¿Alguna vez has sentido que navegar por el Wi-Fi de una cafetería o un hotel es como caminar por un campo minado? La verdad es que, aunque nos sintamos seguros, dejar nuestros datos al aire en redes públicas es jugársela. Aquí es donde entra en juego una VPN eller virtuellt privat nätverk, que básicamente monta un túnel cifrado entre tu dispositivo y tu casa. Es como tener un cable larguísimo que te conecta directamente a tu router, sin importar si estás en la otra punta del mundo, permitiéndote navegar con total privacidad och säkerhet.
Para montar este sistema no hace falta gastarse un dineral en suscripciones mensuales; con una hallon Pi, ese ordenador diminuto que consume menos que una bombilla, podemos crear nuestro propio servidor. No solo nos sirve para proteger el tráfico, sino que nos da el superpoder de acceder a los archivos de nuestra red local o saltarnos restricciones geográficas de contenidos como si estuviéramos sentados en el sofá de nuestro salón. Vamos a ver cómo ponerlo en marcha usando WireGuard, que es la opción más moderna, ligera y rápida que existe actualmente.
Preparando el terreno: Hardware y Sistema
Antes de meterle mano al software, necesitamos tener el equipo listo. Lo ideal es una Hallon Pi 4 por su potencia y RAM, aunque cualquier modelo reciente cumple la función. Necesitaremos una tarjeta MicroSD de al menos 8 GB con Raspberry Pi OS instalado. Es fundamental que la placa esté conectada mediante cable Ethernet para garantizar estabilidad, aunque el Wi-Fi también sirve. Un punto clave es asignar una IP estática a la Raspberry en la configuración del router para que el servidor no «desaparezca» cada vez que se reinicie el equipo.
Instalación de WireGuard: Dos caminos posibles
Hay dos formas de atacar esto: la manual, para los que disfrutan picando código, y la automatizada, para los que queremos resultados rápidos. Si optas por la manuellt sätt, deberás actualizar el sistema con apt update e instalar los headers del kernel. Como WireGuard a veces no está en los repositorios oficiales de Raspbian, es común añadir los de Debian y gestionar las llaves de seguridad para poder instalar el paquete wireguard genom apt.
Para la mayoría, lo más sensato es usar scripts de automatización como PiVPN o wireguard-install. Estos scripts hacen el trabajo sucio por ti: configuran el firewall, generan las llaves y ajustan el enrutamiento. Para ejecutar PiVPN, basta con lanzar un comando curl en la terminal. El asistente te preguntará si prefieres WireGuard u OpenVPN; elige siempre WireGuard por su eficiencia energética y velocidad. Durante el proceso, te pedirá un puerto (el estándar es el 51820), que es el que luego habrá que abrir en el router.
Gestión de claves y configuración del servidor
El corazón de WireGuard son las offentliga och privata nycklar. El servidor genera un par y cada cliente (móvil, PC) necesita el suyo propio para realizar el «apretón de manos» o handskakning. Si lo haces a mano, estas llaves se guardan en /etc/wireguard. El archivo de configuración del servidor (wg0.conf) define la virtuell IP-adress de la VPN y las reglas de iptables (PostUp y PostDown) para que el tráfico fluya correctamente a través de la interfaz de red, ya sea eth0 o wlan0.
El truco maestro: IP Forwarding y Acceso Local
Si solo quieres navegar seguro, con lo anterior basta, pero si quieres entrar en tu NAS, cámaras IP o servidor de archivos desde fuera, necesitas habilitar el IP Forwarding. Esto se hace editando el archivo /etc/sysctl.conf y descomentando la línea net.ipv4.ip_forward=1. Sin este paso, la Raspberry recibirá la conexión pero no sabrá cómo reenviar los paquetes al resto de dispositivos de tu casa. Además, es recomendable configurar el maskerad en el firewall para mejorar la hemnätverkssäkerhet och IoT para que los dispositivos locales reconozcan el tráfico de la VPN como si fuera interno.
DNS Dinámicos: Olvídate de recordar la IP
El problema de las conexiones domésticas es que la IP pública suele cambiar cada cierto tiempo. Para no quedarnos fuera de nuestra propia VPN, lo mejor es usar un servicio de DDNS como DuckDNS. Esto nos asigna un dominio (por ejemplo, minombre.duckdns.org) que siempre apunta a nuestra IP actual. Podemos instalar un script de actualización automática en la Raspberry que avise al servicio de DNS cada pocos minutos si nuestra IP ha cambiado, asegurando que el túnel siempre esté operativo.
Configuración de Clientes y Conexión Final
Una vez el servidor está al cien por cien, hay que crear los perfiles de usuario. Con PiVPN es tan fácil como escribir pivpn add. El sistema generará un archivo .conf para cada dispositivo. Para los móviles, lo más cómodo es ejecutar pivpn -qr, que proyecta un código QR en la terminal. Solo tienes que descargar la app de WireGuard, escanear el código y ya estás dentro. Para Windows o Mac, simplemente importas el archivo de configuración descargado.
El paso crítico: Abrir puertos en el Router
Ninguna de las configuraciones anteriores servirá de nada si el router bloquea la entrada. Debes entrar en el panel de administración de tu router y crear una regla de redirección de puertos (Port Forwarding). Tienes que abrir el puerto UDP 51820 (o el que hayas elegido) y dirigir todo ese tráfico hacia la dirección IP local de tu Raspberry Pi. Recuerda que debe ser protocolo UDP, ya que WireGuard no utiliza TCP.
Extras: Pi-hole y Bloqueo de Publicidad
Si quieres llevar tu setup al siguiente nivel, puedes instalar Pi-hål junto a la VPN. Al integrar ambos, puedes configurar la VPN para que use la IP de Pi-hole como servidor DNS. El resultado es increíble: cuando estés en la calle usando los datos del móvil y actives la VPN, toda la publicidad de las webs y apps desaparecerá, ya que el tráfico DNS pasará primero por el filtro de Pi-hole en casa antes de salir a Internet.
Montar este servidor nos permite tener un control absoluto sobre nuestra privacidad, eliminando la dependencia de empresas externas y aprovechando el bajo consumo de una placa ARM. Al combinar WireGuard con un DDNS y la apertura correcta de puertos UDP, transformamos un pequeño dispositivo en una puerta de acceso blindada y versátil a nuestra red doméstica desde cualquier lugar del globo.
