Como configurar tu propio servidor OpenVPN en un VPS barato

Por que OpenVPN, y cuando elegirlo

OpenVPN es el veterano de las VPN autoalojadas: tiene mas de veinte anos, ha sido auditado hasta el cansancio y es compatible con todas las apps de VPN y routers del planeta. No es la opcion mas rapida - WireGuard le gana en velocidad y bateria - pero tiene un truco que a WireGuard le falta: puede funcionar sobre TCP en el puerto 443, el mismo puerto que el HTTPS normal. Eso le permite colarse por los firewalls restrictivos de hoteles, oficinas y aeropuertos que bloquean todo excepto el trafico web.

Donde OpenVPN no es la herramienta adecuada es en la censura pesada basada en DPI. Sistemas como el TSPU de Rusia pueden identificar y bloquear el OpenVPN simple igual que bloquean el WireGuard simple. Si tu objetivo es evadir ese tipo de bloqueo, usa mejor nuestra guia de VLESS + Reality. Elige OpenVPN cuando quieras una VPN personal solida como una roca, universalmente compatible, y con la libertad de esconderte en el puerto 443.

• Un VPS basado en KVM barato con Ubuntu 22.04 o 24.04 (el instalador es compatible con Ubuntu 18.04 y versiones posteriores).
• Acceso SSH como root - tu proveedor te lo envia por correo despues de que pagas.
• Unos 10 minutos. Un script bien mantenido hace las partes dificiles (certificados, firewall, enrutamiento) por ti.

Paso 1: Conectar y actualizar el servidor

Inicia sesion por SSH (reemplaza con la IP de tu servidor) e instala las ultimas actualizaciones:

ssh root@YOUR_SERVER_IP
apt update && apt upgrade -y

Paso 2: Descargar el instalador

Vamos a usar el conocido script de codigo abierto angristan/openvpn-install. Instala OpenVPN, genera todos los certificados, configura el firewall y el enrutamiento, y gestiona los archivos de cliente - las partes que hacen dolorosa una configuracion manual de OpenVPN. Descargalo y hazlo ejecutable:

curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
chmod +x openvpn-install.sh

Paso 3: Ejecutarlo y responder las preguntas

Inicia el instalador:

./openvpn-install.sh

Hace una breve lista de preguntas. Para la mayoria de la gente los valores por defecto son correctos - esto es lo que hay que elegir:

• IP publica: detecta la IP de tu servidor automaticamente. Aceptala salvo que el servidor este detras de NAT.
• Protocolo: UDP es el valor por defecto y es mas rapido - mantenlo para el uso diario. Elige TCP solo si necesitas especificamente esconderte en el puerto 443 (mira el consejo de abajo).
• Puerto: manten el valor por defecto 1194 para UDP. Si elegiste TCP para atravesar un firewall estricto, pon el puerto en 443.
• DNS: elige un resolvedor publico como Cloudflare o Quad9 para que tus consultas no se filtren a tu proveedor local.
• Cifrado y certificado: simplemente acepta los valores por defecto - el script usa configuraciones modernas y seguras (AES-128-GCM, ECDSA).
• Nombre del cliente: escribe un nombre corto para tu primer dispositivo, por ejemplo phone.
• Proteccion con contrasena: el script pregunta si el cliente debe ir sin contrasena o protegido con contrasena. Anadir una contrasena hace que un archivo .ovpn robado sea inutil sin ella - vale la pena para un telefono o portatil que podria perderse.

El script se ejecuta durante un minuto y termina creando un archivo de configuracion de cliente que acaba en .ovpn en la carpeta /root.

Paso 4: Llevar el archivo .ovpn a tu dispositivo

Todo lo que un cliente necesita esta dentro de ese unico archivo .ovpn - claves, certificados y ajustes. Copialo del servidor a tu ordenador con scp (ejecuta esto en tu ordenador, reemplazando el nombre y la IP):

scp root@YOUR_SERVER_IP:/root/phone.ovpn .

Para llevarlo a un telefono, usa lo que tengas a mano: enviate el .ovpn a ti mismo en los "Mensajes guardados" de un mensajero, ponlo en tu unidad en la nube y borralo despues, o descargalo del servidor con una app SFTP grafica como Cyberduck o FileZilla. Trata el archivo como una contrasena - cualquiera que lo tenga puede conectarse como tu, asi que borra las copias sueltas una vez que tu dispositivo este configurado.

Paso 5: Instalar una app de cliente y conectar

La app oficial OpenVPN Connect funciona en todas las plataformas; en el escritorio tambien puedes usar alternativas mas ligeras. Elige la tuya, importa el archivo .ovpn y conecta.

Paso 6: Anadir o quitar dispositivos mas adelante

Dale a cada dispositivo su propio perfil para poder revocar uno sin molestar a los demas. Para anadir un portatil o revocar un telefono perdido, solo vuelve a ejecutar el instalador - detecta el servidor existente y ofrece un menu:

./openvpn-install.sh

Elige Add a new user para crear otro .ovpn, o Revoke existing user para cortar un dispositivo definitivamente.

Paso 7: Verificar que funciona

Con el cliente conectado, confirma dos cosas en nuestra propia pagina de Herramientas de red. Primero, internet deberia mostrar ahora la IP de tu servidor - se muestra en la parte superior de la pagina. Segundo, abre la pestana DNS Leak Test: los resolvedores listados deberian ser el DNS que elegiste en el Paso 3, nunca tu proveedor de internet de casa. Si ambos se ven bien, tu tunel OpenVPN esta activo.

Errores comunes

• Firewall del proveedor de nube. Los grandes hosts - AWS, Oracle Cloud, Azure, Google Cloud - tienen sus propios Security Groups en el panel web, separados del firewall de Ubuntu, y tu puerto suele estar cerrado ahi por defecto. Abre tu puerto elegido (1194/udp, o 443/tcp) tambien en el panel del proveedor, no solo en ufw.
• Expectativas equivocadas del protocolo. UDP es mas rapido pero algunas redes restrictivas lo bloquean - si una Wi-Fi publica se niega a conectar, ahi es cuando la version TCP-443 justifica su valor.
• Compartir un solo perfil. Cargar el mismo .ovpn en dos dispositivos a la vez causa cortes. Genera un perfil separado por dispositivo.
• OpenVPN para censura. El OpenVPN simple, incluso en 443, es detectable por DPI avanzado. En redes muy censuradas usa mejor VLESS + Reality.

Los limites honestos

Un servidor OpenVPN autoalojado es privado frente a tu red local y tu proveedor de internet, pero siguen aplicando los limites habituales del autoalojamiento: tu proveedor de VPS puede ver las direcciones IP que se conectan al servidor y, en una maquina virtual, puede hacer una instantanea de su RAM. Para reducir lo que tu propio servidor guarda en disco, continua con nuestra guia sobre como hacer que tu VPS no guarde logs. Y como siempre, una VPN cambia el lugar desde donde parece venir tu trafico - no te pone por encima de la ley del lugar donde vives.