Pendientes
21
05 · Roadmap
Qué está hecho, qué viene y en qué orden.
Ordenado por lo que más dolería si fallara hoy. Las copias de seguridad van primero porque son el único hueco que no se puede arreglar a posteriori.
Completadas
20
§1
Pendiente, por área
A. Copias de seguridad y durabilidad
| Elegir un destino de copias fuera de los nodos: un NAS | Sin empezar |
| pg_dump programado para las dos instancias de PostgreSQL, y archivado de WAL si los dumps no bastan | Sin empezar |
| Replicar los buckets de RustFS en el destino de copias | Sin empezar |
| Exportar la configuración del MikroTik de forma programada y guardarla fuera del router | Sin empezar |
| Hacer una prueba de restauración real y documentar el procedimiento que funcione | Sin empezar |
B. Identidad y secretos
| Decidir qué servicios necesitan de verdad el SSO de Authentik y pasarlos uno a uno, con marcha atrás | Sin empezar |
| Convertir Infisical en la fuente de verdad real y apuntar a él los jobs de Jenkins | Sin empezar |
C. Alta disponibilidad
| Que el stack de monitorización siga vivo cuando cae un nodo | Sin empezar |
| Duplicar las piezas críticas: proxies, bases de datos y las webs que usan los clientes | Sin empezar |
D. Automatización
| Pasar el setup base de las máquinas a Ansible en lugar de teclearlo en cada host | Sin empezar |
| Describir las VM y los contenedores LXC con OpenTofu | Sin empezar |
| Configurar Wake-on-LAN en pve03 | Sin empezar |
E. Observabilidad
| Escribir reglas de alerta basadas en logs en Loki (su ruler ya apunta a Alertmanager) | Sin empezar |
| Alertas específicas de seguridad, separadas de la monitorización general | Sin empezar |
F. Infraestructura física
| Montar el hardware en un rack de verdad | Sin empezar |
| Rehacer el cableado Ethernet | Sin empezar |
| Añadir un SAI para que un corte de luz no lo tumbe todo | Sin empezar |
| Hardware para IA local más allá de la GTX 1070 | Sin empezar |
G. Perímetro
| Poner los servicios públicos detrás de una CDN con protección DDoS, como Cloudflare | Sin empezar |
H. Documentación
| Comprobar la configuración documentada de cada servicio contra el host real | Sin empezar |
| Mantener los diagramas de los proxies y la documentación del firewall al día con Caddy y RouterOS | Sin empezar |
§2
Hecho
| Item | Status |
|---|---|
| Dividir una red plana en ocho VLAN, cada una con una sola función | Completado |
| Firewall con denegación por defecto en el MikroTik y una regla por cada flujo permitido | Completado |
| Un segundo servidor DNS, sincronizado con transferencias de zona autenticadas con TSIG | Completado |
| Acceso remoto por dos túneles WireGuard, uno para trabajo y otro para administración | Completado |
| Tres proxies inversos Caddy: público, interno y de gestión | Completado |
✓ un rol claro para cada nodo✓ cada servicio, dirección y ruta documentados✓ runbook: añadir un peer de WireGuard✓ runbook: añadir un túnel de WireGuard✓ runbook: poner en marcha una VLAN nueva✓ PostgreSQL separado para prod y dev✓ almacenamiento compatible con S3 (RustFS)✓ mi propia nube de archivos (OpenCloud)✓ mi propia fototeca (Immich)✓ pipeline con Jenkins + Harbor✓ Prometheus, Loki y Alertmanager✓ SSO con MFA (Authentik)✓ gestor de secretos (Infisical)✓ mis propias webs, self-hosted✓ un dashboard con todos los enlaces