2 root root  4096 jul  1 05:50 .
drwxr-xr-x 143 root root 12288 jul  1 05:36 ..
-rw-------   1 root root    45 jul  1 05:49 private.key
-rw-------   1 root root    45 jul  1 05:50 public.key

Debes ver private.key y public.key, ambos con permisos -rw------- (600).

3. Crear la configuración del servidor

Ahora creamos el archivo de configuración que arrancará la VPN.

sudo nano /etc/wireguard/wg0.conf

Pega este contenido (cambiando la PrivateKey por la tuya):

[Interface]
PrivateKey = PEGA_AQUÍ_TU_CLAVE_PRIVADA
Address = 10.0.0.1/24
ListenPort = 51820
SaveConfig = false

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

¿Cómo obtener tu clave privada?

sudo cat /etc/wireguard/private.key

Copia el resultado y pégalo donde pone PrivateKey = ...

Importante sobre la interfaz de red:

• Si tu Raspberry Pi usa cable Ethernet, deja eth0
• Si usa WiFi, cambia eth0 por wlan0
• Si no estás seguro, ejecuta
  ip route | grep default
  y mira qué interfaz aparece

Las líneas PostUp y PostDown son las que permiten que tu móvil tenga acceso a internet a través de la VPN (enmascaramiento NAT). Sin ellas, la VPN conectará pero no habrá internet.

Guarda el archivo (Ctrl+O, Enter, Ctrl+X).

4. Configurar el sistema para enrutar tráfico

La VPN necesita que el sistema operativo permita reenviar paquetes de una interfaz a otra. Sin esta configuración, tu Raspberry Pi recibiría los paquetes de tus dispositivos VPN (como tu móvil) pero no los reenviaría a Internet ni a tu red local. Es como tener un mensajero que recoge cartas pero no las entrega.

¿Qué hacemos exactamente?

Para activar el reenvío de paquetes de forma permanente (que sobreviva a reinicios), vamos a crear un archivo de configuración específico en la carpeta /etc/sysctl.d/. Esta carpeta está diseñada para ajustes personalizados del kernel y sus archivos se procesan al arrancar, siendo el último en leerse el que tiene prioridad.

Ejecuta este comando para crear el archivo 99-ipforward.conf:

echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-ipforward.conf

• ¿Qué hace?
  Crea un archivo con el parámetro net.ipv4.ip_forward=1. El nombre 99- asegura que se cargue al final, después de cualquier otra configuración del sistema, por lo que su valor prevalece.

Ahora, aplica la configuración sin necesidad de reiniciar:

sudo sysctl -p /etc/sysctl.d/99-ipforward.conf

Este comando carga el archivo que acabamos de crear y activa el reenvío de paquetes en el momento.

Por último, verifica que el cambio se ha aplicado correctamente:

sudo sysctl net.ipv4.ip_forward

Debes ver net.ipv4.ip_forward = 1.

Si es así, la Raspberry Pi ya está preparada para actuar como un router y reenviar el tráfico de tus dispositivos VPN.

5. Arrancar WireGuard

sudo bash -c 'chmod 600 /etc/wireguard/*'
sudo systemctl enable wg-quick@wg0
sudo systemctl start wg-quick@wg0

Verifica que funciona:

~ $ sudo wg show
interface: wg0
  public key: tu_clave_publica
  private key: (hidden)
  listening port: 51820

Y comprueba que el puerto está escuchando:

~ $ sudo ss -tuln | grep 51820
udp   UNCONN 0      0            0.0.0.0:51820      0.0.0.0:*   
udp   UNCONN 0      0                  *:51820            *:*  

Debe aparecer 0.0.0.0:51820.

6. Crear las configuraciones para los clientes.

Aquí viene la parte clave. Vamos a generar tres pares de claves, una para cada dispositivo.

6.1. Crear las carpetas y generar las claves

sudo mkdir -p /etc/wireguard/clients
sudo -i
cd /etc/wireguard/clients
umask 077

Ahora generamos las claves para cada dispositivo. Recuerda que sigues como root

Repite este bloque para cada uno, cambiando el nombre:

Cliente 1 (phone_dad):

wg genkey | sudo tee phone_dad_private.key
cat phone_dad_private.key | sudo wg pubkey | sudo tee phone_dad_public.key

Cliente 2 (phone_mon):

wg genkey | sudo tee phone_mon_private.key
cat phone_mon_private.key | sudo wg pubkey | sudo tee phone_mon_public.key

Cliente 3 (tablet u otro dispositivo):

wg genkey | sudo tee tablet_private.key
cat tablet_private.key | sudo wg pubkey | sudo tee tablet_public.key

6.2. Crear los archivos de configuración de cada cliente

Ahora, para cada dispositivo, crea su archivo .conf con una IP única.

Recuerda que seguimos dentro de la ruta /etc/wireguard/clients

Archivo del móvil (phone_dad.conf):

nano phone_dad.conf

[Interface]
PrivateKey = [CLAVE_PRIVADA_DEL_MOVIL]
Address = 10.0.0.2/32
DNS = 8.8.8.8

[Peer]
PublicKey = [CLAVE_PUBLICA_DEL_SERVIDOR]
Endpoint = [TU_DOMINIO_O_IP_PUBLICA]:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Guarda el archivo (Ctrl+O, Enter, Ctrl+X).

Archivo del móvil (phone_mon.conf):

sudo nano phone_mon.conf

[Interface]
PrivateKey = [CLAVE_PRIVADA_DEL_PORTATIL]
Address = 10.0.0.3/32
DNS = 8.8.8.8

[Peer]
PublicKey = [CLAVE_PUBLICA_DEL_SERVIDOR]
Endpoint = [TU_DOMINIO_O_IP_PUBLICA]:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Guarda el archivo (Ctrl+O, Enter, Ctrl+X).

Archivo de la tablet (tablet.conf):

sudo nano tablet.conf

[Interface]
PrivateKey = [CLAVE_PRIVADA_DE_LA_TABLET]
Address = 10.0.0.4/32
DNS = 8.8.8.8

[Peer]
PublicKey = [CLAVE_PUBLICA_DEL_SERVIDOR]
Endpoint = [TU_DOMINIO_O_IP_PUBLICA]:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Guarda el archivo (Ctrl+O, Enter, Ctrl+X).

Ya puedes salir root para volver al promt de usuario con el comando:

exit

Rellena cada campo para cada archivo:

• [CLAVE_PRIVADA_DEL_...] → El contenido de su archivo *_private.key
• [CLAVE_PUBLICA_DEL_SERVIDOR] → El contenido de sudo cat /etc/wireguard/public.key
• [TU_DOMINIO_O_IP_PUBLICA] → Tu dominio DuckDNS o tu IP pública

Atención con las IPs:

• phone_dad: 10.0.0.2/32
• phone_mon: 10.0.0.3/32
• Tablet: 10.0.0.4/32

Cada una debe ser única. No repitas direcciones.

7. Añadir los 3 clientes al servidor

Ahora tenemos que decirle al servidor que acepte conexiones de estos tres dispositivos.

7.1. Añadir phone_dad

PHONE_DAD_PUBKEY=$(sudo cat /etc/wireguard/clients/phone_dad_public.key)
sudo wg set wg0 peer $PHONE_DAD_PUBKEY allowed-ips 10.0.0.2/32

7.2. Añadir phone_mon

PHONE_MON_PUBKEY=$(sudo cat /etc/wireguard/clients/phone_mon_public.key)
sudo wg set wg0 peer $PHONE_MON_PUBKEY allowed-ips 10.0.0.3/32

7.3. Añadir la tablet

TABLET_PUBKEY=$(sudo cat /etc/wireguard/clients/tablet_public.key)
sudo wg set wg0 peer $TABLET_PUBKEY allowed-ips 10.0.0.4/32

7.4. Guardar la configuración

sudo wg-quick save wg0

7.5. Verificar que aparecen los 3 peers

sudo wg show

Ahora deberías ver una sección peer: para cada uno de los tres dispositivos.

Importante: Si necesitas regenerar las claves de un cliente

Si por algún motivo tienes que regenerar las claves de un dispositivo, no basta con crear un nuevo archivo de configuración. El peer antiguo seguirá existiendo en el servidor. Para evitar conflictos y mantener la seguridad, debes eliminar el peer antiguo manualmente:

1. Ejecuta sudo wg show para ver la lista de peers y sus claves públicas.
2. Identifica la clave pública del peer que quieres eliminar.
3. Elimínalo con: sudo wg set wg0 peer [CLAVE_PUBLICA_ANTIGUA] remove
4. Guarda los cambios: sudo wg-quick save wg0
5. Ahora puedes añadir el nuevo peer con la nueva clave pública y la IP que estaba usando el antiguo.

8. Preparar los códigos QR para cada dispositivo

Este es el método más cómodo para importar la configuración en móviles y tablets.

QR de phone_dad:

sudo cat /etc/wireguard/clients/phone_dad.conf | qrencode -t ansiutf8

QR de phone_mon:

sudo cat /etc/wireguard/clients/phone_mon.conf | qrencode -t ansiutf8

QR de la tablet:

sudo cat /etc/wireguard/clients/tablet.conf | qrencode -t ansiutf8

Cada comando mostrará un código QR en la terminal. Escanea cada uno desde la app de WireGuard en el dispositivo correspondiente.

Para dispositivos sin cámara (como un portátil con Linux/Windows):
Puedes copiar el archivo .conf por USB o con scp e importarlo manualmente en la app.

9. Abrir el puerto en el router (imprescindible para acceso remoto)

Este es el único paso que depende de tu router, pero es sencillo.

Primero, averigua la IP local de tu Raspberry Pi:

hostname -I

Anota la primera IP (ej: 192.168.1.150).

Accede a la web de tu router (normalmente 192.168.1.1 o 192.168.0.1).

Busca la sección «Reenvío de puertos» o «Port Forwarding» y añade una regla:

Guarda los cambios. Si tu router tiene la opción, reinícialo para aplicar la regla.

Si usas DuckDNS: Asegúrate de que el cliente de actualización está corriendo en tu Raspberry Pi o en el router, para que tu dominio siempre apunte a tu IP pública.

10. Comprobación final

Prueba dentro de casa (WiFi local)

1. En el móvil, activa WireGuard
2. Abre el navegador y busca «cuál es mi IP»
3. Debe mostrar la IP pública de tu casa (la de tu router)

Prueba desde fuera (con datos móviles)

1. Desactiva el WiFi del móvil
2. Activa WireGuard
3. Repite la búsqueda de IP
4. Sigue debiendo mostrar la IP de tu casa

Si ves la IP de tu casa, la VPN funciona perfectamente.

11. Mantenimiento y buenas prácticas

• Actualiza regularmente: sudo apt update && sudo apt upgrade -y
• Monitorea el servicio: sudo systemctl status wg-quick@wg0
• Revoca el acceso a un dispositivo: Elimina su peer del servidor con sudo wg set wg0 peer [su_clave_publica] remove después de revocarlo, también hay que guardar la configuración con sudo wg-quick save wg0
• Copia de seguridad de las claves: Guarda en un lugar seguro (/etc/wireguard/ entero)
• Puerto seguro: El 51820 UDP es el estándar, pero puedes cambiarlo por cualquier otro si quieres algo menos predecible

12. ¿Qué viene después?

Con la VPN funcionando, ya puedes:

• Sincronizar contraseñas entre tu PC con Linux y tu Android usando KeePassXC + Syncthing (próximo tutorial)
• Acceder a tu red doméstica desde cualquier lugar (NAS, servidor multimedia, impresora)
• Usar Pi-hole para bloquear anuncios también en tu móvil cuando estás fuera de casa

Conclusión

Has montado tu propia VPN en una Raspberry Pi sin depender de servicios externos, sin Docker y con software libre. WireGuard es ligero, seguro y una vez configurado, olvidas que está ahí.

¿Te ha servido? ¿Tienes dudas? Puedes dejar un comentario y te ayudaré (porque yo ya pasé por todos los errores posibles mientras escribía este tutorial).

Ver más

Ahora aumenta tu nivel de proteccion con el siguiente tutorial Pi-hole en Raspberry Pi: Instalación paso a paso

Xfce es un entorno de escritorio ligero para sistemas tipo UNIX. Su objetivo es ser rápido y usar pocos recursos del sistema, sin dejar de ser visualmente atractivo y fácil de usar.

Según la arquitectura que hayas elegido, amd64, arm64, armf,etc, Xfec puede venir ligero de más, tan ligero que no reconoce los equipos que están en nuestra red. Supongo que el responsable de la distribución no instala algunos plugins para aligerar el escritorio.

Cuando abres Thunar veras que no aparecen las unidades de red

Si entras en Preferencias del gestor de archivos Thunar, Opciones avanzadas, ya vemos el problema. Faltan dependencias, GVfs no está disponible.

Para ver que complementos nos hacen falta, hacemos un apt show a Thunar con el siguiente comando:

apt show thunar

Nos fijamos en los paquete recomendados y en los sugeridos porque los vamos a instalar.

Recommends: default-dbus-session-bus | dbus-session-bus, gvfs, policykit-1-gnome | polkit-1-auth-agent, thunar-volman, tumbler, udisks2, xdg-user-dirs, libxfce4panel-2.0-4 (>= 4.13.0)

Suggests: thunar-archive-plugin, thunar-media-tags-plugin, gvfs-backends

Instalamos los paquetes recomendados.

sudo apt install default-dbus-session-bus gvfs policykit-1-gnome thunar-volman tumbler udisks2 xdg-user-dirs libxfce4panel-2.0-4

Instala los paquete sugeridos:

sudo apt install thunar-archive-plugin thunar-media-tags-plugin gvfs-backends

Reinicia la máquina y abre el gestor de archivos Thunar

Ahora tenemos a la vista la opción de «Red» y su carpeta «Navegar por la red«

Tenemos una instalación de 3 routers, de la que cuelgan 3 equipos y veremos la forma de hacer que se vean y comuniquen entre ellos.

Los routers se llamarán:

• Router 1
• Router 2
• Router 3

Los equipos se llamarán:

• Computer A
• Computer B
• Computer C

Escenario 1

La computadora A desea acceder a la computadora B , a través de dos enrutadores, el enrutador (2) y el enrutador (3) que están en la misma subred.

1. Inicia sesión en el enrutador (3) , desactiva el firewall y haz clic en [ Aplicar ] para finalizar la configuración en el enrutador (3) .

2. Inicia sesión en el enrutador (2) > ve a [ Lista de rutas estáticas ], ingresa la información del enrutador (3) y haz clic en el botón Agregar > [ Aplicar ] para finalizar la configuración en el enrutador (2) .

• (1) IP de red/host: ingresa la subred 192.168.3.0 del enrutador (3) .
• (2) Máscara de red: Ingresa el valor predeterminado 255.255.255.0
• (3) Puerta de enlace: Ingresa la IP WAN 192.168.1.40 del enrutador (3) .
• (4) Métrica: Ingresa 1, que representa el orden de las reglas de enrutamiento.
• (5) Interfaz: Selecciona [ MAN] porque el enrutador (2) y el enrutador (3) tienen la misma fuente de red en la misma subred (192.168.1.X).

Escenario 2

La computadora B desea acceder a la computadora A , consulta los pasos del [ Escenario 1 ] e intercambia las configuraciones del Enrutador (2) y el Enrutador (3) .

1. Inicia sesión en el enrutador (2) , desactiva el firewall y haz clic en [ Aplicar ] para finalizar la configuración en el enrutador (2) .

Paso 2. Inicia sesión en el enrutador (3) > ve a [ Lista de rutas estáticas ], ingresa la información del enrutador (2) y haga clic en el botón Agregar > [ Aplicar ] para finalizar la configuración en el enrutador (3) .

• (1) IP de red/host: ingresa la subred 192.168.2.0 del enrutador (2) .
• (2) Máscara de red: Ingresa el valor predeterminado 255.255.255.0
• (3) Puerta de enlace: Ingresa la IP WAN 192.168.1.200 del enrutador (3) .
• (4) Métrica: Ingresa 1, que representa el orden de las reglas de enrutamiento.
• (5) Interfaz: Seleccione [ MAN] porque el enrutador (2) y el enrutador (3) tienen la misma fuente de red en la misma subred (192.168.1.X).

Escenario 3

Cuando la computadora A y la computadora B desean acceder entre sí, es preferible configurar dos reglas de enrutamiento en el enrutador (1) .

1. Inicia sesión en el enrutador (2) y el enrutador (3) para deshabilitar el firewall y haz clic en [ Aplicar ] para finalizar la configuración en ellos.

2. Inicia sesión en el enrutador (1) > ve a [ Lista de rutas estáticas ].

3 Ingresa la información del enrutador (2) y haga clic en el botón Agregar.

1. IP de red/host: ingresa la subred 192.168.2.0 del enrutador (2) .
2. Máscara de red: Ingresa el valor predeterminado 255.255.255.0
3. Puerta de enlace: Ingresa la IP WAN 192.168.1.200 del enrutador (3) .
4. Métrica: Ingresa 1, que representa el orden de las reglas de enrutamiento.
5. Interfaz: Selecciona [ LAN]

4 Ingresa la información del enrutador (3) y haga clic en el botón Agregar.

1. IP de red/host: ingresa la subred 192.168.3.0 del enrutador (3) .
2. Máscara de red: Ingresa el valor predeterminado 255.255.255.0
3. Puerta de enlace: Ingresa la IP WAN 192.168.1.40 del enrutador (3) .
4. Métrica: Ingresa 1, que representa el orden de las reglas de enrutamiento.
5. Interfaz: Selecciona [ LAN].

5 Haga clic en [ Aplicar ] para finalizar la configuración en el enrutador (1) .

Fuente: https://www.asus.com/support/faq/1011706/#faq

Ruta estática con 2 router Asus

Si tienes dos enrutadores ASUS con diferentes subredes, puedes conectarlos entre ellos a través de una conexión cableada, como se muestra en la imagen a continuación.

Creando una ruta estática haremos que se vean entre sí, (por ejemplo, la computadora A verá a la computadora B y viceversa)

Los equipos que estén en el Router 2 serán inalcanzables desde internet, esto es útil cuando tienes equipos sensibles como un NAS, Camarás IP y no quieres que estén en primera línea, haciéndolos invisibles desde Internet. Tampoco podrás abrir puertos, no uses aMule ni tampoco otro programa que necesite tener los puertos abiertos.

Preparación

Comprueba las direcciones IP LAN de ambos enrutadores ASUS.

Configuración IP en ambos enrutadores.

Haz esto en ambos enrutadores, ve a [ LAN ] > [ Dirección IP LAN ] > escribe la IP que desees en [ Dirección IP ] cuando acabes pulsa en [Aplicar ].

La subred del primer enrutador será 192.168.1.1

La subred del segundo enrutador será 192.168.2.1

Conexión del Cableado.

Conecta cualquier puerto LAN (amarillo) del primer enrutador ASUS al puerto WAN (azul) del segundo enrutador ASUS.

Diagrama

Configuración del router 1

El router 1 será donde se configure la ruta estática.

Accede al router 1 a través de tu navegador, escribiendo la siguiente dirección 192.168.1.1

Ingresa tu nombre de usuario y contraseña y haz clic en Iniciar sesión.

Ve a [LAN] > [Ruta]

En configuración básica, selecciona [Si] en Habilitar rutas estáticas.

Añade la información del router 2 en la Lista de rutas estáticas. (Límite máximo: 32)

Dirección IP de red/host: Escribe la subred del segundo enrutador 192.168.2.0

Máscara de red: Ingresa el valor predeterminado 255.255.255.0

Puerta de enlace: Ingresa 192.168.1.200 (que es la IP que asigna el router 1 al router 2)

Métrica: Escribe 1, que se refiere al orden de las reglas de enrutamiento

Interfaz: el valor predeterminado es LAN, que representa la interfaz de red que debe seguir esta regla de enrutamiento.

Haz clic en el botón Agregar

Haz clic en [Aplicar] para terminar con la configuración del primer router.

Información adicional:
IP de red/host: cambia la IP de LAN 192.168.2.1 del segundo enrutador ASUS a 192.168.2.0 para que los dispositivos (como teléfonos móviles y computadoras) conectados al segundo enrutador ASUS puedan compartir información en diferentes subredes.
Puerta de enlace: ingresa la IP de WAN asignada por el primer enrutador ASUS al segundo enrutador ASUS en este campo.

Configuración del router 2.

Estos son los pasos para configurar el segundo enrutador (desactivar el firewall)

(1) Inicia sesión en el segundo enrutador, primero y ve a [ Firewall ] > [ General ] > selecciona [ No ] en Habilitar firewall para deshabilitarlo.

(2) Haga clic en [ Aplicar ] para finalizar la configuración en el segundo enrutador ASUS.

Eso es todo, tan solo queda comprobar que los equipos de las subredes pueden verse entre sí.

¿Cómo saber si los equipos se ven?

Para saber si los equipos de ambas subredes se ven, lo mejor es hacer un PING

Estando conectado en un equipo de la subred 2, con el rango de IP 192.168.2.X, voy a hacer un PING a un equipo la subred 1, con el rango 192.168.1.X

Y ahora lo hacemos al revés, estando conectados en un equipo de la subred 1, con el rango de IP 192.168.1.X, voy a hacer un PING a un equipo la subred 2, con el rango 192.168.2.X

En ambos casos, los PING enviados a los equipos, llegan a su destino.

Fuente: https://www.asus.com/support/faq/1011706/#faq