Lo que cambió en septiembre de 2026: todo el homelab como código
Septiembre fue el mes en que el homelab entero pasó a estar definido como código. Además se cerró a internet todo lo que no tenía por qué estar abierto, el asistente cambió de modelo y ganó una batería de pruebas, y hubo dos sustos que acabaron en artículo.
- Terraform
- Ansible
- Proxmox VE
- Linux / SSH hardening
- Wazuh
- Python
Todo el homelab, como código
Del 16 al 19 de septiembre, cada servicio que seguía montado a mano se rehízo en un contenedor nuevo creado con Terraform y configurado con Ansible: el DNS, los servidores de juego, la multimedia, la gestión documental y los scripts. Al acabar, no quedaba nada en el servidor que no saliera del repositorio.
- Plex pasa a un contenedor sin privilegios, con la GPU para transcodificar.
- La gestión documental se rehace aislada y sin SSH.
- El repositorio tiene una segunda copia en otro disco del servidor, y cada commit se empuja también ahí.
Seguridad: cerrar y comprobar
- Endurecimiento básico en todos los contenedores (SSH, hora y tareas programadas), y después SSH solo con algoritmos modernos.
- El cortafuegos de Proxmox no se aplicaba en 11 contenedores aunque las reglas estaban escritas. Se descubrió probando a atravesarlo.
- El 26 de septiembre, los paneles de administración que estaban publicados dejaron de estarlo: solo se llega a ellos desde casa o la VPN, con doble factor.
- Una política propia de Wazuh revisa en cada contenedor que lo esencial siga en su sitio.
Hermes, el asistente
El mes en que más cambió. Pasó de qwen2.5 a qwen3:8b, aprendió a leer y escribir el calendario, a enterarse del correo nada más llegar y a consultar el estado de la red y de Docker. Y, sobre todo, ganó una batería de pruebas con preguntas reales que se pasa antes de cada cambio.
- Una línea de log por llamada al modelo: con ella se vio que solo cabía en la GPU el 66 % del modelo.
- Razonar solo en las llamadas que lo necesitan: turnos entre un 25 % y un 40 % más rápidos.
- Si un dato no sale de ninguna fuente (un importe, una dirección), no lo da por bueno.
Mantenimiento y sustos
- Un playbook nuevo actualiza las imágenes de Docker, y la monitorización enseña en qué contenedores hay versión nueva.
- Un cambio de una línea en Terraform quería recrear la mensajería y la puerta de las webs. El plan lo avisó y no se aplicó.
- La caché de escritura de los discos del sistema se activa en cada arranque.
- Todos los contenedores, a la hora de Madrid.