VPS vs VM vs VPC: diferencias y significado

VPS, VM y VPC en un solo párrafo

Una VM (máquina virtual) es un equipo creado mediante software: un hipervisor divide un servidor físico en varias máquinas independientes y cada una ejecuta su propio kernel. Un VPS (servidor privado virtual) es un servidor que se alquila como producto, con un sistema operativo, normalmente acceso root y un precio mensual. La mayoría de los planes VPS son máquinas virtuales, pero algunos proveedores venden contenedores que comparten el kernel del host con ese mismo nombre. Una VPC (nube privada virtual) no es un servidor. Es una red privada que se define dentro de una cuenta cloud y en la que se colocan recursos. VM es la tecnología habitual. VPS es el producto. VPC es la red que rodea al producto.

Dos de estas palabras describen una máquina. La tercera describe una red. Casi toda la confusión procede de esa diferencia, porque se comparan como si fueran tres productos colocados en la misma estantería.

Qué es una VM

Un hipervisor es la capa que emula el hardware. Asigna a cada invitado una CPU virtual, un bloque de memoria, un disco virtual y una tarjeta de red virtual, y evita que los invitados se vean entre sí. KVM, Xen, Hyper-V y VMware ESXi son los más habituales en servidores. Los hipervisores modernos utilizan extensiones de virtualización de la CPU (Intel VT-x, AMD-V), por lo que las instrucciones del invitado se ejecutan en la CPU real casi a velocidad nativa, en lugar de interpretarse.

La parte importante para un sysadmin es el kernel. Una VM arranca su propio kernel, por lo que puede elegir la distribución, cargar módulos del kernel y establecer valores de sysctl que no afectan a ningún otro sistema. Esto es diferente de un contenedor (LXC, Docker), que comparte el kernel del host y sólo tiene su propia vista de los procesos y los archivos.

Puede ver la respuesta en cualquier equipo Linux con un solo comando.

systemd-detect-virt

kvm significa que está en una máquina virtual sobre un hipervisor KVM. lxc o openvz significa que está en un contenedor que usa el kernel de otro sistema. none significa que no se detectó ninguna virtualización compatible. Si falta el comando, lscpu | grep -i hypervisor muestra información del hipervisor, pero no identifica los contenedores.

Qué es un VPS

Un VPS es un servicio comercial basado en un servidor aislado, normalmente una VM. La tecnología subyacente es la virtualización, y el término "VPS" añade los elementos que permiten comercializarlo: una imagen del sistema operativo que se puede reinstalar, una dirección IP, un límite de ancho de banda, un panel de control, un precio mensual y alguien a quien escribir cuando el host falla. "Privado" sirve para distinguirlo del hosting compartido, donde cientos de sitios comparten un sistema operativo y una configuración de PHP.

Como VPS es el nombre de un producto y no un término técnico, no siempre significa una VM completa. Algunos planes económicos ofrecen contenedores con ese mismo nombre, y OpenVZ, una plataforma de contenedores usada en muchos de ellos, describe sus contenedores como "también conocidos como servidores privados virtuales". La diferencia se hace evidente la primera vez que se necesita el kernel. En un plan basado en contenedores, el kernel pertenece al host y no se puede modificar. sudo modprobe wireguard falla si no encuentra el módulo en el directorio de módulos del contenedor, aunque el host ya lo haya cargado; cargar un módulo que falta también requiere permiso para modificar el kernel del host. Si el kernel del host no tiene compatibilidad con WireGuard, la creación de la interfaz (ip link add dev wg0 type wireguard) falla con RTNETLINK answers: Operation not supported. wg-quick recurre entonces a una implementación en userspace (wireguard-go de forma predeterminada) si hay una instalada, y muestra "Missing WireGuard kernel module. Falling back to slow userspace implementation." Este mecanismo alternativo también necesita que el contenedor tenga permiso para usar el dispositivo TUN, algo que no todos los hosts permiten, y sin un binario de userspace wg-quick se detiene con el error. En un plan KVM, el kernel es suyo: instala WireGuard, carga el módulo si todavía no está cargado, configura la interfaz y el túnel se establece. Si piensa ejecutar Docker, una VPN, kernels personalizados o sus propias máquinas virtuales dentro del servidor, compruebe el tipo de virtualización antes de comprar. Ejecutar máquinas virtuales dentro de un VPS requiere KVM con la virtualización anidada activada en el host, por lo que el conjunto de planes disponibles es aún más reducido.

Qué es una VPC

Una VPC es una red definida por software dentro de un proveedor cloud. En la mayoría de los servicios cloud, se le asigna un rango de direcciones en notación CIDR, como 10.0.0.0/16, y después se crean subredes a partir de él (Google Cloud omite el rango común de la red y asigna a cada subred regional su propio rango). Se asocian tablas de rutas y se colocan reglas de firewall (grupos de seguridad) delante de los recursos internos. No tiene CPU, memoria ni disco. No hay nada en lo que iniciar sesión. Si se eliminan todos los servidores de una VPC, la VPC permanece allí, vacía y normalmente sin coste.

Una VPC proporciona direccionamiento privado. Dos servidores de la misma VPC se comunican mediante direcciones como 10.0.1.15 a través de la red interna del proveedor. Ese tráfico nunca pasa por Internet pública y no se factura como tráfico de salida a Internet. Una base de datos puede escuchar sólo en su dirección privada. Así, ningún puerto queda expuesto al exterior.

ip -4 addr show

Una dirección dentro de 10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16 es privada. Una dirección pública por sí sola no hace que el servidor sea accesible desde Internet. Las rutas y las reglas de firewall también deben permitir el acceso.

¿Una VPC hace privado mi servidor?

No. Este es el malentendido más costoso de los tres términos. Una VPC controla el enrutamiento y el direccionamiento. No decide si Internet puede llegar a una máquina. Si una instancia tiene una IP pública, su subred tiene rutas hacia Internet y las reglas de seguridad permiten el puerto 22 desde 0.0.0.0/0, queda expuesta exactamente igual que cualquier otro servidor, con VPC o sin ella. En una VPC predeterminada, esa ruta hacia Internet ya está configurada. El aislamiento que proporciona una VPC consiste en poder asignar a un recurso ninguna dirección pública, además de definir reglas que indiquen qué subredes pueden comunicarse entre sí.

Las tres palabras también implican tipos distintos de aislamiento. Una VM aísla el procesamiento: el hipervisor separa el tiempo de CPU y la memoria, de modo que otro invitado no puede leer la RAM. Ese aislamiento es más débil para el disco y la red, donde un vecino con mucha carga en el mismo host todavía puede ralentizar el sistema. Un VPS basado en contenedores comparte un mismo kernel, por lo que un error en el kernel supone un riesgo compartido. Una VPC no aísla en absoluto el procesamiento. Sólo estructura la red.

El modelo mental de precios

Un VPS suele venderse con un precio mensual fijo para una máquina con características fijas. Conoce la factura antes de que empiece el mes, y el disco y la cuota de transferencia están incluidos. Esa previsibilidad es el principal motivo por el que se elige un VPS en lugar de una instancia cloud para una carga de trabajo pequeña.

Una VM cloud se factura por consumo. La instancia se factura por hora o por segundo, y el disco, las snapshots, el balanceador de carga y el tráfico saliente se facturan por separado. La VPC normalmente es gratuita, pero los componentes administrados asociados no lo son: una NAT gateway que permite a las instancias privadas acceder a Internet se factura por hora, y el modo en que se factura su tráfico depende del proveedor. AWS añade un cargo por cada gigabyte procesado por la NAT gateway, mientras que OVHcloud indica que su Public Cloud Gateway se factura por hora y por uso, con el tráfico incluido. En AWS, el tráfico que atraviesa zonas de disponibilidad también se factura, mientras que Azure no cobra por el tráfico entre sus zonas de la misma región. A fecha de October 27, 2026, la guía de AWS VPC indica que existe una VPC predeterminada en cada región, mientras que las preguntas frecuentes de AWS VPC indican que las cuentas creadas antes de March 18, 2013 pueden usar VPC predeterminadas en las regiones habilitadas donde no hayan iniciado anteriormente instancias EC2 ni aprovisionado recursos de ELB, RDS, ElastiCache o Redshift. Una VPC predeterminada eliminada se puede volver a crear, pero no restaurar. Google Cloud proporciona una red predeterminada a cada proyecto nuevo, salvo que un administrador la desactive, y Azure crea una red virtual junto con una VM nueva si no se selecciona una existente. En cualquier caso, la VM cloud se encuentra dentro de una de estas redes, tanto si lo solicitó como si no.

Cuál necesitas realmente

• Un servidor para un sitio web, una aplicación, un servidor de juegos o una VPN: un VPS. Los primeros diez minutos en un VPS nuevo importan más que la etiqueta del plan.
• Varios servidores que deben comunicarse mediante direcciones privadas: una VPC o la función de red privada que tu proveedor de VPS ofrezca con otro nombre.
• Una carga de trabajo que deba sobrevivir a la pérdida de todo un centro de datos: una nube con varias zonas, lo que implica usar máquinas virtuales dentro de una VPC.
• Control total del kernel o tu propio hipervisor sobre la máquina: un VPS basado en KVM (con la virtualización anidada habilitada si quieres usar el hipervisor) o un servidor dedicado. Mientras comparas opciones, comprueba también el tipo de disco incluido en el plan.

La mayoría de los proyectos con un solo servidor nunca necesitan una VPC. La función de red privada incluida con un VPS cubre la misma necesidad para un grupo pequeño de máquinas.

FAQ

¿Un VPS es lo mismo que una VM?

Normalmente, pero no siempre. Todo VPS basado en KVM, Xen o VMware es una máquina virtual, pero no toda máquina virtual es un VPS, porque la VM que se ejecuta en tu portátil con VirtualBox no es un producto de ningún proveedor. Tampoco todo VPS es una VM: los planes basados en OpenVZ o LXC son contenedores que comparten el kernel del host, y OpenVZ llama a sus contenedores servidores privados virtuales. Confírmalo con systemd-detect-virt antes de depender del acceso al kernel.

¿Puedo poner un VPS dentro de una VPC?

Normalmente no, porque una VPC es una construcción de un proveedor cloud; AWS también permite compartir sus subredes entre cuentas de la misma organización. Un VPS de un proveedor independiente está en la red de ese proveedor. Si necesitas enlaces privados entre ambas redes, debes crear un túnel VPN entre ellas; el VPS accederá entonces a las subredes privadas a través del túnel.

¿Por qué mi factura cloud es más alta que la de un VPS equivalente?

El precio de la instancia es sólo una parte del coste. El almacenamiento, las snapshots, el tráfico saliente, los balanceadores de carga y las gateways NAT aparecen como conceptos separados en un cloud con facturación por uso, y una gateway NAT por sí sola puede costar más al mes que un VPS pequeño. Un VPS de precio fijo incluye el disco y una cantidad de transferencia en un único importe, por lo que la misma carga de trabajo suele resultar más barata allí.

¿Cómo compruebo si mi servidor tiene acceso real al kernel?

Ejecuta systemd-detect-virt y lee la respuesta. kvm, xen o vmware (o amazon en instancias EC2 más recientes) indican que tienes tu propio kernel y que modprobe puede cargar módulos en él. lxc, lxc-libvirt o openvz indican que compartes el kernel del host; cargar módulos requiere privilegios sobre el kernel del host, mientras que la configuración en espacios de nombres bajo /proc/sys, incluida la configuración de red, sigue siendo modificable cuando el host lo permite. Una segunda confirmación es uname -r, que en un plan basado en contenedores suele mostrar una versión del kernel que tu distribución nunca publicó.