TPTito Pinardo Gutiérrez
← Volver al rack
English
1U · PROXMOXPVE 9.2 · 48 hilos · ~250 GB RAM En producción

Posición 24 de 25 en el rack · En producción

Unidad 1U · Hipervisor

Proxmox VE · el que lo sostiene todo

Proxmox 9.2 desde la 8.4

Un servidor de rack de verdad, un Dell R620 de 1U con dos Xeon y unos 250 GB de RAM, más una bandeja externa de 24 discos. Proxmox reparte esa máquina en unos veinte contenedores LXC y las VMs del laboratorio, con su propio cortafuegos y una GPU para Plex.

Por qué Proxmox
Contenedores y VMs en el mismo sitio, con una API completa para Terraform y ZFS de serie. Sin licencias.
El punto débil
El sistema y los discos de todos los contenedores viven en un espejo de dos discos mecánicos. Es lo que más se nota en cada actualización y en cada corte de luz.
Seguridad
Cortafuegos del hipervisor con entrada rechazada por defecto, cortafuegos propio en cada contenedor, auditoría de ficheros de cuentas y servicios sobrantes apagados.
  • ~20contenedores LXC, casi todos sin privilegios
  • 48hilos en dos procesadores
  • 65-90 minde comprobación del disco tras un corte de luz
  • 11contenedores cuyo cortafuegos no se aplicaba

Su código, en abierto Versión pública del repositorio: sin IPs ni secretos.

El hipervisor por dentro

Todo lo demás corre aquí. Elige un recorrido para ver cómo nace un contenedor o qué pasa tras un corte de luz.

Recorridos Pulsa uno y sigue el paquete.

Fuera Dell PowerEdge R620 · Proxmox VE y una bandeja de 24 discos Gestión y seguridad Invitados Discos del sistema Hardware Mi portátil Nodo control Corte de luz Zabbix Consola web API Cortafuegos Auditoría Contenedores VMs GPU Arranque auto RAID1 md0 LVM-thin Pools ZFS Arranque 2× Xeon ~250 GB RAM Ventiladores Bandeja 24
Hermesde visita en la unidad

Pulsa una pieza o elige un recorrido. Si vienes de una habilidad, ya están encendidas las piezas donde la uso.

      Nace un contenedor
      1. Nodo de control — El nodo de control pide un contenedor nuevo.
      2. API de Proxmox — Por la API, con permisos justos.
      3. Contenedores LXC — Proxmox lo crea.
      4. LVM-thin — Su disco, en el LVM-thin.
      5. RAID1 del sistema — Sobre el espejo del sistema.
      6. Pools ZFS — Sus datos grandes, montados desde ZFS.
      7. Cortafuegos del hipervisor — Su cortafuegos, con su sección de opciones activada: sin ella, las reglas no se aplican.
      8. Contenedores LXC — Y arranca.
      Se va la luz
      1. La red eléctrica — Se va la luz y el servidor se apaga de golpe. Vuelve y arranca solo.
      2. Arranque del hipervisor — El hipervisor arranca.
      3. RAID1 del sistema — El espejo se comprueba.
      4. LVM-thin — El LVM-thin necesita revisar sus metadatos: más de una hora en discos mecánicos.
      5. Arranque automático — Mientras tanto, el arranque automático de los contenedores falla, y no lo reintenta.
      6. Contenedores LXC — Cuando el almacenamiento está listo, hay que arrancarlos.
      7. Monitorización — La monitorización confirma que todo vuelve.
      Administro el servidor
      1. Mi portátil — Abro la consola desde casa.
      2. Cortafuegos del hipervisor — El cortafuegos del hipervisor solo deja entrar a la red de administración y la VPN.
      3. Consola web de Proxmox — La consola web.
      4. Máquinas virtuales — Reviso las VMs del laboratorio.
      5. GPU para Plex — Y el estado de la GPU.
      Sube la temperatura
      1. Dos Xeon de 12 núcleos — La CPU se calienta.
      2. Control de ventiladores — El script de ventiladores sube su velocidad por IPMI.
      3. Dos Xeon de 12 núcleos — La CPU se enfría.
      4. Bandeja de 24 discos — La bandeja de discos tiene su propia refrigeración, que el script no controla.
      5. Monitorización — Y la monitorización vigila las temperaturas de los discos.
      De Proxmox 8.4 a 9.2
      1. Nodo de control — Preparo la actualización desde el nodo de control.
      2. Consola web de Proxmox — Se actualiza el hipervisor.
      3. Arranque del hipervisor — El arranque pasa a systemd-boot: los parámetros del kernel cambian de sitio.
      4. GPU para Plex — El driver de la GPU tiene que volver a compilar con el kernel nuevo.
      5. Auditoría — Y la auditoría revisa lo que ha cambiado.

      1. Mi portátil

        La consola web, solo desde casa o la VPN.

      2. Nodo de control

        Terraform y Ansible, que hablan con la API.

        • Terraform
        • Ansible

      3. La red eléctrica

        Sin SAI, cada corte apaga el servidor de golpe.

      4. Monitorización

        Carga del hipervisor, RAID, SMART, temperatura y espacio real del almacenamiento.

        • Zabbix

      5. Consola web de Proxmox

        Solo desde la red de administración y la VPN: no se publica en internet.

        • Proxmox VE

      6. API de Proxmox

        Terraform la usa con un usuario y un token de permisos justos.

        • Proxmox VE

      7. Cortafuegos del hipervisor

        Entrada rechazada por defecto al propio hipervisor, y un fichero de reglas por contenedor.

        • Proxmox VE
        • Linux / SSH hardening

      8. Auditoría

        auditd vigila cuentas, sudo y SSH; el agente de seguridad, el resto.

        • Wazuh
        • Linux / SSH hardening

      9. Contenedores LXC

        Un servicio por contenedor. Más ligeros que una VM y, sin privilegios, su root no es el del servidor.

        • LXC

      10. Máquinas virtuales

        Para lo que necesita su propio kernel: el clúster OKD del laboratorio.

        • Proxmox VE

      11. GPU para Plex

        La GTX 1050 Ti, con su grupo IOMMU propio y el driver en el hipervisor.

        • Proxmox VE
        • Linux (Debian, Alpine, Arch)

      12. Arranque automático

        Cada contenedor arranca solo, en orden, cuando arranca el hipervisor. Solo lo intenta una vez.

        • Proxmox VE

      13. RAID1 del sistema

        Dos discos mecánicos en espejo por software. El sistema y los discos de todos los contenedores, aquí.

        • Linux (Debian, Alpine, Arch)

      14. LVM-thin

        Los discos de los contenedores, reservando solo lo que usan. Tras un apagado brusco necesita una comprobación larga.

        • Linux (Debian, Alpine, Arch)

      15. Pools ZFS

        Los datos grandes, en sus propios pools. Tienen su unidad.

        • ZFS

      16. Arranque del hipervisor

        systemd-boot desde la 9.2, con los parámetros del kernel para la IOMMU.

        • Linux (Debian, Alpine, Arch)

      17. Dos Xeon de 12 núcleos

        48 hilos, potentes en paralelo pero sin AVX2: por eso la IA no corre aquí.

      18. Memoria

        Sobra para los contenedores; el resto lo usa ZFS como caché.

      19. Control de ventiladores

        Un script ajusta por IPMI los ventiladores del chasis según la temperatura de la CPU. La bandeja de discos tiene los suyos.

        • Linux (Debian, Alpine, Arch)

      20. Bandeja de 24 discos

        Conectada por SAS, con su propia refrigeración.

      Lo que uso de mi árbol

      Pulsa una habilidad: se encienden en el mapa las piezas donde la uso y te cuento para qué.

      Terraform
      Crea contenedores y VMs a través de la API, con un token de permisos justos.
      Ansible
      Configura el hipervisor: cortafuegos, DNS, auditoría y actualizaciones.
      Proxmox VE
      Proxmox VE 9.2: contenedores y VMs, API para Terraform, cortafuegos del hipervisor y de cada contenedor, GPU con IOMMU.
      LXC
      Unos veinte contenedores, casi todos sin privilegios, uno por servicio.
      ZFS
      Los pools de datos grandes, gestionados desde el propio hipervisor.
      Linux (Debian, Alpine, Arch)
      RAID por software, LVM-thin, systemd-boot, auditd y el script de ventiladores por IPMI.
      Zabbix
      Vigila carga, RAID, SMART, temperatura y espacio real del almacenamiento.
      Wazuh
      El agente del hipervisor vigila cuentas, sudo, SSH y servicios.
      Linux / SSH hardening
      Entrada rechazada por defecto, auditoría de ficheros críticos y servicios sobrantes apagados.

      Bitácora de incidencias

      Averías reales. Lee el síntoma, elige la causa que creas y mira cómo se arregló.

      1. #1

        Ningún contenedor arrancaba tras un corte

        07-08-2026 · almacenamiento

        Tras un corte de luz, el servidor arrancó solo, pero ningún contenedor ni VM llegó a iniciar. La documentación tampoco se podía abrir: también estaba dentro.

        ¿Qué crees que pasaba?

        Ver la solución
        Causa
        El apagado brusco dejó el LVM-thin marcado para revisión. La revisión tardó entre 65 y 90 minutos en discos mecánicos, y dejó sus piezas internas activas por separado, lo que impedía activar el conjunto.
        Solución
        Esperar a la revisión, desactivar a mano las dos piezas sueltas y activar el conjunto. Después, arrancar a mano todos los contenedores: el arranque automático solo se intenta una vez.
        Lección
        Escribir el postmortem con el paso exacto: la próxima vez, ir directo a desactivar las piezas sueltas ahorra otra revisión entera. Y un SAI evitaría todo esto.

      2. #2

        Reglas de cortafuegos que no hacían nada

        22-09-2026 · cortafuegos

        Había restringido el SSH de los contenedores a mis equipos y la VPN, y bloqueado el puerto de la base vectorial. Desde otro contenedor se llegaba igual a los dos.

        ¿Qué crees que pasaba?

        Ver la solución
        Causa
        Los contenedores que sí filtraban tenían en su fichero una sección de opciones con el cortafuegos activado. Los demás solo tenían reglas: Proxmox las guarda, pero no las aplica, aunque la interfaz tenga el cortafuegos marcado.
        Solución
        Activar la sección de opciones en los 11 contenedores afectados y comprobarlo desde fuera, intentando conectar a lo que debía estar cerrado.
        Lección
        Una regla de seguridad se prueba atacándola. Si no, puede estar escrita y no hacer nada durante días.

      3. #3

        Terraform se quedó sin permiso tras actualizar

        Septiembre de 2026 · actualización

        Después de pasar a Proxmox 9.2, crear el rol de permisos de Terraform fallaba: un privilegio de la lista ya no existía.

        ¿Qué crees que pasaba?

        Ver la solución
        Causa
        Proxmox 9.2 retiró un privilegio de monitorización que la documentación del proveedor de Terraform aún pedía.
        Solución
        Quitar ese privilegio del rol y comprobar con un plan que Terraform seguía pudiendo hacer todo lo necesario.
        Lección
        Las guías de permisos envejecen con cada versión. Mejor dar los privilegios justos y probarlos que copiar una lista.

      Contado entero en un artículo:

      Cómo se construyó

      1. Hasta el verano de 2026

        Proxmox 8.4

        • Contenedores creados a mano, cortafuegos del hipervisor desactivado.

      2. Verano de 2026

        Proxmox 9.2

        • Actualización a la 9.2, necesaria para ampliar el pool de discos.
        • Nueva forma de arranque y driver de GPU recompilado.

      3. Septiembre y octubre de 2026

        Cerrar y medir

        • Cortafuegos del hipervisor con rechazo por defecto y reversión automática a los 5 minutos.
        • Cortafuegos de los contenedores activado de verdad y comprobado.
        • Caché de escritura en los discos del sistema y DNS del hipervisor por el DNS de casa.

      Decisiones (y por qué)

      • Contenedores o VMs

        Contenedores, salvo lo que necesita su kernel

        Un contenedor arranca en segundos y gasta casi nada. Solo el clúster del laboratorio necesita VMs.

      • Con privilegios o sin ellos

        Sin, siempre que se pueda

        Sin privilegios, el root del contenedor no es el del servidor. Plex se pasó a sin privilegios incluso con la GPU dentro.

      • Cambios en el cortafuegos

        Con reversión automática

        Un error en el cortafuegos del hipervisor te deja fuera del hipervisor. Cada cambio llevaba un temporizador que lo deshacía si no lo cancelaba.

      Lo que aprendí

      • Un servidor sin SAI convierte cada corte de luz en una comprobación de una hora.
      • Las reglas de seguridad se prueban desde fuera.
      • Escribir el paso exacto que arregla algo ahorra la mitad la próxima vez.

      Lo siguiente

      • Un SAI con apagado coordinado.
      • Mover el sistema y los discos de los contenedores a SSD.

      ¿Hablamos?

      Puedo contar cualquiera de estas decisiones en detalle en una entrevista.

      Descargar CV Contactar ← Volver al rack

      Reconstrucción a partir de mi documentación: sin direcciones, puertos ni nombres internos.