¡Necesitas un homelab!

Un homelab no es solo un conjunto de servidores parpadeando en una esquina de la casa — es un laboratorio de pruebas vivo, un sistema de producción personal y una excelente manera de aprender sobre infraestructura de redes, seguridad y administración de sistemas.

En este artículo presento la arquitectura actual de mi homelab, diseñada pensando en la seguridad perimetral, la alta disponibilidad de servicios y la gestión centralizada de identidades.

flowchart TD
    classDef internet fill:#f9f9f9,stroke:#333,stroke-width:2px;
    classDef vps fill:#e1f5fe,stroke:#01579b,stroke-width:2px;
    classDef lan fill:#e8f5e9,stroke:#2e7d32,stroke-width:2px;
    classDef security fill:#fff3e0,stroke:#ef6c00,stroke-width:2px;
    classDef apps fill:#e3f2fd,stroke:#1565c0,stroke-width:2px;
    classDef storage fill:#eceff1,stroke:#37474f,stroke-width:2px;
    classDef proxmox fill:#f3e5f5,stroke:#6a1b9a,stroke-width:2px;

    subgraph Internet [Internet]
        ExtNet([Internet User])
    end

    subgraph VPS [VPS Externo]
        ExtNPM[NGINX Externo]
    end

    subgraph Proxmox [Proxmox VE — Bare Metal]
        subgraph LAN [Capa de Red]
            Router["pfSense (VM)"]
            IntNPM["NGINX Interno (LXC)"]
            Dashy["Dashy Dashboard (LXC)"]
        end

        subgraph Security [Capa de Seguridad]
            Authentik["Authentik SSO (LXC)"]
            AD["Samba 4 AD DC (VM)"]
            Vault["Vault (LXC)"]
        end

        subgraph Apps [Capa de Aplicaciones]
            HomeAssistant["Home Assistant (LXC)"]
            Nextcloud["Nextcloud (LXC)"]
            Vaultwarden["Vaultwarden (LXC)"]
            Joplin["Joplin (LXC)"]
            Forgejo["Forgejo (LXC)"]
        end

        subgraph Storage [Capa de Almacenamiento]
            TrueNAS[("TrueNAS ZFS (VM)")]
        end
    end

    ExtNet --> ExtNPM
    ExtNPM --> Router
    Router --> IntNPM

    IntNPM --> Dashy
    IntNPM --> Authentik
    Authentik --> AD
    Authentik --> Vault

    IntNPM --> HomeAssistant
    IntNPM --> Nextcloud
    IntNPM --> Vaultwarden
    IntNPM --> Joplin
    IntNPM --> Forgejo

    HomeAssistant --> TrueNAS
    Nextcloud --> TrueNAS
    Vaultwarden --> TrueNAS
    Joplin --> TrueNAS
    Forgejo --> TrueNAS

    class ExtNet internet;
    class ExtNPM vps;
    class Router,IntNPM,Dashy lan;
    class Authentik,AD,Vault security;
    class HomeAssistant,Nextcloud,Vaultwarden,Joplin,Forgejo apps;
    class TrueNAS storage;

¿Por qué esta arquitectura?

1. Perímetro y acceso externo

Para evitar exponer directamente mi red doméstica a Internet y proteger la IP de mi casa, utilizo un enfoque basado en un servidor privado virtual externo que actúa como escudo protector.

• VPS externo — recibe todo el tráfico entrante desde Internet
• Nginx Proxy Manager — gestiona los certificados SSL/TLS y redirige el tráfico de forma segura
• Túnel WireGuard — todo el tráfico validado y filtrado en el VPS externo se canaliza de manera segura y cifrada hacia la red local a través de un túnel WireGuard iniciado desde casa

2. Plataforma de virtualización

Todos los servicios del laboratorio corren sobre un único servidor físico gestionado por Proxmox VE, un hipervisor de tipo 1 de código abierto basado en Debian. Proxmox permite ejecutar tanto contenedores ligeros como máquinas virtuales completas desde una sola interfaz web, y fue el primer gran reto técnico a dominar.

• Contenedores LXC — utilizados para la mayoría de las cargas de trabajo (Authentik, Nextcloud, Forgejo, Vaultwarden…). Comparten el kernel del host, lo que ofrece un rendimiento casi nativo con una fracción del consumo de memoria de una VM completa. Dominar LXC implica entender namespaces de cgroups, contenedores sin privilegios y bind mounts para el almacenamiento persistente.
• Máquinas virtuales KVM — reservadas para servicios que requieren un kernel dedicado o aislamiento a nivel de hardware: pfSense (cortafuegos/router), TrueNAS (almacenamiento) y el controlador de dominio Samba. Ejecutar el AD DC como VM es fundamental para garantizar la sincronización de tiempo de Kerberos y evitar conflictos de kernel con el host.
• Almacenamiento en Proxmox — pool ZFS local en el hipervisor para discos de VM y sistemas de archivos raíz de contenedores, con snapshots automáticos y replicación a TrueNAS como copia de seguridad fuera del nodo.

3. Red local y capa de acceso

Una vez dentro de la red local, el tráfico pasa por un sistema estructurado en diferentes capas lógicas:

• Portál frontal (Dashy) — panel de control centralizado que permite acceder con un solo clic a todos los servicios de la red desde cualquier cliente interno
• Ingress interno — distribuye las peticiones dentro de la red local hacia los contenedores y aplicaciones correspondientes

4. Identidad y seguridad

Esta es la parte técnicamente más exigente del homelab, que requiere un conocimiento profundo de varios sistemas interdependientes. Conseguir que SSO, Active Directory y la gestión de secretos funcionen de manera coordinada supuso un aprendizaje significativo.

• Samba 4 AD DC — un controlador de dominio Active Directory completamente compatible con Microsoft, ejecutándose sobre Linux. Samba 4 implementa toda la pila de protocolos AD: KDC de Kerberos, directorio LDAP, servidor DNS y SYSVOL. Los clientes Windows y Linux se unen al dominio de forma transparente, lo que permite políticas de grupo centralizadas y autenticación Kerberos en toda la red. Dominar Samba en Linux implica entender la delegación DNS, la configuración del realm Kerberos, el esquema LDAP y la crítica sincronización de tiempo que Kerberos exige.
• Authentik — proveedor de identidad de código abierto que actúa como puerta de enlace SSO para todas las aplicaciones web. Se conecta al AD DC de Samba vía LDAP para heredar usuarios y grupos, y los expone a las aplicaciones mediante OIDC/OAuth2. Para aplicaciones que no soportan OIDC de forma nativa, se utiliza el modo Forward Auth: Nginx envía cada petición a Authentik para su validación antes de hacer el proxy, proporcionando autenticación transparente sin modificar la aplicación.
• HashiCorp Vault — gestión de secretos para todo el entorno. El motor de PKI actúa como Autoridad de Certificación interna, emitiendo certificados TLS de corta duración para todos los servicios. El motor KV almacena las credenciales de las aplicaciones. La propia autenticación en Vault se federa a Authentik mediante OIDC, de modo que existe una única fuente de identidad tanto para usuarios como para operadores.

5. Capa de aplicaciones

Los servicios del día a día que cubren productividad, domótica y almacenamiento personal:

• Nextcloud — nube privada para sincronización de archivos, calendarios y colaboración
• Vaultwarden — gestor de contraseñas ligero y compatible con Bitwarden
• Joplin Server — servidor de sincronización de notas autoalojado
• Home Assistant — cerebro de la domótica del hogar, integrado con la seguridad y automatizaciones locales
• Forgejo — servidor Git interno para dotfiles y código fuente de las webs

6. Capa de almacenamiento

La base física y de respaldo de todo el sistema:

• TrueNAS — almacenamiento masivo tolerante a fallos mediante un pool de discos ZFS, ejecutándose como VM KVM con passthrough PCI directo al controlador de discos para máxima integridad ZFS
• Protocolos de red — integración con las aplicaciones mediante recursos compartidos NFS para datos generales (Nextcloud) y SMB autenticado contra el AD DC de Samba
• Copias de seguridad — snapshots ZFS nativos para recuperación en un punto del tiempo, combinados con la replicación de Proxmox para copias de seguridad a nivel de VM

Conclusión

Esta arquitectura me permite disfrutar de las ventajas de la nube pública (acceso remoto seguro desde cualquier lugar) manteniendo el control absoluto de mis datos en casa. Dominar Proxmox, Samba 4 en Linux y una pila SSO completa con OIDC y Forward Auth convirtió el homelab en un entorno de aprendizaje real — y el resultado es una infraestructura tan robusta como la de una pequeña empresa, al coste de un homelab.