Como configurar tu propia VPN Shadowsocks con Outline

Por que Outline y Shadowsocks

Shadowsocks es un proxy cifrado y ligero, disenado desde el principio para ser dificil de detectar. En lugar de los reconocibles handshakes que delatan a WireGuard o a OpenVPN, revuelve tu trafico en un flujo de bytes de aspecto aleatorio, sin firmas delatoras a las que la inspeccion profunda de paquetes (DPI) pueda aferrarse - por eso ha sido durante mucho tiempo una herramienta de referencia para saltarse cortafuegos nacionales en paises fuertemente censurados. (Los cortafuegos mas avanzados aun pueden aprender a detectar esa aleatoriedad con el tiempo - el limite honesto que tratamos al final.)

Outline, creado por Jigsaw (una filial de Google), convierte Shadowsocks en algo que cualquiera puede poner en marcha. Son dos aplicaciones gratuitas y de codigo abierto: el Outline Manager, que configura y ejecuta el servidor en tu propio VPS, y el Outline Client, que se conecta. Tu eres el dueno del servidor, tu eres el dueno de las claves, y ninguna empresa se sienta en medio registrando tu trafico - solo pagas un VPS barato.

• Un VPS barato con CPU x86-64, al menos 1 GB de RAM, que ejecute un Linux moderno como Ubuntu 22.04 / 24.04. Para saltarte la censura, alojalo fuera del pais que aplica el bloqueo.
• La direccion IP del servidor y su acceso SSH como root - tu proveedor te los envia por correo despues de pagar.
• Un ordenador (Windows, macOS o Linux) para ejecutar el Outline Manager. La configuracion inicial se hace desde un ordenador, no desde un movil - despues puedes conectarte solo desde el movil. Ademas de unos 10 minutos.

Paso 1: Instala el Outline Manager

En tu ordenador, descarga el Outline Manager desde el sitio oficial, getoutline.org, e instalalo. Funciona en Windows, macOS y Linux. Es la herramienta de administracion - la usas una vez para configurar el servidor y despues para anadir o revocar claves de acceso.

Paso 2: Configura el servidor en tu VPS

Abre el Outline Manager y elige Configurar Outline en cualquier lugar (no las opciones de nube integradas). El Manager te muestra un unico comando para copiar. Conectate por SSH a tu servidor y pegalo alli - descarga y ejecuta el instalador oficial (en un contenedor Docker) e imprime una linea de configuracion:

sudo bash -c "$(wget -qO- https://raw.githubusercontent.com/Jigsaw-Code/outline-server/master/src/server_manager/install_scripts/install_server.sh)"

Usa siempre el comando exacto que muestra el Manager. Cuando termina, el servidor imprime una linea verde que empieza por {"apiUrl": ...}. Copia esa linea entera, pegala de vuelta en el Outline Manager y avanza haciendo clic - tu servidor aparece en el Manager, listo para usar. (Si el comando falla con wget: command not found, algunas imagenes minimas vienen sin el - ejecuta primero apt update && apt install -y wget y luego pega el comando otra vez.)

Paso 3: Crea una clave de acceso

En el Outline Manager, tu servidor ya tiene una clave de acceso por defecto. Haz clic en Anadir nueva clave para crear una por cada dispositivo (un movil, un portatil, un amigo) y luego usa Compartir para copiar la clave - es un enlace corto ss:// que contiene todo lo que un cliente necesita.

Trata cada clave como una contrasena: todos los que la tengan comparten el ancho de banda de tu servidor, y puedes revocar cualquier clave individual en cualquier momento sin afectar a las demas.

Paso 4: Instala el Outline Client y conectate

Instala el Outline Client en el dispositivo y luego anade la clave ss://. Elige tu plataforma:

Paso 5: Anade mas dispositivos y gestiona las claves

Dale a cada dispositivo y a cada persona su propia clave. En el Outline Manager puedes ver cuantos datos ha usado cada clave, renombrarlas y eliminar una clave en el momento en que se pierda un dispositivo o un amigo ya no necesite acceso - las demas siguen funcionando. Esta es la gran ventaja de autoalojarse: tu eres el administrador.

Paso 6: Comprueba que funciona

Con Outline conectado, confirma dos cosas en nuestra propia pagina de Herramientas de red. Primero, internet deberia mostrar ahora la IP de tu servidor - visible en la parte superior de la pagina. Segundo, abre la pestana Prueba de fuga de DNS: los resolutores que aparezcan no deberian pertenecer a tu proveedor de internet domestico. Si ambas cosas se ven bien, tu tunel de Outline esta activo.

Errores habituales

• Cortafuegos del proveedor de nube. En AWS, Oracle Cloud, Azure o Google Cloud los puertos estan cerrados por defecto en el panel web. Abre los puertos de gestion y de clave de acceso que el instalador imprimio (el puerto de clave de acceso debe abrirse tanto para TCP como para UDP), no solo en el propio servidor.
• Reloj del servidor desincronizado. Shadowsocks rechaza las conexiones cuyas marcas de tiempo se desvian demasiado, asi que si tus claves son correctas pero nada se conecta, comprueba la hora del servidor. Ejecuta timedatectl y asegurate de que el reloj este sincronizado por NTP.
• Rangos de IP de hosting bloqueados. Los cortafuegos mas estrictos vetan rangos enteros de IP de los mayores proveedores economicos. Si un servidor recien creado esta bloqueado desde el primer dia, prueba con un proveedor mas pequeno y menos evidente.
• Servidor dentro de la red censurada. Un VPS ubicado fisicamente en el pais que aplica el bloqueo puede ser bloqueado en el origen. Alojalo en el extranjero.
• Compartir una sola clave en todas partes. Reutilizar una unica clave en muchos dispositivos hace imposible revocar solo una. Crea una clave separada por dispositivo.
• Planes OpenVZ muy baratos. Outline se ejecuta en Docker, que necesita un VPS de verdad (KVM). Evita los contenedores OpenVZ mas baratos.
• Bloqueado por DPI avanzada. Shadowsocks es solido, pero los cortafuegos mas agresivos aun pueden aprender a detectarlo con el tiempo. Si deja de funcionar, un protocolo que imita a un sitio web real - como VLESS + Reality - es el siguiente paso.

Los limites honestos

Shadowsocks oculta que estas usando un proxy ante los censores de la red, pero siguen aplicandose los limites habituales del autoalojamiento: tu proveedor puede ver las direcciones IP que se conectan al servidor y, en un VPS, puede tomar una instantanea de su RAM. Para reducir lo que tu propio servidor guarda en disco, continua con nuestra guia sobre como hacer que tu VPS no guarde registros. Y como siempre, una VPN o un proxy cambia el lugar desde el que parece proceder tu trafico - no te pone por encima de la ley del lugar donde vives.