Marzban es un panel web para montar tu propia VPN sobre el núcleo Xray. Con él es fácil crear usuarios, darles enlaces de conexión y controlar cuánto tráfico gastan.
Para que no tengas que configurarlo todo a mano, hemos preparado un script. Un solo comando instala Marzban y configura al momento el protocolo VLESS Reality, así que solo te quedará entrar en el panel y crear un usuario. Hemos comprobado todos los pasos en un servidor de F3 Cloud con Debian 12 y Marzban 0.8.4.
Qué necesitas
Para una VPN personal basta con un servidor de 1 núcleo y 1 GB de memoria, por ejemplo con el plan DE-PROMO. Al hacer el pedido, fíjate en dos ajustes.
- En el campo Operating system, elige Debian y la versión Debian 12. Las versiones se despliegan con la flecha que hay junto al nombre del sistema.
Elección de Debian 12
- Deja el campo Preinstalled software con el valor не установлен (no instalado). Marzban lo instala nuestro script, así que no hace falta elegir nada en esta lista.
No hace falta software preinstalado
Los demás pasos del pedido son los de siempre, y los explicamos en detalle en el artículo «Cómo contratar un servidor virtual en F3 Cloud». Tras el pago, la dirección IP y la contraseña del servidor te llegarán por correo, y también puedes consultarlas en el área de cliente con el botón Instructions.
¿Ya tienes un servidor?
El script está pensado para un servidor nuevo. Si en tu servidor ya hay algo configurado, primero reinstala el sistema con Debian 12.
Paso 1. Ejecuta el script
Conéctate al servidor por SSH con el usuario root. Copia el comando, pégalo en el terminal y pulsa Enter.
bash <(curl -fsSL https://raw.githubusercontent.com/f3cloud-host/Marzban/main/marzban-setup.sh)El script trabaja solo y no pregunta nada. La instalación tarda un par de minutos, y en nuestro servidor de pruebas terminó en menos de un minuto.
Esto es lo que hace el script, por orden:
- Instala los programas necesarios.
- Elige un sitio de camuflaje. Para qué sirve te lo contamos más abajo.
- Instala Marzban con el instalador oficial.
- Crea una conexión VLESS Reality en el puerto 443 con claves nuevas.
- Abre el panel en un puerto aleatorio, crea el administrador
admincon una contraseña aleatoria y pone en los enlaces la huellafirefox. - Activa el cortafuegos y deja abiertos solo los puertos 22 (SSH), 443 (VPN) y el puerto del panel.
Cuando todo esté listo, el script te mostrará la dirección del panel, el usuario y la contraseña.
Marzban instalado y configurado
Dónde encontrar la contraseña
El script guarda los datos de acceso en el servidor, así que puedes consultarlos en cualquier momento con este comando.
cat /root/marzban-credentials.txtEl código del script es abierto y puedes revisarlo en GitHub.
Paso 2. Entra en el panel
Abre en el navegador la dirección que muestra el script, tiene este aspecto http://IP-del-servidor:puerto/dashboard/. Entra con el usuario admin y la contraseña de esa misma salida.
Si el panel se abre en otro idioma, cámbialo con el botón del icono de traducción, en la esquina superior derecha.
El panel se abre por HTTP
Al entrar en el panel, la contraseña viaja sin cifrar. No entres en él desde una wifi pública y no envíes la dirección junto con la contraseña por chats abiertos.
Paso 3. Crea un usuario
En Marzban, un usuario es un acceso independiente a la VPN. Es mejor crear usuarios distintos para ti y para tu gente cercana, porque así puedes desactivar cualquier acceso sin tocar los demás.
- Pulsa Create User.
- Escribe un Username, por ejemplo
phone. - En el bloque Protocols, comprueba que la tarjeta Vless está marcada con un recuadro. Si no lo está, pulsa sobre ella.
- Los campos Data Limit y Expiry Date puedes dejarlos vacíos, y entonces el acceso no tendrá límites.
- Pulsa Create User.
Creación de un usuario
El usuario aparecerá en la lista. A su derecha hay tres botones, y sus nombres aparecen al pasar el ratón por encima.
Usuario creado
| Botón | Qué hace |
|---|---|
| Copy Subscription Link | Copia el enlace de suscripción. Te recomendamos añadir a la app precisamente este enlace, porque así la app recogerá sola los ajustes nuevos si los cambias en el panel |
| Copy Configs | Copia el enlace de la propia conexión, que empieza por vless:// |
| QR Code | Muestra los códigos QR de la suscripción y de la conexión, muy cómodos de escanear con el móvil |
Paso 4. Conéctate a la VPN
Puedes conectarte desde cualquier app basada en el núcleo Xray. Te recomendamos Incy o Happ, y los enlaces a ellas y a otras apps los tienes más abajo.
- Instala la app en el móvil o en el ordenador.
- En la app, pulsa el botón para añadir una conexión.
- Elige importar desde el portapapeles y pega el enlace de suscripción. En el móvil es más cómodo escanear el código QR Subscribe Link.
- Activa la conexión.
Códigos QR del usuario, ocultos en la captura
Para comprobar que el tráfico pasa por la VPN, abre api.ipify.org en el navegador. Debe aparecer la dirección IP de tu servidor.
El enlace de suscripción y el código QR son la llave de tu VPN
El enlace de suscripción y el código QR son la llave de tu VPN. Cualquiera que los tenga podrá conectarse, así que no los publiques ni los envíes por chats abiertos.
Huella TLS (fingerprint)
La huella define con qué navegador se presenta la app al conectarse. Por defecto, Marzban pone chrome en los enlaces, pero el script la cambia enseguida a firefox, así que no tienes que hacer nada a mano.
Puedes comprobar o cambiar la huella en el panel.
- Abre el menú ☰ de la esquina superior derecha y elige Host Settings.
- Pulsa en VLESS TCP REALITY y luego en Advanced options.
- En el campo Fingerprint debe figurar
firefox. Si lo has cambiado, pulsa Apply. - Actualiza la suscripción en la app para que reciba los ajustes nuevos.
Huella firefox en los ajustes del host
Por qué firefox y no chrome
Desde finales de 2025, los sistemas de filtrado de tráfico de los proveedores rusos (TSPU) evalúan una conexión TLS por varios rasgos a la vez – la subred del hosting, el nombre del sitio (SNI) y la huella del cliente. La huella chrome viene por defecto en casi todas las apps y paneles de VPN, así que la combinación «huella de Chrome y dirección IP de un centro de datos» se ha convertido para los filtros en una señal fiable de proxy. Los usuarios cuentan que, con varias conexiones simultáneas con esa huella, la conexión se «congela» durante unos minutos, y que pasarse a firefox ayuda.
La huella edge también ayudaba antes, pero desde septiembre de 2026 es incompatible con las versiones nuevas de Xray. A partir de Xray 26.9.8 (incluido, por ejemplo, en 3X-UI 3.8.0 y posteriores), el servidor Reality solo acepta clientes con intercambio de claves poscuántico ML-KEM. El perfil edge de Xray corresponde al antiguo Edge 85 sin ML-KEM, y con él la conexión no se establecerá. El perfil firefox admite ML-KEM si la app lleva el núcleo Xray 26.3.23 o más reciente, así que mantén tus clientes actualizados. Tampoco uses los valores random y randomized – pueden elegir un perfil sin ML-KEM.
Sitio de camuflaje
VLESS Reality camufla la conexión a la VPN como una visita normal a algún sitio web. Desde fuera parece que simplemente estás abriendo ese sitio.
El script elige ese sitio por sí solo. Tiene una lista de sitios europeos pequeños y, antes de elegir, comprueba que el sitio funciona con TLS 1.3 y HTTP/2 y que no está oculto tras Cloudflare u otra CDN. Con sitios así, Reality funciona de la forma más fiable. Qué sitio se ha elegido lo verás en la salida del script y en el archivo /root/marzban-credentials.txt.
Camuflaje con tu propio dominio
Para resistir mejor los bloqueos, puedes camuflarte con tu propio dominio mediante el esquema self-steal. Cómo hacerlo en Marzban lo explicamos en el artículo «Self-steal para VLESS Reality».
Apps cliente
Puedes conectarte al servidor desde cualquier app basada en el núcleo Xray. Abajo tienes las opciones en el orden en que te las recomendamos. La información sobre su disponibilidad en las tiendas de apps está actualizada a octubre de 2026.
1. Incy
App gratuita basada en Xray-core para todas las plataformas principales. Admite VLESS (incluidos Reality y XTLS Vision), VMess, Trojan, Shadowsocks, Hysteria2 y WireGuard, además del transporte XHTTP. Importa enlaces, códigos QR y suscripciones. Ahora mismo Incy está disponible en la App Store rusa.
INFO
Enlaces de descarga:
- App Store – iPhone, iPad, Apple TV y Mac con procesador Apple M1 o posterior;
- Google Play – Android y Android TV;
- Archivo APK – si Google Play no está disponible;
- Windows, macOS Apple Silicon, macOS Intel y Linux – las versiones de escritorio todavía están en una fase temprana de desarrollo.
2. Happ
Cliente popular basado en Xray-core para todas las plataformas. Admite VLESS, VMess, Trojan, Shadowsocks, Hysteria2 y suscripciones.
WARNING
Desde marzo de 2026, Happ ha sido retirado varias veces de la App Store rusa a petición de Roskomnadzor. Ahora la versión para iPhone, iPad y Mac solo está disponible en tiendas de otros países y requiere un Apple ID de otro país. En la App Store rusa solo queda la versión para Apple TV. Cuidado con los clones de nombre parecido – el Happ auténtico lo publica el desarrollador Flyfrog LLC.
INFO
Enlaces de descarga:
- App Store (de otros países) – iPhone, iPad y Mac;
- App Store, versión para Apple TV;
- Google Play – Android y Android TV;
- Archivo APK – si Google Play no está disponible;
- Windows, macOS y Linux.
3. v2RayTun
Cliente sencillo basado en Xray-core. Para octubre de 2026, la versión para iPhone y Mac había desaparecido de la App Store en todos los países, así que v2RayTun te sirve para Android y Windows.
4. v2rayN y v2rayNG
Clientes de código abierto basados en Xray-core – v2rayN para ordenadores y v2rayNG para Android. Son para usuarios con experiencia que quieren controlar a fondo los ajustes.
Otros clientes
- Streisand – cliente para iPhone, iPad y Mac. En marzo de 2026 fue retirado de la App Store rusa y sigue en las tiendas de otros países.
- V2Box – retirado de la App Store rusa en marzo de 2026.
- Hiddify, NekoBox, Throne y NekoRay funcionan con el núcleo sing-box.
WARNING
Los clientes basados en el núcleo sing-box (Hiddify, NekoBox, Throne, NekoRay, Karing) no pueden conectarse a Reality en servidores con Xray 26.9.8 o posterior – por ejemplo, 3X-UI a partir de la versión 3.8.0. Además, sing-box no admite el transporte XHTTP. Para esos servidores, usa clientes basados en el núcleo Xray.
Preguntas frecuentes
El script dice que el servidor no es nuevo
El script se detiene si en el servidor ya hay Marzban, si el puerto 443 lo ocupa otro programa o si en Nginx hay otros sitios configurados. Así no rompe lo que ya funciona. Reinstala el sistema en el área de cliente y vuelve a ejecutar el script.
El script se detuvo con un error
El script anota los detalles del error en el archivo /root/marzban-setup.log. Si el error ocurrió al elegir el sitio de camuflaje, espera unos minutos y ejecuta el script otra vez. En los demás casos, reinstala el sistema y vuelve a ejecutar el script desde cero. Si el error se repite, abre un ticket en el área de cliente y adjunta ese archivo.
El panel no se abre
Comprueba que abres la dirección con http:// y no con https://, y que indicas el puerto que aparece en la salida del script. El comando marzban status te dirá si Marzban está funcionando. En la respuesta debe aparecer la línea marzban: running.
He olvidado la contraseña del panel
El usuario y la contraseña que creó el script se guardan en el servidor. Puedes verlos con este comando.
cat /root/marzban-credentials.txtCómo actualizar Marzban
Basta con un comando. Los usuarios y los ajustes se conservan al actualizar.
marzban updateLa VPN no se conecta
Actualiza la app a la última versión y actualiza también la suscripción en ella. Comprueba que en el panel el usuario tiene el estado Active y que en los ajustes del host está puesta la huella firefox.
Nuestros recursos
Canal de Telegram: https://t.me/f3cloud_news
Web del hosting: https://f3cloud.com