PiVPN 2026: autoalojar WireGuard u OpenVPN con un solo comando

Autoalojar un VPN solía significar editar archivos de config a mano esperando no equivocarse con las claves, el enrutado y el cortafuegos. PiVPN elimina casi todo eso: es un instalador de un solo comando que monta WireGuard u OpenVPN en una Raspberry Pi o cualquier VPS Debian/Ubuntu, y luego gestiona tus dispositivos cliente con unos pocos comandos sencillos. Esta guía cubre cómo funciona, la instalación, los límites honestos y dónde encaja frente a los VPN mesh.

¿Raspberry Pi en casa o VPS? En casa, PiVPN necesita un router en el que redirigir un puerto UDP, algo que el CGNAT impide. En un VPS la pregunta desaparece: un Contabo Cloud VPS 4 (enlace de afiliado) da una IPv4 pública fija por 5,50 € al mes con permanencia de 24 meses, y la instalación de abajo es la misma. Si prefieres un proveedor estadounidense con 30 días de devolución, el VPS Basic de Ultahost cuesta 5,52 $ al mes a 24 meses (1 GB de RAM, IPv4 dedicada, leído el 21 de octubre de 2026), suficiente para un servidor WireGuard de pocos dispositivos. Otra opción: HostPapa Unmanaged VPS Lite (enlace de afiliado) por 2,95 $ al mes con un plazo de 3 años, luego a la tarifa normal (1 núcleo, 1 GB de RAM, 25 GB NVMe, acceso root por SSH, garantía de reembolso de 30 días, consultado el 28 de octubre de 2026).

¿Qué es PiVPN, y qué no es?

PiVPN es un envoltorio/instalador, no un protocolo nuevo. Configura por ti el software VPN real y bien auditado:

• Elige WireGuard (recomendado en 2026) u OpenVPN durante la instalación.
• Gestiona claves, config del servidor, enrutado y reglas de cortafuegos con ajustes sensatos.
• Gestiona clientes con pivpn add, pivpn -qr (código QR para teléfonos) y pivpn -l para listar los perfiles.

Te da un servidor VPN único clásico: cada dispositivo se conecta de vuelta a esa única máquina. Esa simplicidad es su fuerza. Si prefieres escribir el wg0.conf a mano en lugar de depender de los valores por defecto del instalador, nuestras plantillas de configuración WireGuard listas para usar cubren la misma configuración de servidor único, además de las variantes split-tunnel, kill-switch y multi-peer para pegar y adaptar.

¿Conviene ejecutar PiVPN en una Raspberry Pi o en un VPS?

La respuesta corta: una Pi si quieres volver a tu propia red doméstica, un VPS si quieres un punto de salida rápido. Resuelven problemas distintos, y usar ambos es habitual.

• Raspberry Pi en casa → un túnel de vuelta a tu red doméstica; depende de tu velocidad de subida y de una IP pública estable / DNS dinámico. Consulta nuestra guía de autoalojamiento en Raspberry Pi 5.
• VPS en la nube → un punto de salida privado rápido y siempre activo con IP pública fija, por unos pocos euros al mes, ideal para acceso remoto en viajes. Un Contabo Cloud VPS 4 a 5,50 €/mes gestiona el tráfico VPN personal con holgura.

¿Cómo se instala PiVPN con un solo comando?

En un host Debian/Ubuntu recién instalado:

# review the script before running it (open the URL in a browser first)
curl -L https://install.pivpn.io | bash

El instalador guiado pide el protocolo (elige WireGuard), la interfaz de red, una IP estática, el proveedor de DNS y el punto de acceso público (IP o dominio). Al terminar, añade tu primer cliente:

pivpn add            # create a client profile
pivpn -qr            # show a QR code to import on a phone

Abre y lee siempre un script de instalación antes de pasarlo a bash. Para el endurecimiento base del VPS, que también aplica aquí, consulta la guía de instalación de VPS Contabo, y para la elección de protocolo, WireGuard vs OpenVPN.

¿PiVPN es gratuito?

Sí, por completo. PiVPN es software de código abierto instalado en una máquina que ya controlas, sin cuenta, sin niveles de licencia y sin cargo por dispositivo. Lo único que pagas es la máquina en la que se ejecuta: nada en absoluto si reutilizas una Raspberry Pi que ya tienes, o el coste mensual de un VPS pequeño si quieres una IP pública fija y un punto de salida siempre activo.

Ese es todo el modelo de costes, y es lo que separa un túnel autoalojado de una suscripción VPN comercial: compras hardware o alojamiento, no un servicio. Lo que no te da es el anonimato de IP compartida de un proveedor comercial: tu túnel sale por una dirección que te pertenece solo a ti.

¿Cómo se añaden y eliminan clientes en PiVPN?

Cuando pasas de tres o cuatro clientes, los fallos dejan de ser evidentes. Dos dispositivos a los que se asignó la misma dirección funcionan bien por separado, y el segundo en conectarse desplaza al primero, lo que parece un fallo intermitente del servidor y no lo es. Escribimos wg-clients-audit para leer una carpeta de archivos .conf generados y señalar exactamente eso: direcciones duplicadas, una clave privada reutilizada en dos dispositivos y rangos AllowedIPs tan amplios que se tragan la propia LAN del cliente.

pivpn add cubre el primer perfil; el resto del uso diario son tres comandos más:

pivpn list           # every profile, and which are enabled
pivpn -qr <name>     # re-display a profile QR code
pivpn revoke <name>  # disable a lost or retired device

Revocar importa más de lo que se suele pensar. Un peer WireGuard sigue siendo válido hasta que lo eliminas, así que un teléfono perdido o un portátil que salió de la empresa conserva una clave funcional hasta que alguien ejecuta ese comando. Los perfiles generados se guardan en el directorio personal del usuario de instalación: trata esos archivos como contraseñas, porque eso es lo que son.

¿Por qué mi PiVPN conecta pero no pasa tráfico?

Casi todos los casos de "se instaló bien pero no puedo conectarme desde fuera" se reducen a una de dos causas, y ninguna es culpa de PiVPN. Si la segunda te afecta, la solución no es un ajuste: es otra herramienta, y esa comparativa es PiVPN vs Tailscale.

El puerto no es accesible. WireGuard escucha en UDP, y un router doméstico no lo redirige a menos que se lo indiques. Necesitas una regla de redirección de puertos que envíe ese puerto UDP a la dirección local de la Pi, y la Pi necesita una IP local fija para que la regla siga apuntando a ella. Si tu proveedor te pone detrás de CGNAT, ninguna regla servirá: ese caso se trata en nuestra guía de WireGuard detrás de CGNAT. Antes de repartir perfiles, nuestro verificador de puerto WireGuard gratuito te dice si una redirección puede funcionar en tu línea (compara la dirección WAN de tu router con tu IP pública para detectar CGNAT y doble NAT) y escribe la regla de cortafuegos para la Pi.

La dirección pública cambió. La mayoría de conexiones residenciales reciben una IP dinámica, así que el punto de acceso grabado en un perfil de cliente deja de coincidir tras la siguiente renovación. Un nombre de host de DNS dinámico en lugar de una IP en bruto lo resuelve de forma permanente, y conviene configurarlo antes de distribuir los perfiles, no después.

Si el túnel se levanta pero no pasa tráfico, la causa suele estar en otra parte: nuestra guía de solución de problemas de handshake recorre las ocho causas por orden de probabilidad.

¿Cuáles son los límites de PiVPN?

• Servidor único, no un mesh. Cada cliente pasa por esa única máquina. Perfecto para un punto de salida personal; no está pensado para enlazar muchos dispositivos y sitios.
• El mantenimiento es tuyo. Parches, rotación de claves, cortafuegos y disponibilidad te corresponden: mantén activas las actualizaciones de seguridad automáticas.
• Salvedades del alojamiento en casa. En una Raspberry Pi, tu velocidad de subida limita el caudal y necesitas una IP pública estable o DNS dinámico.
• Es un envoltorio. La seguridad viene de WireGuard/OpenVPN y de la higiene de tu host, no de PiVPN en sí.

PiVPN vs Tailscale: ¿cuál deberías elegir?

Si necesitas un mesh en vez de un servidor único, consulta nuestra guía NetBird autoalojado y el panorama mejor VPN autoalojada 2026.

Su VPN oculta su IP. No oculta su navegador.

Un túnel WireGuard bien configurado sustituye la dirección que ve un sitio. No cambia nada de lo que su navegador anuncia por su cuenta: fuentes, pantalla, zona horaria, pila gráfica. Esa combinación suele ser lo bastante única como para seguirle de una sesión a otra, con túnel o sin él.

Mida la huella de su propio navegador: pasiva, sin preguntas, sin cuenta, sin correo electrónico. Le indica cuántos navegadores de cada N se parecen al suyo, y qué atributo le hace destacar.

En resumen

PiVPN es la forma más rápida y sencilla de montar tu propio servidor WireGuard u OpenVPN en 2026, en una Raspberry Pi para acceso en casa o en un VPS barato para un punto de salida privado siempre activo. Elígelo cuando quieras un servidor personal limpio; recurre a un VPN mesh cuando necesites conectar muchos nodos. En cualquier caso, el servidor y las claves son tuyos.

Una vez el servidor está en pie, el trabajo del día a día es añadir y revocar peers: consulta gestionar clientes PiVPN para pivpn add, pivpn -qr, la revocación y qué se rompe de verdad cuando te equivocas.

Monta un VPS Contabo para PiVPN →

Guía editorial basada en el comportamiento documentado del instalador PiVPN y las propiedades documentadas de WireGuard y OpenVPN. La seguridad depende de los protocolos subyacentes y de la higiene de tu host, lo que indicamos con claridad. Los enlaces comerciales llevan el atributo rel="sponsored nofollow"; puede aplicarse una comisión de afiliación sin coste extra para ti.