VPS con WireGuard vs suscripción VPN — sin KYC

Un servidor WireGuard de un solo usuario en Core desde $6/mes ($4.80 anual) frente a una suscripción VPN compartida.

Ser dueño del punto de salida o alquilar la flota

El planteamiento contraintuitivo es que una suscripción VPN no elimina la confianza de la ecuación: sustituye una parte de confianza por otra. Tu tráfico sale junto al de cientos de inquilinos más, el proveedor ve los metadatos de conexión, y la política de no-registros es una promesa, no una arquitectura que puedas inspeccionar. Una pasarela WireGuard autoalojada en tu propio VPS (servidor virtual) tiene exactamente un usuario, así que la pregunta de los registros se disuelve sola: nada más se conecta a ella y no hay nada más que registrar.

Mecánicamente, WireGuard es una VPN a nivel de kernel, pequeña y muy revisada, y la guía de inicio rápido del proyecto cabe en una sola pantalla. Un enlace es un intercambio de pares de claves más enrutamiento: wg genkey crea una clave privada, una línea peer publica la mitad pública y AllowedIPs decide qué destinos lleva el túnel cifrado. En OpenBSD la misma idea viene en el kernel como la interfaz wg(4), de modo que el concepto viaja entre sistemas sin cambiar de forma.

La contrapartida de ser dueño del host de salida es que te conviertes en tu propio departamento de soporte, y el cálculo de tiempos más abajo en esta página dice que eso cuesta unos quince minutos una sola vez y después casi cero. Lo que pierdes es el trabajo de higiene de direcciones del grupo comercial y la cobertura de una salida compartida: pérdidas reales en casos concretos, y ambas se tratan con honestidad un par de secciones más abajo en lugar de restarles importancia.

El error en esta fase es compararlas solo por el precio mensual e ignorar para qué sirve cada una. Una suscripción es un servicio con una flota, un escritorio de soporte y una política de privacidad que debes aceptar por fe; una porción alquilada es infraestructura bajo tu login de root donde cada afirmación es verificable. Responden a problemas distintos, y la comparación honesta se hace por caso de uso, no por línea de factura.

Lo que cuesta una salida compartida en reputación

Las salidas compartidas cargan con el historial de comportamiento de todos los que las usan, y los sistemas de reputación lo notan. Cuando cientos de inquilinos navegan desde una misma dirección, las plataformas de streaming la marcan, los bancos levantan muros de verificación o devuelven HTTP 403, y algunas APIs rechazan el rango directamente. Tu conducta puede ser intachable y la salida sigue sufriendo limitaciones: ese es el coste estructural de compartir una dirección con una multitud que no elegiste.

Una pasarela de un solo usuario invierte el modelo. La dirección solo la usas tú, su reputación es exclusivamente tuya, y los servicios que rechazan rangos VPN conocidos la tratan como lo que parece: un servidor corriente en un puerto sin límite de tráfico de 1 Gbps. Para portales bancarios, backends de tiendas y APIs del trabajo, esa es a menudo la diferencia entre que el servicio funcione y que te rechace con educada cortesía para siempre.

La reputación también se recupera de forma asimétrica. Una dirección compartida marcada solo se recupera cuando el proveedor la rota fuera del grupo, en su calendario y por sus razones; tu dirección dedicada se recupera en el momento en que cesa la conducta que motivó la marca, en el tuyo. Esa asimetría cambia cómo operas: limita el ritmo de tus propios trabajos masivos, mantén el correo fuera del tubo si no quieres pasarte horas depurando entregas, y la dirección permanece discreta. Para una dirección de internet, ser anodina es un activo que haces crecer al no darle nunca a nadie una razón para recordarla.

La contrapartida es pasar desapercibido entre la multitud. Una dirección en solitario usada las veinticuatro horas es en sí misma un patrón, mientras que las multitudes hacen que todos se parezcan; si el objetivo es no destacar entre muchos, las herramientas correctas son las salidas compartidas o el enrutamiento por circuitos .onion, no un VPS más grande. Una pasarela personal te da una identidad consistente, y la consistencia es justo lo contrario de lo que busca quien quiere camuflarse: sabe cuál de las dos cosas estás comprando.

Esperar que una sola herramienta haga ambos trabajos es el modo de fallo aquí: la identidad estable de una salida personal y el anonimato del rebaño. Son propiedades distintas, producidas por arquitecturas distintas, y confundirlas lleva a pagar por un VPS que no puede camuflarse y por una suscripción que no puede operar con el banco. Separa primero los casos de uso, asigna después una herramienta a cada uno, y la comparación deja de ser una discusión.

Dónde gana el servidor autoalojado

La privacidad frente a tu ISP o a la red del campus en el uso diario es el caso principal: el túnel cifrado saca tus consultas DNS y los metadatos de navegación de manos de un operador que monetiza ambos, y los lleva a una máquina donde el único lector eres tú. El modelo de amenazas real de la mayoría de la gente — privacidad frente a la red local y el proveedor, no frente a los Estados — queda cubierto por completo con ese único paso, y cuesta un servidor pequeño y quince minutos.

El segundo caso es una dirección estable y de un solo usuario para los servicios que marcan los rangos compartidos: portales bancarios, APIs del trabajo, backends de tiendas y todo lo demás que trata las IP de multitud como culpables hasta demostrar su inocencia. El tercero es el enrutamiento sitio a sitio hacia tu propio equipo — un homelab, un NAS, recursos de oficina — que las suscripciones de consumo no pueden enrutar en absoluto, porque no hay ningún miembro de la flota sentado en tu rack. Cuando el enlace pasa a ser una pasarela de oficina con rendimiento real, alquila Forge a $49/mes de lista — $39.20 en el plazo anual — y deja que los núcleos completos y los 2 x 1 TB NVMe lo lleven.

El comportamiento de itinerancia de WireGuard se gana su fama en el uso diario: pares de claves por dispositivo más una línea PersistentKeepalive = 25 mantienen móviles y portátiles conectados a través de cambios de red sin la ceremonia de reconexión que ejecutan los protocolos más antiguos. Un par de claves por dispositivo, una línea AllowedIPs por dispositivo en el servidor, y la flota es exactamente tan grande como tu hogar: sin licencias por puesto, sin límites de dispositivos, sin pantallas de venta adicional.

La trampa: enrutar todo por defecto — enviar 0.0.0.0/0 por una pasarela que se convierte así en un único punto de fallo para la conectividad de todo el hogar. El túnel dividido, que enruta solo rangos privados o destinos elegidos, mantiene a todos conectados mientras el host de salida se reinicia. Decide dispositivo por dispositivo qué necesita de verdad el túnel cifrado; el enrutamiento total es un valor por defecto, no una decisión.

Dónde sigue ganando la suscripción

Las acrobacias de región para streaming siguen siendo el terreno natural de la suscripción. Los grupos comerciales mantienen catálogos de direcciones que las plataformas toleran o bloquean a granel, y refrescar esos catálogos contra la detección es el trabajo a tiempo completo del proveedor, no el tuyo. Una pasarela autoalojada en una dirección de centro de datos se verá como lo que es, y los catálogos con geobloqueo tratan en consecuencia las direcciones clasificadas como hosting — que es el desenlace honesto y esperado.

Los viajes merecen su propia dosis de honestidad. Las redes de hoteles y aeropuertos van de curiosas a abiertamente hostiles, y una app de suscripción que conecta con un toque desde un sistema operativo desconocido gana ahí precisamente su cuota. Un cliente WireGuard también funciona desde la carretera, pero asume que el mapa vive en tu cabeza: archivos de perfil, copias de las claves, un plan para cuando la importación falle en el portal cautivo de algún televisor de hotel. Prepara ambos y elige en el momento; la comparación deja de ser ideológica. Los debates sobre herramientas se resuelven mal en salas de espera de aeropuertos, mientras que la redundancia los resuelve bien.

Camuflarse en la multitud es la segunda victoria legítima. Desaparecer entre una multitud de inquilinos hace que tu tráfico se parezca al de todos los demás, mientras que una dirección en solitario usada a diario es un patrón consistente y atribuible. Para el objetivo concreto de no destacar entre muchos, una salida compartida o el enrutamiento hacia servicios .onion es la arquitectura correcta, y ningún tamaño de VPS sustituye al propio rebaño.

El tercer caso es purismo pragmático: la app comercial gestiona puntos de acceso, actualizaciones e integración móvil con cero administración, hasta en detalles como mantener 1420 como MTU del enlace en redes móviles inestables. Esa comodidad es real y a menudo vale la cuota para la capa de streaming. Para el tráfico sensible a tu identidad — banca, trabajo, paneles de administración — mantén la vía autoalojada; ambas coexisten en el mismo portátil sin conflicto.

Invertir el error de la sección anterior es el riesgo aquí: esperar que la suscripción sea privada en lugar de cómoda. Su arquitectura es una caja intermedia compartida y de confianza con un documento de políticas, y eso está bien para los trabajos donde un documento de políticas basta. Úsala para esos, mantén lo sensible en la máquina de la que eres root, y deja de pedirle a cada herramienta el trabajo de la otra.

El túnel de quince minutos

El ciclo de configuración de WireGuard cabe en una pausa café. Pide la máquina, entra con claves SSH, instala las herramientas de wireguard, sigue los pocos comandos de la guía de inicio rápido y activa el reenvío con net.ipv4.ip_forward=1 mediante sysctl. Genera un par de claves por cliente con wg genkey y wg pubkey, escribe /etc/wireguard/wg0.conf y levanta la interfaz con wg-quick up wg0.

Presupuesta el cuarto de hora con honestidad y el ejercicio enseña la lección correcta: dos minutos van a pedir el servidor, tres al primer login, y los diez restantes a las claves, el reenvío y el archivo de configuración. Nada de la secuencia exige estudio previo de redes; la guía rápida asume un lector capaz de editar un archivo y reiniciar un servicio, nada más profundo. Si el primer intento se atasca cerca del final, las notas de depuración de más abajo nombran a los dos sospechosos habituales. Planea una segunda pasada una semana después — reconstruir todo desde cero, sin apuntes, es lo que convierte una receta en una habilidad.

El archivo de configuración es el producto entero: una Address para la red interna del enlace, un ListenPort en 51820/udp por convención, la clave privada y un bloque [Peer] por cliente con su clave pública y sus AllowedIPs. Las configuraciones de cliente reflejan los mismos campos a la inversa. El manual de ip(8) de Linux explica las líneas de reenvío y NAT si te resultan nuevas, y la página de instalación cubre las herramientas en cualquier plataforma que puedas traer.

Pon la pasarela en Core a $6/mes de lista — $4.80 en el plazo anual — y el argumento del hardware termina ahí: 2 vCPU y 4 GB de DDR5 cifran mucho más de lo que genera un hogar, el ancho de banda no tiene límite y el techo es el puerto de 1 Gbps, no cuota alguna. El aprovisionamiento llega alrededor de un minuto después de que la factura se acredite, por eso el cálculo del cuarto de hora incluye el propio paso de pedir el servidor.

El fallo clásico del primer arranque es un cortafuegos que nunca abrió 51820/udp, diagnosticado como WireGuard roto cuando el enlace simplemente no puede recibir un handshake. El segundo clásico es olvidar las reglas de reenvío y NAT, donde los handshakes tienen éxito pero no fluye tráfico alguno. Prueba en ese orden — puerto primero, reenvío después — y el ciclo se cierra en minutos en lugar de devorarte una tarde.

Repartir claves entre amigos

Compartir la pasarela es trivial a nivel técnico — generas y entregas pares de claves — y convierte un enlace privado en una pequeña red de confianza. El tráfico de cada peer sale por tu dirección, lo que convierte su conducta en tu exposición ante la AUP (política de uso aceptable): el abuso de un peer se lee como tuyo en el canal de abusos. Entrega claves como prestarías un coche: a personas de cuya conducción puedas responder sin inmutarte.

La escala trae su propia aritmética. Cada peer adicional multiplica la superficie de revocación, y a partir de un puñado de usuarios la lista de bloques nombrados merece el mismo trato que cualquier configuración de producción: control de versiones, un comentario por entrada, una pasada de poda trimestral. Los hogares rara vez necesitan ese formalismo; los grupos de estudio y los equipos pequeños crecen hacia él en un año. Decide a los cinco peers qué tipo de operador eres, porque los hábitos que funcionan con cuatro personas fallan en silencio con catorce, normalmente la semana en que todos están de viaje.

La higiene operativa es modesta. Un par de claves por persona, bloques [Peer] con nombre en wg0.conf, y el hábito de revocar — borrar el bloque y aplicarlo con wg syncconf — en el momento en que se pierde un dispositivo o termina un acuerdo. Como cada peer tiene claves distintas, los volúmenes de tráfico entre tus usuarios son visibles para ti en las estadísticas de la interfaz, que es suficiente para notar cuando el patrón de uso de alguien deja de parecerse al suyo.

Una pasarela familiar compartida también centraliza el fallo: cuando la máquina cae, el túnel cifrado de todos cae con ella. Eso es aceptable a escala de hogar y merece una nota de mantenimiento a escala de equipo. Las reglas de uso aceptable son breves y legibles — tráfico de ataque, spam, phishing y cosas peores están prohibidas exactamente igual que en cualquier otro servicio — y la página de la AUP es el contrato que cada peer hereda cuando le entregas una clave, la lea o no.

El error cardinal es la distribución anónima de claves: publicar una configuración en un chat de grupo convierte tu dirección en una VPN pública y tu cuenta en la responsable. Los peers a los que no puedes poner nombre son peers por los que no puedes responder, y el proceso de abusos responderá en tu lugar. Entrega claves con nombre adjunto, mantén la lista al día, y la red de confianza se queda exactamente tan pequeña como pretendías.

Ubicación del punto de salida: primero latencia, segundo legislación

Para un enlace personal, la latencia es toda la experiencia de usuario: cada carga de página monta el salto extra, y una salida lejana convierte una conexión rápida en una perezosa. Pon la máquina cerca de ti. Un único precio de lista cubre las doce ubicaciones salvo las primas publicadas — Islandia y Noruega a +20%, Suiza a +35%, Luxemburgo a +15% — así que elegir la ciudad más cercana no cuesta nada extra y se amortiza en cada petición.

Mide en lugar de suponer: una sonda de un minuto desde tu red habitual hasta cada candidata — un simple ping, repetido a las horas en que realmente navegas — supera cualquier mapa de cables submarinos. La congestión vespertina de tu última milla suele importar más que la fibra transatlántica, y los números lo mostrarán. Presupuesta unos treinta milisegundos por cada mil kilómetros como suelo, añade suerte de peering, y trata cualquier cosa por debajo de cuarenta como indistinguible en el uso diario. La mejor ubicación es con frecuencia la segunda más famosa, un escalón por debajo de la ciudad titular, al mismo coste.

La jurisdicción entra cuando la salida hace además de host de un servicio: cuando la misma dirección lleva un relay de correo, un sitio web o una API, o cuando el entorno legal importa en tu modelo de amenazas. La guía que elige primero la jurisdicción ordena esa decisión, el explicador de los 14 Eyes cubre el lenguaje corto del intercambio de inteligencia, y la guía offshore traza el panorama más amplio de banderas y leyes para cargas con verdadera sensibilidad legal.

El doble stack ayuda en silencio aquí. Cada VPS incluye una dirección IPv4 más una /64 de IPv6, y WireGuard lleva ambas familias por el mismo enlace sin configuración adicional. Las pasarelas en ubicaciones con buen peering — Ámsterdam en AMS-IX, Fráncfort en DE-CIX — mantienen el salto extra casi invisible para la mayoría de los usuarios europeos, que es exactamente lo que debe sentirse un túnel del que te olvidas.

El camino equivocado es elegir la salida por folclore jurisdiccional y sufrir después los tiempos de ida y vuelta cada día. La ley importa para lo que la máquina es; para lo que hace con tu navegación, la física vota primero y resulta votar unánime. Elige con criterio — la ubicación más cercana para un túnel puro, la consciente de la ley cuando el relay sirva a más cosas — y anota qué razonamiento usaste.

Pagar la factura sin tarjeta

El pago es solo con cripto, en diecinueve monedas: BTC y XMR encabezan, les siguen ETH, SOL, LTC, BNB y TRX, luego XRP, DOGE, DASH y ADA, GRAM para los raíles cercanos a Telegram, y USDT en siete redes — TRC-20, ERC-20, BEP-20, SPL, Polygon, Arbitrum, Optimism. La factura convierte al tipo de cambio en vivo, y la opción anual aplica su descuento del veinte por ciento al total en USD antes de la conversión, lo que hace de USDT el caso estable en dólares.

Las notas prácticas de pago le ahorran disgustos al primerizo: envía el importe exacto, una sola vez, desde una cartera que controlas — los retiros de exchanges con comisiones recortadas llegan infrapagados y se quedan en revisión. Ten presente la ventana de validez de la cotización, porque las facturas a tipo en vivo caducan y una difusión lenta puede significar pagar dos veces. Los tiempos de confirmación varían según la moneda y la congestión de la red, de segundos a la mayor parte de una hora; el reloj del aprovisionamiento arranca con el crédito, no con tu difusión. Nada de esto es difícil, pero cada paso tiene una primera vez, y la primera vez es cuando estas notas demuestran su valor.

La identidad se queda en forma de credenciales: el registro es un token o un email más una contraseña de 12 caracteres, sin pasaporte, teléfono ni tarjeta en ningún punto del flujo. La guía de compra con cripto recorre el pago de principio a fin, la guía de Monero (XMR) cubre el corredor más discreto, la guía de USDT el estable, y la FAQ de VPS con cripto responde las preguntas de facturación que más surgen.

Para un enlace que piensas conservar, la opción anual es la elección aburrida pero correcta: una factura por doce meses, sin cargos automáticos, y el mismo descuento tanto si la máquina es un VPS como si es metal dedicado. La guía de pago con datos mínimos documenta qué contiene y qué no contiene el archivo de la cuenta, y la guía de pago con Bitcoin (BTC) cubre el corredor más legible para quien prefiera lo simple y predecible.

Asumir que la privacidad del pago sustituye a la higiene de la cuenta es donde se tuercen las conversaciones de facturación. La moneda decide lo que dice el libro mayor público, mientras que el pago decide lo que dice el archivo del proveedor, y son dos superficies distintas con guías distintas — la guía de anonimato las mapea como corresponde. Elige el raíl por el libro mayor, mantén la cuenta en forma de credenciales, y ninguna superficie sorprenderá a la otra.

El túnel WireGuard, en el orden de ejecución

Ejecuta el montaje en este orden y cada paso validará el anterior. Primero, separa los casos de uso: qué circula por tu pasarela cada día, y qué — si algo — se queda en una app de suscripción para catálogos de streaming y camuflaje en la multitud. Segundo, elige la ubicación: la más cercana por latencia, o por ley si la salida llevará además correo o un sitio web. Tercero, pide la máquina y entra con claves SSH, nunca con contraseñas.

Cuarto, instala las herramientas de wireguard y genera el par de claves del servidor; activa net.ipv4.ip_forward=1 y la regla NAT que enmascara el tráfico del enlace por la interfaz pública. Quinto, escribe /etc/wireguard/wg0.conf con un bloque peer por cliente y levanta la interfaz con wg-quick up wg0. Sexto, abre 51820/udp en el cortafuegos y confirma un handshake real desde un dispositivo fuera de tu propia red.

Séptimo, distribuye configuraciones de cliente, una por dispositivo, con AllowedIPs de túnel dividido salvo que de verdad quieras enrutar todo el tráfico por la salida. Octavo, documenta la lista de peers y el procedimiento de revocación — borrar el bloque, recargar — para que dar de baja un portátil perdido sea un trabajo de diez segundos y no un incidente. Noveno, programa el mantenimiento aburrido: actualizaciones de paquetes, un ensayo de restauración por trimestre, una comprobación mensual de que la pasarela sigue respondiendo.

Décimo, y lo menos glorioso: escribe el plan de retroceso. Un enlace del que todos dependen necesita una forma documentada de decir que no — qué línea del cortafuegos lo desactiva, qué cambio de DNS mueve el tráfico fuera de él, a quién se avisa. Los hogares lo saltan hasta la primera actualización mala, los equipos lo saltan hasta la primera caída, y ambos se arrepienten del mismo párrafo omitido. Diez minutos con un archivo de texto, revisados tras cada cambio, mantienen la salida como un activo en lugar de un punto único de fallo sin interruptor de apagado.

Mantenido en ese orden, el montaje sigue siendo un proyecto de quince minutos con años de operación silenciosa a sus espaldas. La pasarela hace exactamente un trabajo — llevar tus paquetes — y cada decisión anterior existe para mantener ese trabajo pequeño, inspeccionable y tuyo. Cuando los casos de uso cambien, vuelve a recorrer el orden desde arriba; los pasos son baratos la segunda vez. Ese es todo el argumento a favor de ser dueño de la salida: el trabajo cabe en tu cabeza.