Un subnet router de Tailscale es comodísimo para entrar a la red de casa desde fuera, pero también puede tapar diseños de red flojos. Bien usado simplifica mucho. Mal usado deja una caja negra preciosa.
Separar invitados e IoT tiene sentido, pero una red doméstica demasiado lista puede acabar siendo peor que una red simple. Esta es mi forma de plantearlo sin romper impresoras, móviles, domótica ni paciencia.
El DNS de casa puede ser una maravilla hasta que se cae y parece que todo internet ha muerto. Esta es la arquitectura sencilla que usaría para que el homelab pueda fallar sin llevarse por delante la conexión de todos.
El DNS interno no falla de forma espectacular. Falla como una gotera: un móvil no resuelve, una VPN ve otra cosa, un servicio funciona solo desde casa. Este es el diseño que prefiero para evitarlo.
Un homelab cambia cuando deja de ser solo tu juguete. Si hay familia usando la red, las fotos, la domótica o las contraseñas, hay que separar el laboratorio de lo que tiene que funcionar siempre.
Una red de homelab tiene que proteger la casa sin complicarle la vida a la casa. Esta es la separación que sí haría y la que me parece postureo peligroso.
Hace unos días publiqué mi guía base de Tailscale. Ahí contaba por qué dejé de pelearme con WireGuard puro para el acceso diario al homelab. Esa parte sigue siendo cierta. Instalar Tailscale sigue siendo ridículamente fácil. Lo que ya no me parece tan sencillo es diseñarlo bien cuando tu red deja de ser cuatro cacharros y empieza a parecer una pequeña jungla.
Ese es el punto en el que casi todas las guías se quedan cortas. Te enseñan a hacer tailscale up, ves el dispositivo en el panel y te vienes arriba. Luego pasan dos semanas, quieres acceder a un switch que no puede instalar el cliente, quieres sacar internet por casa cuando estás de viaje, o decides que igual no te hace gracia que todos los nodos hablen con todos. Ahí empieza el trabajo real.
Antes de Tailscale tenía un servidor WireGuard en casa. Funcionaba, pero mantenerlo era un trabajo constante: añadir peers a mano, gestionar claves, actualizar la configuración cada vez que un dispositivo cambiaba de IP. Cuando lo dejé de lado durante tres semanas y volví a intentar conectarme desde fuera, tardé una hora en recordar cómo había configurado todo.
Eso fue hace dos años. Desde entonces uso Tailscale y no he mirado atrás.
Tailscale es probablemente la herramienta que más ha cambiado cómo gestiono mi homelab. La idea es simple: crea una red mesh privada entre todos tus dispositivos usando WireGuard por debajo, sin que tengas que configurar ningún firewall ni abrir puertos. Funciona detrás de NAT, funciona con CGNAT, funciona en casi cualquier sitio.
El problema es que Tailscale, la empresa, controla el servidor de coordinación. Ese servidor no ve tu tráfico (está cifrado end-to-end), pero sí gestiona la autenticación y el intercambio de claves públicas. Si Tailscale cierra, cambia precios o decide que tu caso de uso no les interesa, tienes un problema.
Tengo un Mac mini que uso como servidor principal. Está siempre encendido. Pero también tengo tres ZimaBoards que forman parte de mi cluster K3s. Esas máquinas consumen poco (10W cada una), pero cuando no las necesito, las apago. El problema: cuando las necesito, están en otro cuarto.
Podría levantarme, ir al cuarto, pulsar el botón de encendido. O podría enviar un paquete mágico por la red que las despierta automáticamente. Segundo escenario, por favor.
Tengo 6 servicios expuestos a Internet desde mi homelab. Cero puertos abiertos. HTTPS automático. Protección DDoS gratis. Todo con Cloudflare Tunnels. Te cuento cómo.
