Saltar al contenidoCómo configurar una VPN WireGuard en Android
Esta guía explica cómo configurar una VPN WireGuard en Android para alguien que ya tiene un servidor, un perfil de proveedor o una configuración de un administrador. Aquí no vas a montar la VPN desde cero. Vas a dejar listo un teléfono, y eso cambia algunos detalles de inmediato: importaciones desde la cámara, límites de batería y permisos de Android pueden complicarse más rápido que en un portátil. Si buscas una referencia directa para configurar WireGuard en Android, aquí verás el proceso completo sin rodeos.
Si antes has seguido instrucciones para escritorio, la idea te resultará familiar. En un teléfono el proceso es más corto, pero el margen de error es menor. Un solo typo en el endpoint o en el campo DNS puede dejarte conectado pero sin acceso a internet. Ese es precisamente el tipo de fallo molesto que este artículo intenta evitar.
1. Qué cubre esta guía de configuración en Android
Esta es una guía pensada primero para el móvil, para personas que necesitan que la app funcione rápido. Se centra en el flujo dentro de la app, no en crear servidores, generar claves en un router o editar reglas de firewall en Linux. Se da por hecho que esas partes ya existen.
El objetivo es práctico: importar un perfil, verificar un túnel y mantenerlo usable en el móvil. La configuración de la VPN en Android tiene dos restricciones extra que los usuarios de escritorio no siempre tienen. Primero, la app suele depender de un código QR o de transferir un archivo. Segundo, Android puede pausar la actividad en segundo plano si los ajustes del dispositivo no están bien configurados.
Si ya has leído cómo elegir una VPN, ya sabes que hay diferencia entre un servicio que suena bien y uno que realmente te da un perfil funcional. Android deja esa diferencia al descubierto. La app aceptará la configuración o no la aceptará.
2. Instala la app WireGuard en Android
Empieza con la app oficial de WireGuard desde Google Play Store o desde la fuente oficial de lanzamientos de Android del proyecto. El nombre debe ser claro: WireGuard. No una copia. No una app auxiliar con promesas extra. La app aparece publicada por el WireGuard Development Team.
Antes de abrirla por primera vez, revisa qué permisos solicita. Normalmente la app necesita acceso a la red y, si planeas importar una configuración desde un archivo, acceso al almacenamiento o a un selector de archivos. No debería pedir una lista larga de permisos ajenos a su función. Eso es una buena señal.
Concede solo lo necesario. Puede que más adelante aparezca permiso para la cámara si importas un túnel mediante un código QR. Si la app pide más, pausa. Un permiso es normal. Cinco, no.
En algunas versiones de Android, el primer inicio también mostrará un cuadro de diálogo del sistema para aprobar la conexión VPN. No es un problema. Android simplemente te está preguntando si la app puede crear una interfaz VPN en tu dispositivo. Pulsa permitir cuando aparezca el aviso.
3. Reúne el perfil VPN que vas a importar
Antes de tocar la app, ten el perfil listo. Los formatos más comunes son un código QR, un archivo .conf o un bloque de texto que puedes pegar en un túnel nuevo. Si estás trabajando con un proveedor o con un administrador de empresa, pregunta qué formato esperan que uses. No adivines.
Un código QR es cómodo para importar perfil WireGuard Android porque evita escribir a mano una clave larga y la cadena del endpoint. Un archivo es mejor si ya lo recibiste por correo, chat o desde un portal de gestión de dispositivos. Una configuración lista para pegar es menos habitual, pero funciona cuando el perfil se envió en texto plano y confías en la fuente.
Asegúrate también de tener las instrucciones que venían con el perfil. Algunos proveedores añaden una nota sobre DNS, otros incluyen un puerto de endpoint personalizado, y otros esperan que uses un hostname específico que cambia más adelante. Un solo dato pasado por alto puede hacer que el túnel parezca correcto mientras el navegador sigue sin cargar páginas.
Si el perfil viene de un administrador, pregunta si el cliente debe usar split tunneling o enviar todo el tráfico por la VPN. Si es posible, pregunta eso antes de importar. Te ahorra tiempo. Además, mantiene la configuración móvil más alineada con lo que espera el servidor.
4. Configuración de WireGuard en Android: importa o crea un túnel
La configuración de la app WireGuard en Android empieza en la pantalla principal. Toca el botón de más y luego elige cómo quieres añadir un túnel. El texto exacto puede variar un poco según la versión, pero las opciones suelen ser claras: crear desde cero, escanear un código QR o importar desde un archivo.
Para un código QR, elige la opción de escaneo y apunta la cámara hacia el código. Mantén el teléfono quieto uno o dos segundos. Si el código está impreso en pequeño, acerca el teléfono en lugar de hacer zoom primero. La app debería leer el perfil y crear automáticamente una entrada de túnel.
Para importar un archivo, elige la opción de archivo y busca el archivo .conf. Android puede abrir un selector de archivos en lugar de un explorador de archivos. Es normal. Selecciona la configuración y confirma la importación. Si el archivo está en Descargas, empieza por ahí.
Para un túnel manual, introduce tú mismo los ajustes. Es la opción menos flexible, pero resulta útil cuando solo tienes los valores en un mensaje o cuando el perfil se está creando en el dispositivo para una prueba temporal. La app te pedirá un nombre de túnel, clave privada, direcciones, DNS, endpoint y la clave pública del peer. Escribe cada campo exactamente como te lo hayan dado.
La entrada manual es donde la configuración de una VPN móvil se vuelve pesada. Un carácter incorrecto en el endpoint o un sufijo CIDR que falte pueden romper el túnel. Si el proveedor te dio un archivo o un código QR, úsalo en su lugar. Menos escritura significa menos errores.
Si quieres una comparación rápida, piénsalo así: código QR para rapidez, archivo para claridad, entrada manual para emergencias. Tres caminos. Un túnel.
5. Revisa y edita los ajustes de conexión en el móvil
Después de importar, abre el túnel y revisa la configuración antes de activarlo. Comprueba primero las direcciones. En un teléfono, la dirección suele parecer una asignación privada IPv4 o IPv6, a veces con una máscara /32 o /128. Si esa máscara es incorrecta, el túnel puede conectar pero el tráfico no se enruta bien.
Después revisa el DNS. Este campo importa más de lo que mucha gente cree. Si falta el DNS o es incorrecto, el túnel puede aparecer activo mientras las webs no resuelven. Ese fallo parece una caída de red, pero normalmente solo es resolución de nombres. Un campo. Un gran efecto.
Revisa con cuidado Allowed IPs. Este ajuste controla qué tráfico se envía por el túnel. Un perfil de túnel completo suele usar 0.0.0.0/0 y ::/0, mientras que un perfil de split tunneling contiene solo los rangos necesarios. No lo cambies salvo que el propietario del perfil te lo haya indicado. Aquí un teléfono no necesita improvisar.
Los detalles del endpoint merecen la misma atención. El hostname, el puerto y los valores del protocolo deben coincidir exactamente con el perfil recibido. Si el endpoint es un hostname y tu teléfono puede resolverlo, déjalo como está. Si el endpoint es una IP, mantenla tal como viene. No es el lugar para cambiarlo por un valor más “amigable”.
La mayoría de los usuarios debería evitar editar claves. Los campos de clave privada, clave pública y clave precompartida no son decorativos. Son identidad. Si uno de esos campos está mal, la conexión fallará o el servidor rechazará al peer. Si no estás seguro, detente y vuelve a importar el perfil original.
Si comparas ajustes entre dispositivos, la app facilita copiar el nombre del túnel y revisar un campo cada vez. Es útil cuando sincronizas un teléfono con una tableta o cuando mueves una configuración después de un restablecimiento. También es el momento en el que una etiqueta clara como “VPN trabajo” ayuda más que un nombre técnico que nadie recuerda.
Algunos equipos guardan notas en un manual aparte, y algunos usuarios contrastan terminología con un glosario como el glosario de VPN y proxy del sitio cuando no están seguros de la diferencia entre términos de enrutamiento y de proxy. Eso resulta útil si también estás trabajando con un entorno de red mixto y no quieres que las etiquetas se confundan.
6. Conecta WireGuard en Android y comprueba que funciona
Activa el túnel con el interruptor dentro de la app. Android debería pedir aprobación de VPN la primera vez y luego mostrar un icono de llave o un indicador similar en la barra del sistema mientras el túnel esté activo. La propia app también puede mostrar un estado verde o conectado. El aspecto exacto depende de la versión de Android.
Ahora prueba el tráfico. Abre una web que no hayas cargado recientemente o consulta un servicio que muestre tu IP. Si el túnel está pensado para enrutar todo el tráfico, la ubicación de red que se muestre debería coincidir con la región general del endpoint VPN y no con la de tu operador móvil. Si no coincide, algo en el perfil o en la lista de rutas está mal.
Prueba tanto con Wi‑Fi como con datos móviles si el perfil debe sobrevivir a cambios de red. Un túnel que funciona en el Wi‑Fi de casa pero falla con datos móviles puede estar bien, o puede depender demasiado de un servidor DNS que tu operador bloquea. Esa es una diferencia real del mundo real, no un ejercicio teórico.
Fíjate en un patrón concreto: conectado, pero sin navegar. Eso suele significar que el túnel está arriba, pero el DNS, las rutas o los Allowed IPs no están bien. Un handshake correcto no es lo mismo que tráfico útil. La app puede decir “conectado” mientras tu navegador se queda sin hacer nada. Si todavía dudas sobre cómo usar WireGuard en el móvil, esta comprobación es la que más rápido te dirá si la configuración quedó bien.
7. Problemas comunes en la configuración de VPN móvil
Los fallos al importar con la cámara suelen deberse a dos cosas: poca luz o un código QR demasiado pequeño. Si la cámara no puede leer el código, amplíalo en otra pantalla, sube el brillo o cambia a la importación desde archivo. Una mano temblorosa también basta para causar problemas. Los teléfonos son tolerantes… hasta que dejan de serlo.
Los archivos en un formato incorrecto son otro problema frecuente. Si la app rechaza un archivo, comprueba si es contenido de texto plano .conf y no un documento renombrado o un adjunto comprimido. Las apps de correo a veces alteran los adjuntos de formas que complican la importación. Guarda el archivo localmente antes de volver a intentarlo.
Los fallos de DNS son comunes en Android porque el túnel puede establecerse antes de que se pruebe la resolución de nombres. Si los sitios por IP funcionan pero los nombres de dominio no, revisa primero el campo DNS. La solución suele ser restaurar el valor de DNS del perfil original. Un único resolvedor que falte puede hacer que todo parezca roto.
La optimización de batería también puede interferir. Algunos dispositivos Android son muy agresivos con las apps en segundo plano, sobre todo si la pantalla permanece apagada durante mucho tiempo. Si el túnel se cae al cabo de un rato, comprueba si el sistema está restringiendo la app WireGuard. El nombre exacto del ajuste cambia según el fabricante, y algunos dispositivos lo esconden en un menú de batería sin advertencia clara.
Los permisos también importan. Si importaste desde un archivo, pero la app no puede acceder a él después, puede que falte el permiso de almacenamiento o que se haya revocado. Vuelve a conceder el acceso desde los ajustes de Android si hace falta. Eso puede ahorrarte reinstalar toda la app. Pequeña solución, gran alivio.
Si el túnel conecta pero sigue sin pasar tráfico, prueba el endpoint desde otra red si puedes y confirma que el peer del lado del servidor sigue siendo válido. Una suscripción caducada, una clave rotada o un puerto de endpoint cambiado pueden producir un túnel que parece correcto en el teléfono pero no lleva a ninguna parte. No es algo raro.
Para quienes comparan el comportamiento de VPN y proxy mientras solucionan problemas, el artículo del sitio sobre proxy SOCKS5 frente a proxy HTTP puede ayudar a separar problemas de túnel de problemas de proxy. A menudo se confunden, y fallan de maneras distintas.
8. Gestiona, cambia y mantén la VPN usable en Android
Cuando el túnel funcione, renómbralo con algo evidente. “Oficina en casa”, “Trabajo UE” o “Proveedor A” es más fácil de gestionar que una etiqueta de importación aleatoria. Eso importa si mantienes más de un perfil en el mismo teléfono. Una etiqueta por propósito es suficiente.
También puedes conservar varios túneles y cambiar manualmente entre ellos. La app lo gestiona bien. Solo recuerda que quizá solo necesites un túnel activo a la vez, salvo que tu configuración esté diseñada de otra forma. Activar el túnel equivocado es el error más fácil dentro de la app.
Si el perfil cambia más adelante, vuelve a importarlo en lugar de editar demasiados campos a mano. Así mantienes la configuración móvil cerca de la fuente de verdad. También reduces la posibilidad de dejar un valor antiguo olvidado, que es el tipo de cosa que causa problemas dos semanas después y al principio parece no tener relación.
Después de actualizaciones de la app, echa un vistazo a la lista de túneles y al estado de permisos del sistema. Las actualizaciones de Android pueden restablecer algunas reglas de segundo plano, y las migraciones de dispositivo pueden borrar el acceso almacenado a archivos. Si el nombre del túnel sigue ahí pero la conexión está rota, revisa la configuración de la app antes de asumir que el perfil está mal.
Para cualquiera que cambie de proveedor o cree perfiles de trabajo con frecuencia, una nota con el nombre de la cuenta, el endpoint y la fecha de importación puede ahorrar tiempo. Debe ser una nota de texto plano, no un documento pulido. Solo tiene que decirte qué túnel corresponde a qué propósito en un día en el que el teléfono tiene tres configuraciones activas y necesitas la correcta en 10 segundos.
Conserva la fuente original del perfil si puedes. Una captura del código QR, un archivo .conf copiado o un mensaje del proveedor pueden marcar la diferencia entre una reimportación de 2 minutos y una búsqueda de 20 minutos en correos antiguos. Los teléfonos son cómodos. También pierden el contexto muy rápido.
Y si estás revisando otras herramientas de red junto con WireGuard, mantén claras las diferencias. Un perfil de VPN, un ajuste de proxy y un método de autenticación a nivel de aplicación no son lo mismo. Confundirlos hace perder tiempo, especialmente cuando el teléfono solo te da una pequeña línea de estado para trabajar.