No hay una herramienta ganadora para todo. En casa uso una según quién necesita entrar, desde dónde entra y qué pasaría si esa puerta queda demasiado abierta.
HTTPS interno no debería convertirse en una avería mensual. Esta es la revisión corta que haría antes de que caduque un certificado o un nombre deje de resolver.
Muchas averías del homelab no empiezan en Proxmox, Docker ni el NAS. Empiezan en un móvil agarrado a un punto de acceso lejano, un backhaul débil o una zona de casa donde el WiFi llega con mala leche.
El DNS es una pieza demasiado fácil de romper. Este es el plan de respaldo que usaría para que una caída del homelab no deje sin internet a toda la casa.
Bloquear anuncios por DNS está muy bien hasta que conviertes una VM en el único camino hacia internet. Esta es la arquitectura que usaría para tener Pi-hole o AdGuard sin crear una avería doméstica.
Wake-on-LAN funciona bien dentro de la misma red. Los problemas aparecen al usarlo desde fuera de casa, cruzar VLANs o integrarlo en una automatización.
Tailscale puede resolver el acceso remoto de casa sin abrir puertos, pero meter a la familia dentro de tu red privada exige menos épica y más criterio.
HTTPS interno no debería ser una ruleta cada noventa días. Este es el enfoque que uso para certificados en casa: pocos puntos de emisión, DNS-01, nombres claros, alertas útiles y un plan B sencillo.
IPv6 no es magia ni enemigo público. En un homelab doméstico puede simplificar algunas cosas, pero también rompe suposiciones muy cómodas del mundo IPv4. Conviene activarlo con intención.
Una red doméstica con homelab no tiene que parecer la de una oficina. Tiene que proteger lo importante, dejar respirar a la familia y permitir cacharrear sin que una bombilla o una prueba de laboratorio tire abajo medio día.
Un reverse proxy interno parece una pieza pequeña hasta que todos tus servicios empiezan a depender de él. Nginx Proxy Manager y Traefik sirven para cosas parecidas, pero no me parecen intercambiables en una casa.