Cómo configurar el reenvío de puertos para utilizar WireGuard VPN en routers GL.iNet

Configurar un servidor VPN WireGuard en un router GL.iNet permite acceder de forma segura y remota a tu red local mediante un túnel completo. Si tu router GL.iNet estás conectado a un router principal, por ejemplo al puerto LAN del router de tu ISP, deberá configurar el reenvío de puertos en el router principal para dirigir el tráfico VPN a tu dispositivo GL.iNet. Este artículo le guiará por los pasos, aclarará los ajustes y explicará los términos clave para facilitar el proceso.

Por qué es necesario el reenvío de puertos

Cuando tu router GL.iNet estás conectado a un router principal, es necesario configurar la redirección de puertos en el router principal para que el tráfico externo llegue al servidor WireGuard. Activa la redirección de puertos en el router principal para garantizar que la red externa pueda conectarse al servidor VPN, abriendo específicamente solo el puerto del servidor VPN (p. ej., 51820). Una vez que un dispositivo de la red externa establece un túnel VPN con el router GL.iNet, se puede acceder a la red local del router principal a través de la VPN. Esto significa que no solo se puede acceder a la LAN del router GL.iNet, sino también a la LAN del router principal.

Guía paso a paso de reenvío de puertos para WireGuard

1. Inicia sesión en el panel de administración de tu router principal (o descarga la aplicación móvil de tu ISP e inicia sesión):

Accede a la interfaz de administración escribiendo la dirección IP de tu router principal en un navegador web. Normalmente es 192.168.1.1 o 10.0.0.1. Una forma rápida de determinar esta IP es consultar la IP de la “Puerta de enlace” en la página de Internet de tu router GL.iNet mientras estás conectado a tu red doméstica.

2. Vaya a la sección de reenvío de puertos:

Esta sección puede llamarse «Reenvío de puertos», «Servidor virtual» o «Reenvío NAT», según la marca del router.

3. Configura las reglas de reenvío de puertos:

• Puerto externo (puerto público): Establece el puerto que tu servidor Wireguard está configurado para utilizar (51820 de forma predeterminada).
• Puerto interno (puerto privado): Establece también este valor en 51820 para que coincida con el puerto de tu router GL.iNet en el que escucha Wireguard.
• Protocolo: Elige UDP, ya que WireGuard funciona con el protocolo UDP.
• Dirección IP interna (IP de destino): Debe ser la dirección IP de LAN de tu router GL.iNet, que tendrá un formato similar a 192.168.x.x o 10.x.x.x, según tu red. Tu router principal la asigna cuando conecta el puerto WAN del router GL.iNet al puerto LAN del router de tu ISP. Puedes encontrar esta dirección IP en la lista de dispositivos de tu router principal o simplemente consultando la interfaz del router GL.iNet en la página de Internet.

4. Configura el puerto de origen (opcional):

Si tu router ofrece una opción «Puerto de origen», configúrela en «Cualquiera» (o déjela en blanco) para evitar restringir las conexiones según su puerto de origen. Los clientes WireGuard pueden utilizar un puerto de origen aleatorio, especialmente si están detrás de NAT, y restringir este puerto podría bloquear conexiones legítimas.

5. Guarda y prueba la configuración:

• Tras introducir toda la información necesaria, guarda los ajustes y reinicia tu router principal si es necesario.
• Para probar la configuración, intente conectarse al servidor WireGuard desde una red externa (como un punto de acceso móvil) para confirmar que el reenvío de puertos funciona correctamente. Para obtener instrucciones sobre cómo configurar el servidor Wireguard y el perfil de cliente correspondiente, visita esta página: https://docs.gl-inet.com/router/es/4/interface_guide/wireguard_server/

Términos clave y sus significados

• Puerto externo (público): Este es el puerto de tu router principal expuesto a Internet. Las solicitudes VPN entrantes se dirigirán a este puerto.
• Interno (puerto privado): Este es el puerto de tu router GL.iNet en el que WireGuard escucha las conexiones.
• Puerto de origen: Esto se refiere al puerto que utiliza el cliente para iniciar la conexión. Normalmente se recomienda seleccionar «Cualquiera» para evitar bloquear conexiones legítimas, ya que la mayoría de los clientes utilizan puertos aleatorios.
• Dirección IP interna (IP de destino): La dirección IP de tu router GL.iNet en tu red local.

Consejos adicionales

• Tenga en cuenta la seguridad: Limite la regla de reenvío de puertos al protocolo necesario (UDP) para minimizar la exposición.
• Uso de DNS dinámico (DDNS): Si tu IP pública es dinámica (cambia periódicamente), activa el servicio DDNS integrado del router GL.iNet para mantener accesible tu VPN.

Para obtener instrucciones más específicas para tu router, consulta la lista de documentación de GL.iNet aquí: https://docs.gl-inet.com/router/es/4/tutorials/how_to_set_up_port_forwarding/

Breve explicación de CGNAT

Muchos ISP utilizan CGNAT para gestionar la escasez de direcciones IPv4, asignando una IP pública compartida a varios clientes. Esto impide el acceso directo a los dispositivos y hace imposible el reenvío de puertos. Si está detrás de CGNAT, considere utilizar servicios VPN como Astrowarp o Tailscale, que permiten un acceso remoto seguro sin necesidad de redirigir puertos. Haz clic en el enlace para comprobar si tu router GL.iNet admite Tailscale o AstroWarp. Para obtener instrucciones de configuración de VPN paso a paso, consulta esta lista de reproducción de vídeos.

Acerca del autor

Adam, natural de Virginia y apasionado por los viajes internacionales, es graduado en Ingeniería Eléctrica por Virginia Tech. Es ingeniero de soluciones y responsable de la sucursal del centro de llamadas de GL.iNet, además de creador de The Wired Nomad, un recurso para nómadas digitales. Puede ponerse en contacto con él en su sitio web.