Un reverse proxy interno parece una pieza pequeña hasta que todos tus servicios empiezan a depender de él. Nginx Proxy Manager y Traefik sirven para cosas parecidas, pero no me parecen intercambiables en una casa.
Un subnet router de Tailscale es comodísimo para entrar a la red de casa desde fuera, pero también puede tapar diseños de red flojos. Bien usado simplifica mucho. Mal usado deja una caja negra preciosa.
Separar invitados e IoT tiene sentido, pero una red doméstica demasiado lista puede acabar siendo peor que una red simple. Esta es mi forma de plantearlo sin romper impresoras, móviles, domótica ni paciencia.
El DNS de casa puede ser una maravilla hasta que se cae y parece que todo internet ha muerto. Esta es la arquitectura sencilla que usaría para que el homelab pueda fallar sin llevarse por delante la conexión de todos.
El DNS interno no falla de forma espectacular. Falla como una gotera: un móvil no resuelve, una VPN ve otra cosa, un servicio funciona solo desde casa. Este es el diseño que prefiero para evitarlo.
Separar la red de casa no va de hacer un diagrama bonito. Va de que una prueba rara no pueda romper el WiFi, las cámaras, el DNS o los servicios que usa la familia.
Exponer servicios desde casa no va de elegir una herramienta ganadora. Va de separar lo público, lo privado y lo administrativo para no acabar con el router lleno de agujeros.
Una red de homelab tiene que proteger la casa sin complicarle la vida a la casa. Esta es la separación que sí haría y la que me parece postureo peligroso.
Uso pvesh para leer la red de un nodo Proxmox desde terminal antes de tocar bridges, MTU, VLANs o migraciones. La salida cruda evita muchas suposiciones tontas.
Hay fallos que se agradecen porque son honestos. El servicio no arranca, el nodo se cae o el storage sale claramente inactivo y ya sabes que toca arreglar algo. Luego están los otros, los que te miran a la cara con media verdad. Esta madrugada me encontré justo uno de esos en Proxmox.
Tenía un storage CIFS configurado en el cluster para usarlo con ISOs, backups puntuales y algún archivo compartido. Nada exótico. Lo raro fue esto. En dos nodos el recurso seguía apareciendo montado, el mount lo enseñaba sin rubor y, si te quedabas en la superficie, podías pensar que el problema era menor. Pero en cuanto intentaba tocar ese punto de montaje con df -h, la respuesta era bastante menos diplomática. Host is down.
Hay tecnologías que funcionan tan bien en una demo corta que te hacen pensar que ya has resuelto un problema entero. mDNS es una de ellas. Conectas un dispositivo, aparece con su nombre, abres equipo.local y durante un momento todo parece civilizado. Luego pasa una semana, metes un par de VLANs, pruebas desde otro sistema operativo, intentas usar el mismo nombre desde VPN o desde otra subred, y descubres que el invento no estaba roto. Simplemente estaba resolviendo un problema mucho más pequeño del que tú querías arreglar.