Router VPN con Raspberry Pi: configuración paso a paso 2026

Router VPN en Raspberry Pi: configuración completa en 2026

Un router doméstico con firmware del fabricante rara vez puede funcionar correctamente con VPN a nivel de toda la red. Si necesitas proteger el tráfico de todos los dispositivos —televisor inteligente, consola, laptop del niño y una docena de gadgets IoT— tendrás que comprar un router que soporte firmware personalizado o construir un dispositivo así por tu cuenta. Raspberry Pi maneja esta tarea a la perfección: un ordenador de placa única que cuesta alrededor de 6000–9000 rubles se convierte en un router VPN completo que cifra todo el tráfico saliente y elude bloqueos sin necesidad de instalar clientes en cada dispositivo.

Por qué hacer un router VPN específicamente en Raspberry Pi

Hay tres escenarios donde un router VPN separado resuelve el problema mejor que una aplicación en el teléfono o laptop.

Dispositivos sin soporte para clientes VPN

Los televisores inteligentes con su firmware, las consolas de juegos PlayStation 5 y Xbox Series X, altavoces inteligentes y cámaras de vigilancia físicamente no permiten instalar un cliente VPN. La única forma de pasar su tráfico a través de un túnel cifrado es conectarlos a una red donde el VPN ya esté configurado a nivel de router.

¿Cansado de buscar claves que funcionen?

Una clave lista para usar en v2RayTun y Hiddify

1. Regístrate y consigue un día de prueba por 29 ₽
2. Abre el Modo sigiloso en tu cuenta
3. Toca «Conectar con un toque» en la sección «Modo sigiloso»

Obtener una clave

• desde 0,26 zł al día
• tarjeta o cripto
• 14 servidores en línea

Un punto de configuración para todo el apartamento

En lugar de instalar y configurar WireGuard u OpenVPN en ocho dispositivos diferentes, la configuración se realiza una vez en Raspberry Pi. Un nuevo dispositivo simplemente se conecta al Wi-Fi de este mini-router y obtiene automáticamente acceso seguro a Internet.

Flexibilidad de enrutamiento

En Raspberry Pi se puede configurar el tunelado dividido (split tunneling): parte de los dispositivos o sitios va a través de VPN, parte directamente. Esto es conveniente, por ejemplo, si los servicios bancarios deben funcionar a través de una IP rusa, mientras que las plataformas de streaming extranjeras deben hacerlo a través de un servidor VPN en otro país.

Qué se necesita para la construcción

Equipo

• Raspberry Pi 4 Model B con 2 GB de RAM o más reciente — Raspberry Pi 5 ofrece un aumento notable en la velocidad de cifrado gracias a su procesador Broadcom BCM2712 más potente;
• tarjeta microSD de al menos 16 GB, clase de velocidad A2 (por ejemplo, SanDisk Extreme Pro) o, preferiblemente, arranque desde una unidad USB SSD para mayor durabilidad;
• adaptador USB Ethernet-to-USB o una segunda interfaz de red, si se necesita compartir por cable a varios dispositivos a través de un switch;
• fuente de alimentación de 5V/3A con conector USB-C — una potencia de alimentación insuficiente provoca el estrangulamiento del procesador y desconexiones;
• caja con refrigeración pasiva o activa: al cifrar el tráfico de forma constante, el chip se calienta más que durante el uso normal de Raspberry Pi.

Software

La elección óptima del sistema operativo es Raspberry Pi OS Lite (64-bit) sin interfaz gráfica: consume menos recursos y reduce la carga en el procesador, que ya se destina al cifrado. Para configurar el VPN se necesitará uno de los dos protocolos:

• WireGuard — un protocolo moderno con costos de sobrecarga mínimos, la velocidad en Raspberry Pi 4 alcanza de 250 a 400 Mbit/s;
• OpenVPN — un protocolo más antiguo pero flexible, la velocidad en el mismo hardware rara vez supera de 80 a 120 Mbit/s debido a una carga computacional más alta.

Si el proveedor del servicio VPN que utilizas soporta ambos protocolos, para el router casi siempre vale la pena elegir WireGuard — la diferencia en velocidad se nota incluso al ver videos en 4K en varios dispositivos al mismo tiempo.

Preparación de Raspberry Pi

Instalación del sistema operativo

Descarga Raspberry Pi Imager desde el sitio oficial de Raspberry Pi Foundation, selecciona la imagen de Raspberry Pi OS Lite (64-bit) y grábala en la tarjeta de memoria o SSD. En la configuración de Imager (icono de engranaje) activa SSH de inmediato, establece un nombre de usuario y contraseña, así como los parámetros de Wi-Fi, si planeas conectarte de forma inalámbrica en la primera etapa.

Primera conexión y actualización del sistema

Después de iniciar, conéctate por SSH:

ssh pi@raspberrypi.local

Actualiza el sistema y reinicia el dispositivo:

sudo apt update && sudo apt full-upgrade -ysudo reboot

Configuración de la dirección IP estática

El router necesita una dirección predecible en la red local. Abre el archivo de configuración dhcpcd:

sudo nano /etc/dhcpcd.conf

Y añade al final:

interface eth0static ip_address=192.168.1.2/24static routers=192.168.1.1static domain_name_servers=1.1.1.1 8.8.8.8

Configuración de WireGuard en Raspberry Pi

Instalación del paquete

sudo apt install wireguard wireguard-tools -y

Generación de claves

wg genkey | tee privatekey | wg pubkey > publickey

La clave privada permanece en el dispositivo, la pública se envía al proveedor del servicio VPN o se utiliza al configurar tu propio servidor.

Archivo de configuración del cliente

Cree un archivo /etc/wireguard/wg0.conf con el siguiente contenido, reemplazando los valores por los datos proporcionados por su proveedor de VPN:

[Interface]PrivateKey = ваш_приватный_ключAddress = 10.0.0.2/32DNS = 1.1.1.1[Peer]PublicKey = публичный_ключ_сервераEndpoint = адрес_сервера:51820AllowedIPs = 0.0.0.0/0, ::/0PersistentKeepalive = 25

Inicio y autoinicio

sudo systemctl enable wg-quick@wg0sudo systemctl start wg-quick@wg0

Puede verificar que el túnel se ha levantado con el comando sudo wg show — allí se mostrará el estado de la conexión, el volumen de datos transferidos y el tiempo del último apretón de manos.

Convirtiendo Raspberry Pi en un punto de acceso

Instalación de hostapd y dnsmasq

sudo apt install hostapd dnsmasq -ysudo systemctl unmask hostapd

Configuración de hostapd

En el archivo /etc/hostapd/hostapd.conf configure los parámetros de la red:

interface=wlan0driver=nl80211ssid=VPN-Home-Routerhw_mode=gchannel=7wmm_enabled=0macaddr_acl=0auth_algs=1ignore_broadcast_ssid=0wpa=2wpa_passphrase=надёжный_пароль_16_символовwpa_key_mgmt=WPA-PSKwpa_pairwise=TKIPrsn_pairwise=CCMP

Configuración de dnsmasq para la distribución de direcciones

En /etc/dnsmasq.conf añada:

interface=wlan0dhcp-range=192.168.4.2,192.168.4.100,255.255.255.0,24hdhcp-option=3,192.168.4.1dhcp-option=6,1.1.1.1

Configuración de enrutamiento a través de iptables

Para que todo el tráfico de la red inalámbrica pase a través del túnel WireGuard, habilite el reenvío de paquetes y configure NAT:

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.confsudo sysctl -psudo iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADEsudo iptables -A FORWARD -i wlan0 -o wg0 -j ACCEPTsudo iptables -A FORWARD -i wg0 -o wlan0 -m state --state RELATED,ESTABLISHED -j ACCEPTsudo netfilter-persistent save

Después de esto, cualquier dispositivo conectado a la red «VPN-Home-Router» enviará automáticamente todo el tráfico a través del túnel cifrado, sin necesidad de instalar aplicaciones cliente.

Evasión de bloqueos: cuando un VPN no es suficiente

En regiones con filtración activa de tráfico mediante el protocolo DPI (Inspección Profunda de Paquetes), el proveedor puede identificar y bloquear incluso las conexiones WireGuard por las etiquetas características de los paquetes. En tales casos, la ofuscación del tráfico ayuda:

• WireGuard + envoltura de ofuscación — por ejemplo, la herramienta wireguard-go con el complemento de ofuscación oculta el túnel como tráfico HTTPS normal;
• Shadowsocks en combinación con VPN — el tráfico pasa primero a través de un proxy Shadowsocks, lo que oculta el hecho de que se está utilizando un protocolo VPN;
• cambio de puerto del Endpoint a 443 — a veces es suficiente mover el servidor VPN del puerto 51820 al 443 para que el tráfico visualmente no se diferencie del HTTPS normal.

Si el servicio VPN que está utilizando proporciona configuraciones listas con ofuscación (a menudo son servidores separados con la etiqueta «ofuscado» o «sigiloso» en la lista de ubicaciones), es más fácil usar esos en lugar de configurar la envoltura manualmente en Raspberry Pi.

Verificación de funcionamiento y diagnóstico

Verificación de fugas de DNS y IP real

Después de conectar cualquier dispositivo a la red del enrutador, abra un navegador en él y acceda a un servicio de verificación de dirección IP y fugas de DNS. La dirección mostrada debe pertenecer al servidor VPN y no a su proveedor de internet.

Medición de velocidad

Compare la velocidad antes de activar el túnel VPN y después a través de iperf3 dentro de la red local, así como a través de una prueba de velocidad normal en el navegador. Una caída del 15-30% de la velocidad base de internet es un indicador normal para WireGuard en Raspberry Pi 4; una caída de más del 50% indica sobrecarga del procesador o problemas en el lado del servidor VPN.

Monitoreo de temperatura

vcgencmd measure_temp

Con una carga constante de cifrado, la temperatura del chip Raspberry Pi 4 sin refrigeración activa puede superar los 70°C, lo que provoca estrangulación. Si las lecturas se mantienen consistentemente por encima de este umbral, es recomendable agregar un ventilador al gabinete.

Autoinicio y tolerancia a fallos

Script de verificación de conexión

Para que el túnel se recupere automáticamente después de una falla del proveedor, agregue una verificación en crontab cada 5 minutos:

*/5 * * * * ping -c1 10.0.0.1 > /dev/null || systemctl restart wg-quick@wg0

Kill switch en caso de interrupción de VPN

Para que los dispositivos no «caigan» en internet abierto al romperse el túnel, agregue una regla que bloquee el tráfico saliente a través de la interfaz principal en ausencia de una conexión WireGuard activa:

sudo iptables -A FORWARD -i wlan0 -o eth0 -j DROP

Esta regla permite que el tráfico de la red inalámbrica solo pase a través de la interfaz wg0, y no directamente a internet; si el túnel cae, los dispositivos simplemente pierden la conexión, en lugar de cambiar a una conexión no segura.

Errores típicos al ensamblar un enrutador VPN

• Fuente de alimentación débil — ahorrar en un adaptador original a menudo conduce a un funcionamiento inestable del módulo Wi-Fi precisamente en el momento de alta carga de cifrado;
• Uso de una tarjeta microSD barata
• Ignorar el MTU
• Un canal Wi-Fi para dos bandas

Cuando Raspberry Pi no es la mejor opción

Para apartamentos con internet a velocidades superiores a 500 Mbit/s y un gran número de dispositivos funcionando simultáneamente, Raspberry Pi 4 puede convertirse en un cuello de botella: el procesador simplemente no puede cifrar el tráfico a esa velocidad. En este caso, es más sensato considerar un enrutador basado en un mini-PC x86 o soluciones listas con aceleración de hardware para el cifrado. Pero para una red doméstica con una velocidad típica de 100–300 Mbit/s y una docena de dispositivos conectados, Raspberry Pi 4 o 5 funciona sin limitaciones visibles y sigue siendo una de las formas más accesibles de proteger todo el tráfico del apartamento de una vez, sin necesidad de configurar VPN en cada dispositivo individual.