Networking

Problema En entornos domésticos donde se publican servicios mediante IPv6 (por ejemplo, una aplicación Docker expuesta en el puerto 443), es frecuente observar que la dirección AAAA funciona perfectamente desde la LAN, pero que clientes externos, monitores de uptime o usuarios en distintas regiones experimentan “unreachable” de forma intermitente. El síntoma típico es: Algunas regiones (p.ej. Frankfurt, Madrid) reciben respuestas HTTP 200. Otras (Berlin, Tokio, Chicago) devuelven timeout o “connection refused”. El comportamiento varía con el tiempo sin cambios en la configuración del servidor. Este patrón indica que el problema no está en la aplicación (Immich, Nextcloud, etc.) sino en la capa de red que lleva el tráfico IPv6 desde el ISP hasta el host. ...

Problema En muchos homelabs el tráfico de dispositivos de confianza, invitados, IoT y servidores se mezcla en una única subred. Esa arquitectura simplifica la configuración inicial, pero rápidamente muestra sus límites: un dispositivo comprometido puede escanear la red, acceder a bases de datos internas o evadir las políticas de DNS. Cuando un adolescente experimenta con resolvers externos (DoH, DoT, VPN) el control de la red se vuelve casi imposible, y el tráfico de servicios críticos (NAS, CI/CD, bases de datos) queda expuesto a ataques internos o a filtraciones accidentales. La necesidad real es una segmentación clara, reglas de firewall estrictas entre zonas y una forma de obligar a todos los clientes a usar el resolver interno sin que puedan sobrescribirlo. ...

Problema En entornos Windows es frecuente que, tras ejecutar varias herramientas anti‑malware, la conexión a Internet deje de funcionar aunque el adaptador Wi‑Fi o Ethernet siga activo. El síntoma típico es la imposibilidad de resolver nombres de dominio: los navegadores muestran errores de DNS, nslookup devuelve Server failed y los comandos ping a direcciones externas fallan aunque se pueda hacer ping a la puerta de enlace local. Este tipo de bloqueo no es exclusivo de un caso concreto; ocurre cuando alguna capa de la pila de red (hosts, proxy, NCSI, filtros NDIS) queda corrupta o en estado “pendiente” después de la desinfección. La solución requiere una revisión sistemática de los componentes que intervienen en la resolución de nombres y en la autorización de tráfico saliente. ...

Problema Muchos entusiastas de homelab intentan replicar entornos empresariales usando equipos de gama alta, pero el presupuesto y el espacio a menudo son limitados. El desafío recurrente es lograr una arquitectura de red segmentada (VLANs, routing inter‑VLAN, políticas de firewall) sin depender de switches y routers costosos. En la práctica, el cuello de botella suele estar en el router doméstico de 100 Mbps, que no soporta VLAN tagging ni reglas avanzadas. El objetivo es construir una infraestructura que ofrezca aislamiento de tráfico, gestión centralizada y capacidad de escalar a laboratorios de seguridad o SD‑WAN, todo dentro de un chasis de mini PC. ...

Problema En entornos de auto‑hosting es frecuente combinar un contenedor que necesita salir a Internet (por ejemplo, qbittorrent) con una VPN basada en WireGuard. La práctica consiste en montar un archivo wg0.conf dentro del container y delegar la resolución DNS a un resolvedor interno como Unbound. Cuando la configuración parece correcta pero cualquier llamada a curl, ping o la propia aplicación muestra errores de tipo “Could not resolve host”, el contenedor queda sin acceso a la red externa aunque la interfaz wg0 esté UP. ...

Problema Muchos entusiastas de homelab llegan a un punto donde la combinación de varios nodos Proxmox y una red doméstica basada en VLANs empieza a mostrar limitaciones: la capacidad de la ISP no se aprovecha plenamente, la segmentación genera cuellos de botella y añadir nuevos servidores SFF complica la topología. El patrón típico es una infraestructura que crece sin una base de routing y switching que garantice aislamiento, rendimiento y facilidad de expansión. El reto es diseñar una arquitectura que: ...

Problema En entornos domésticos o de pequeña oficina, la mayoría de los filtros DNS se basa en listas negras estáticas. Esa aproximación funciona para bloquear anuncios o malware, pero no permite definir políticas diferenciadas por dispositivo ni por tipo de contenido. Cuando se necesita, por ejemplo, que los teléfonos de los niños bloqueen todo contenido adulto y juegos de apuestas mientras que los equipos de trabajo solo restrinjan redes sociales, la gestión manual de varias listas se vuelve inmanejable. El reto es crear un servicio DNS que: ...

Problema Los entornos auto‑alojados que combinan varios VPS, dispositivos locales y servicios críticos (bases de datos, agentes IA, stacks de trading) suelen optar por una topología hub‑and‑spoke basada en WireGuard. Cuando la red crece, aparecen tres patrones de falla recurrentes: Conexiones inter‑nodo inestables: la pérdida de un peer o la caída del hub corta el acceso a bases de datos y a los procesos de recolección. Backups que dejan de estar cifrados o no se replican: la ausencia de una capa de cifrado de disco y de un proceso de sincronización fiable expone datos sensibles. Superficie de ataque ampliada: sin filtros de tráfico, IDS/IPS y control de acceso, cualquier nodo comprometido puede convertirse en punto de salida para ataques externos. El reto es diseñar una arquitectura que mantenga la conectividad, garantice el cifrado de repositorios y minimice la exposición a amenazas, sin depender de servicios de terceros. ...

Problema En entornos domésticos o de pequeña oficina es frecuente delegar la resolución de nombres internos a un Pi‑hole instalado en un contenedor LXC. El objetivo es que cualquier dispositivo que consulte DNS obtenga tanto la filtración de publicidad como los registros locales (por ejemplo test.lan). Cuando los dispositivos siguen enviando consultas al router y el router reenvía a un servidor externo (Cloudflare, Google), los nombres internos no se resuelven y el navegador muestra “server IP address could not be found”. El síntoma típico es: ...

Problema Muchos usuarios de self‑hosting tienen el router de su casa detrás de un NAT estricto, una IP pública dinámica o simplemente no quieren exponer directamente la dirección IP del ISP. En esos entornos, publicar un servicio (web, SSH, Plex, etc.) requiere una solución que atraviese el NAT sin abrir puertos innecesarios en el router y sin depender de servicios de terceros como DynDNS. La necesidad recurrente es crear un túnel fiable entre la red doméstica y un punto accesible en Internet, y luego redirigir el tráfico entrante hacia los servidores internos. ...