MI NUBE PRIVADA,
MONTADA Y OPERADA EN CASA.
Soy Alberto, ingeniero de software. Albgott es donde corren de verdad mis proyectos y los de mis clientes: tres nodos Proxmox montados con hardware que ya tenía, ocho redes aisladas y 38 servicios, entre ellos el pipeline que ha desplegado esta página.
Empezó con una factura de AWS de 300 € por máquinas que había olvidado apagar. La solución parecía obvia: montarlo yo, en un par de portátiles viejos que nunca dormían.
La solución barata acabó siendo la lección cara. Arrancar un servicio es fácil. Mantenerlo en pie, accesible y aburrido es otro trabajo, y tres años y unas cuantas reconstrucciones después, de ese trabajo va esta web.
Cada página es el montaje real, contado como se lo explicaría a quien tuviera que hacerse cargo de él mañana.
- Cómputo03 NODOS
- Red08 SEGMENTOS
- Cargas de trabajo38 SERVICIOS
- ObservabilidadSTACK COMPLETO · 24/7
- AutomatizaciónCASI TODO A MANO
Tres reglas con las que no empecé
Arquitectura
Una red plana funcionaba bien hasta que dejó de hacerlo. Ahora cada servicio recibe su VLAN antes que su IP, y esa VLAN decide a qué puede llegar.
Leer más →02Seguridad
Conectarse no es lo mismo que tener permiso. La VPN lleva a un dispositivo hasta el router; a partir de ahí decide una regla de firewall escrita para ese flujo exacto.
Leer más →03Operaciones
Si es un cliente quien me avisa de que algo está caído, la monitorización ha fallado. Las alertas llegan antes a mi móvil, y cada host nuevo reporta métricas antes de ejecutar nada.
Leer más →Tres nodos, ocho redes
Decisiones que
tienen un precio
Las tres hacen el día a día más lento. Las tres evitan que un error en un sitio se convierta en un problema en todas partes.
- 01Hardware según la tareaLa torre de 64 GB guarda las bases de datos y el tráfico público. El portátil solo ejecuta cosas que puedo reconstruir.
- 02Sin confianza entre redes internasDos VLAN no se hablan solo porque las dos sean mías. Cada flujo permitido es una regla con nombre en el MikroTik.
- 03Una VPN por rolLos colaboradores entran por un túnel WireGuard y la administración por otro, así que un móvil perdido en el primero no llega a ningún hipervisor.
Si no hay una regla para ello, no se conecta.
Cómo se decide
quién entra
Estar en la red no significa poder usarla. Tres límites hacen casi todo el trabajo:
- 01Denegar por defecto, permitir de forma explícitaCada flujo entre redes es una regla de RouterOS con una lista de origen, una de destino y un puerto. Todo lo demás se descarta.
- 02Tres proxies para tres públicosEl tráfico público, las herramientas internas y las consolas de hardware entran cada uno por su propia instancia de Caddy. Entrar en una no abre las otras dos.
- 03Identidad, a medio caminoHoy Authentik con MFA protege el stack de monitorización. El resto de servicios van pasando detrás de él uno a uno.
MÉTRICAS CADA 15s.LOGS DURANTE 30 DÍAS.ALERTAS EN MI MÓVIL.
Métricas, logs y comprobaciones desde fuera responden cada uno a una pregunta distinta, y los tres acaban en el mismo chat de Telegram. El objetivo es sencillo: enterarme yo primero.
scale(1.4011)'%20gradientUnits='userSpaceOnUse'%3e%3cstop%20offset='0'%20stop-color='%23fcee1f'/%3e%3cstop%20offset='1'%20stop-color='%23f15b2a'/%3e%3c/linearGradient%3e%3cpath%20fill='url(%23a)'%20d='M120.8%2056.9q-.3-3.15-1.2-7.2c-.9-4.05-1.8-5.5-3.2-8.6-1.5-3-3.4-6.2-5.9-9.1-1-1.2-2.1-2.3-3.2-3.5%201.8-6.9-2.1-13-2.1-13-6.7-.4-10.9%202.1-12.4%203.2-.2-.1-.6-.2-.8-.3-1.1-.4-2.3-.9-3.5-1.3-1.2-.3-2.4-.8-3.6-1-1.2-.3-2.5-.6-3.9-.8-.2%200-.4-.1-.7-.1C77.5%206%2069.1%202%2069.1%202c-9.6%206.2-11.4%2014.4-11.4%2014.4s0%20.2-.1.4c-.6.1-1%20.3-1.5.4-.7.2-1.4.4-2.1.8l-2.1.9c-1.4.7-2.8%201.3-4.2%202.1-1.3.8-2.6%201.5-3.9%202.4-.2-.1-.3-.2-.3-.2-12.9-5-24.3%201-24.3%201-1%2013.8%205.2%2022.3%206.4%2023.9-.3.9-.6%201.7-.9%202.5q-1.5%204.65-2.1%209.6c-.1.4-.1%201-.2%201.4C10.5%2067.5%207%2079.6%207%2079.6%2016.9%2091%2028.5%2091.7%2028.5%2091.7c1.4%202.6%203.2%205.2%205.1%207.5.8%201%201.7%201.9%202.5%202.9-3.6%2010.3.6%2019%20.6%2019%2011.1.4%2018.4-4.8%2019.9-6.1%201.1.3%202.2.7%203.3%201%203.4.9%206.9%201.4%2010.3%201.5h4.5c5.2%207.5%2014.4%208.5%2014.4%208.5%206.5-6.9%206.9-13.6%206.9-15.2v-.6c1.3-1%202.6-2%204-3.1%202.6-2.3%204.8-5.1%206.8-7.9.2-.2.3-.6.6-.8%207.4.4%2012.5-4.6%2012.5-4.6-1.2-7.7-5.6-11.4-6.5-12.1l-.1-.1-.1-.1-.1-.1c0-.4.1-.9.1-1.4.1-.9.1-1.7.1-2.5v-3.3c0-.2%200-.4-.1-.7l-.1-.7-.1-.7c-.1-.9-.3-1.7-.4-2.5-.8-3.3-2.1-6.5-3.7-9.2-1.8-2.9-3.9-5.3-6.3-7.5-2.4-2.1-5.1-3.9-7.9-5.1-2.9-1.3-5.7-2.1-8.7-2.4-1.4-.2-3-.2-4.4-.2h-2.3c-.8.1-1.5.2-2.2.3-3%20.6-5.7%201.7-8.1%203.1s-4.5%203.3-6.3%205.4-3.1%204.3-4%206.7c-.9%202.3-1.4%204.8-1.5%207.2v2.6c0%20.3%200%20.6.1.9.1%201.2.3%202.3.7%203.4.7%202.2%201.7%204.2%203%205.9s2.8%203.1%204.4%204.2c1.7%201.1%203.3%201.9%205.1%202.4s3.4.8%205%20.7h2.3c.2%200%20.4-.1.6-.1s.3-.1.6-.1c.3-.1.8-.2%201.1-.3.7-.2%201.3-.6%202-.8.7-.3%201.2-.7%201.7-1%20.1-.1.3-.2.4-.3.6-.4.7-1.2.2-1.8-.4-.4-1.1-.6-1.7-.3-.1.1-.2.1-.4.2-.4.2-1%20.4-1.4.6-.6.1-1.1.3-1.7.4-.3%200-.6.1-.9.1h-1.8s-.1%200%200%200h-.7c-.1%200-.3%200-.4-.1-1.2-.2-2.5-.6-3.7-1.1-1.2-.6-2.4-1.3-3.4-2.3-1.1-1-2-2.1-2.8-3.4s-1.2-2.8-1.4-4.2c-.1-.8-.2-1.5-.1-2.3v-.7c0%20.1%200%200%200%200V70c0-.4.1-.8.2-1.2.6-3.3%202.2-6.5%204.7-8.9.7-.7%201.3-1.2%202.1-1.7.8-.6%201.5-1%202.3-1.3s1.7-.7%202.5-.9c.9-.2%201.8-.4%202.6-.4.4%200%20.9-.1%201.3-.1h.8c.1%200%200%200%200%200h.4c1%20.1%202%20.2%202.9.4%201.9.4%203.7%201.1%205.5%202.1%203.5%202%206.5%205%208.3%208.6.9%201.8%201.5%203.7%201.9%205.8.1.6.1%201%20.2%201.5v2.7c0%20.6-.1%201.1-.1%201.7-.1.6-.1%201.1-.2%201.7s-.2%201.1-.3%201.7c-.2%201.1-.7%202.1-1%203.2-.8%202.1-1.9%204.1-3.2%205.8-2.6%203.6-6.3%206.6-10.3%208.5-2.1.9-4.2%201.7-6.4%202q-1.65.3-3.3.3h-1.6c.1%200%200%200%200%200h-.1c-.6%200-1.2%200-1.8-.1-2.4-.2-4.7-.7-7-1.3-2.3-.7-4.5-1.5-6.6-2.6-4.2-2.2-7.9-5.4-10.9-9-1.4-1.9-2.8-3.9-3.9-5.9s-1.9-4.3-2.5-6.5c-.7-2.2-1-4.5-1.1-6.8v-3.5c0-1.1.1-2.3.3-3.5.1-1.2.3-2.3.6-3.5.2-1.2.6-2.3.9-3.5.7-2.3%201.4-4.5%202.4-6.6%202-4.2%204.5-7.9%207.5-10.9.8-.8%201.5-1.4%202.4-2.1.3-.3%201.1-1%202-1.5s1.8-1.1%202.8-1.5c.4-.2.9-.4%201.4-.7.2-.1.4-.2.8-.3.2-.1.4-.2.8-.3%201-.4%202-.8%203-1.1.2-.1.6-.1.8-.2s.6-.1.8-.2c.6-.1%201-.2%201.5-.4.2-.1.6-.1.8-.2.2%200%20.6-.1.8-.1s.6-.1.8-.1l.4-.1.4-.1c.2%200%20.6-.1.8-.1.3%200%20.6-.1.9-.1.2%200%20.7-.1.9-.1s.3%200%20.6-.1h.7c.3%200%20.6%200%20.9-.1h.4s.1%200%200%200h4.1c2%20.1%204%20.3%205.8.7%203.7.7%207.4%201.9%2010.6%203.5%203.2%201.5%206.2%203.5%208.6%205.6.1.1.3.2.4.4.1.1.3.2.4.4.3.2.6.6.9.8s.6.6.9.8c.2.3.6.6.8.9%201.1%201.1%202.1%202.3%203%203.4%201.8%202.3%203.2%204.6%204.3%206.8.1.1.1.2.2.4.1.1.1.2.2.4s.2.6.4.8c.1.2.2.6.3.8s.2.6.3.8c.4%201%20.8%202%201.1%203%20.6%201.5.9%202.9%201.2%204%20.1.4.6.8%201%20.8.6%200%20.9-.4.9-1-.3-1.7-.3-3.1-.4-4.8'/%3e%3c/svg%3e)
'%20gradientUnits='userSpaceOnUse'%3e%3cstop%20offset='0'%20style='stop-color:%235cdd8b'/%3e%3cstop%20offset='1'%20style='stop-color:%2386e6a9'/%3e%3c/linearGradient%3e%3cpath%20d='M481.4%20226.6c53.7%20122.7%2053.7%20199.7%200%20230.9-80.5%2046.7-290.4%2061-350.9-10.9-40.3-47.9-40.3-121.2%200-220%2041-67.5%2099.2-101.2%20174.6-101.2%2075.5%200%20134.3%2033.8%20176.3%20101.2z'%20style='fill:url(%23a);stroke:%23f2f2f2;stroke-width:200;stroke-opacity:.51'/%3e%3c/svg%3e)
Lo que todavía falta
Las copias de seguridad. Todavía no hay, y todo lo que tiene estado vive en un único disco de 8 TB. Es lo primero de la lista, y por eso lo próximo que compro es un NAS.
- ✓Dividir la red en VLAN aisladas
- ✓Pipeline de CI/CD con Jenkins y Harbor
- ✓Métricas, logs y alertas para todo el stack
- Poner todos los servicios detrás del SSO
- Copias de seguridad automáticas y probadas
- Que la monitorización sobreviva a la caída de un nodo
- Montar el hardware en un rack de verdad
Montarlo yo iba a ser la opción barata.
No lo fue, pero ha sido el mejor profesor que he tenido. La historia completa, incluido el día en que un cliente detectó una caída antes que yo, está en la página sobre mí.
Alberto Morán
¿TIENES ALGO QUE NO PUEDE CAERSE?
Si estás montando infraestructura o un servicio que tiene que seguir funcionando después del día del lanzamiento, cuéntamelo. Me encanta pensar en las partes difíciles.