Cómo usar un archivo de configuración de WireGuard

Qué hay dentro de un archivo .conf, línea por línea

Toda configuración de WireGuard tiene la misma estructura en dos partes. [Interface] describe tu extremo del túnel; [Peer] describe la máquina a la que te conectas. Aquí tienes una configuración de cliente completa con los secretos sustituidos por marcadores:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

El bloque [Interface]: tu lado

• PrivateKey: esta es tu identidad en la VPN. Quien la tenga puede hacerse pasar por ti. Son 44 caracteres base64 que terminan en =; si la tuya tiene otra longitud, el archivo se cortó en algún momento al copiarlo.
• Address: la IP que tiene tu dispositivo dentro del túnel, no tu IP pública. El /32 significa «solo esta dirección», lo normal en un cliente.
• DNS: el resolvedor que se usa mientras el túnel está activo. Sin él, tu dispositivo sigue preguntando a tu resolvedor anterior, lo que filtra lo que buscas y, a menudo, impide resolver nada del otro lado.
• MTU: opcional, y la línea más útil de conocer. Falta en la mayoría de los archivos porque el valor por defecto es el correcto; consulta la sección de solución de problemas para el caso en que no lo es.

El bloque [Peer]: el lado del servidor

• PublicKey: la clave pública del servidor. La tuya nunca aparece en tu propio archivo; la guarda el servidor.
• Endpoint: adónde enviar los paquetes, en formato host:port. WireGuard funciona solo por UDP, y 51820 es el puerto habitual, no uno obligatorio.
• AllowedIPs: qué destinos pasan por el túnel. 0.0.0.0/0, ::/0 significa todo, que es para lo que sirve una VPN de privacidad. Una lista más reducida (por ejemplo, solo el rango interno de tu empresa) envía únicamente eso por el túnel y deja el resto en tu conexión normal. Esa configuración se llama túnel dividido (split tunnel), y es una elección deliberada, no un túnel completo roto.
• PersistentKeepalive: envía un paquete pequeño cada 25 segundos para que el dispositivo NAT entre tú y el servidor mantenga abierto el camino de vuelta. Es necesario siempre que estés detrás de un NAT, y en un móvil o en una conexión doméstica siempre lo estás.

Windows: importar el túnel

Windows tiene una app oficial de WireGuard, y todo el trabajo consiste en importar un archivo en ella.

1. Instala WireGuard desde wireguard.com/install.
2. Haz clic en Agregar túnel abajo a la izquierda; se abre un selector de archivos filtrado por Archivos de configuración (*.zip, *.conf). Elige tu .conf y aparecerá en la lista de túneles con el nombre del archivo.
3. O pégalo directamente. La flecha junto a Agregar túnel ofrece Agregar túnel vacío…, que te da un cuadro de texto: útil cuando la configuración te llegó en un mensaje y no como archivo. Viene con una clave privada nueva ya rellenada, así que borra esa línea y pega tu propia configuración encima.
4. Haz clic en Activar. El estado cambia a Activo y el panel empieza a contar los bytes transferidos. Ese contador es la comprobación más rápida que tienes: si muestra datos que salen y nada que vuelve, tu handshake no se está completando.

Android e iPhone: escanear el código QR o importar el archivo

En un móvil tienes dos formas de hacerlo, y el código QR existe precisamente porque escribir una clave de 44 caracteres en una pantalla táctil es un suplicio.

Android

1. Instala WireGuard desde Play Store y toca el botón +.
2. La pantalla Crear túnel WireGuard ofrece Escanear desde código QR, Importar desde archivo y crear uno desde cero. Elige la opción que corresponda a lo que te dieron.
3. Ponle un nombre al túnel si te lo pide y activa su interruptor. Android pide una vez permiso para añadir una configuración VPN: ese aviso es del sistema operativo, no de la app.

iPhone y iPad

1. Instala WireGuard desde App Store y toca Agregar un túnel.
2. En Añadir un nuevo túnel WireGuard, elige Crear desde código QR o Crear desde archivo. La pantalla del escáner se titula Escanear código QR; tras un escaneo correcto te pide que le pongas nombre al túnel.
3. Actívalo y permite la configuración VPN cuando iOS te lo pida.

Crear un código QR a partir de un archivo de configuración que ya tienes

El código QR no es algo que el proveedor tenga que darte: es solo tu archivo de configuración dibujado como imagen, y puedes generarlo tú mismo con un comando. La propia app de WireGuard lo sugiere:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

En Debian o Ubuntu, qrencode se instala con apt install qrencode; en macOS, con brew install qrencode.

macOS y Linux

macOS

Instala WireGuard desde la Mac App Store. La app de Mac no es la del iPhone en una pantalla más grande: vive en la barra de menús, y su ventana se abre desde Gestionar túneles. Haz clic en Importar túnel(es) desde archivo (la barra de menús tiene lo mismo como Importar túnel(es) desde archivo), elige tu .conf, selecciona el túnel y haz clic en Activo. En el Mac no hay escáner de QR (los códigos QR son para móviles), así que usa el propio archivo, o elige Add Empty Tunnel… y pega la configuración.

Si prefieres trabajar en un terminal, brew install wireguard-tools te da los mismos comandos wg-quick que en Linux, descritos a continuación.

Linux

1. Instala las herramientas. En Debian o Ubuntu: sudo apt install wireguard. La mayoría de las distribuciones tienen un paquete con el mismo nombre.
2. Coloca el archivo donde lo busca wg-quick. Este es el paso en el que la gente se equivoca, porque el nombre del archivo se convierte en el nombre de la interfaz:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   El 600 importa: el archivo contiene tu clave privada y no debería poder leerlo ningún otro usuario de la máquina. Usa un nombre corto y sencillo; tiene que ser un nombre de interfaz de red válido.
3. Levántalo:

   sudo wg-quick up wg0
   sudo wg show

   wg show es el comando que vale la pena recordar. Muestra el peer, el endpoint, una línea latest handshake y los contadores de transferencia. Si esa marca de tiempo del handshake nunca aparece, estás ante el problema de la siguiente sección.
4. Arranque automático: sudo systemctl enable --now wg-quick@wg0. Para detener el túnel manualmente, sudo wg-quick down wg0.

En el router, para cubrir toda la casa

Poner el túnel en el router cubre todos los dispositivos que hay detrás, incluidos los que no pueden ejecutar ninguna app de VPN: una consola, un televisor, un altavoz inteligente. Que puedas hacerlo depende por completo del firmware.

Si tu router es el aparato que te dio la compañía de internet, las opciones realistas son poner detrás un router que controles tú o seguir usando configuraciones por dispositivo. Ninguna de las dos es un fracaso; la configuración por dispositivo suele ser incluso mejor, porque puedes dejar el túnel apagado en los dispositivos que no lo necesitan.

Algo que conviene decidir antes de pasar toda la casa por un túnel: a partir de entonces pasa todo por él. Las webs de bancos que desconfían de direcciones extranjeras, los servicios de streaming que comprueban tu región y cualquier cosa que hable con dispositivos de tu propia red pueden comportarse de otra manera. Aquí es donde un AllowedIPs más reducido demuestra su valor: envía solo lo que tiene que ir y deja el resto como está.

Conecta pero no carga nada, y otros problemas reales

WireGuard es inusualmente silencioso cuando falla, y es una decisión de diseño deliberada: un paquete no autenticado no recibe ninguna respuesta, así que un escáner no puede saber si hay algo escuchando. El efecto secundario es que una clave equivocada, un puerto equivocado y una red bloqueada se ven idénticos desde tu lado: silencio. Parte del síntoma.

«Handshake did not complete»

Tu dispositivo envió un paquete de inicio y no recibió nada de vuelta. Comprueba, en este orden:

• El endpoint. Host correcto, puerto correcto y que el puerto sea UDP. Una errata aquí produce exactamente este síntoma y ningún otro.
• Que el UDP llegue al exterior. El wifi de invitados, las redes de hoteles, algunas redes corporativas y unos pocos operadores móviles solo permiten TCP en los puertos habituales. Si la misma configuración funciona en tu conexión de casa y falla en una red concreta, la configuración está bien y el problema es la red.
• Que las claves estén en su sitio. La PublicKey de [Peer] es la clave pública del servidor, y el servidor debe tener, por su parte, la clave pública que corresponde a tu PrivateKey. Una configuración copiada de otro dispositivo falla aquí.
• Tu reloj. El handshake de WireGuard incluye una marca de tiempo y rechaza las que están muy desfasadas. Es raro, pero pasa en dispositivos que han perdido la hora.

Si el túnel funciona desde casa pero nunca desde una conexión móvil, la causa puede estar del lado de tu operador y no del tuyo: el CGNAT y soluciones parecidas cambian lo que puede llegar hasta ti. La guía de apertura de puertos explica cómo identificarlo desde tu propio router en un par de minutos.

El problema del MTU, que vale la pena entender una vez

Este es el caso clásico de «conectado pero internet no funciona», y el patrón es inconfundible: el ping funciona, el DNS funciona, las páginas pequeñas cargan y cualquier cosa de cierto tamaño se queda colgada para siempre.

La causa es el tamaño. Encapsular tu tráfico para el túnel añade cabeceras, así que un paquete que encajaba justo en tu conexión normal ya no cabe una vez dentro de WireGuard. Los paquetes pequeños pasan sin problema; los grandes se descartan. Normalmente la red avisa al emisor de que use paquetes más pequeños, pero el mensaje que lo hace suele estar filtrado, así que en lugar de un error simplemente te quedas esperando.

La solución es decirle a WireGuard que use paquetes más pequeños desde el principio. wg-quick ya lo intenta: toma el MTU de tu ruta normal y le resta 80 bytes por la sobrecarga del túnel, así que en una conexión corriente de 1500 bytes obtienes 1420. Cuando eso sigue siendo demasiado (algunas redes móviles, la mayoría de las conexiones que ya van sobre otro túnel), fíjalo explícitamente y ve bajando:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 es el mínimo que merece la pena probar, porque es el tamaño de paquete más pequeño que IPv6 exige que todo transporte, así que sobrevive prácticamente a cualquier ruta. Cuesta un poco de eficiencia y es muchísimo mejor que un túnel que se cuelga.

El túnel está activo pero no pasa nada por él

Revisa primero AllowedIPs. No es un cortafuegos ni una lista de permisos: decide qué destinos se enrutan hacia el túnel. Si no incluye 0.0.0.0/0, el tráfico hacia el resto de internet nunca estuvo pensado para pasar por él, y tu conexión se comporta exactamente como está configurada. En Linux, ip route show table all | grep wg0 muestra lo que realmente se ha enrutado.

Si el enrutamiento es correcto y lo que pasa es que los nombres no se resuelven, es la línea DNS: o falta, o está pero no se aplica porque resolvconf no está instalado.

De dónde sale el archivo de configuración

Todo lo anterior da por hecho que tienes un archivo. Hay exactamente dos formas de conseguirlo.

Montar tú mismo el servidor

Generas un par de claves, instalas WireGuard en una máquina con dirección pública, añades tu dispositivo como peer y escribes a mano la configuración del cliente. No es difícil y es algo que de verdad vale la pena aprender. Lo que cuesta es continuo: un servidor que pagar y mantener actualizado, y una edición manual en ambos extremos cada vez que añades un dispositivo, porque, recuerda, un peer es un dispositivo.

Obtenerlo de un proveedor

La alternativa es que el archivo se genere por ti y tú solo lo descargues. Con HytHost VPN, desde €0.99/mes, está aquí:

1. Contrata el servicio e inicia sesión en el área de cliente, y abre tu servicio VPN en la lista.
2. Busca la sección WireGuard Configuration. Tiene dos botones: Copy to Clipboard, que copia el texto de la configuración al portapapeles, y Download Configuration, que te entrega el archivo ya listo.
3. Si lo copiaste, pégalo en un editor de texto plano y guárdalo con la extensión .conf; wg0.conf es un buen nombre. Asegúrate de que el editor no haya añadido .txt al final.
4. Impórtalo siguiendo la sección de arriba correspondiente a tu dispositivo. En un móvil, conviértelo antes en código QR con qrencode.

La misma página muestra si el túnel está conectado al servidor en ese momento, lo que resuelve la duda de «¿es cosa mía o de ellos?» antes de empezar a cambiar ajustes. No hay botón de código QR: genéralo tú mismo a partir del archivo, lo que además significa que el código nunca viaja a ningún sitio al que no tuviera que ir.