Cómo montar tu propia VPN con WireGuard, wg-easy, Docker y Caddy en Ubuntu

La siguiente composición sigue el patrón documentado por wg-easy para integrar Caddy mediante una red Docker compartida. La imagen de wg-easy usa la etiqueta mayor 15; antes de producción, fija una versión de parche o digest validado y prueba la actualización en un entorno controlado.

Crea el archivo:

nano compose.yml

Contenido:

services:
  wg-easy:
    image: ghcr.io/wg-easy/wg-easy:15
    container_name: wg-easy
    restart: unless-stopped
    environment:
      # wg-easy v15 sirve el panel en el puerto interno 80
      - PORT=80
    volumes:
      - etc_wireguard:/etc/wireguard
      - /lib/modules:/lib/modules:ro
    ports:
      # Solo el túnel VPN se publica en el host
      - "51820:51820/udp"
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
      - net.ipv6.conf.all.disable_ipv6=0
      - net.ipv6.conf.all.forwarding=1
      - net.ipv6.conf.default.forwarding=1
    networks:
      - proxy

  caddy:
    image: caddy:2.10.0-alpine
    container_name: caddy
    restart: unless-stopped
    ports:
      - "80:80/tcp"
      - "443:443/tcp"
      # UDP 443 habilita HTTP/3; es opcional
      - "443:443/udp"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
      - caddy_config:/config
    networks:
      - proxy

networks:
  proxy:
    name: wireguard-proxy

volumes:
  etc_wireguard:
  caddy_data:
  caddy_config:

nano Caddyfile

vpn.tudominio.com {
    reverse_proxy wg-easy:80
}

sudo apt install ufw -y

# Mantén acceso SSH antes de activar el firewall
sudo ufw allow 22/tcp

# Caddy: validación HTTP y HTTPS
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# WireGuard
sudo ufw allow 51820/udp

sudo ufw status verbose

sudo ufw enable

docker compose -f compose.yml config
docker compose -f compose.yml up -d
docker compose -f compose.yml ps

docker compose -f compose.yml logs -f caddy

ping -c 3 1.1.1.1
ping -c 3 google.com

docker compose -f compose.yml logs --tail=100 wg-easy
docker compose -f compose.yml logs --tail=100 caddy

cd ~/wireguard

# Estado
docker compose -f compose.yml ps

# Registros
docker compose -f compose.yml logs -f

# Reiniciar
docker compose -f compose.yml restart

# Detener
docker compose -f compose.yml down

docker compose -f compose.yml pull
docker compose -f compose.yml up -d
docker compose -f compose.yml ps