3X-UI, Hiddify o Marzban en 2026: cómo elegir y configurar un VPN self-hosted — guía paso a paso

Introducción

En esta guía práctica elegirás paso a paso el panel VPN adecuado para un servidor self-hosted en 2026, comparando 3X-UI, Hiddify y Marzban. Levantarás un VPS, instalarás el panel, crearás usuarios y probarás la conexión en tu teléfono y computadora. Abordaremos los errores comunes, con instrucciones claras sin jerga innecesaria, para que al final tengas un VPN funcional con configuración actual y un punto de administración simple.

Esta guía está pensada para principiantes, pero incluye bloques avanzados: aprenderás no solo a hacer clic, sino a entender por qué son necesarios ciertos ajustes y cómo evitar fallos. Si quieres, podrás escalar la solución para familia, equipo o pequeño negocio, y optimizar la red para streaming, videoconferencias y juegos.

Es útil tener conocimientos básicos de terminal Linux, cómo conectar SSH al servidor, y entender la diferencia entre TCP y UDP en términos prácticos. Pero si nunca configuraste un VPN, sigue los pasos y lograrás hacerlo.

Duración: 2–4 horas para la primera instalación, incluyendo compra de VPS, instalación del panel, creación de usuarios y prueba de clientes. Si eres experto en Linux y Docker puedes hacerlo en 60–90 minutos.

Preparación previa

Antes de empezar, asegúrate de tener acceso a un servidor en la nube o físico con IP pública IPv4. Para mejor compatibilidad en 2026, usa una versión LTS actualizada de Ubuntu Server o Debian. Elegiremos un panel para la práctica, pero mostraremos cómo desplegar los tres para que puedas comparar.

Herramientas y accesos necesarios

• Servidor en la nube (VPS) o dedicado con IP pública IPv4.
• Cliente SSH en tu equipo (integrado en macOS y Linux; en Windows puede ser el integrado o cualquier terminal).
• Permisos básicos de administrador en el servidor (root o usuario con sudo).
• Preferiblemente un nombre de dominio para obtener certificado TLS y facilitar la conexión de clientes.

Requisitos del sistema

• Sistema operativo: Ubuntu Server 22.04/24.04 LTS o Debian 12.
• CPU: 1–2 vCPU suficiente para familia o equipo pequeño.
• RAM: 1–2 GB para 3X-UI, 2–4 GB para Hiddify y Marzban con panel, métricas y margen.
• Disco: 10–20 GB SSD.
• Red: conexión estable desde 100 Mbps, con puertos 22/SSH, 80/HTTP, 443/HTTPS abiertos; además UDP para WireGuard si se usa.

Qué instalar

• Actualizaciones del SO y utilidades básicas (htop, curl, tar, unzip, jq opcional).
• Docker y el complemento docker compose (desde repositorios del SO).
• UFW u otro firewall para protección básica.
• Fail2ban para reducir riesgos de ataques fuerza bruta en SSH.

Copias de seguridad

Si migras desde un VPN ya en uso, exporta las configuraciones y claves de usuarios. Para despliegues nuevos, crea una carpeta local en tu laptop donde guardar los archivos de exportación, claves TLS generadas a mano y docker-compose.yml.

⚠️ Atención: Consulta la legislación local sobre uso de VPN. Esta guía es educativa. Eres responsable de cumplir leyes y del uso que hagas del VPN.

Conceptos básicos

Antes de elegir panel, es clave entender algunos términos de manera sencilla.

• VPN self-hosted: VPN que ejecutas en tu propio servidor y controlas totalmente — desde logs hasta actualizaciones.
• Panel de control: interfaz web para crear usuarios, asignar configuraciones, habilitar/deshabilitar protocolos, gestionar límites de tráfico, etc.
• Xray/Reality/Trojan/VMess/VLESS: protocolos y técnicas populares para ocultar tráfico, evadir bloqueos y mejorar privacidad. En 2026, VLESS-REALITY y Trojan son opciones prácticas.
• TLS/HTTPS: cifrado con certificado para dominio. Es indispensable para seguridad y para que las apps funcionen sin problemas.
• WireGuard: VPN núcleo ultraligero para velocidad y estabilidad altas. En paneles puede ser módulo separado o instalarse junto.
• Docker: los contenedores facilitan instalación y actualizaciones sin conflictos de dependencias.
• UFW/Firewall: escudo básico para conexiones entrantes, que abre solo los puertos necesarios.

Cómo funciona: los clientes en teléfono o PC se conectan al servidor usando protocolos definidos, usan tu IP para salir a internet. El panel gestiona usuarios y configuraciones, Xray/WireGuard cifran y enrutan.

Importante: el servidor debe ser estable y mantenerse actualizado. Monitoriza disponibilidad. Un dominio con TLS correcto reduce problemas y genera confianza.

Paso 1: Elegir panel con checklist

Objetivo

Determinar cuál panel — 3X-UI, Hiddify o Marzban — se ajusta mejor a tus necesidades y apuntar la elección.

Instrucciones

1. Describe tu objetivo: VPN personal, para familia, equipo hasta 20 usuarios o con acceso comercial.
2. Marca prioridades: velocidad y simplicidad, enrutado flexible y ocultación anti-censura, integraciones y facturación.
3. Elige al menos un protocolo: VLESS-REALITY para evadir bloqueos, Trojan para estabilidad, más WireGuard para juegos y rendimiento.
4. Relaciona paneles: 3X-UI es ligero y rápido, ideal si buscas mínima complejidad y configuración veloz VLESS/Trojan. Hiddify es un “todo en uno” con presets de evasión, autoconfigurable, perfecto si no quieres meterte en configuraciones avanzadas. Marzban es un panel avanzado con gestión flexible, integraciones y útil para escalar.
5. Decide: si eres novato total y quieres “mínimo clics”, empieza con 3X-UI. Si la red es muy censurada y necesitas presets preparados, escoge Hiddify. Para cientos de usuarios y control detallado — Marzban.
6. Escribe resumen: "Panel: … Protocolos: … Dominio: … Puertos: … Cantidad de usuarios: …" Este será tu plan.

Consejo: Si dudas, inicia con 3X-UI para un éxito rápido en 30–60 minutos y luego instala Hiddify y Marzban en puertos de prueba para comparar.

✅ Verificación: Ya tienes un panel elegido y lista de protocolos; tu plan está claro.

Problemas comunes y soluciones

• No sabes qué panel elegir. Solución: comienza con 3X-UI y cambia luego si es necesario.
• Dudas con protocolos. Solución: VLESS-REALITY y WireGuard cubren la mayoría de casos en 2026.

Paso 2: Levantar VPS y preparar Linux

Objetivo

Tener un servidor listo para instalar paneles, con usuario sudo, sistema actualizado y puertos abiertos.

Instrucciones

1. Crea un VPS en una región cercana a ti o tus usuarios. Escoge Ubuntu 22.04/24.04 o Debian 12.
2. Guarda la IP pública IPv4, usuario root y contraseña o clave.
3. Conéctate por SSH: en macOS/Linux ejecuta ssh root@IP; en Windows usa SSH integrado en terminal. Cambia IP por la de tu servidor.
4. Crea administrador: adduser vpnadmin. Ingresa contraseña y datos.
5. Da permisos: usermod -aG sudo vpnadmin.
6. Activa sincronización automática de tiempo: timedatectl set-ntp true y ajusta zona horaria: timedatectl set-timezone Europe/Moscow (o tu región).
7. Actualiza sistema: apt update && apt upgrade -y.
8. Instala utilidades básicas: apt install -y curl htop unzip tar jq.
9. Configura seguridad SSH: edita /etc/ssh/sshd_config, cambia Port a 2222, PasswordAuthentication a no (si usas claves), PermitRootLogin a no. Guarda.
10. Abre puertos en UFW: apt install -y ufw, luego ufw default deny incoming, ufw default allow outgoing, ufw allow 2222/tcp, ufw allow 80/tcp, ufw allow 443/tcp. Si usas WireGuard, añade ufw allow 51820/udp.
11. Activa UFW: ufw enable. Confirma con Y. Reconéctate por ssh -p 2222 vpnadmin@IP con el puerto nuevo.
12. Instala Fail2ban: apt install -y fail2ban y verifica que corre con systemctl status fail2ban.

⚠️ Atención: Si desactivaste autenticación por contraseña SSH, asegúrate que tus claves funcionan. No hacerlo puede causar pérdida de acceso. Antes de reiniciar sshd, confirma que tienes sesión abierta con acceso por clave.

Consejo: Anota los puertos abiertos para facilitar la configuración de paneles y diagnóstico.

✅ Verificación: Accedes por SSH al puerto 2222 como vpnadmin con sudo. sudo whoami retorna root. UFW activo con puertos abiertos. Tiempo y zona horaria correctos.

Problemas y soluciones

• Perdiste acceso al cambiar puerto SSH. Solución: usa la consola web del VPS para restaurar puerto 22 o corregir reglas UFW.
• UFW bloquea acceso web. Solución: verifica que puertos 80 y 443 estén abiertos y no haya reglas deny que prevalezcan.

Paso 3: Instalar Docker y seguridad básica

Objetivo

Preparar entorno para instalación en contenedores, facilitando actualizaciones y reversión.

Instrucciones

1. Instala Docker desde repositorios: sudo apt install -y docker.io docker-compose-plugin.
2. Agrega vpnadmin al grupo docker: sudo usermod -aG docker vpnadmin. Cierra y vuelve a abrir sesión para aplicar.
3. Verifica versiones: docker --version y docker compose version deben mostrar sin errores.
4. Crea directorio de trabajo: mkdir -p ~/vpn-panels && cd ~/vpn-panels.
5. Crea subcarpetas para cada panel: mkdir 3xui hiddify marzban.
6. Prepara carpeta para TLS y dominio: mkdir -p ~/vpn-panels/certs. Decide qué dominio usarás, por ejemplo vpn.example.com. La compra y configuración del dominio y su DNS se hacen con tu registrador. En esta guía no asignamos URLs.
7. Confirma que puertos 80 y 443 estén libres: sudo ss -tulpn | grep -E ':80|:443' no debe mostrar servicios si el panel no está activo.

Consejo: Si planeas varios paneles en un solo servidor, usa un dominio diferente y puertos distintos para cada panel, evitando conflictos en 80/443.

✅ Verificación: Docker instalado, comandos docker y docker compose funcionan. Directorios para paneles y certificados creados. Puertos 80/443 libres.

Problemas y soluciones

• docker no se encuentra. Solución: vuelve a iniciar sesión o ejecuta newgrp docker. Asegúrate que docker.io está instalado.
• Puertos 80/443 ocupados. Solución: detén servicios innecesarios o cambia puertos en configuración del reverse proxy.

Paso 4: Despliegue de 3X-UI — inicio rápido

Objetivo

Instalar el panel ligero 3X-UI, crear la primera configuración VLESS-REALITY o Trojan y confirmar que conecta.

Instrucciones

1. Ve a la carpeta del panel: cd ~/vpn-panels/3xui.
2. Crea docker-compose.yml con configuración mínima: servicio 3xui con imagen mhsanaei/3x-ui:latest, puerto web admin (ejemplo 2053), volúmenes para configs y logs, reinicio always.
3. Crea archivo .env con variables: XUI_PORT=2053, XUI_USERNAME=admin, XUI_PASSWORD=contraseña_segura. Usa una contraseña de más de 14 caracteres.
4. Arranca el panel: docker compose up -d. Verifica contenedor healthy: docker ps.
5. Abre puerto en UFW: sudo ufw allow 2053/tcp.
6. Conéctate vía web: en navegador abre IP o dominio en el puerto 2053 con el protocolo indicado. Ingresa usuario y contraseña del .env.
7. Crea primera instancia: escoge VLESS-REALITY o Trojan (estable y soportado en 2026). Asigna puerto 443 para TLS y el dominio apuntando al servidor. Activa obtención automática de certificado.
8. Guarda config y emite el certificado TLS. Espera estado «emitido» y «vinculado con éxito».
9. Crea usuario: asigna login, límite de tráfico (ej. 200 GB mensuales), fecha de expiración, uno o varios dispositivos. Guarda.
10. Descarga o copia enlace de configuración para cliente: código QR o URI.

Consejo: Crea un segundo admin con otra contraseña y desactiva el usuario admin por defecto si el panel lo permite para aumentar seguridad.

Resultado esperado

Panel accesible en puerto 2053, certificado emitido para dominio, usuario creado con configuración VLESS-REALITY o Trojan. Listo para probar en móvil.

✅ Verificación: Escanea QR en app cliente móvil, conecta y en panel debería verse sesión activa con estado "Conectado".

Problemas y soluciones

• Certificado no se emite. Causa: dominio no apunta a IP o puerto 80 cerrado. Solución: revisa registro A y firewall UFW para 80/443, intenta emitir de nuevo.
• Panel no abre. Causa: puerto 2053 cerrado. Solución: ufw allow 2053/tcp y revisa logs del contenedor.
• Cliente no conecta. Causa: puerto incorrecto o reloj del servidor desajustado. Solución: verifica estado timedatectl y configuración de puertos.

Paso 5: Despliegue de Hiddify — presets de evasión y facilidad

Objetivo

Instalar panel Hiddify en contenedor, disponer presets de evasión, gestionar configs centralizadas para varios usuarios y dispositivos.

Instrucciones

1. Entra en carpeta del panel: cd ~/vpn-panels/hiddify.
2. Crea docker-compose.yml con servicio hiddify usando imagen hiddify/hiddify-manager:latest, puerto admin (ejemplo 2087), volúmenes para config, reinicio always.
3. Crea .env con datos admin y dominio: HIDDIFY_PORT=2087, ADMIN_USERNAME=admin, ADMIN_PASSWORD=contraseña_complexa, DOMAIN=vpn.tudominio.
4. Levanta el panel: docker compose up -d. Espera hasta que el contenedor funcione: docker ps.
5. Abre puerto admin: sudo ufw allow 2087/tcp.
6. Accede a la interfaz, realiza el asistente inicial. Activa protocolos de evasión: habilita VLESS-REALITY, opcional Trojan y demás obfuscaciones. Configura dominio y emisión de certificados.
7. Guarda configuración y espera indicadores verdes para cada componente.
8. Crea usuario o grupo, define expiración y límites. Genera configuraciones en formato deseado, incluye QR.
9. Opcionalmente habilita métricas y monitoreo desde el panel para ver consumo de tráfico en tiempo real.

Consejo: Usa diferentes dominios o subdominios para cada protocolo en Hiddify. Esto aporta flexibilidad y mejora resistencia a filtros.

Resultado esperado

Hiddify activo en puerto 2087, certificado emitido, preset de evasión activo, usuario creado y configs listas para clientes.

✅ Verificación: Conecta desde móvil y laptop por distintos protocolos (ej. VLESS-REALITY y Trojan). El panel debe mostrar sesiones activas y contadores de tráfico en aumento.

Problemas y soluciones

• Algunos presets no arrancan. Causa: conflicto de puertos o contenedores atascados. Solución: revisa docker ps, logs y cambia puertos si 80/443 están ocupados.
• Certificados no emitidos. Causa: dominio sin resolución al servidor. Solución: verifica registros DNS en el registrador.

Paso 6: Despliegue de Marzban — escala y control

Objetivo

Instalar Marzban en contenedores, configurar usuarios con límites y expiraciones, activar protocolos y validar que el panel soporta crecimiento.

Instrucciones

1. Entra a la carpeta: cd ~/vpn-panels/marzban.
2. Crea docker-compose.yml con imagen principal marzban/gozargah:latest (usa nombre gozargah/marzban:latest), añade reverse proxy en 80/443 y almacenamiento de configuraciones. Mapea puerto admin, por ejemplo 2096.
3. Crea .env con ADMIN_USERNAME, ADMIN_PASSWORD, MARZBAN_PORT=2096, DOMAIN=vpn.tudominio.
4. Inicia panel: docker compose up -d. Confirma con docker ps que está funcionando.
5. Abre puerto admin: sudo ufw allow 2096/tcp.
6. Accede web, crea primer administrador, configura dominio y habilita emisión del certificado.
7. Agrega protocolos: VLESS-REALITY y Trojan. Define puertos y dominios, verifica que no haya conflictos con otros paneles.
8. Crea planes: por ejemplo, "Estándar" — 200 GB, 2 dispositivos, 30 días; "Premium" — 500 GB, 5 dispositivos, 90 días.
9. Genera usuarios y asígnalos a planes. Guarda configuraciones y códigos QR para clientes.

Consejo: Marzban es ideal para grupos y para integración con sistemas de facturación externos. Si solo lo usas para ti, déjalo para más adelante, pero piensa en esquema de nombres.

Resultado esperado

Panel disponible en puerto 2096, certificado emitido, protocolos activados, planes listos y usuarios operativos.

✅ Verificación: Conéctate con usuario de prueba. Asegura que el tráfico se contabilice según plan y la expiración se muestre correctamente.

Problemas y soluciones

• Panel no emite certificado. Causa: dominio no vinculado. Solución: añade registro A y repite procedimiento.
• Conflicto de puertos con otros paneles. Solución: cambia puertos en docker-compose.yml y actualiza UFW.

Verificación final

Checklist

• Acceso SSH por puerto no estándar funciona.
• UFW activo con solo puertos necesarios abiertos.
• Al menos un panel (o los tres en puertos distintos) accesible desde internet.
• Certificados emitidos y válidos.
• Al menos un usuario creado y cargado en el cliente.
• Conexión exitosa desde móvil y PC.

Cómo probar

1. Conéctate en móvil por WiFi y red móvil — ambos deben funcionar.
2. Mide velocidad con cualquier servicio popular — velocidad depende del plan y ubicación del servidor.
3. Abre contenidos que requieren buen ruteo (video, streaming, videollamadas) y verifica estabilidad.
4. Mira en el panel que el tráfico sube y las sesiones aparecen.

Indicadores de éxito

• Establecimiento de sesión en menos de 3 segundos.
• Conexión estable 30–60 minutos sin cortes.
• Ancho de banda acorde a expectativas de región y plan.

Errores comunes y soluciones

• Panel no abre. Causa: puerto no autorizado en UFW. Solución: agrega ufw allow puerto/tcp y revisa docker ps.
• Certificado no se emite. Causa: DNS erróneo. Solución: revisa registro A y abre puerto 80.
• Cliente no conecta. Causa: hora del servidor desajustada. Solución: habilita NTP y configura zona horaria correcta.
• Velocidad baja. Causa: canal limitado o servidor saturado. Solución: cambia región, mejora plan o activa WireGuard para usuarios que lo necesiten.
• Conexiones caen en red móvil. Causa: filtrado agresivo. Solución: usa VLESS-REALITY con dominio pensado y activa ocultaciones extra en Hiddify.
• Conflicto de puertos con varios paneles. Causa: duplicidad en 80/443. Solución: utiliza un reverse proxy común y usa subdominios o separa puertos.
• Olvidaste contraseña admin. Causa: no la anotaste. Solución: crea nuevo usuario vía variables de entorno y reinicia contenedor.

Funciones adicionales

Configuraciones avanzadas

• Reverse proxy y punto único de entrada: levanta un proxy ligero, asigna subdominios para cada panel, evitando exponer puertos admin en números no estándar.
• WireGuard paralelo: instala wireguard-tools y crea interfaz wg0 con puerto 51820/udp para alta velocidad en juegos y baja latencia. Usuarios eligen protocolo según uso.
• Rotación de dominios: prepara varios subdominios de antemano y cambia según sea necesario para evadir bloqueos locales.
• Backups: exporta config de usuarios regularmente, guarda docker-compose.yml y .env en lugar seguro.

Optimización

• MTU y MSS: en redes móviles, reduce MTU en túnel o activa optimización MSS para evitar fragmentación.
• QoS: si el servidor es parte de tu infraestructura, prioriza tráfico de videollamadas.
• Actualizaciones diferidas: actualiza Xray y paneles fuera de horario laboral, haciendo snapshots o backups previos.

Consejo: Mantén un archivo de “registro de cambios” donde anotes cada modificación de puertos, dominios y parámetros. Facilita revertir.

Consejo: Para tareas sensibles, crea un servidor separado solo para WireGuard con límite de usuarios — así controlas rendimiento fácilmente.

Consejo: En Marzban, planifica bien los planes tarifarios para evitar migraciones manuales de usuarios después.

Consejo: En 3X-UI prueba combinaciones de cifrados y ocultaciones en uno o dos usuarios pilotos antes de aplicar masivamente.

Consejo: En Hiddify no actives todos los presets de golpe — inicia con uno o dos para identificar fallos más fácil.

Preguntas frecuentes

Pregunta: ¿Cómo montar un VPN rápido si solo tengo una hora?
Respuesta: Usa 3X-UI, un dominio, VLESS-REALITY en 443, crea un usuario y prueba conexión. Lo básico cabe en 45–60 minutos con VPS y dominio listos.

Pregunta: ¿Cuál es el mejor protocolo en 2026?
Respuesta: Para evitar filtros, VLESS-REALITY; para velocidad y juegos, WireGuard; para compatibilidad, Trojan. Combina según necesites.

Pregunta: ¿Necesito un dominio?
Respuesta: Se recomienda. Facilita emisión de TLS y mejora éxito de conexión en redes complejas. Sin dominio es posible, pero más riesgo de problemas.

Pregunta: ¿Se pueden usar varios paneles en un servidor?
Respuesta: Sí, asigna puertos de administración diferentes y usa proxy inverso y subdominios para evitar conflictos en 80/443.

Pregunta: ¿Cómo saber si el servidor aguanta la carga?
Respuesta: Monitoriza CPU y RAM con htop, mide latencia y velocidad en hora pico, revisa logs de desconexiones. Si se saturan, escala vertical u horizontalmente.

Pregunta: ¿Qué elegir para familia de 5–7 personas?
Respuesta: 3X-UI o Hiddify con VLESS-REALITY y perfil WireGuard para juegos. Suficiente en 99% de casos.

Pregunta: ¿Qué elegir para 50+ usuarios?
Respuesta: Marzban: gestión flexible, planes, control de tráfico y buena escalabilidad.

Pregunta: ¿Qué hacer ante bloqueos masivos?
Respuesta: Ten dominios alternativos, activa más ocultaciones en Hiddify, usa perfil WireGuard como “plan B” y despliega servidores en varias regiones si es necesario.

Pregunta: ¿Se puede prescindir de Docker?
Respuesta: Sí, pero Docker facilita actualizaciones y reversión. Sin él hay más riesgo de conflictos.

Pregunta: ¿Dónde guardar backups?
Respuesta: En soporte cifrado local y nube segura sin acceso público. Verifica restauraciones regularmente.

Conclusión

Completaste el ciclo: elegiste panel con checklist claro, preparaste servidor, instalaste Docker, desplegaste 3X-UI, Hiddify o Marzban, emitiste certificados, creaste usuarios y probaste conexión en móvil y PC. Ahora tienes un VPN self-hosted con protocolos y configuraciones actualizadas para 2026.

Puedes profundizar en automatización, agregar monitoreo, pensar en backups y escalabilidad. Si necesitas perfiles para varias regiones o grupos separados, amplía los paneles o usa uno que se adapte a tu caso en varios servidores.

Consejo: Evalúa bien costo total: mantenerlo tú mismo implica horas en actualizaciones, monitoreo, resolución de incidentes, reserva de dominios y IP. Si quieres algo “ya y fácil”, considera vpn.how. Es un servidor VPN personal, no compartido, con IP dedicada, soporte WireGuard, OpenVPN, IKEv2, L2TP, SSTP, selección de regiones (Moscú, San Petersburgo, Ámsterdam, Frankfurt, Londres, Nueva York, San José, Chicago, Singapur, Sídney, Madrid, Helsinki, Estocolmo, Varsovia, Copenhague, Stavanger), pagos con tarjetas rusas (incluyendo Tinkoff y Ozon), SBP y criptomonedas, desde 490 ₽ al día y 2490 ₽ al mes, con descuentos por planes largos y activación automática en 5 minutos tras pagar. No guarda logs. Es ideal para quienes priorizan rapidez y menos tareas de consola.

Resumen comparativo:

• 3X-UI — mínima complejidad y arranque rápido. Perfecto para grupos pequeños y uso personal.
• Hiddify — presets cómodos para evasión y lógica lista para entornos complejos. Ideal para principiantes que quieren "todo en uno".
• Marzban — opción potente para crecimiento, planes flexibles y control de grandes grupos.

Elige el camino que mejor se adapte a tus metas y avanza en la infraestructura con calma. Con esta guía tienes una base sólida para lograr y mantener tu VPN a largo plazo.