Antes de abrir puertos, conviene tener claro qué es cada pieza y por qué la VPN no puede ir detrás de Nginx como el resto de aplicaciones.

El 51820/UDP tiene que pasar las dos capas de cortafuegos de la Guía 01: la de IONOS y UFW.

2.1 · En IONOS

En el panel de IONOS: Red → Políticas de firewall → la política de tu servidor → Añadir regla: protocolo UDP, puerto 51820, origen cualquiera, descripción WireGuard. Guarda.

2.2 · En UFW

sudo ufw allow 51820/udp comment 'WireGuard'
sudo ufw status numbered

El panel tendrá su subdominio con HTTPS, con el mismo procedimiento de las guías anteriores.

En el DNS de IONOS, un registro A: nombre de host vpn, apunta a TU_IP. Comprueba con Resolve-DnsName vpn.TU_DOMINIO -Server 1.1.1.1 desde tu PC. Después, el sitio HTTP mínimo y el certificado:

sudo tee /etc/nginx/sites-available/vpn.TU_DOMINIO > /dev/null <<'EOF'
server {
    listen 80;
    listen [::]:80;
    server_name vpn.TU_DOMINIO;

    location ^~ /.well-known/acme-challenge/ {
        root /var/www/letsencrypt;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}
EOF
sudo ln -s /etc/nginx/sites-available/vpn.TU_DOMINIO /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx
sudo certbot certonly --webroot -w /var/www/letsencrypt -d vpn.TU_DOMINIO --dry-run
sudo certbot certonly --webroot -w /var/www/letsencrypt -d vpn.TU_DOMINIO --cert-name vpn.TU_DOMINIO

Wg-easy trae un asistente web para crear el administrador, pero lo completa el primero que llegue, como el de WordPress.

4.1 · La versión

wg-easy no se publica en Docker Hub sino en GitHub (ghcr.io). Busca la última versión en github.com/wg-easy/wg-easy/releases: tendrá el formato 15.x.y. Apúntala como TU_VERSION_WGEASY. Esta guía está escrita para la serie 15; si la versión más reciente empieza por otro número, lee antes sus notas de cambios.

4.2 · La contraseña del panel

openssl rand -base64 24

Genera una contraseña larga. Guárdala en tu gestor como TU_CLAVE_VPN, junto con el usuario que elijas (TU_USUARIO_VPN, que no sea admin).

4.3 · La carpeta y el .env

mkdir -p /opt/apps/vpn/datos
umask 077
cat > /opt/apps/vpn/.env <<'EOF'
INIT_ENABLED=true
INIT_USERNAME=TU_USUARIO_VPN
INIT_PASSWORD=TU_CLAVE_VPN
INIT_HOST=vpn.TU_DOMINIO
INIT_PORT=51820
INIT_DNS=1.1.1.1,9.9.9.9
EOF
umask 022
ls -la /opt/apps/vpn

Parte del ejemplo oficial de wg-easy, con tres cambios para nuestro esquema: el panel solo en 127.0.0.1, sin IPv6 y con una red de Docker de dirección fija, que en la Parte B será la llave para entrar al servidor.

Créalo con nano /opt/apps/vpn/compose.yaml:

services:
  wg-easy:
    image: ghcr.io/wg-easy/wg-easy:TU_VERSION_WGEASY
    container_name: wg-easy
    restart: unless-stopped
    env_file: .env
    environment:
      - PORT=51821
      - HOST=0.0.0.0
      - INSECURE=false
      - DISABLE_IPV6=true
    volumes:
      - ./datos:/etc/wireguard
    ports:
      - "51820:51820/udp"
      - "127.0.0.1:51821:51821/tcp"
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
    networks:
      vpn:
        ipv4_address: 172.30.0.2

networks:
  vpn:
    ipam:
      config:
        - subnet: 172.30.0.0/24

Arrancamos, miramos el registro para confirmar que la configuración inicial se ha aplicado y comprobamos que WireGuard escucha.

cd /opt/apps/vpn
docker compose pull
docker compose up -d
docker compose ps
docker compose logs --tail 30

En el registro deben aparecer líneas indicando que se ha creado el usuario y que la interfaz wg0 está levantada. Después:

sudo ss -ulpn | grep 51820
sudo ss -tlpn | grep 51821
docker exec wg-easy wg show

UNCONN 0 0   0.0.0.0:51820   0.0.0.0:*   users:(("docker-proxy",...))
LISTEN 0 4096 127.0.0.1:51821 0.0.0.0:*  users:(("docker-proxy",...))
interface: wg0
  public key: AbC...=
  private key: (hidden)
  listening port: 51820

El sitio completo, con el mismo patrón de las guías anteriores.

sudo tee /etc/nginx/sites-available/vpn.TU_DOMINIO > /dev/null <<'EOF'
# HTTP: Let's Encrypt y redirección a HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name vpn.TU_DOMINIO;

    location ^~ /.well-known/acme-challenge/ {
        root /var/www/letsencrypt;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

# HTTPS: panel de wg-easy (contenedor en 127.0.0.1:51821)
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name vpn.TU_DOMINIO;

    ssl_certificate     /etc/letsencrypt/live/vpn.TU_DOMINIO/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/vpn.TU_DOMINIO/privkey.pem;
    include snippets/tls.conf;

    add_header Strict-Transport-Security "max-age=86400" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header X-Frame-Options "DENY" always;

    location / {
        proxy_pass http://127.0.0.1:51821;
        include snippets/proxy.conf;
    }

    access_log /var/log/nginx/vpn.access.log;
    error_log  /var/log/nginx/vpn.error.log;
}
EOF
sudo nginx -t && sudo systemctl reload nginx

Entramos al panel con el usuario de la configuración desatendida y, ya comprobado, borramos la contraseña del .env.

1. Abre https://vpn.TU_DOMINIO. Debe salir la página de inicio de sesión, no el asistente de instalación. Si sale el asistente, revisa el Anexo A antes de seguir.
2. Entra con TU_USUARIO_VPN y TU_CLAVE_VPN.
3. En los ajustes del panel (Admin Panel o el icono del engranaje, según la versión), comprueba que el host es vpn.TU_DOMINIO y el puerto 51820, y pon el idioma en español si está disponible.

Ahora, en el servidor, quita la contraseña del .env y desactiva la configuración inicial:

cd /opt/apps/vpn
sed -i '/^INIT_PASSWORD=/d; s/^INIT_ENABLED=true/INIT_ENABLED=false/' .env
cat .env
docker compose up -d

Cada dispositivo es un cliente con sus propias claves.

9.1 · Crear los clientes en el panel

1. En el panel, + Nuevo cliente (New Client).
2. Nombre: uno claro por dispositivo, por ejemplo pc-casa y movil. Nunca compartas un cliente entre dos dispositivos.
3. Créalos. Cada uno aparece en la lista con su IP (10.8.0.2, 10.8.0.3...).

9.2 · El PC con Windows

1. Descarga WireGuard para Windows desde la web oficial, wireguard.com/install, e instálalo.
2. En el panel, en el cliente pc-casa, pulsa el botón de descarga: baja un archivo .conf.
3. En WireGuard: Importar túnel(es) desde archivo → elige el .conf → Activar.
4. Borra el .conf de la carpeta de descargas: contiene la clave privada de ese dispositivo.

9.3 · El móvil

1. Instala la app oficial WireGuard (de WireGuard Development Team) desde Play Store o App Store.
2. En la app, + → Escanear desde código QR.
3. En el panel, en el cliente movil, pulsa el icono del código QR y escanéalo. Ponle un nombre y actívalo.

Conectar no es lo mismo que funcionar.

Con la VPN activada en el PC:

curl.exe -4 ifconfig.me
ping 10.8.0.1

En el servidor verás el túnel con datos:

docker exec wg-easy wg show

peer: XyZ...=
  endpoint: IP_DE_TU_CASA:54321
  allowed ips: 10.8.0.2/32
  latest handshake: 12 seconds ago
  transfer: 1.20 MiB received, 4.85 MiB sent

Desactiva la VPN y repite curl.exe -4 ifconfig.me: ahora debe salir la IP de tu casa. Prueba también en el móvil con los datos móviles, abriendo ifconfig.me en el navegador.

Para decir «solo desde la VPN» hay que saber con qué IP llegas al servidor cuando la usas.

Con la VPN activada, entra por SSH como siempre y pregunta al servidor desde dónde le hablas:

ssh lab
echo $SSH_CLIENT

172.30.0.2 51234 22

Por qué

1. Tu PC envía la conexión SSH por el túnel. Llega al contenedor de wg-easy.
2. El contenedor la reenvía hacia el servidor, pero cambiando la dirección de origen por la suya propia (172.30.0.2). Eso se llama NAT o enmascaramiento, y wg-easy lo hace siempre para que las respuestas vuelvan por el mismo camino.
3. El servidor ve llegar la conexión desde la red 172.30.0.0/24, por dentro, sin pasar por el firewall de IONOS.

Desactiva la VPN, vuelve a entrar y repite echo $SSH_CLIENT: ahora verás la IP de tu casa. Esa diferencia es todo lo que necesitamos: la red 172.30.0.0/24 significa «viene de la VPN».

A partir del paso 13, si la VPN deja de funcionar (el contenedor no arranca, una actualización, un error tuyo), no podrás entrar por SSH.

12.1 · Instantánea

En IONOS, crea una instantánea: 06-antes-de-cerrar-ssh. Si todo falla, vuelves a este punto exacto.

12.2 · La consola remota de IONOS

IONOS te deja usar el servidor como si tuvieras una pantalla y un teclado conectados, desde el navegador, sin pasar por la red. No depende ni de SSH ni de los cortafuegos. Pruébala ahora:

1. En el panel de IONOS, entra en tu servidor y busca Acciones → Consola remota (o «KVM»).
2. Se abre una pantalla negra con login:. Escribe tu usuario (TU_USUARIO) y la contraseña de tu usuario, la que pusiste en la Guía 01. Aquí sí se entra con contraseña: la regla de «solo claves» es solo para SSH.
3. Si entras, escribe exit y cierra la consola.

12.3 · Cómo se vuelve a abrir SSH desde la consola

Apúntalo junto a la contraseña del usuario. Si un día te quedas fuera, desde la consola remota:

sudo ufw allow OpenSSH comment 'SSH temporal'
sudo ufw status

Y en IONOS, vuelve a abrir el 22 en la política de firewall. Cuando lo arregles, deshaces los dos cambios.

Añadimos la regla nueva (SSH solo desde la red de la VPN), comprobamos que funciona con una ventana abierta de reserva, y solo entonces quitamos la regla antigua (SSH desde cualquier sitio).

13.1 · Añadir la regla nueva

Con la VPN activada y una sesión SSH abierta (esta será tu ventana de reserva: no la cierres hasta el final del paso):

sudo ufw allow from 172.30.0.0/24 to any port 22 proto tcp comment 'SSH por la VPN'
sudo ufw status numbered

Status: active
     To                         Action      From
     --                         ------      ----
[ 1] OpenSSH                    ALLOW IN    Anywhere                   # SSH
[ 2] 80/tcp                     ALLOW IN    Anywhere                   # HTTP
[ 3] 443/tcp                    ALLOW IN    Anywhere                   # HTTPS
[ 4] 51820/udp                  ALLOW IN    Anywhere                   # WireGuard
[ 5] 22/tcp                     ALLOW IN    172.30.0.0/24              # SSH por la VPN
[ 6] OpenSSH (v6)               ALLOW IN    Anywhere (v6)              # SSH
...

13.2 · Probarla con la VPN

Abre una segunda ventana de PowerShell, con la VPN activada, y entra:

ssh lab
echo $SSH_CLIENT

Debe entrar y mostrar 172.30.0.2. Esta conexión ya entra por la regla nueva. Sal con exit.

13.3 · Quitar la regla antigua

En la ventana de reserva, borra las reglas OpenSSH (la de IPv4 y la de IPv6). Usa los números de tu salida, empezando por el más alto: al borrar una regla, las siguientes cambian de número.

sudo ufw delete 6
sudo ufw delete 1
sudo ufw status numbered

13.4 · La prueba de verdad

Solo cuando las dos pruebas salgan bien, cierra la ventana de reserva.

Ahora todas tus conexiones SSH llegan desde la misma IP, la del contenedor (172.30.0.2).

sudo sed -i 's|^ignoreip = .*|& 172.30.0.0/24|' /etc/fail2ban/jail.local
grep ignoreip /etc/fail2ban/jail.local
sudo systemctl restart fail2ban
sudo fail2ban-client get sshd ignoreip

La segunda capa.

1. En IONOS: Red → Políticas de firewall → tu política.
2. Borra la regla del puerto 22 (TCP). Deja 80, 443 y 51820/UDP.
3. Guarda.

Comprueba desde tu PC, con la VPN desactivada:

Test-NetConnection TU_IP -Port 22

WARNING: TCP connect to TU_IP:22 failed
TcpTestSucceeded : False

Y con la VPN activada, ssh lab sigue entrando.

Lo mismo para los paneles web de administración, empezando por el de la propia VPN.

16.1 · El snippet

sudo tee /etc/nginx/snippets/solo-vpn.conf > /dev/null <<'EOF'
# Ebenezer: solo se puede acceder desde la VPN
allow 172.30.0.0/24;
deny all;
EOF

16.2 · Aplicarlo al panel de la VPN

sudo sed -i 's|^    include snippets/tls.conf;|&\n    include snippets/solo-vpn.conf;|' /etc/nginx/sites-available/vpn.TU_DOMINIO
grep -n "include" /etc/nginx/sites-available/vpn.TU_DOMINIO
sudo nginx -t && sudo systemctl reload nginx

16.3 · Otros paneles

A partir de ahora, cada panel de administración que montes (Uptime Kuma, Grafana, AdGuard...) llevará esta misma línea en su sitio. Para paneles dentro de una web pública, se pone solo en la ruta del panel. Por ejemplo, para que el acceso de WordPress (Guía 05) solo funcione con la VPN, en location = /wp-login.php y en un location ^~ /wp-admin/ nuevo:

    location = /wp-login.php {
        include snippets/solo-vpn.conf;
        limit_req zone=wplogin burst=5 nodelay;
        proxy_pass http://127.0.0.1:8082;
        include snippets/proxy.conf;
    }
    location ^~ /wp-admin/ {
        include snippets/solo-vpn.conf;
        proxy_pass http://127.0.0.1:8082;
        include snippets/proxy.conf;
    }

Repaso completo con y sin VPN, reinicio para ver que todo vuelve solo, y la instantánea.

sudo ufw status verbose
sudo fail2ban-client get sshd ignoreip
docker compose -f /opt/apps/vpn/compose.yaml ps
docker exec wg-easy wg show | grep -E "peer|handshake"
sudo nginx -t

Reinicia el servidor (con la VPN activada, entra por SSH y escribe sudo reboot). Al minuto, la VPN debe reconectar sola y ssh lab debe volver a entrar. Después, en IONOS, crea la instantánea 06-vpn.