Lo que gira, y por qué¶
Traducción automática del original francés.
El parque cuenta con seis máquinas Docker, aproximadamente trescientos contenedores, un hipervisor y un equipo de agentes de IA (recogido el 2026-10-06). Enumerar los contenedores no aportaría mucho; esta página procede de otra manera y recorre el parque por capacidad. Para cada una, proporciona lo que está en funcionamiento y lo que llevó a la instalación. Casi siempre, se trata de un incidente o de una falta que hemos detectado, rara vez de un deseo de utilizar una herramienta.
Lo que esta página revela
Nombra las herramientas, pero no proporciona versiones, direcciones, puertos, reglas de detección, ni señala ningún fallo aún abierto. Se describe una arquitectura; una lista de versiones expuestas es una lista de CVE que se pueden intentar. Los detalles se encuentran en el almacén privado.
Una vista general¶
| Capacidad | Lo que la impulsa | Para ir más allá |
|---|---|---|
| Detección y respuesta | SIEM, detección de comportamiento, inventario, investigación remota, bloqueo HTTP | Detección · Respuesta |
| Secretos | Dos cajas: máquinas y humanos | Leer un secreto |
| Copias de seguridad | Un repositorio cifrado por host, copia fuera del sitio | Continuidad |
| Supervisión y alertas | Métricas, escaneo completo, estado de los discos, punto de entrada para las notificaciones | Configurar una notificación |
| Identidad y acceso | SSO, red en malla auto-gestionada | Seguridad |
| Exposición web | Proxy inverso de dos niveles, un registro DNS por nombre | Cadena de proxy inverso |
| Tickets | Bucle de detección → ticket → corrección → prueba | — |
| Agentes de IA | Un equipo de agentes en un entorno de pruebas | Agentes |
| Modelos de lenguaje | Inferencia local en GPU, puerta de enlace única | Agentes |
| Automatización | Flujos de trabajo | — |
| Código | Entorno auto-gestionado, espejo de compartición | Integración continua |
| Hosts | Hipervisor, actualizaciones nocturnas autónomas | Hosts del parque |
| Conocimiento | Un repositorio de origen, un wiki interno, esta página | Dónde escribir qué |
Detección y respuesta¶
Wazuh desempeña el papel de SIEM: integridad de los archivos, vulnerabilidades conocidas, correlación con MITRE ATT&CK. Falco observa el comportamiento de los procesos a nivel del kernel, y osquery mantiene el inventario de los hosts, que envía a Wazuh. Velociraptor sirve para hacer una pregunta a todo el parque durante un incidente. CrowdSec bloquea a nivel HTTP.
¿Por qué?. Wazuh responde, en junio de 2026, a la necesidad de auditar los propios hosts, y no solo los servicios. Velociraptor surgió de un fallo en el sistema de archivos, el 24 de agosto de 2026: costó nueve horas porque era necesario consultar cada máquina individualmente. CrowdSec, por su parte, parte de una observación sencilla: decenas de nombres públicos, y ningún sistema de prevención de intrusiones para protegerlos.
Falco sigue una regla de introducción específica para el entorno: cada nuevo host comienza solo en la recopilación, durante 24 horas, para medir su nivel de ruido. Luego, se establecen las excepciones, una por una, y es entonces cuando se activa la notificación. Una alerta que no se lee termina por no ser leída.
Secretos¶
Los secretos de máquina (claves de API, contraseñas de servicios, tokens) se encuentran en OpenBao, en una máquina que solo realiza esta tarea. Se almacenan en archivos cifrados SOPS dentro de los contenedores. Los secretos humanos (cuentas web, códigos de ayuda) se encuentran en Vaultwarden.
¿Por qué?. La separación se realizó el 27 de septiembre de 2026. Un secreto que lee una máquina y un secreto que una persona escribe tienen ciclos de vida, ritmos de rotación y lectores diferentes. Además, el "cofre" de la máquina se mantiene fuera del inicio: cada host conserva su copia cifrada, de modo que un "cofre" apagado retrasa las rotaciones sin impedir que el entorno se reinicie.
Copias de seguridad¶
restic, gestionado por Backrest, realiza copias de seguridad de seis hosts, cada uno en su propio repositorio cifrado, hacia el NAS. Una copia se guarda fuera del sitio, fuera del alcance de los hosts que se están copiando. El NAS también crea sus propios instantáneas de volumen.
¿Por qué?. El plan de respaldo por host ha permanecido en el estado "planificado" durante semanas, mientras los datos se acumulaban. Los niveles de respaldo y la restauración programada se describen en Continuidad.
Supervisión y alertas¶
Prometheus recopila las métricas de los hosts y aplica las reglas de alerta versionadas. Gatus realiza pruebas de extremo a extremo y proporciona una página de estado pública. Scrutiny supervisa la salud SMART de los discos físicos. Una tabla matutina resume el estado de los hosts y los últimos incidentes. alerts-hub es el punto de entrada único para las notificaciones: una única llamada y el mensaje se dirige al canal de correo electrónico correspondiente.
¿Por qué?. El 14 de agosto de 2026, el parque no tenía ninguna regla de alerta. Se descubrieron cuarenta y un paradas debido a la falta de memoria al día siguiente, en una captura de pantalla. Para las pruebas públicas, la decisión del 16 de septiembre de 2026 es medir la cadena completa (DNS, proxy, aplicación), ya que un servicio puede estar sano detrás de una ruta defectuosa.
Identidad y acceso¶
Authentik proporciona SSO. Para cualquier nuevo servicio, la regla es OIDC primero. El forward auth (una barrera frente a la aplicación) es una medida de último recurso, y nunca se combinan. La red privada entre los hosts pasa por una red privada gestionada por Headscale, auto-alojada.
¿Por qué?. El forward auth no transmite ninguna identidad a la aplicación: no hay cuentas, ni roles, ni desconexión real. Combinado con OIDC, intercepta la respuesta de conexión y provoca un bucle. Headscale reemplazó el servicio alojado el 19 de agosto de 2026: claves de nodo que no caducan silenciosamente, listas de acceso versionadas y OIDC sin suscripción.
Exposición web¶
Una solicitud proveniente de Internet atraviesa dos niveles de Caddy. El primero gestiona la interfaz, mientras que el segundo proporciona los servicios internos. Los certificados se emiten mediante desafío DNS. Cada nombre público tiene su propio registro DNS: no hay ningún comodín en la zona.
¿Por qué? La regla del 10 de septiembre de 2026 es sencilla: un nombre solo se expone si alguien lo ha decidido, para ese nombre específico. Un comodín expone por defecto todo lo que se olvida. El detalle se encuentra en Servidor proxy inverso.
Tickets¶
Lo que se detecta automáticamente abre y cierra su propio ticket, mediante cálculo, con una retención para no interferir con las sondas. Lo que se encuentra durante una sesión de trabajo se registra manualmente, y este ticket solo se cierra con una resolución escrita: cómo verificarlo. Un agente de clasificación distribuye la cola.
¿Por qué? A finales de agosto de 2026, 529 tickets aún tenían el estado "abierto", y nadie recalculaba este estado. Un estado que se declara en un sistema capaz de calcularlo, inevitablemente, resulta en una falsedad.
Agentes de IA¶
Un equipo de agentes de IA, denominado internamente STA Inc, opera con un contenedor por agente, en una máquina virtual de prueba dedicada. Cada agente solo recibe sus propios tokens; los secretos del parque no se encuentran en esta máquina virtual. Los agentes realizan su trabajo en Vikunja. Entre ellos, Clio, la encargada de la documentación, mide la cobertura de la documentación y completa las lagunas.
¿Por qué? El 2 de octubre de 2026, se descubrió que un agente lanzado desde la máquina virtual de desarrollo habría tenido acceso a todos los secretos y a todos los hosts. La máquina virtual dedicada cierra este ámbito de acción. Los agentes están organizados en árbol, para que ninguno pueda enviarse una tarea en bucle.
Modelos de lenguaje¶
Ollama utiliza modelos localmente, en el GPU del ordenador. LiteLLM es la plataforma central para todo el parque: cada llamada, ya sea local o a un proveedor externo, la atraviesa, con una clave por usuario, un presupuesto y un mecanismo de respaldo.
¿Por qué?. La plataforma central hace que los costes y el uso sean visibles desde un solo lugar, y permite cambiar de proveedor sin afectar a los usuarios. Se convirtió en una plataforma independiente el 28-09-2026.
Automatización¶
n8n gestiona los flujos de trabajo: cadenas de aprobación, notificaciones, procesamiento de documentos. Solo se comunica con Docker a través de un proxy de socket, nunca directamente.
Una regla basada en la experiencia acompaña a n8n: una tarea diaria que no depende de un disparador programado de n8n, que podría fallar. Utiliza un temporizador del sistema que verifica el estado y vuelve a intentarlo.
Código¶
Gitea, auto-alojado, es la fuente de cada repositorio. GitHub se utiliza para compartir. Un sincronizador se ejecuta cada cinco minutos en ambas direcciones y nunca fuerza nada.
¿Por qué?. Un espejo unidireccional sobrescribe forzosamente: una fusión realizada en GitHub desaparecería en la siguiente actualización (decisión del 27-09-2026). Una aplicación con una interfaz tiene su repositorio; la imagen construida localmente tiene su receta versionada junto a su configuración.
Servidores¶
Las máquinas virtuales se ejecutan en un hipervisor Proxmox. Los servidores Linux aplican sus actualizaciones por la noche, sin intervención, y cada noche generan un informe. La pila del hipervisor se mantiene actualizada manualmente, ya que sus scripts de instalación reinician los servicios de gestión.
¿Por qué?. Hasta septiembre de 2026, las máquinas virtuales funcionaban en una estación de trabajo que soportaba más de ochenta contenedores, en un disco virtual lento, mientras que el otro servidor estaba saturado. La migración al hipervisor, en septiembre de 2026, trasladó esta carga a un almacenamiento local rápido.
Conocimiento¶
El "vault", que consiste en notas Markdown en Git editadas en Obsidian, es la fuente de todo el conocimiento del parque: decisiones archivadas, manuales de procedimientos, aproximadamente 1.700 preguntas frecuentes sobre incidentes. Un wiki interno es su reflejo legible. Este sitio es su versión revisada y pública.
¿Por qué?. Una pregunta frecuente surge de un incidente y describe una investigación, con sus falsas pistas; su lugar es en el "vault". Este sitio solo conserva lo que sigue siendo cierto una vez cerrada la investigación. El intercambio de información se detalla en Dónde escribir qué.
Y para el uso diario¶
El parque también sirve para: una fototeca (Immich, cuyo análisis de imágenes se realiza en el GPU, aproximadamente diez veces más rápido que en CPU, con más de cuarenta mil fotos), domótica (Home Assistant, Node-RED, MQTT), una biblioteca multimedia. Son los servicios para los que todo lo demás existe.
Dernière vérification de cette page : 2026-10-06