Docker

Problema En entornos Docker Compose donde un contenedor actúa como gateway entre dos redes (por ejemplo, una red privada y una pública), es habitual usar iptables con la regla MASQUERADE para que el tráfico saliente parezca provenir de la interfaz externa del gateway. Cuando la regla no se aplica, los paquetes siguen mostrando la IP interna del contenedor origen, lo que provoca fallos de conectividad y respuestas rechazadas por los servidores remotos. El síntoma típico es observar, con tcpdump, la IP del contenedor interno en la capa IP del tráfico que sale por la interfaz pública del gateway. ...

Problema En entornos homelab o servidores de pequeña escala, el flujo típico de administración consiste en abrir una sesión SSH, ejecutar apt update, inspeccionar el uso de disco, listar puertos con ss -tuln, revisar contenedores Docker y, finalmente, volver a cerrar la sesión. Cada paso implica cambiar de herramienta, copiar y pegar resultados y, a menudo, olvidar alguna pieza del puzzle. El tiempo invertido en “ir y venir” entre comandos se vuelve significativo y el riesgo de pasar algo por alto (un servicio sin iniciar, una regla de firewall deshabilitada) aumenta. El problema subyacente es la falta de una vista consolidada que permita observar y actuar sobre los componentes críticos del servidor sin abandonar la terminal. ...

Problema Al montar un servidor de medios con Jellyfin dentro de un contenedor Docker, muchos administradores de homelab quieren que el tráfico pase por Tailscale para disponer de una red privada sin abrir puertos públicos. En la práctica, el proceso suele tropezar con dos obstáculos recurrentes: Conflicto de puertos: Docker reclama puertos que ya están reservados por servicios del host (por ejemplo, 443 para HTTPS). Resolución DNS interna: Cuando se asigna un nombre de dominio a la IP local del servidor, la resolución a través de Tailscale puede quedar atrapada en una entrada estática que apunta a la IP de la LAN, impidiendo que el contenedor se comunique correctamente durante la construcción o el arranque. El resultado típico es un error al intentar compilar o iniciar la imagen de Jellyfin, con mensajes que indican que el puerto 443 está “restricted” o que la conexión a la red Tailscale falla. El problema no es exclusivo de Jellyfin; cualquier servicio que requiera puertos estándar y dependa de DNS interno sufre el mismo patrón. ...

Problema En entornos de laboratorio o homelab es frecuente crear una VM de Windows 11 Pro dentro de Proxmox y, a su vez, intentar ejecutar Docker (o contenedores Linux) dentro de esa VM. El síntoma típico es que la instalación de una distribución Linux (por ejemplo Ubuntu) falla, o Docker no arranca y muestra errores relacionados con la arquitectura, la falta de soporte de virtualización o la imposibilidad de crear cgroups. El problema no es exclusivo de una versión concreta; se manifiesta siempre que la capa de virtualización anidada no está preparada para exponer los recursos que Docker necesita. ...

Problema En muchos homelabs de bajo presupuesto el disco de arranque es un SSD pequeño mientras que el almacenamiento de datos se encuentra en un HDD más lento. Sistemas como TrueNAS SCALE reservan el SSD exclusivamente para el sistema operativo y los servicios de gestión, lo que obliga a que contenedores y máquinas virtuales utilicen el HDD para sus volúmenes de trabajo. El resultado típico es un cuello de botella de I/O: aplicaciones de medios, bases de datos ligeras o servicios con caché se ven limitadas por la velocidad de 5400 rpm. ...

Problema Al ejecutar wg‑easy dentro de un contenedor Docker en un router OpenWrt, los clientes WireGuard establecen la conexión pero pierden la capacidad de alcanzar tanto la LAN como la WAN. Las peticiones DNS (por ejemplo a 1.1.1.1) nunca llegan, y cualquier intento de ping a la puerta de enlace local devuelve Destination Port Unreachable. El síntoma típico es una interfaz tun0 activa en el cliente, tráfico visible en el contenedor, pero sin rutas de salida hacia la red del router ni hacia Internet. ...

Problema En entornos domésticos donde se publican servicios mediante IPv6 (por ejemplo, una aplicación Docker expuesta en el puerto 443), es frecuente observar que la dirección AAAA funciona perfectamente desde la LAN, pero que clientes externos, monitores de uptime o usuarios en distintas regiones experimentan “unreachable” de forma intermitente. El síntoma típico es: Algunas regiones (p.ej. Frankfurt, Madrid) reciben respuestas HTTP 200. Otras (Berlin, Tokio, Chicago) devuelven timeout o “connection refused”. El comportamiento varía con el tiempo sin cambios en la configuración del servidor. Este patrón indica que el problema no está en la aplicación (Immich, Nextcloud, etc.) sino en la capa de red que lleva el tráfico IPv6 desde el ISP hasta el host. ...

Problema Los entusiastas de los servidores domésticos suelen combinar Plex con servicios de arr (Sonarr, Radarr, etc.) y clientes de Usenet o torrents. En la práctica, aparecen dos grupos de fallos recurrentes: Plex se cae cada vez que se reinicia Docker – los contenedores que gestionan descargas y organización se ejecutan en la misma máquina que Plex, de modo que cualquier reinicio de Docker desmonta los volúmenes y rompe la biblioteca. Los hard links no funcionan – cuando las descargas se guardan en un filesystem distinto al de la biblioteca, Sonarr/Radarr copian los archivos en vez de enlazarlos, duplicando temporalmente el uso de disco y saturando el pool ZFS. Inconsistencias de rutas y permisos – los servicios dentro de Docker esperan rutas absolutas diferentes a las que ve el host, lo que provoca que los archivos no se muevan o que los procesos fallen al iniciar. El patrón subyacente es una arquitectura monolítica donde Plex, los arr y el cliente de Usenet comparten el mismo entorno de contenedores o VM sin una separación clara del almacenamiento. El resultado es inestabilidad, pérdida de rendimiento y una gestión de permisos engorrosa. ...

Problema Muchos entusiastas de homelab quieren automatizar despliegues, versionar configuraciones y mantener sus servicios disponibles sin invertir tiempo excesivo. La pregunta recurrente es si montar un clúster Kubernetes (por ejemplo k3s) aporta suficiente valor frente a una arquitectura basada en Docker Compose, especialmente cuando el objetivo principal es GitOps y no se necesita alta disponibilidad. La decisión impacta en la curva de aprendizaje, el consumo de recursos y la flexibilidad para escalar o migrar a máquinas virtuales. ...

Problema En muchos homelabs el tráfico de dispositivos de confianza, invitados, IoT y servidores se mezcla en una única subred. Esa arquitectura simplifica la configuración inicial, pero rápidamente muestra sus límites: un dispositivo comprometido puede escanear la red, acceder a bases de datos internas o evadir las políticas de DNS. Cuando un adolescente experimenta con resolvers externos (DoH, DoT, VPN) el control de la red se vuelve casi imposible, y el tráfico de servicios críticos (NAS, CI/CD, bases de datos) queda expuesto a ataques internos o a filtraciones accidentales. La necesidad real es una segmentación clara, reglas de firewall estrictas entre zonas y una forma de obligar a todos los clientes a usar el resolver interno sin que puedan sobrescribirlo. ...