La mayoría de proyectos de self-hosting (servidores de correo, nubes privadas o acceso remoto) chocan tarde o temprano con una barrera estructural en España: la gestión de la IP pública. Las conexiones residenciales ofrecen IPs dinámicas, a menudo bajo CG-NAT, y con una reputación «sucia» en listas negras.
La solución tradicional que ofrecen las operadoras (Movistar, Vodafone, Orange) suele ser inviable para el usuario particular: contratar líneas para empresas o pagar suplementos elevados por una IP estática. Además, esto conlleva un riesgo de seguridad inherente: expones la dirección IP de tu domicilio directamente a internet.
En este artículo explico la arquitectura que utilizo para obtener una IP fija profesional, con reputación limpia y control total de puertos, por una fracción del coste comercial, utilizando un VPS como pasarela.
El Problema: Costes elevados y seguridad expuesta
Si intentas contratar una IP fija con tu ISP actual, te encontrarás con tres problemas técnicos y económicos:
- Coste recurrente: Las operadoras suelen reservar las IPs fijas para contratos de empresa o cobran tarifas mensuales adicionales (entre 15€ y 30€ según la compañía).
- Reputación de IP (Deliverability): Aunque pagues por una IP fija en una línea residencial, los rangos de IP asignados a usuarios domésticos suelen estar bloqueados por defecto en muchas listas RBL (Real-time Blackhole List). Esto hace prácticamente imposible mantener un servidor de correo funcional (puerto 25 bloqueado o correos marcados como spam).
- Superficie de ataque: Al asignar una IP estática a tu router doméstico, cualquier ataque (DDoS, escaneos de puertos) impacta directamente en tu red local. La seguridad perimetral depende exclusivamente de tu router y tu firewall casero.
La Solución: VPS como Gateway Perimetral
La alternativa técnica más eficiente es desacoplar la IP pública de la ubicación física. En lugar de pagar al ISP, utilizamos un VPS (Servidor Privado Virtual) de bajo coste que actúa como frontal de nuestra red.
Análisis de Costes
Actualmente, el mercado de hosting ofrece instancias VPS básicas (suficientes para enrutar tráfico) a precios muy competitivos.
- Coste Operadora: ~30€/mes (IP Fija + tarifa empresa).
- Coste Método VPS: ~0,75€/mes (Ejemplo: VPS Nano de PiensaSolutions o equivalentes en OVH/Hetzner).
Esto supone un ahorro superior al 90% anual, obteniendo además una IP de centro de datos (Datacenter IP), que goza de mejor reputación y estabilidad.
Arquitectura Técnica: Túneles y Enrutamiento
El esquema de funcionamiento se basa en establecer un túnel cifrado entre el VPS (IP Pública) y el servidor local (Casa). El VPS no procesa los servicios, simplemente reenvía el tráfico.
1. La Conectividad: WireGuard
Utilizamos WireGuard por su simplicidad y bajo <i>overhead</i> en comparación con OpenVPN o IPsec.
- VPS: Actúa como el nodo público (Peer A).
- Servidor Local: Se conecta como cliente (Peer B) manteniendo un túnel persistente (KeepAlive).
Esto crea una interfaz de red virtual (ej. wg0) donde ambos servidores pueden comunicarse mediante IPs privadas (ej. 10.6.0.1 y 10.6.0.2), independientemente de que la IP pública de tu casa cambie.
2. Redirección de Puertos (DNAT y SNAT)
Para que el tráfico fluya desde internet hasta tu servidor casero de forma transparente, manipulamos las tablas de enrutamiento del kernel de Linux (iptables o nftables) en el VPS.
El concepto clave es el DNAT (Destination NAT). Configuramos el VPS para que todo paquete que llegue a puertos específicos (80, 443, 25, 993) sea reescrito y enviado a través del túnel VPN hacia la IP interna del servidor casero.
Para el mundo exterior, es el VPS quien responde. Para tu servidor casero, las peticiones llegan a través de la VPN.
3. Seguridad Perimetral Desplazada
Esta configuración traslada la primera línea de defensa fuera de tu domicilio:
- Filtrado en la Nube: Puedes configurar el firewall del VPS (UFW o iptables) para bloquear tráfico no deseado antes de que sature tu subida doméstica.
- Privacidad: La IP real de tu conexión de fibra óptica permanece oculta. Ante un ataque de denegación de servicio, cae el VPS (fácilmente reiniciable o sustituible), no tu conexión a internet personal.
Comparativa Técnica
| Característica | IP Fija ISP (Operadora) | VPS + WireGuard Gateway |
| Coste Mensual | Alto (>15€/mes) | Muy bajo (<1€ – 2€/mes) |
| Tipo de IP | Residencial (Riesgo de listas negras) | Datacenter (IP Limpia) |
| Gestión de Puertos | Limitada (P. 25 a menudo bloqueado) | Total (Control root) |
| Punto de Fallo | Router doméstico | VPS (Centro de datos) |
| Mitigación DDoS | Depende del ISP | Configurable en VPS |
Conclusión
Obtener una IP fija no requiere contratos empresariales costosos. Mediante la implementación de un VPS intermedio y un túnel VPN, conseguimos una infraestructura más robusta, segura y económica.
Esta arquitectura es la base sobre la que construiremos el resto de servicios de la serie. En el próximo artículo, entraremos en la configuración paso a paso del sistema operativo y la instalación de Virtualmin, preparando nuestro entorno local para recibir el tráfico desde este nuevo Gateway.
