hwdsl2/setup-ipsec-vpnConfigura tu propio servidor VPN IPsec en solo unos minutos, con IPsec/L2TP, Cisco IPsec e IKEv2. Compatible con Ubuntu, Debian, CentOS/RHEL, Alpine Linux y Raspberry Pi OS. Incluye scripts de configuración y gestión de clientes.
English | 简体中文 | 繁體中文 | 日本語 | Русский
Configura tu propio servidor VPN IPsec en solo unos minutos, con IPsec/L2TP, Cisco IPsec e IKEv2.
Una VPN IPsec cifra tu tráfico de red, de modo que nadie entre tú y el servidor VPN pueda espiar tus datos mientras viajan por Internet. Esto es especialmente útil cuando se utilizan redes no seguras, por ejemplo, en cafeterías, aeropuertos u hoteles.
Usaremos Libreswan como servidor IPsec, y xl2tpd como proveedor L2TP.
Características:
También disponible:
Primero, prepara tu servidor Linux* con una instalación de un sistema operativo compatible.
Usa este comando de una sola línea para configurar un servidor VPN IPsec:```bash wget https://get.vpnsetup.net -O vpn.sh && sudo sh vpn.sh
Sus datos de acceso a la VPN se generarán aleatoriamente y se mostrarán al finalizar.
> [!TIP]
> Opcionalmente, instale [WireGuard](https://github.com/hwdsl2/wireguard-install), [OpenVPN](https://github.com/hwdsl2/openvpn-install) y/o [Headscale](https://github.com/hwdsl2/headscale-install) en el mismo servidor.
<details>
<summary>
Vea el script en acción (grabación de terminal).
</summary>
**Nota:** Esta grabación es solo para fines de demostración. Las credenciales de VPN en esta grabación **NO** son válidas.
<p align="center"><img src="https://raw.githubusercontent.com/hwdsl2/setup-ipsec-vpn/HEAD/docs/images/script-demo.svg"></p>
</details>
<details>
<summary>
Haga clic aquí si no puede descargar.
</summary>
También puede usar `curl` para descargar:```bash
curl -fsSL https://get.vpnsetup.net -o vpn.sh && sudo sh vpn.sh
URLs de configuración alternativas:```bash https://github.com/hwdsl2/setup-ipsec-vpn/raw/master/vpnsetup.sh https://gitlab.com/hwdsl2/setup-ipsec-vpn/-/raw/master/vpnsetup.sh
Si no puedes descargarlo, abre [vpnsetup.sh](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/vpnsetup.sh) y haz clic en el botón `Raw` de la derecha. Pulsa `Ctrl/Cmd+A` para seleccionar todo, `Ctrl/Cmd+C` para copiar y pégalo en tu editor favorito.
</details>
También hay una [imagen de Docker](https://github.com/hwdsl2/docker-ipsec-vpn-server) precompilada disponible. Para otras opciones y configuración del cliente, consulta las secciones siguientes.
\* Un servidor en la nube, un servidor privado virtual (VPS) o un servidor dedicado.
## Comunidad
- 📬 [Suscríbete para recibir actualizaciones del proyecto](https://selfhostedstack.beehiiv.com/subscribe?utm_campaign=vpn) (1–2 correos/mes) — consigue guías gratuitas de despliegue de VPN e IA (PDF)
- 💬 Únete a la comunidad [r/selfhostedstack](https://www.reddit.com/r/selfhostedstack/) para debatir
- ⭐ Marca el repositorio con una estrella si te resulta útil — ayuda a que otros lo descubran
## Requisitos
Un servidor en la nube, un servidor privado virtual (VPS) o un servidor dedicado, con una instalación de:
- Ubuntu 26.04, 24.04 o 22.04
- Debian 13, 12 o 11
- CentOS Stream 10 o 9
- Rocky Linux o AlmaLinux
- Oracle Linux
<details>
<summary>
Otras distribuciones de Linux compatibles.
</summary>
- Raspberry Pi OS (Raspbian)
- Kali Linux
- Alpine Linux
- Red Hat Enterprise Linux (RHEL)
</details>
Esto incluye también máquinas virtuales Linux en nubes públicas, como [DigitalOcean](https://blog.ls20.com/digitalocean), [Vultr](https://blog.ls20.com/vultr), [Linode](https://blog.ls20.com/linode), [OVH](https://www.ovhcloud.com/en/vps/) y [Microsoft Azure](https://azure.microsoft.com). Los usuarios de nubes públicas también pueden implementar usando [datos de usuario](https://blog.ls20.com/ipsec-l2tp-vpn-auto-setup-for-ubuntu-12-04-on-amazon-ec2/#vpnsetup).
Despliegue rápido en:
[](https://cloud.linode.com/stackscripts/37239) [](aws/README.md) [](azure/README.md)
[**» Quiero ejecutar mi propia VPN pero no tengo un servidor para ello**](https://blog.ls20.com/ipsec-l2tp-vpn-auto-setup-for-ubuntu-12-04-on-amazon-ec2/#gettingavps)
Para servidores con un firewall externo (por ejemplo, [EC2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-security-groups.html)/[GCE](https://cloud.google.com/vpc/docs/firewalls)), abre los puertos UDP 500 y 4500 para la VPN.
También hay una [imagen de Docker](https://github.com/hwdsl2/docker-ipsec-vpn-server) precompilada disponible. Los usuarios avanzados pueden instalar en una [Raspberry Pi](https://www.raspberrypi.com). [[1]](https://elasticbyte.net/posts/setting-up-a-native-cisco-ipsec-vpn-server-using-a-raspberry-pi/) [[2]](https://www.stewright.me/2018/07/create-a-raspberry-pi-vpn-server-using-l2tpipsec/)
> [!WARNING]
> **NO** ejecutes estos scripts en tu PC o Mac! Solo deben usarse en un servidor!
## Instalación
Primero, actualiza tu servidor con `sudo apt-get update && sudo apt-get dist-upgrade` (Ubuntu/Debian) o `sudo yum update` y reinícialo. Esto es opcional, pero recomendado.
Para instalar la VPN, elige una de las siguientes opciones:
**Opción 1:** Haz que el script genere credenciales VPN aleatorias para ti (se mostrarán al finalizar).```bash
wget https://get.vpnsetup.net -O vpn.sh && sudo sh vpn.sh
Opción 2: Edita el script y proporciona tus propias credenciales de VPN.```bash wget https://get.vpnsetup.net -O vpn.sh nano -w vpn.sh [Replace with your own values: YOUR_IPSEC_PSK, YOUR_USERNAME and YOUR_PASSWORD] sudo sh vpn.sh
> [!NOTE]
> Una PSK IPsec segura debe constar de al menos 20 caracteres aleatorios.
**Opción 3:** Define tus credenciales VPN como variables de entorno.```bash
# All values MUST be placed inside 'single quotes'
# DO NOT use these special characters within values: \ " '
wget https://get.vpnsetup.net -O vpn.sh
sudo VPN_IPSEC_PSK='your_ipsec_pre_shared_key' \
VPN_USER='your_vpn_username' \
VPN_PASSWORD='your_vpn_password' \
sh vpn.sh
[!TIP] Opcionalmente instale WireGuard, OpenVPN y/o Headscale en el mismo servidor. Si su servidor ejecuta CentOS Stream, Rocky Linux o AlmaLinux, primero instale OpenVPN/WireGuard y luego instale la VPN IPsec.
También puede usar curl para descargar. Por ejemplo:```bash
curl -fL https://get.vpnsetup.net -o vpn.sh
sudo sh vpn.sh
URLs de configuración alternativas:```bash
https://github.com/hwdsl2/setup-ipsec-vpn/raw/master/vpnsetup.sh
https://gitlab.com/hwdsl2/setup-ipsec-vpn/-/raw/master/vpnsetup.sh
Si no puedes descargarlo, abre vpnsetup.sh, luego haz clic en el botón Raw de la derecha. Pulsa Ctrl/Cmd+A para seleccionar todo, Ctrl/Cmd+C para copiar y luego pégalo en tu editor favorito.
Generalmente se recomienda utilizar la última versión 5 de Libreswan, que es la versión predeterminada en este proyecto. Sin embargo, si quieres instalar la versión anterior de Libreswan, la 4:```bash wget https://get.vpnsetup.net -O vpn.sh sudo VPN_SWAN_VER=4.15 sh vpn.sh
**Nota:** Si Libreswan versión 5 ya está instalado, es posible que necesite primero [Desinstalar la VPN](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/uninstall.md) antes de instalar Libreswan versión 4. Alternativamente, descargue el [script de actualización](#upgrade-libreswan), edítelo para especificar `SWAN_VER=4.15` y luego ejecute el script.
</details>
## Personalizar las opciones de VPN
### Usar servidores DNS alternativos
De forma predeterminada, los clientes están configurados para usar [Google Public DNS](https://developers.google.com/speed/public-dns/) cuando la VPN está activa. Al instalar la VPN, opcionalmente puede especificar servidores DNS personalizados para todos los modos de VPN. Ejemplo:```bash
sudo VPN_DNS_SRV1=1.1.1.1 VPN_DNS_SRV2=1.0.0.1 sh vpn.sh
Utilice VPN_DNS_SRV1 para especificar el servidor DNS primario, y VPN_DNS_SRV2 para especificar el servidor DNS secundario (opcional).
A continuación se muestra una lista de algunos proveedores públicos de DNS populares como referencia.
| Proveedor | DNS primario | DNS secundario | Notas |
|---|
| Google Public DNS | 8.8.8.8 | 8.8.4.4 | Predeterminado en este proyecto |
| Cloudflare | 1.1.1.1 | 1.0.0.1 | Ver también: Cloudflare for families |
| Quad9 | 9.9.9.9 | 149.112.112.112 | Bloquea dominios maliciosos |
| OpenDNS | 208.67.222.222 | 208.67.220.220 | Bloquea dominios de phishing, configurable. |
| CleanBrowsing | 185.228.168.9 | 185.228.169.9 | Filtros de dominio disponibles |
| NextDNS | Varía | Varía | Bloqueo de anuncios, plan gratuito disponible. Más información. |
| Control D | Varía | Varía | Bloqueo de anuncios, configurable. Más información. |
Si necesita cambiar los servidores DNS después de la configuración de la VPN, consulte Uso avanzado.
[!NOTE] Si IKEv2 ya está configurado en el servidor, las variables anteriores no tienen efecto para el modo IKEv2. En ese caso, para personalizar las opciones de IKEv2, como los servidores DNS, primero puede eliminar IKEv2 y luego configurarlo de nuevo usando
sudo ikev2.sh.
Al instalar la VPN, los usuarios avanzados pueden personalizar las opciones de IKEv2 de forma opcional.
Después de eso, ejecute el script auxiliar de IKEv2 para configurar IKEv2 de forma interactiva con opciones personalizadas:```bash sudo ikev2.sh
Puede personalizar las siguientes opciones: nombre DNS del servidor VPN, nombre y período de validez del primer cliente, servidor DNS para clientes VPN y si desea proteger con contraseña los archivos de configuración del cliente.
**Nota:** La variable `VPN_SKIP_IKEV2` no tiene efecto si IKEv2 ya está configurado en el servidor. En ese caso, para personalizar las opciones de IKEv2, puede primero [eliminar IKEv2](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/ikev2-howto.md#remove-ikev2) y luego configurarlo de nuevo usando `sudo ikev2.sh`.
</details>
<details>
<summary>
Opción 2: Personalizar las opciones de IKEv2 mediante variables de entorno.
</summary>
Al instalar la VPN, puede especificar opcionalmente un nombre DNS para la dirección del servidor IKEv2. El nombre DNS debe ser un nombre de dominio totalmente calificado (FQDN). Ejemplo:```bash
sudo VPN_DNS_NAME='vpn.example.com' sh vpn.sh
Del mismo modo, puede especificar un nombre para el primer cliente IKEv2. El valor predeterminado es vpnclient si no se especifica.```bash
sudo VPN_CLIENT_NAME='your_client_name' sh vpn.sh
Por defecto, los clientes están configurados para usar [Google Public DNS](https://developers.google.com/speed/public-dns/) cuando la VPN está activa. Puedes especificar servidores DNS personalizados para todos los modos de VPN. Ejemplo:```bash
sudo VPN_DNS_SRV1=1.1.1.1 VPN_DNS_SRV2=1.0.0.1 sh vpn.sh
Por defecto, no se requiere contraseña al importar la configuración del cliente IKEv2. Puede optar por proteger los archivos de configuración del cliente mediante una contraseña aleatoria.```bash sudo VPN_PROTECT_CONFIG=yes sh vpn.sh
</details>
<details>
<summary>
Para referencia: Lista de parámetros IKEv1 e IKEv2.
</summary>
| Parámetro IKEv1\* | Valor predeterminado | Personalizar (variable de entorno)\*\* |
| --------------------------- | --------------------- | --------------------------------------- |
| Dirección del servidor (nombre DNS) | - | No, pero puedes conectarte usando un nombre DNS |
| Dirección del servidor (IP pública) | Detección automática | VPN_PUBLIC_IP |
| Clave precompartida IPsec | Generación automática | VPN_IPSEC_PSK |
| Nombre de usuario VPN | vpnuser | VPN_USER |
| Contraseña VPN | Generación automática | VPN_PASSWORD |
| Servidores DNS para clientes | Google Public DNS | VPN_DNS_SRV1, VPN_DNS_SRV2 |
| Omitir configuración de IKEv2 | no | VPN_SKIP_IKEV2=yes |
\* Estos parámetros IKEv1 son para los modos IPsec/L2TP e IPsec/XAuth ("Cisco IPsec").
\*\* Defínelos como variables de entorno al ejecutar vpn(setup).sh.
| Parámetro IKEv2\* | Valor predeterminado | Personalizar (variable de entorno)\*\* | Personalizar (interactivo)\*\*\* |
| --------------------------- | --------------------- | --------------------------------------- | -------------------------------- |
| Dirección del servidor (nombre DNS) | - | VPN_DNS_NAME | ✅ |
| Dirección del servidor (IP pública) | Detección automática | VPN_PUBLIC_IP | ✅ |
| Nombre del primer cliente | vpnclient | VPN_CLIENT_NAME | ✅ |
| Servidores DNS para clientes | Google Public DNS | VPN_DNS_SRV1, VPN_DNS_SRV2 | ✅ |
| Proteger archivos de configuración del cliente | no | VPN_PROTECT_CONFIG=yes | ✅ |
| Habilitar/Deshabilitar MOBIKE | Habilitar si es compatible | ❌ | ✅ |
| Validez del certificado del cliente | 10 años (120 meses) | VPN_CLIENT_VALIDITY\*\*\*\* | ✅ |
| Validez del certificado CA y del servidor | 10 años (120 meses) | ❌ | ❌ |
| Nombre del certificado CA | IKEv2 VPN CA | ❌ | ❌ |
| Tamaño de clave del certificado | 3072 bits | ❌ | ❌ |
\* Estos parámetros IKEv2 son para el modo IKEv2.
\*\* Defínelos como variables de entorno al ejecutar vpn(setup).sh, o al configurar IKEv2 en modo automático (`sudo ikev2.sh --auto`).
\*\*\* Se pueden personalizar durante la configuración interactiva de IKEv2 (`sudo ikev2.sh`). Consulta la opción 1 más arriba.
\*\*\*\* Usa `VPN_CLIENT_VALIDITY` para especificar el período de validez del certificado del cliente en meses. Debe ser un número entero entre 1 y 120.
Además de estos parámetros, los usuarios avanzados también pueden [personalizar las subredes VPN](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/advanced-usage.md#customize-vpn-subnets) durante la configuración de la VPN.
</details>
## Próximos pasos
*Lee esto en otros idiomas: [English](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/README.md#next-steps), [简体中文](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/README-zh.md#下一步), [繁體中文](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/README-zh-Hant.md#下一步), [日本語](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/README-ja.md#次のステップ), [Русский](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/README-ru.md#следующие-шаги).*
Configura tu computadora o dispositivo para usar la VPN. Consulta:
**[Configurar clientes VPN IKEv2 (recomendado)](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/ikev2-howto.md)**
**[Configurar clientes VPN IPsec/L2TP](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/clients.md)**
**[Configurar clientes VPN IPsec/XAuth ("Cisco IPsec")](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/clients-xauth.md)**
**Lee [:book: El libro de la VPN](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/vpn-book.md) para acceder a [contenido adicional](https://ko-fi.com/post/Support-this-project-and-get-access-to-supporter-o-O5O7FVF8J).**
¡Disfruta de tu propia VPN! :sparkles::tada::rocket::sparkles:
## Notas importantes
**Usuarios de Windows**: Para el modo IPsec/L2TP, se requiere un [cambio único en el registro](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/clients.md#windows-error-809) si el servidor o el cliente VPN está detrás de NAT (por ejemplo, un router doméstico).
La misma cuenta VPN puede ser utilizada por varios de tus dispositivos. Sin embargo, debido a una limitación de IPsec/L2TP, si deseas conectar varios dispositivos desde el mismo NAT (por ejemplo, un router doméstico), debes usar el modo [IKEv2](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/ikev2-howto.md) o [IPsec/XAuth](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/clients-xauth.md). Para ver o actualizar las cuentas de usuario VPN, consulta [Gestionar usuarios VPN](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/manage-users.md).
Para servidores con un firewall externo (por ejemplo, [EC2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-security-groups.html)/[GCE](https://cloud.google.com/vpc/docs/firewalls)), abre los puertos UDP 500 y 4500 para la VPN. Usuarios de Aliyun, consulten [#433](https://github.com/hwdsl2/setup-ipsec-vpn/issues/433).
Los clientes están configurados para usar [Google Public DNS](https://developers.google.com/speed/public-dns/) cuando la VPN está activa. Si se prefiere otro proveedor de DNS, consulta [Uso avanzado](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/advanced-usage.md).
El uso del soporte del kernel puede mejorar el rendimiento de IPsec/L2TP. Está disponible en todos los [SO compatibles](#requirements). Los usuarios de Ubuntu deben instalar el paquete `linux-modules-extra-$(uname -r)` y ejecutar `service xl2tpd restart`.
Los scripts harán una copia de seguridad de los archivos de configuración existentes antes de realizar cambios, con el sufijo `.old-date-time`.
## Actualizar Libreswan
Usa este comando de una línea para actualizar [Libreswan](https://libreswan.org) ([registro de cambios](https://github.com/libreswan/libreswan/blob/main/CHANGES) | [anuncio](https://lists.libreswan.org)) en tu servidor VPN.```bash
wget https://get.vpnsetup.net/upg -O vpnup.sh && sudo sh vpnup.sh
También puedes usar curl para descargar:```bash
curl -fsSL https://get.vpnsetup.net/upg -o vpnup.sh && sudo sh vpnup.sh
URLs de actualización alternativas:```bash
https://github.com/hwdsl2/setup-ipsec-vpn/raw/master/extras/vpnupgrade.sh
https://gitlab.com/hwdsl2/setup-ipsec-vpn/-/raw/master/extras/vpnupgrade.sh
Si no puedes descargarlo, abre vpnupgrade.sh y haz clic en el botón Raw de la derecha. Pulsa Ctrl/Cmd+A para seleccionar todo, Ctrl/Cmd+C para copiar y pégalo en tu editor favorito.
La última versión compatible de Libreswan es la 5.3.1. Comprueba la versión instalada: ipsec --version.
Nota: xl2tpd puede actualizarse con el gestor de paquetes de tu sistema, como apt-get en Ubuntu/Debian.
Consulta Administrar usuarios de VPN.
Consulta Uso avanzado.
Para desinstalar la VPN IPsec, ejecuta el script auxiliar:
[!CAUTION] Este script auxiliar eliminará la VPN IPsec de tu servidor. Toda la configuración de la VPN será eliminada permanentemente, y Libreswan y xl2tpd serán eliminados. ¡Esto no se puede deshacer!```bash wget https://get.vpnsetup.net/unst -O unst.sh && sudo bash unst.sh
<details>
<summary>
Haz clic aquí si no puedes descargar.
</summary>
También puedes usar `curl` para descargar:```bash
curl -fsSL https://get.vpnsetup.net/unst -o unst.sh && sudo bash unst.sh
URLs alternativas de scripts:```bash https://github.com/hwdsl2/setup-ipsec-vpn/raw/master/extras/vpnuninstall.sh https://gitlab.com/hwdsl2/setup-ipsec-vpn/-/raw/master/extras/vpnuninstall.sh
</details>
Para más información, consulta [Desinstalar la VPN](https://github.com/hwdsl2/setup-ipsec-vpn/blob/HEAD/docs/uninstall.md).
## Comentarios y preguntas
- ¿Tienes una sugerencia para este proyecto? Abre una [solicitud de mejora](https://github.com/hwdsl2/setup-ipsec-vpn/issues/new/choose). Los [pull requests](https://github.com/hwdsl2/setup-ipsec-vpn/pulls) también son bienvenidos.
- Si encontraste un error reproducible, abre un informe de error para la [VPN IPsec](https://github.com/libreswan/libreswan/issues?q=is%3Aissue) o para los [scripts de VPN](https://github.com/hwdsl2/setup-ipsec-vpn/issues/new/choose).
- ¿Tienes una pregunta? Primero busca en los [issues existentes](https://github.com/hwdsl2/setup-ipsec-vpn/issues?q=is%3Aissue) y en los comentarios [de este Gist](https://gist.github.com/hwdsl2/9030462#comments) y [de mi blog](https://blog.ls20.com/ipsec-l2tp-vpn-auto-setup-for-ubuntu-12-04-on-amazon-ec2/#disqus_thread).
- Haz preguntas relacionadas con VPN en la lista de correo de [Libreswan](https://lists.libreswan.org) o [strongSwan](https://lists.strongswan.org), o lee estas wikis: [[1]](https://libreswan.org/wiki/Main_Page) [[2]](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/security_guide/sec-securing_virtual_private_networks) [[3]](https://wiki.strongswan.org/projects/strongswan/wiki/UserDocumentation) [[4]](https://wiki.gentoo.org/wiki/IPsec_L2TP_VPN_server) [[5]](https://wiki.archlinux.org/index.php/Openswan_L2TP/IPsec_VPN_client_setup).
## Licencia
Copyright (C) 2014-2026 [Lin Song](https://github.com/hwdsl2) [](https://www.linkedin.com/in/linsongui)
Basado en [el trabajo de Thomas Sarlandie](https://github.com/sarfata/voodooprivacy) (Copyright 2012)
[](http://creativecommons.org/licenses/by-sa/3.0/)
Este trabajo está bajo la licencia [Creative Commons Attribution-ShareAlike 3.0 Unported](http://creativecommons.org/licenses/by-sa/3.0/)
Se requiere atribución: por favor incluye mi nombre en cualquier obra derivada y házmelo saber si la has mejorado.