¿VPS o VPN comercial? Auto-hospedar WireGuard o AmneziaWG en un servidor propio

Un servidor Linux de 4 € al mes basta para tener una VPN privada, con una IP limpia y dedicada y exactamente un usuario. La contrapartida: mantenerlo actualizado corre por cuenta de uno, y un VPS solo está en un país. Aquí va una comparativa honesta frente a suscribirse a NordVPN o Mullvad, y cómo dejarlo listo para que funcione en Apple TV a través de WG Connect.

La elección

Casi todo el que se plantea esto acaba en uno de tres bandos. Auto-hospedar en un VPS da una máquina privada bajo control total, con una única IP que no se comparte con miles de desconocidos. Una VPN comercial como Mullvad o NordVPN aporta una flota global de servidores y trabajo de ingeniería dedicado a no acabar bloqueada, pero exige confiar en su promesa de no guardar registros. Un servidor en casa (Raspberry Pi, NAS o router) es la opción más estricta en privacidad, pero solo resulta útil para llegar de vuelta a casa cuando se viaja.

Esta guía trata de la primera opción: un VPS alquilado a un proveedor de hosting, con WireGuard o AmneziaWG, y WG Connect como cliente en el Apple TV.

Comparativa honesta

Qué hace falta para un servidor propio

• Un VPS. Sirve cualquier instancia Linux con virtualización KVM. Hetzner Cloud (CX11/CX22), un Droplet de DigitalOcean, Contabo VPS S, AWS Lightsail y Vultr son elecciones habituales. Conviene apuntar a 1 GB de RAM como mínimo y a un límite de tráfico generoso: el tráfico VPN también cuenta.
• Ubuntu 22.04 / 24.04 o Debian 12. Los kernels recientes ya incluyen WireGuard de serie. AmneziaWG se instala sin fricción mediante su paquete DKMS en estas distribuciones.
• Una dirección IPv4 pública (casi todos los planes de VPS incluyen una). El puerto UDP 51820 tiene que estar abierto — normalmente lo está por defecto, pero conviene revisar el firewall del proveedor.
• Acceso SSH. Manejarse en la línea de comandos ayuda, aunque los scripts de instalación más populares hacen casi todo el trabajo.

Vía A — WireGuard puro

La instalación más simple, y la recomendable salvo que haga falta específicamente esquivar bloqueos basados en DPI. Dos caminos igual de válidos:

Instalación manual

1. Entrar por SSH: ssh root@your-vps-ip
2. Instalar: apt update && apt install -y wireguard
3. Generar claves para el servidor y para un peer cliente (el Apple TV)
4. Crear /etc/wireguard/wg0.conf con la clave privada del servidor, el puerto de escucha 51820 y la clave pública del cliente como [Peer]
5. Activar el reenvío de IP: sysctl -w net.ipv4.ip_forward=1
6. Arrancarlo: systemctl enable --now wg-quick@wg0
7. Exportar el .conf de cliente correspondiente para el Apple TV

O usar un instalador

Si no apetece editar configuraciones a mano, un instalador de código abierto como angristan/wireguard-install resuelve todo el montaje con un único script de shell y entrega una configuración de peer lista para copiar del servidor. wg-easy va un paso más allá: un contenedor Docker con interfaz web para añadir y revocar clientes.

Vía B — AmneziaWG (cuando la red bloquea WireGuard puro)

AmneziaWG es un fork de WireGuard con el mismo cifrado (ChaCha20-Poly1305) pero con los paquetes remodelados para que la inspección profunda de paquetes no los reconozca. La misma velocidad, más un tráfico que los sistemas DPI no pueden identificar como VPN. Conviene usarlo cuando:

• Se reside en un país que bloquea WireGuard a nivel de protocolo, o se viaja a él
• La red del hotel o del campus descarta las VPN basadas en UDP
• El operador local limita o bloquea el tráfico VPN

Lo más fácil: el cliente AmneziaVPN

La app oficial de escritorio o móvil de AmneziaVPN tiene un modo «Self-hosted». Basta con apuntarla al VPS (IP, login de root, clave SSH), elegir AmneziaWG como protocolo y la app instala todo en el servidor por SSH. Sobre un VPS recién creado con Ubuntu o Debian, cuestión de minutos. Después, exportar el archivo .conf e importarlo en WG Connect en el Apple TV.

Manual: amneziawg-go o módulo del kernel

Hay dos variantes del servidor:

• Módulo del kernel (DKMS): más rápido; requiere un VPS con virtualización KVM y un kernel compatible con DKMS. La mayoría de planes baratos cumplen.
• Espacio de usuario (amneziawg-go): un pequeño porcentaje más lento, pero funciona en cualquier sitio — incluidos contenedores OpenVZ y LXC, donde no se pueden cargar módulos del kernel. Conviene tenerlo presente si el proveedor no ofrece KVM al precio buscado.

Los repositorios y las instrucciones están en la organización de Amnezia VPN en GitHub.

Importar en WG Connect

WG Connect trata un perfil propio exactamente igual que uno comercial. Sin interruptores. Sin modo experto.

1. Exportar el .conf de cliente desde el servidor (o copiarlo del ordenador si el instalador lo guardó allí)
2. En el Apple TV: Añadir Perfil → Subir desde Móvil
3. Escanear el código QR con el móvil, arrastrar allí el .conf y el Apple TV lo recoge por la red local
4. Conectar — WG Connect detecta si se trata de WireGuard puro o de AmneziaWG (1.0 / 2.0) y muestra el protocolo activo en la pantalla de detalle del perfil

Se pueden mantener varios perfiles a la vez — por ejemplo, uno propio en Alemania y otro de Mullvad para streaming — y alternar entre ellos con dos clics desde la pantalla de inicio.

Las contrapartidas que el marketing nunca menciona

• Detección de IP de centro de datos. Los servicios de streaming mantienen listas de bloqueo por ASN. Una IP recién estrenada de Hetzner o Contabo puede desbloquear Netflix hoy y dejar de funcionar el mes que viene. Las VPN comerciales dedican equipos enteros a rotar IPs más rápido de lo que los servicios las detectan. Con un solo VPS eso no es viable.
• Un único punto de fallo. Si cae el VPS, cae la VPN. No hay conmutación a «otro servidor en Alemania». Conviene hacer un snapshot y tener un plan de recuperación, o asumir alguna caída puntual.
• Un solo país. Se puede levantar un segundo VPS en otro país, pero cada uno cuesta otros 3–6 €/mes. Ahí es donde el valor de una VPN comercial empieza a compensar, si de verdad hace falta variedad de países.
• La IP tiene un solo titular. Cuando llega un aviso de copyright a esa IP, va dirigido a quien la alquila. Cuando una web la banea por abuso, el túnel baneado es el propio. A mucha gente le parece preferible — menos ambigüedad que compartir IP con miles de personas. A otra no.
• Las actualizaciones corren por cuenta de uno. Las actualizaciones de seguridad desatendidas cubren casi todo en Ubuntu, pero conviene revisar la máquina cada pocas semanas. apt update && apt upgrade es el mínimo.

Cuándo auto-hospedar es la decisión correcta

• Se busca un coste mensual bajo y fijo, sin las renovaciones automáticas con letra pequeña de las VPN de consumo
• Se desconfía por principio de las promesas de «sin registros» y se prefiere tener la confianza en las propias manos
• Hace falta una IP estable y reutilizable — para acceder a servicios propios, para listas de permitidos o para fijar una ubicación
• Se quiere esquivar el bloqueo de VPN por DPI con AmneziaWG sin pagar a un proveedor comercial que quizá lo soporte y quizá no
• El VPS sirve además para otra cosa: una web personal, un destino de copias de seguridad, un pequeño servidor de juegos

Cuándo gana la VPN comercial

• Se quiere elegir entre servidores de todo el mundo y cambiar de país con un clic
• Desbloquear servicios de streaming es el uso principal
• No apetece pensar en Linux en absoluto
• Se viaja mucho y se prefiere una IP compartida con miles de personas más

Muchos usuarios de WG Connect se quedan con ambas cosas: un VPS barato para el tráfico del día a día y la confianza, más un perfil WireGuard comercial (Mullvad, IVPN, AzireVPN) para las veces en que la variedad de países sí importa.

Preguntas frecuentes