Cómo crear un servidor proxy en 2026: SSH, Squid y SOCKS5 en un VPS

Un servidor proxy es un pequeño programa en una máquina con dirección pública. Acepta tu conexión y realiza la petición en tu nombre, de modo que el sitio ve la dirección de la máquina y no la tuya. Montar uno lleva entre un minuto y diez, según cuál de los tres tipos necesites.

Los tres parten del mismo punto: un servidor Linux al que puedas acceder. Los comandos que siguen son para Ubuntu 24.04. Hemos probado cada programa proxy y cada línea de configuración nosotros mismos, y los resultados se indican donde importan. Los comandos de instalación utilizan los paquetes propios de Ubuntu.

Tres opciones, ordenadas por tiempo necesario

Si no tienes claro cuál elegir, empieza con el túnel SSH. No requiere software en el servidor y no deja rastro.

Método 1: un túnel SSH, en un solo comando

Si puedes iniciar sesión en un servidor por SSH, ya tienes un proxy. Ejecuta esto en tu propio ordenador:

ssh -D 1080 -N user@your-server-ip

-D 1080 abre un proxy SOCKS5 en el puerto 1080 de tu propia máquina, y -N le dice a SSH que no abra un intérprete de comandos. Mientras ese comando esté ejecutándose, cualquier cosa que apuntes a 127.0.0.1:1080 saldrá a través del servidor.

Compruébalo desde una segunda terminal:

curl -x socks5h://127.0.0.1:1080 https://api.ipify.org

Debería imprimir la dirección del servidor. En un navegador, configura un proxy SOCKS5 con host 127.0.0.1 y puerto 1080.

Las limitaciones son inherentes. El proxy existe solo mientras el comando SSH esté en ejecución, escucha únicamente en tu máquina y nadie más puede usarlo. Esas limitaciones son también su garantía de seguridad: no se expone nada nuevo a Internet.

Método 2: un proxy SOCKS5 con contraseña

Para un proxy que permanezca activo y al que otras máquinas puedan acceder, instala un servidor SOCKS5. microsocks es el más ligero que merece la pena usar, y está en el repositorio de paquetes de Ubuntu.

sudo apt update
sudo apt install -y microsocks
microsocks -p 1080 -u proxyuser -P 'choose-a-long-password'

Pruébalo desde tu propio ordenador:

curl -x socks5h://proxyuser:choose-a-long-password@your-server-ip:1080 https://api.ipify.org

En nuestra prueba, la petición con las credenciales correctas devolvió la dirección de salida, mientras que las peticiones sin credenciales o con una contraseña incorrecta fueron rechazadas.

Para que siga funcionando después de cerrar sesión y tras reinicios, crea el archivo /etc/systemd/system/microsocks.service:

[Unit]
Description=microsocks SOCKS5 proxy
After=network.target

[Service]
ExecStart=/usr/bin/microsocks -p 1080 -u proxyuser -P choose-a-long-password
Restart=always
User=nobody

[Install]
WantedBy=multi-user.target

Después inícialo:

sudo systemctl daemon-reload
sudo systemctl enable --now microsocks

Método 3: un proxy HTTP con Squid

Squid es el proxy HTTP estándar, y el que debes usar cuando el cliente es un navegador o una herramienta que solo entiende proxies HTTP.

Instálalo junto con la herramienta que crea el archivo de contraseñas:

sudo apt update
sudo apt install -y squid apache2-utils
sudo htpasswd -c /etc/squid/passwd proxyuser

htpasswd solicita la contraseña dos veces. Ahora dile a Squid que la exija. En Ubuntu, el archivo de configuración principal carga todos los archivos en /etc/squid/conf.d/ exactamente en el punto donde van las reglas de acceso, así que no necesitas editar el archivo principal. Crea /etc/squid/conf.d/proxy.conf:

auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic realm proxy
acl authenticated proxy_auth REQUIRED
http_access allow authenticatedforwarded_for delete
via off
request_header_access Cache-Control deny all

Las primeras cuatro líneas activan la autenticación por contraseña y permiten el acceso a quien la proporcione correctamente. Quien no lo haga cae en la línea http_access deny all con la que ya termina la configuración predeterminada de Ubuntu. Las últimas tres líneas evitan que Squid se identifique y que transmita tu dirección real en las cabeceras de las peticiones.

Verifica la configuración y reinicia:

sudo squid -k parse
sudo systemctl restart squid

Squid escucha en el puerto 3128. Pruébalo:

curl -x http://proxyuser:your-password@your-server-ip:3128 https://api.ipify.org

En nuestras pruebas, una petición sin credenciales o con una contraseña incorrecta recibió un 407, mientras que con las credenciales correctas pasó sin problema. squid -k parse imprime una advertencia de que HTTP requiere el uso de Via. Con via off es algo esperado y no constituye un error.

También revisamos qué añade Squid a una petición cuando faltan esas últimas tres líneas. Envió a un sitio HTTP simple tres cabeceras adicionales: Via con el hostname del propio servidor, X-Forwarded-For con la dirección del cliente y Cache-Control: max-age=259200. Las primeras dos líneas eliminan las primeras dos cabeceras. La tercera elimina la cabecera Cache-Control, incluida cualquiera que envíe tu propio cliente. Nada de esto aplica a sitios HTTPS, donde el proxy solo retransmite un túnel cifrado y no puede añadir nada.

Asegúralo antes de dejarlo en marcha

Un proxy que responde sin contraseña es un proxy abierto. Los escáneres los buscan constantemente, y uno que se descubre termina utilizado para tráfico ajeno bajo el nombre de tu servidor. Tres hábitos lo previenen.

Nunca inicies un proxy sin autenticación. Los métodos 2 y 3 anteriores la incluyen desde el primer comando por esa razón.

Abre el puerto solo a ti mismo si puedes. Si te conectas desde una dirección fija, permite únicamente esa dirección:

sudo ufw allow OpenSSH
sudo ufw allow from 203.0.113.10 to any port 3128 proto tcp
sudo ufw enable

Reemplaza la dirección con la tuya y el puerto con 1080 para microsocks. Permite OpenSSH primero, o activar el firewall te bloqueará el acceso al servidor.

Ten presente que la contraseña viaja sin cifrar. Tanto la autenticación HTTP proxy como la autenticación SOCKS5 envían el usuario y la contraseña sin cifrado entre tú y el proxy. Las páginas que cargues por HTTPS permanecen cifradas, pero el login del proxy mismo puede ser leído por cualquiera en la ruta. Esta es una razón más para restringir el puerto por dirección, y el motivo por el que el túnel SSH es el más seguro de los tres.

Lo que has construido y lo que no

Ahora tienes un proxy con una dirección, y esa dirección pertenece a una empresa de hosting. Eso tiene consecuencias.

Los sitios pueden detectar que es un servidor. Los rangos de direcciones de las empresas de hosting son información pública. Un sitio que rechace direcciones de datacenter rechazará la tuya, por bien configurado que esté el proxy. Cómo averiguar si tu objetivo lo hace está en mejores proxies para web scraping.

No hay rotación. Un servidor es una dirección. Un pool rotativo implica muchos servidores, un gateway delante de ellos y comprobaciones de salud, lo cual es un proyecto de infraestructura y no un tutorial.

No puedes crear direcciones residenciales o móviles. Esas provienen de conexiones reales de hogares y operadoras. Ninguna configuración de servidor convierte una dirección de hosting en una de ellas.

No sale más barato por dirección. El servidor más pequeño en DigitalOcean cuesta $4,00 al mes. Una dirección de datacenter dedicada alquilada con nosotros cuesta $1,80 al mes, o $1,35 cada una a partir de diez. Si solo necesitas una dirección, alquilar gana en precio desde la primera.

Lo que sí te da el hosting propio es control. Los logs son tuyos, nadie más ha usado el servidor mientras tú lo tienes, y tú decides exactamente qué se ejecuta en él. Para una salida privada que usas tú mismo, un entorno de pruebas o aprender cómo funcionan los proxies, vale la pena esos pocos dólares.

Merece la pena conocer una variante. El mismo software funciona en una máquina en casa, una Raspberry Pi por ejemplo. Eso te da un proxy con la dirección de tu propio hogar, útil para acceder a servicios de tu país mientras viajas. Requiere abrir un puerto en tu router y una dirección que no cambie con demasiada frecuencia.

Construir o alquilar

Las diferencias entre los tipos alquilados están en ISP vs residencial vs datacenter vs móvil.

FAQ

¿Puedo crear un servidor proxy gratis?

El software es gratuito. El servidor es el costo. Si ya tienes un servidor Linux para otra cosa, el túnel SSH no cuesta nada adicional.

¿Qué es más fácil, Squid o un servidor SOCKS5?

El servidor SOCKS5. microsocks es un comando con usuario y contraseña. Squid requiere un archivo de contraseñas y un archivo de configuración breve, y a cambio funciona con clientes que solo aceptan un proxy HTTP.

¿Cómo creo un servidor proxy rotativo?

Con más de una dirección. Rotación significa que cada petición sale desde una dirección distinta, así que necesitas un pool de servidores y un gateway que elija entre ellos. Para una persona rara vez vale la pena construirlo, y para eso existen los proxies rotativos alquilados.

¿Es legal ejecutar mi propio servidor proxy?

Ejecutar un proxy en un servidor que pagas es legal en la mayoría de países. Lo que hagas a través de él se juzga igual que si lo hubieras hecho directamente, y se aplican los términos de tu proveedor de hosting al tráfico.

¿Necesito un nombre de dominio?

No. Un proxy se alcanza por dirección y puerto.