Configura Wireguard en tu teléfono: Accede a todo desde cualquier lugar

WireGuard no es solo para unir dos servidores: es la opción más ligera, rápida y auditable para llevar tu infraestructura contigo en el teléfono. Cuando lo configuras correctamente, accedes a tus servicios internos, bases de datos, NAS y dashboards desde cualquier red móvil sin abrir puertos al público ni depender de proveedores SaaS. Esta guía recorre el flujo completo: preparar el servidor, generar las claves, exportar el archivo para Android o iOS y verificar que el túnel cifrado funciona antes de salir de tu red.

Por qué WireGuard en tu teléfono y no otra opción

El teléfono rara vez usa la misma red Wi-Fi que tu servidor durante más de unas horas al día. Si necesitas llegar a una base de datos, al panel de Home Assistant o al syncthing de tu NAS, las opciones comerciales como Tailscale, ZeroTier o NetBird resuelven el problema con menos fricción, pero añaden un servidor de coordinación externo y términos de servicio que cambian sin avisar. WireGuard puro deja el control 100% en tu servidor: tú decides quién se conecta, con qué clave y durante cuánto tiempo.

La otra ventaja es técnica. El código de WireGuard ocupa menos de 4.000 líneas y está auditado por Academia y empresa desde su inclusión en el kernel Linux 5.6 en marzo de 2020. El handshake inicial apenas transmite 1.400 bytes, así que en redes móviles con pérdida de paquetes entabla conexión rápido y reanuda sin renegociar cuando cambias de LTE a Wi-Fi. Para una Raspberry Pi, una nube en Hetzner o un homelab con IP pública, levantar el servidor lleva menos de diez minutos.

Lo que necesitas antes de empezar

El servidor debe ser una máquina Linux con una IP pública fija o casi fija (Hetzner, OVH, DigitalOcean, una conexión de fibra en casa con DDNS, o una VPS de bajo costo). La distribución puede ser Debian 12+, Ubuntu 22.04+, Fedora 40+ o RHEL 9+; el módulo wireguard ya viene incluido en el kernel. El teléfono puede ser Android 8+ o iOS 12+; las apps oficiales son de código abierto y se descargan desde Google Play, App Store o F-Droid.

Antes de continuar confirma tres cosas: que tienes acceso root en el servidor (o capacidad sudo), que el puerto UDP 51820 está libre y que tu proveedor de Internet no bloquea ese puerto (algunos carriers corporativos sí; las redes domésticas rara vez lo hacen). Si tu servidor está detrás de un NAT, redirige ese puerto UDP en el router hacia la IP privada del servidor. Más adelante verás qué abrir y qué no.

Generar claves pública y privada

WireGuard usa criptografía de curva elíptica Curve25519 para los pares de claves. Generar el par en el servidor es directo con wg genkey y wg pubkey. Crea un directorio dedicado para que los archivos no se mezclen con otras configuraciones.

# En el servidor como root
mkdir -p /etc/wireguard/clients
cd /etc/wireguard
# Clave privada del servidor (guardar de forma segura)
wg genkey | tee server_private.key | wg pubkey > server_public.key
chmod 600 server_private.key
ls -l server_private.key server_public.key

El comando wg genkey produce 44 caracteres base64; wg pubkey deriva la pública a partir de la privada. La clave privada NUNCA debe salir del servidor. Si la publicas por error, regenera el par completo y reaplica las configuraciones de los clientes. La pública se comparte con cada peer: el teléfono guarda la pública del servidor y el servidor guarda la pública del teléfono.

Si tu distribución no trae wg (Fedora, RHEL, algunos contenedores), instala el paquete wireguard-tools. En Debian/Ubuntu ya viene con wireguard. El módulo del kernel se compila bajo demanda la primera vez; si no carga, ejecuta modprobe wireguard y verifica con lsmod | grep wireguard.

Levantar la interfaz wg0 en el servidor

Crea el archivo /etc/wireguard/wg0.conf con los parámetros del túnel: dirección IP de la interfaz virtual, puerto de escucha y la clave privada. Más abajo añadirás los peers (el teléfono) en el mismo archivo.

cat > /etc/wireguard/wg0.conf <<'EOF'
[Interface]
Address = 10.10.0.1/24
ListenPort = 51820
PrivateKey = $(cat /etc/wireguard/server_private.key)
PostUp = nft -f /etc/wireguard/nftables.conf
PostDown = nft delete table inet wireguard
EOF
chmod 600 /etc/wireguard/wg0.conf

La dirección 10.10.0.1/24 es la IP del servidor dentro del túnel; los clientes recibirán direcciones del rango 10.10.0.0/24. PostUp y PostDown aplican reglas de firewall cuando la interfaz sube o baja; las verás en la siguiente sección. Para arrancar la interfaz manualmente usa wg-quick up wg0; para dejarlo persistente entre reinicios, habilita el servicio systemd systemctl enable --now [email protected].

Habilitar reenvío IP y NAT

Para que el teléfono llegue a tu red interna, el servidor necesita reenviar tráfico entre la interfaz wg0 y la interfaz WAN (eth0, ens3 o similar). Sin reenvío IP los paquetes llegan al servidor pero no salen. Sin NAT, los hosts internos no saben a quién responder.

Primero, activa el reenvío IP en el kernel de forma persistente:

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.d/99-wireguard.conf
sysctl -p /etc/sysctl.d/99-wireguard.conf
sysctl net.ipv4.ip_forward

El valor debe devolver 1. Si tu servidor usa nftables, crea /etc/wireguard/nftables.conf con la regla de NAT. La tabla detecta la interfaz WAN automáticamente y la renombra al cargarse, así que el archivo es portable.

cat > /etc/wireguard/nftables.conf <<'EOF'
table inet wireguard {
    chain prerouting {
        type nat hook prerouting priority 0; policy accept;
    }
    chain postrouting {
        type nat hook postrouting priority 100; policy accept;
        oifname "eth0" ip saddr 10.10.0.0/24 masquerade
        oifname "ens3" ip saddr 10.10.0.0/24 masquerade
        oifname "enp0s3" ip saddr 10.10.0.0/24 masquerade
    }
}
EOF

Si usas iptables clásico, la regla equivalente es iptables -t nat -A POSTROUTING -s 10.10.0.0/24 -o eth0 -j MASQUERADE. Verifica con iptables -t nat -L POSTROUTING -n -v que aparece aplicada. En hosts con firewalld (Fedora, RHEL) necesitas firewall-cmd --permanent --zone=public --add-masquerade antes del reload.

Crear la configuración para el teléfono

Cada cliente necesita su propio par de claves y un archivo .conf que se importa en la app oficial. Genera el par del teléfono en un paso, añade el peer al servidor y construye el archivo del cliente.

# Par de claves del teléfono
wg genkey | tee client1_private.key | wg pubkey > client1_public.key
chmod 600 client1_private.key
# Datos que iran en el .conf del telefono
CLIENT_PRIV=$(cat client1_private.key)
CLIENT_PUB=$(cat client1_public.key)
SERVER_PUB=$(cat server_public.key)

Ahora añade el peer del teléfono al wg0.conf del servidor. Edita el archivo y agrega el bloque [Peer] justo debajo del bloque [Interface] existente.

cat >> /etc/wireguard/wg0.conf <

cat > /tmp/phone1.conf <

# En el servidor
wg show