El homelab en dos esquemas: la red y los servicios

Desde el post de arquitectura de red de mayo el homelab ha cambiado bastante: ahora tiene backups diarios, una nube propia con Nextcloud, vigilancia desde fuera de casa y algún servicio menos. Tocaba redibujarlo, y en lugar de un único diagrama enorme he hecho dos: uno sencillo para ver cómo encaja todo y otro con el detalle de cada parte.

Esquema 1: la red de un vistazo

Hay tres caminos y no se mezclan:

• Quien lee el blog llega a Cloudflare y ahí se acaba el viaje. La web y el blog son estáticos y viven en Cloudflare Pages, así que siguen en línea aunque el servidor de casa esté apagado.
• Yo, cuando estoy fuera, entro por WireGuard. Es el único puerto abierto en el router, y sin la clave del cliente no responde a nada.
• Dentro de casa, los dispositivos usan el DNS del homelab y acceden a las aplicaciones internas sin salir a Internet.

El túnel de Cloudflare sigue conectado, pero hoy no publica ningún servicio. Lo mantengo para poder publicar algo en el futuro sin abrir puertos. Las flechas que salen del servidor hacia la derecha son lo único que el homelab envía por iniciativa propia: avisos y un latido periódico para que alguien de fuera se entere si deja de responder.

Esquema 2: qué corre en cada parte

Acceso y red

Son los cuatro contenedores por los que pasa el tráfico antes de llegar a cualquier aplicación:

Servicio	Para qué sirve
AdGuard Home	DNS de toda la casa. Bloquea publicidad y resuelve los nombres internos del homelab, que no existen en el DNS público
NPMplus	Proxy inverso. Da HTTPS con certificados válidos a las aplicaciones internas
WireGuard	La VPN para entrar desde fuera, con su panel de gestión accesible solo desde dentro
cloudflared	El conector del túnel de Cloudflare. Conectado, pero sin ninguna ruta publicada

Un dispositivo de casa (o yo conectado por la VPN) pregunta primero a AdGuard, que le devuelve la dirección de NPMplus, y NPMplus reenvía la petición a la aplicación que toque. Así el tráfico interno nunca sale a Internet. Los paneles de administración (Proxmox, AdGuard, NPMplus y el de WireGuard) no pasan por el proxy y solo se abren desde la LAN.

Servicios web

• Nextcloud es mi nube personal, con 2FA y accesible solo desde casa o por la VPN. Lo conté en este post.
• El panel del homelab es la página de inicio: estado de cada servicio, tareas y registros. Lo hice a medida para sustituir a Homarr y lo cuento en este post.
• Jellyfin sirve las películas y series al móvil o la tele, con transcodificación por la gráfica del NUC. Lee la misma carpeta del SSD externo que Nextcloud usa para subir los archivos; lo cuento en este post.
• Uptime Kuma vigila que todo responda y avisa por Telegram si algo cae.

Host y almacenamiento

El propio Proxmox tiene su parte del trabajo: un firewall que solo admite conexiones de la red de casa, 2FA en el acceso, los logs en RAM con volcado a disco cada hora para no desgastar el SSD, y una copia de seguridad diaria de todos los contenedores al SSD externo. Ese mismo disco guarda los datos de Nextcloud y las películas y series de Jellyfin, así que los archivos no ocupan el SSD interno.

Fuera de casa

Uptime Kuma tiene un problema de base: si se va la luz o la fibra, cae con todo lo demás y no puede avisar. Por eso el servidor envía cada pocos minutos un latido a Healthchecks.io, y también cuando termina la copia de seguridad. Si los latidos dejan de llegar, el aviso sale desde fuera. Los errores de Proxmox y el resultado de cada copia llegan además por correo.

Lo que no aparece en los esquemas

Este blog es público, así que los esquemas no llevan direcciones IP, puertos (salvo que la VPN usa uno UDP), nombres internos ni identificadores. No es que esconderlos haga seguro el homelab, pero tampoco hay motivo para dar el mapa hecho. Para el día a día tengo una documentación privada con todo el detalle.

Qué ha cambiado desde mayo

• Copias de seguridad. Antes no había ninguna. Ahora cada noche se copian todos los contenedores a un SSD externo y he probado a restaurar uno.
• Nextcloud ha ocupado el sitio de Netdata como nuevo servicio del servidor.
• Jellyfin para películas y series, compartiendo carpeta con Nextcloud en el SSD externo.
• Authelia ya no está. Protegía el único servicio publicado en el túnel, y al no publicar nada dejó de tener sentido mantenerlo. Si algún día publico algo, irá detrás de Cloudflare Access, que pide login antes de que el tráfico llegue a casa.
• Vigilancia externa con Healthchecks.io y avisos por correo, además de Telegram.
• Más hardening: firewall de Proxmox activo, 2FA en el host y Lynis pasado a todos los contenedores.

Lo siguiente en la lista es tener una copia fuera de casa. Mientras todas las copias estén en el mismo sitio que el servidor, un incendio o un robo se lo llevan todo.