Por hacer
16
06 — Roadmap
No es una lista de deseos. Es una lista de trabajo.
Redactada como me gustaría que me la entregaran si heredara este sistema mañana — qué está en producción, qué no, y por qué el orden importa.
Completado
20
§1
Todavía abierto, por área
A. Identidad y secrets
| Activar de verdad el SSO en todos los servicios internos, no solo tenerlo disponible | Sin empezar |
| Dejar de pegar secrets a mano — hacer que Infisical sea la fuente de verdad real | Sin empezar |
B. Durabilidad de datos y alta disponibilidad
| Comprar un NAS para centralizar los datos y hacer posibles los backups/migraciones | Sin empezar |
| Replicar las máquinas críticas — proxies, bases de datos, sitios clave — para que la caída de una no se lleve todo por delante | Sin empezar |
| Conseguir que los backups corran según un calendario, automáticamente | Sin empezar |
C. Automatización e infrastructure-as-code
| Dejar de mantener los hosts a mano — automatizarlo | Sin empezar |
| Adoptar Ansible y OpenTofu para que los servidores se configuren desde código, no de memoria | Sin empezar |
| Arreglar Wake-on-LAN para poder encender las máquinas en remoto | Sin empezar |
D. Observability
| Activar alertas basadas en logs en Loki, no solo las basadas en métricas | Sin empezar |
| Hacer que el propio stack de monitoring sobreviva a la caída de un nodo | Sin empezar |
E. Infraestructura física
| Trasladar el hardware a un rack como es debido | Sin empezar |
| Rehacer el cableado ethernet como es debido | Sin empezar |
| Comprar e instalar un SAI, para que un corte breve de luz no se lleve todo por delante | Sin empezar |
| Conseguir hardware capaz de experimentación real con IA en local | Sin empezar |
F. Seguridad y edge
| Poner los servicios expuestos al público detrás de algo como Cloudflare para protección frente a ataques | Sin empezar |
G. Documentación
| Documentar más los procesos reales del día a día, no solo las páginas de referencia | Sin empezar |
§2
Registrado como hecho
| Item | Status |
|---|---|
| Dividir la red en zonas aisladas en lugar de una única área de confianza plana | Completo |
| Escribir reglas de firewall para exactamente lo que cada zona puede alcanzar | Completo |
| Dar a DNS un segundo servidor, para que la caída de una máquina no rompa las resoluciones | Completo |
| Construir una forma segura de acceder a todo en remoto, sin estar in situ | Completo |
| Enrutar el tráfico a través de tres proxies separados, uno por nivel de confianza | Completo |
✓ cada nodo tiene una función clara✓ toda la red está documentada — servicios, IPs, todo✓ runbook para añadir un peer de acceso remoto✓ runbook para añadir un túnel de acceso remoto✓ runbook para poner en marcha una nueva zona de red✓ bases de datos reales en marcha✓ almacenamiento de archivos compatible con S3✓ mi propia nube de archivos (OpenCloud)✓ mi propia nube de fotos (Immich)✓ un pipeline completo de build y deploy✓ todo el stack está vigilado — métricas y alertas✓ single sign-on configurado (Authentik)✓ secrets centralizados configurados (Infisical)✓ mis propios sitios y apps, self-hosted✓ todos los enlaces en un solo dashboard