Desplegar Shadowsocks en un VPS

Descripción general de la arquitectura

Antes de empezar, veamos lo que vamos a construir. Cada componente cumple una función específica para hacer que tu tráfico sea invisible para censores e ISP:

    
graph TD
    A["Tu Dispositivo"] -->|"HTTPS :443"| B["Nginx"]
    B -->|"WebSocket"| C["Shadowsocks :8389"]
    C -->|"Tráfico Normal"| D["Internet"]
    style A fill:#1e293b,stroke:#3b82f6,color:#e2e8f0
    style B fill:#1e293b,stroke:#f59e0b,color:#e2e8f0
    style C fill:#1e293b,stroke:#10b981,color:#e2e8f0
    style D fill:#1e293b,stroke:#8b5cf6,color:#e2e8f0

  

• Nginx escucha en el puerto 443 con un certificado SSL genuino, gestionando la terminación TLS. Para cualquier observador, tu servidor parece un sitio web HTTPS normal.
• Shadowsocks se ejecuta dentro de un contenedor Docker en el puerto 8389 (solo localhost). Nginx reenvía el tráfico WebSocket desde la ruta /shadowsocks a este contenedor.
• v2ray-plugin envuelve el protocolo Shadowsocks dentro de marcos WebSocket, así que la cadena completa es: tu dispositivo → TLS → WebSocket → Shadowsocks → internet.

El resultado: tu ISP ve tráfico HTTPS estándar dirigido a lo que parece un sitio web ordinario. No hay nada que detectar ni bloquear.

Paso 1: Compra un nombre de dominio

Necesitas un nombre de dominio para tu servidor proxy. Es esencial — te permite obtener un certificado SSL real, lo que hace que tu tráfico parezca navegación HTTPS normal. Sin un dominio, los firewalls pueden identificar y bloquear fácilmente tu servidor por IP.

Un dominio cuesta tan solo $2-9 al año. Elige cualquier registrador:

Paso 2: Elige un proveedor de VPS

Necesitas un servidor privado virtual (VPS) – un pequeño ordenador en la nube que ejecutará tu proxy Shadowsocks las 24 horas del día, los 7 días de la semana. El plan más barato de cualquier proveedor importante es más que suficiente.

Paso 3: Apunta tu dominio al servidor

Necesitas un nombre de dominio apuntando a tu VPS para poder obtener un certificado SSL genuino. Esto es lo que hace que tu tráfico parezca navegación HTTPS normal.

1. Inicia sesión en tu registrador de dominios (Namecheap, Cloudflare, GoDaddy, etc.)
2. Ve a la configuración DNS de tu dominio
3. Crea un registro A:
   • Nombre/Host: @ (o un subdominio como proxy)
   • Valor/Apunta a: la dirección IP de tu VPS (por ejemplo, 203.0.113.42)
   • TTL: Automático o 300 segundos

Paso 4: Conéctate a tu servidor por SSH

Abre un terminal en tu ordenador y conéctate a tu VPS:

ssh root@YOUR_SERVER_IP

Reemplaza YOUR_SERVER_IP con la dirección IP del Paso 2. Si configuraste una contraseña en lugar de una clave SSH, se te pedirá que la introduzcas.

Una vez conectado, deberías ver un prompt de comandos como root@your-server:~#. Ya estás listo para configurar el servidor.

Paso 5: Instala Docker

Docker nos permite ejecutar Shadowsocks en un contenedor aislado. Instálalo con un solo comando:

curl -fsSL https://get.docker.com | sh

Esto descarga y ejecuta el script de instalación oficial de Docker. Funciona en Ubuntu, Debian, CentOS y Fedora. El proceso tarda aproximadamente un minuto.

Verifica que Docker esté instalado y en ejecución:

docker --version

Deberías ver una salida como Docker version 27.x.x, build ....

Paso 6: Despliega el contenedor Shadowsocks

Ahora despliega el servidor Shadowsocks con soporte de v2ray-plugin:

docker run -d \
  --name shadowsocks \
  --restart always \
  -p 127.0.0.1:8389:8389 \
  -e PASSWORD=YOUR_STRONG_PASSWORD \
  -e METHOD=aes-256-gcm \
  jfca68/shadowsocks-server:latest

Desglosemos lo que hace este comando:

• -d – Ejecuta el contenedor en segundo plano (modo desacoplado)
• --name shadowsocks – Da al contenedor un nombre fácil de recordar
• --restart always – Reinicia automáticamente si el contenedor o servidor se reinicia
• -p 127.0.0.1:8389:8389 – Expone el puerto 8389 solo en localhost (no a internet público)
• -e PASSWORD=... – Establece la contraseña de cifrado
• -e METHOD=aes-256-gcm – Usa cifrado AES-256-GCM (el más fuerte disponible)

Verifica que el contenedor esté en ejecución:

docker ps

Deberías ver un contenedor llamado shadowsocks con estado Up.

Paso 7: Instala y configura Nginx

Nginx actuará como proxy inverso, aceptando conexiones HTTPS en el puerto 443 y reenviando el tráfico WebSocket al contenedor Shadowsocks.

Instala Nginx:

apt update && apt install -y nginx

Crea el archivo de configuración de Nginx para tu dominio:

nano /etc/nginx/sites-available/YOUR_DOMAIN

Pega la siguiente configuración (reemplaza YOUR_DOMAIN con tu dominio real):

server {
    listen 80;
    server_name YOUR_DOMAIN;

    location /shadowsocks {
        proxy_pass http://127.0.0.1:8389;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

    location / {
        return 200 'Welcome to my website';
        add_header Content-Type text/plain;
    }
}

Activa el sitio y reinicia Nginx:

ln -s /etc/nginx/sites-available/YOUR_DOMAIN /etc/nginx/sites-enabled/
nginx -t
systemctl restart nginx

Paso 8: Obtén un certificado SSL

Un certificado SSL genuino de Let’s Encrypt es fundamental. Asegura que tu tráfico use cifrado TLS real y que tu servidor parezca un sitio web HTTPS legítimo.

Instala Certbot y obtén un certificado:

apt install -y certbot python3-certbot-nginx
certbot --nginx -d YOUR_DOMAIN

Certbot hará lo siguiente:

1. Verificar que controlas el dominio
2. Obtener un certificado SSL gratuito de Let’s Encrypt
3. Configurar automáticamente Nginx para usar HTTPS
4. Configurar la renovación automática del certificado (los certificados caducan cada 90 días, pero Certbot los renueva automáticamente)

Cuando se te solicite, introduce tu dirección de correo electrónico (para notificaciones de renovación) y acepta los términos de servicio. Cuando se te pregunte sobre redirigir HTTP a HTTPS, selecciona Sí (opción 2).

Paso 9: Prueba tu configuración

Verifica el servidor

Visita https://YOUR_DOMAIN en un navegador web. Deberías ver:

• Un certificado SSL válido (icono de candado en la barra de direcciones)
• El texto “Welcome to my website” (o lo que hayas configurado)

Configura tu cliente

Ahora configura el cliente Shadowsocks en tu dispositivo. Necesitarás estos datos:

Verifica la conexión

Una vez conectado a través de tu cliente Shadowsocks:

1. Visita whatismyipaddress.com – deberías ver la dirección IP de tu VPS, no la tuya real
2. Visita dnsleaktest.com y ejecuta el test extendido – ninguna consulta DNS debería apuntar a tu ISP real
3. Ejecuta un test de velocidad en speedtest.net – deberías ver una reducción mínima de velocidad

¿Y ahora qué?

Tu proxy Shadowsocks ya está en funcionamiento. Aquí tienes algunos pasos siguientes:

• Conecta todos tus dispositivos – Configura el cliente en Windows, macOS, Linux, Android e iOS
• Aprende más sobre Shadowsocks – Comprende cómo funciona la tecnología y por qué es resistente a la censura
• Configura actualizaciones automáticas – Mantén tu imagen Docker actualizada:

docker pull jfca68/shadowsocks-server:latest
docker stop shadowsocks && docker rm shadowsocks
# Re-run the docker run command from Step 6