Una Raspberry Pi es la pieza de infraestructura de red más barata que tendrás jamás, y las tareas VPN son de las cosas que mejor hace. Por el precio de una pizza y una noche de configuración, una Pi se convierte en una puerta de enlace VPN para toda la casa, un servidor DNS que bloquea anuncios, o tu propia puerta cifrada de vuelta a tu red doméstica desde cualquier parte del mundo.
Bajo la etiqueta “VPN en una Pi” se esconden en realidad tres proyectos distintos. Esto es para qué sirve cada uno, y cómo elegir.
Proyecto 1: la Pi como puerta de enlace VPN para tu red
La idea: la Pi se conecta a tu proveedor VPN comercial y comparte ese túnel con el resto de dispositivos, actuando como un pequeño router VPN. Los aparatos que no pueden ejecutar apps VPN (televisores, consolas, dispositivos IoT) pasan por la Pi y heredan la protección, el mismo objetivo de nuestra guía de VPN en el router, pero sin tener que reflashear tu router de verdad.
Cómo funciona en la práctica: instala el cliente Linux de tu proveedor o una configuración WireGuard en la Pi (NordVPN tiene un cliente Linux decente; Mullvad, Proton y Windscribe publican configuraciones WireGuard), activa el reenvío de IP y apunta los dispositivos que elijas hacia la Pi como puerta de enlace, o usa la Pi como un segundo punto de acceso. El rendimiento es la variable a planificar: una Pi 4 o Pi 5 mueve WireGuard a velocidades que cubren streaming sin problema (cientos de Mbps en una Pi 5); las Pi más antiguas se quedan cortas y son mejores para tareas ligeras.
Cuándo esto gana a un router VPN: quieres control por dispositivo (solo el televisor pasa por la Pi, el resto sigue normal), tu router del ISP no se puede reflashear, o simplemente te gusta trastear. Cuándo no: si quieres cobertura total de la casa siempre activa sin mantenimiento, es mejor un router de verdad corriendo WireGuard, y las casas sin nadie a quien le guste trastear deberían comprar directamente eso.
Proyecto 2: la Pi como tu propio servidor VPN
La dirección inversa, y el proyecto que la mayoría de la gente quiere en realidad sin saber su nombre: software de servidor WireGuard (PiVPN hace la instalación casi automática) en la Pi de casa, y tu móvil o portátil se conecta de vuelta desde cualquier lugar. Obtienes un túnel cifrado hasta tu propia casa: tu tráfico sale con tu IP doméstica, tus servicios de casa (NAS, Home Assistant, el servidor de medios) se vuelven accesibles con seguridad, y el Wi-Fi de la cafetería solo ve ruido.
Lo que esto te da que una VPN comercial no da: acceso a tu propia red y una IP de salida que de verdad es tuya (a los bancos les encanta; es la versión gratis de una IP dedicada). Lo que no te da: cambio de ubicación (no puedes hacer streaming de otro país a través de tu propia cocina), anonimato (la salida es literalmente tu casa) ni protección frente a la visibilidad de tu propio proveedor de internet. Ambas herramientas resuelven problemas distintos, y por eso muchas configuraciones acaban usando las dos a la vez.
Requisitos que conviene conocer antes de empezar la noche de instalación: una IP pública o un NAT transversal que funcione (las conexiones con CGNAT complican el autohospedaje; compruébalo antes de montar nada), un puerto redirigido en tu router, y DNS dinámico si tu IP de casa cambia. PiVPN más un servicio DDNS gratuito lo resuelve todo con documentación pensada para principiantes.
Proyecto 3: Pi-hole más VPN, la combinación ganadora
Pi-hole, el trabajo más famoso de la Pi, bloquea anuncios y rastreadores a nivel DNS para toda tu red. Combinado con cualquiera de los dos proyectos anteriores, se suma: ejecuta Pi-hole junto al servidor WireGuard y tu móvil en el extranjero recibe el bloqueo de anuncios de casa a través del túnel; ejecútalo junto a la configuración de puerta de enlace y el televisor obtiene VPN comercial más bloqueo de anuncios a nivel de red al mismo tiempo, una versión casera de los bloqueadores de los proveedores como Threat Protection de NordVPN, con más control y más mantenimiento.
Esta combinación es el destino final de la mayoría de los proyectos de redes con Pi, y merece la pena planificarla desde el principio aunque empieces con uno solo: una Pi 4 o 5 aguanta ambas cargas sin esfuerzo.
Cuentas claras: hazlo tú mismo frente a suscripción
Los proyectos con Pi sustituyen distintas partes de una VPN comercial. La reemplazan por completo para el acceso remoto seguro a casa y para tener una identidad de salida de confianza. No tocan las tareas que necesitan servidores ajenos: cambiar de país geográficamente, anonimato entre la multitud, y los juegos de jurisdicción sin registros, que siguen siendo terreno de las suscripciones. En coste, la Pi gana en electricidad, y pierde en tus horas: la instalación inicial es una noche, y las actualizaciones, la higiene de certificados y el ocasional funeral de la tarjeta SD son cosa tuya para siempre.
Las configuraciones se combinan bien, y esa es la respuesta real: un proveedor comercial para las tareas orientadas al mundo (el cliente Linux de NordVPN funciona perfectamente en la misma Pi: consíguelo aquí), y tu propia puerta WireGuard para las tareas orientadas a casa.
La lista de la compra y los primeros pasos
Hardware: Pi 4 o 5 (2GB sobra), una tarjeta SD decente o un SSD USB, cable Ethernet al router (el Wi-Fi funciona, pero por cable duerme mejor). Camino de software para el proyecto de servidor: instala PiVPN con su instalador de una línea, elige WireGuard, añade un nombre de host DDNS, genera un perfil por dispositivo, escanea el QR con la app de WireGuard. Camino de software para el proyecto de puerta de enlace: cliente Linux del proveedor o configuración WireGuard, activa el reenvío, configura el enrutamiento o el punto de acceso. En ambos casos, termina como cualquier proyecto de este sitio: una prueba de fugas desde un dispositivo cliente, una vez, para confirmar que el túnel hace lo que el diagrama prometía.
Mantenimiento: lo que cuesta ser dueño de los proyectos
Las partidas honestas, al año. Actualizaciones del sistema: un apt upgrade mensual y la actualización ocasional de PiVPN, diez minutos con un café. Higiene de certificados y claves: las claves de WireGuard no caducan, pero revocar el perfil de un móvil perdido lleva un comando, que merece la pena practicar antes de necesitarlo. La realidad de la tarjeta SD: las tarjetas mueren; haz una copia del directorio de configuración una vez tras la instalación (un comando tar) y una tarjeta muerta se convierte en una restauración de veinte minutos en vez de en una reconstrucción entera. Y la vigilancia de la IP: si tu proveedor de internet cambia a menudo tu dirección de casa, el cliente DDNS es el componente a vigilar, porque cada conexión remota depende de que resuelva bien.
Carga total honesta: una o dos horas al año después de la noche de montaje, que es el precio de ser dueño de tu infraestructura en vez de alquilarla. Las casas para las que ese precio no compensa deberían comprar directamente la solución solo comercial, sin ningún reparo; esta página existe para quienes lo encuentran divertido.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Una Raspberry Pi se gana su sitio en la historia de las VPN de tres formas: puerta de enlace para los dispositivos que las apps no alcanzan, servidor WireGuard personal para volver a casa desde la carretera, y compañera de Pi-hole para bloqueo a nivel de red. Sustituye a una VPN comercial para el autoacceso y la complementa para todo lo demás; la combinación, no la rivalidad, es la configuración madura. Como proyecto de home lab, este empieza a dar rentabilidad desde la primera semana, algo que pocas pizzas pueden decir de sí mismas.
Sigue leyendo: Servidor WireGuard en Raspberry Pi: guía completa y Cómo configurar una VPN en tu router.