Servidor de retransmisión privado en Linux y Raspberry Pi

¿Por qué ejecutar tu propio relay?

Abrir tu PC principal a Internet con redirección de puertos es un riesgo de seguridad, y dejarlo encendido todo el día desperdicia energía. Un pequeño servidor Linux o un relay en una Raspberry Pi te ofrece la menor latencia posible, sin redirección de puertos hacia los PC a los que accedes, menos consumo energético, sin preocupaciones de RGPD por servidores de terceros y Wake‑on‑LAN desde fuera de tu red. Incluso si el relay es atacado, todos los datos que pasan por él están cifrados con claves que el servidor nunca posee.

Esta guía asume que ya tienes acceso SSH al equipo Linux y los permisos necesarios.

La versión 2 del Remotly Relay Server añade compatibilidad con TLS y una contraseña de acceso. Incluso sin TLS, cada conexión está cifrada de extremo a extremo con RSA-4096 y AES-256; TLS añade una capa de transporte redundante para firewalls estrictos a cambio de un mayor uso de CPU. La contraseña de acceso impide que usuarios aleatorios que descubran la IP y el puerto de tu servidor puedan usarlo.

1. Elige el paquete para tu dispositivo

Ejecuta uname -m en el servidor y descarga el paquete que corresponda al resultado:

• x86_64 — Linux amd64 (servidores y VPS Intel/AMD de 64 bits): remotly‑relay‑linux‑amd64-v2.zip
• aarch64 — ARM64 (Raspberry Pi 3, 4 y 5 con sistema de 64 bits, instancias en la nube ARM): remotly‑relay‑linux‑arm64-v2.zip
• armv7l — ARM de 32 bits (Raspberry Pi 2, 3 y 4 con Raspberry Pi OS de 32 bits): remotly‑relay‑linux‑arm7-v2.zip

Raspberry Pi Zero y Raspberry Pi 1 (ARMv6) no son compatibles.

2. Instalación

1. Conéctate al servidor por SSH (por ejemplo con OpenSSH, WinSCP o FileZilla). Todos los comandos siguientes se ejecutan en el servidor.
2. Descarga el paquete para tu arquitectura, por ejemplo para ARM64: wget https://downloads.mirillis.com/files/remotly‑relay‑linux‑arm64-v2.zip
3. Descomprímelo: unzip remotly‑relay‑linux‑arm64-v2.zip — si falta unzip, instálalo con sudo apt‑get update && sudo apt‑get install unzip.
4. Mueve los archivos a /srv/remotly, donde los espera el servicio: sudo mv remotly‑relay /srv/remotly
5. Establece el propietario y los permisos: sudo chown -R root:root /srv/remotly && sudo chmod -R 755 /srv/remotly. La configuración contiene la contraseña, así que hazla legible solo para root: sudo chmod 600 /srv/remotly/config/remotly‑relay.json

uname -m
wget https://downloads.mirillis.com/files/remotly‑relay‑linux‑arm64-v2.zip
unzip remotly‑relay‑linux‑arm64-v2.zip
sudo mv remotly‑relay /srv/remotly
sudo chown -R root:root /srv/remotly
sudo chmod -R 755 /srv/remotly
sudo chmod 600 /srv/remotly/config/remotly‑relay.json

3. Configuración

Edita la configuración: sudo nano /srv/remotly/config/remotly‑relay.json. Si es posible, usa el puerto HTTPS estándar 443: es el que mejor atraviesa los cortafuegos.

Configuración sin TLS:

{
  "tlsEnabled": false,
  "key": "",
  "cert": "",
  "forceTLS": false,
  "domain": "",
  "port": 443,
  "max_bandwidth": 40000000,
  "allowed_bandwidth": 30000000,
  "password": "PasswordPasswordPasswordPassword"
}

Configuración con TLS (establece forceTLS en true para permitir solo conexiones encapsuladas en TLS):

{
  "tlsEnabled": true,
  "key": "/etc/letsencrypt/live/relay.example.com/privkey.pem",
  "cert": "/etc/letsencrypt/live/relay.example.com/fullchain.pem",
  "forceTLS": false,
  "domain": "relay.example.com",
  "port": 443,
  "max_bandwidth": 40000000,
  "allowed_bandwidth": 30000000,
  "password": "PasswordPasswordPasswordPassword"
}

• tlsEnabled — activa el cifrado TLS adicional; cuando es true se requieren rutas válidas de cert y key.
• key — ruta absoluta a la clave privada del certificado en formato PEM, por ejemplo /etc/letsencrypt/live/relay.example.com/privkey.pem.
• cert — ruta absoluta al certificado con la cadena completa en formato PEM, por ejemplo /etc/letsencrypt/live/relay.example.com/fullchain.pem.
• forceTLS — cuando es true solo se aceptan conexiones TLS 1.2 / 1.3; tanto el cliente como el host deben usar TLS.
• domain — nombre de dominio asignado a la IP del relay en DNS (recomendado, se usa para SNI).
• port — puerto que usa el relay para la comunicación.
• password — al menos 32 caracteres para restringir el acceso; déjala vacía para funcionar sin contraseña. Una contraseña no vacía más corta impide que el servidor arranque.

4. Iniciar el servicio

1. Registra el servicio systemd: sudo bash /srv/remotly/script/installremotlyrelay.sh
2. Inícialo: sudo bash /srv/remotly/script/startremotlyrelay.sh
3. Comprueba que funciona: systemctl status remotly‑relay debe mostrar active (running).

sudo bash /srv/remotly/script/installremotlyrelay.sh
sudo bash /srv/remotly/script/startremotlyrelay.sh
systemctl status remotly‑relay

# to stop
sudo bash /srv/remotly/script/stopremotlyrelay.sh

Después abre http://<IP del relay>:<puerto>/connectionTest (o https://<dominio del relay>:<puerto>/connectionTest con TLS) en un navegador. Deberías ver el mensaje OK.

El servicio se inicia con el sistema. Tras cambiar la configuración, vuelve a ejecutar el script de inicio (reinicia el servicio); stopremotlyrelay.sh lo detiene. El registro está en /srv/remotly/logs/remotly‑relay.log.

5. Registrar el relay en tu cuenta

Inicia sesión en remotly.com, abre Custom Relays y haz clic en Add relay server. Indica la dirección IP, el puerto o puertos de remotly‑relay.json, un nombre de dispositivo visible en las aplicaciones, el código de país y la misma contraseña que en el archivo de configuración.

Al conectarte a otro equipo con Force Connect Anywhere activado, ahora deberías ver únicamente el código de país y el nombre de tu relay privado.

Solución de problemas

• connectionTest muestra OK pero las conexiones retransmitidas fallan: probablemente tu servidor no es accesible desde fuera de tu red. Configura la redirección de puertos en tu IP pública y prueba desde un navegador externo.
• connectionTest muestra OK pero las conexiones pasan por un relay oficial de Remotly: no has añadido el relay personalizado a tu cuenta en el panel web.
• El relay funciona pero connectionTest no es accesible: desde dentro de tu red, comprueba que el firewall del servidor no bloquee el puerto del relay; si solo falla desde fuera, corrige la redirección de puertos en tu router.

¿Preguntas? Visita la comunidad de Remotly.