autoalojar escritorio remoto en VPS: guía de configuración con VPS de $5

Quieres un escritorio remoto privado y fiable que no enrute tu tráfico a través de la nube de otra persona, pero tampoco quieres pagar precios empresariales ni lidiar con redes complicadas. Esta guía recorre una configuración práctica de "self host remote desktop vps" que puedes ejecutar en un VPS de $5 — lo suficientemente segura para operaciones diarias y lo bastante barata para justificar el autoalojamiento.

Por qué un VPS de $5 es un punto de partida sensato

Para casos de uso de escritorio remoto (usuario único, sesiones ocasionales), un VPS de gama baja suele ser suficiente. Los planes comunes de ~$5 (por ejemplo, 1 vCPU / 1GB RAM / 25GB SSD) en proveedores como DigitalOcean, Vultr o Linode manejan una sesión concurrente, agentes en modo headless y un relay o VPN liviano.

Esta guía usa Ubuntu 22.04 LTS (estable, con amplio soporte) y asume que el VPS será accesible desde Internet público. Si necesitas GPU, transmisión a alta tasa de cuadros en múltiples monitores o muchos usuarios concurrentes, requerirás un plan más grande; en esos casos RDP/AnyDesk/TeamViewer o una estación de trabajo dedicada pueden ser más adecuados.

Plan: qué ejecutarás y puertos esperados

La arquitectura mínima aquí:

• VPS (Ubuntu 22.04) con IP pública
• SSH para administración (solo con llave)
• WireGuard como túnel seguro (opcional pero recomendado)
• Servidor de escritorio remoto (usaremos Tenvo como ejemplo de agente) ejecutándose como un servicio systemd
• Dominio opcional + TLS con Let's Encrypt y nginx como proxy inverso para clientes web

Uso de recursos esperado: el agente y la VPN consumirán menos de 500MB de RAM en reposo; espera entre 50–250 Mbps durante sesiones activas según el códec y la actividad de pantalla. Presupuesto: VPS de $5/mes + dominio (~$10/año) si deseas TLS. Si prefieres no exponer puertos públicos, consulta nuestro artículo sobre ejecutar escritorio remoto sin exponer puertos: remote-desktop-without-port-forwarding.

Paso 1 — aprovisiona el VPS y asegura el acceso

Crea un VPS de $5 con Ubuntu 22.04. Al crear la instancia elige autenticación por llave SSH (puedes añadir tu clave pública en la consola del proveedor). Proveedores de ejemplo ofrecen planes similares: DigitalOcean 1GB/1vCPU ($5), Vultr 1GB ($5), Linode Nanode ($5). El SKU exacto varía, pero las especificaciones de red y CPU son comparables.

Comandos iniciales de endurecimiento (ejecutar como root o usuario con sudo):

apt update && apt upgrade -y
adduser adminuser
usermod -aG sudo adminuser
ufw allow OpenSSH
ufw enable

Edita /etc/ssh/sshd_config para deshabilitar la autenticación por contraseña y el login de root (configura PasswordAuthentication no y PermitRootLogin no). Reinicia SSH: systemctl restart sshd. Esto previene intentos de fuerza bruta contra tu VPS.

Paso 2 — firewall, fail2ban y límites de tasa

Mantén el firewall mínimo. Si planeas usar WireGuard deja solo el puerto UDP de WireGuard en las reglas públicas; si ejecutas el agente directamente puede que necesites un puerto TCP. Ejemplo de reglas UFW:

ufw allow 22/tcp          # SSH
ufw allow 51820/udp       # WireGuard (if used)
ufw allow 8443/tcp        # optional remote desktop web port
ufw enable

Instala fail2ban para prohibir automáticamente intentos repetidos y reducir el ruido: apt install -y fail2ban. Usa la jail por defecto para sshd y ajusta los tiempos de ban según tu tolerancia al riesgo.

Paso 3 — opciones de red segura: puertos directos, VPN o relé inverso

Tres patrones de red prácticos:

• Abrir un puerto a Internet: lo más sencillo pero con mayor superficie de ataque. Usa TLS y autenticación fuerte si expones un puerto de aplicación.
• Túnel WireGuard: la opción más segura y directa. Crea una red privada entre tu dispositivo cliente y el VPS; solo el puerto de WireGuard queda público. Esta es nuestra recomendación para autoalojamiento en un VPS barato.
• Relé/conexión inversa: algunas herramientas comerciales y proyectos open-source realizan una conexión inversa hacia un broker, evitando puertos entrantes en el cliente. Esto es útil si el cliente está detrás de NAT y no quieres ejecutar una VPN. Lee sobre este patrón en nuestra visión general: self-hosted-remote-desktop.

Arranque rápido de WireGuard (servidor en VPS):

apt install -y wireguard iproute2
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
# create /etc/wireguard/wg0.conf and include keys + peers
systemctl enable --now wg-quick@wg0

Los detalles de configuración de WireGuard dependen de la plataforma cliente; hay muchos tutoriales y apps clientes para Linux, macOS, Windows, Android e iOS. Usar WireGuard significa que el tráfico de escritorio remoto se enruta directamente por un túnel cifrado — no hace falta un puerto de aplicación público en la máquina cliente.

Paso 4 — instala el servidor de escritorio remoto (ejemplo Tenvo)

Elige el agente servidor que quieras alojar. Tenvo es una opción open-source que puedes autoalojar; descarga la release de Linux desde /download y sigue las instrucciones de instalación del binario allí. Si prefieres otro software (RustDesk, VNC, RDP), ajusta los pasos siguientes. Nota: para reenvío de GUI puede que necesites paquetes de escritorio en el lado cliente — en muchos casos el VPS actúa solo como broker o punto de extremo de la VPN.

Ejemplo: instalar un agente remoto genérico como servicio systemd (reemplaza el binario y los flags por los del agente que elijas):

mkdir -p /opt/tenvo
# scp or wget the server binary to /opt/tenvo/tenvo-server
chown root:root /opt/tenvo/tenvo-server
chmod +x /opt/tenvo/tenvo-server

cat >/etc/systemd/system/tenvo.service <<'EOF'
[Unit]
Description=Tenvo remote agent
After=network.target

[Service]
ExecStart=/opt/tenvo/tenvo-server --config /etc/tenvo/config.yaml
Restart=on-failure

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now tenvo.service

Configura el agente con una clave o contraseña fuerte y, si es soportado, restringe qué claves públicas de cliente están permitidas. Si usas WireGuard, configura el agente para enlazar a la interfaz de WireGuard o a la dirección loopback para que no sea accesible vía la IP pública.

TLS, dominio y proxy inverso (opcional)

Si tienes un cliente web (o una UI de administración), coloca nginx al frente y usa Let's Encrypt para TLS. Comandos prácticos con certbot en Ubuntu 22.04:

apt install -y nginx certbot python3-certbot-nginx
# create nginx site for example.com and proxy_pass to localhost:8443
certbot --nginx -d example.com

Mantén activo el cron de auto-renovación del certificado TLS (certbot lo configura). Si usas un dominio, apunta un registro A a la IP de tu VPS y usa el dominio en las configuraciones cliente. TLS protege UIs web y clientes en navegador; no reemplaza la autenticación fuerte del agente.

Pruebas y verificación

Verificaciones básicas:

• SSH: intenta un login por contraseña — debe fallar.
• WireGuard: levanta el cliente y haz ping a la IP de WireGuard del VPS.
• Agente: conéctate desde tu cliente al agente por la interfaz WireGuard o el endpoint TLS; verifica latencia y calidad de audio/video.
• Logs: revisa journalctl -u tenvo -f y /var/log/nginx/error.log mientras te conectas.

Mide ancho de banda y CPU durante una sesión. Si observas CPU alta en el VPS, reduce la calidad de codificación, baja la tasa de cuadros o mueve el broker de sesiones a una instancia más capaz.

Mantenimiento: actualizaciones, respaldos y monitoreo

Programa actualizaciones del OS y reinicios en periodos de baja actividad. Usa unattended-upgrades para parches de seguridad, pero prueba manualmente las actualizaciones mayores. Haz snapshot del disco del VPS vía el proveedor antes de cambios riesgosos y guarda una copia fuera del sitio para recuperación.

Consejos de monitoreo: habilita monitoreo básico en la consola del proveedor (la mayoría muestra CPU, ancho de banda y disco) y considera una configuración simple de alertas (correo por disco lleno o CPU alta). Rota tus claves SSH anualmente y revoca inmediatamente cualquier clave perdida.

Cuándo esto no es la elección correcta

Autoalojar en un VPS de $5 es excelente para uso personal, equipos pequeños o proyectos hobby. No es ideal si necesitas:

• SLA de nivel empresarial, redes de relé globales de baja latencia o soporte integrado — proveedores como TeamViewer/AnyDesk sobresalen en eso.
• Transmisión acelerada por GPU o muchos usuarios simultáneos — eso requiere instancias mayores o hardware dedicado.

Para lectores que priorizan la seguridad, lean también nuestro artículo más profundo sobre asegurar el acceso remoto: remote-desktop-security. Si necesitas comparar opciones alojadas vs autoalojadas, consulta nuestros artículos sobre soluciones self-hosted y las mejores alternativas gratis.

Resumen y próximos pasos

Autoalojar un escritorio remoto en un VPS de $5 es una forma pragmática y de bajo costo para recuperar el control sobre tu acceso remoto. Puntos clave: usa llaves SSH, asegura los servicios con firewall, prefiere WireGuard para exponer menos puertos de aplicación y ejecuta el agente como un servicio systemd gestionado. Si eliges Tenvo, descarga los binarios desde /download y sigue las instrucciones empaquetadas para tu OS.

¿Listo para probarlo? Descarga el binario y la documentación de Tenvo en /download y levanta un VPS de $5 para seguir los pasos anteriores. Si quieres comparar alternativas alojadas y precios, revisa /pricing antes de comprometerte.