Decisiones

Las decisiones de diseño del Servidor Un ordenador siempre encendido que da un servicio a otros aparatos.. El DNS La guía telefónica de internet: traduce el nombre de una web a su dirección. con filtrado, el acceso con Llave FIDO2 Una llave USB que hace falta para entrar. Sin ella, la contraseña no basta., Tailscale Un servicio que une mis aparatos en una red privada y cifrada, aunque estén lejos., los avisos y las copias ya están montados, y la bitácora cuenta cómo fueron. Cada decisión resuelve un problema y tiene un coste, y aquí están los dos.

DNS secundario de respaldo

Prevista

Problema: Si el servidor se cae, toda la casa se queda sin DNS, y sin DNS no hay internet.
Decisión: El router repartirá dos servidores DNS: el del servidor, con filtrado, y uno público de respaldo.
Por qué: En casa nadie tiene que depender de que yo esté para arreglarlo.
Qué se sacrifica: Algunas consultas irán por el de respaldo y no se filtrarán.

Listas de bloqueo suaves

Montada

Problema: Una lista de bloqueo muy agresiva puede romper webs y aplicaciones que en casa se usan a diario.
Decisión: AdGuard Home El programa de mi mini PC que bloquea publicidad y rastreadores en toda la casa. bloquea con listas suaves.
Por qué: Prefiero que se cuele algún anuncio antes que romper algo en casa.
Qué se sacrifica: Se cuelan algunos anuncios: en un test de bloqueo, filtra el 80 % en Edge y el 92 % en Firefox.

Acceso remoto sin abrir puertos

Montada

Problema: Quiero administrar el servidor fuera de casa sin exponerlo a internet.
Decisión: Tailscale, una VPN Un túnel cifrado por internet: lo que va dentro no lo puede leer nadie. entre mis dispositivos basada en WireGuard La tecnología de túneles cifrados en la que se basa Tailscale..
Por qué: El router no tiene ningún Abrir puertos Dejar una entrada del router abierta desde internet hacia un aparato de casa., así que no expongo ningún servicio a internet.
Qué se sacrifica: Dependo de un servicio externo para coordinar las conexiones.

SSH con llaves físicas

Montada

Problema: Las contraseñas se roban, se adivinan o se reutilizan.
Decisión: Para entrar por SSH Una forma segura de manejar un ordenador a distancia escribiendo órdenes. hace falta una de mis dos YubiKey, con llaves FIDO2, y el acceso con contraseña está desactivado. El móvil tiene una clave aparte que solo vale desde casa o por Tailscale.
Por qué: Aunque alguien copiara la clave de mi ordenador, sin la llave física no podría entrar.
Qué se sacrifica: Si perdiera las dos llaves, solo me quedaría la clave del móvil para entrar.

Copias cifradas fuera de casa

Montada

Problema: Un disco roto, un robo o un error mío pueden borrarlo todo.
Decisión: Copias diarias con restic Un programa de copias de seguridad que cifra los datos antes de enviarlos., cifradas antes de salir de casa, en un almacenamiento compatible con S3 Una forma muy usada de guardar ficheros en la nube, pagando por lo que ocupan..
Por qué: La copia está lejos del servidor y quien la guarda no puede leerla.
Qué se sacrifica: Dependo de un proveedor externo, y tengo que custodiar la contraseña de las copias: sin ella no sirven de nada.

Avisos desde fuera

Montada

Problema: Un servidor puede fallar en silencio, y una copia que no se hace no avisa.
Decisión: Un servicio externo espera una señal del servidor cada 5 minutos y me avisa al móvil si deja de llegar. Las copias de cada noche mandan también la suya.
Por qué: Si el servidor se cae, no puede avisar de que se ha caído. Tiene que avisar otro.
Qué se sacrifica: Otro servicio externo más del que dependo.

El aviso comprueba que el DNS responde

Montada

Problema: Que el servidor esté encendido no quiere decir que el DNS funcione. Y una consulta puede terminar sin error aunque AdGuard no consiga resolverla.
Decisión: Cada 5 minutos, el servidor le pregunta a su propio AdGuard por una web, y solo manda la señal si recibe una Dirección IP El número que identifica a cada aparato en una red..
Por qué: Así el aviso salta también cuando falla el DNS, no solo cuando se apaga el servidor.
Qué se sacrifica: Si se cae internet en casa, el aviso salta igual, aunque el servidor esté bien.