Preparación de la Red del Laboratorio Doméstico (Homelab)
Use este skill antes de cambiar una red doméstica o de laboratorio pequeño que mezcle VLANs, Pi-hole u otro resolvedor de DNS local, reglas de firewall y acceso VPN remoto.
Este es un skill de planificación y revisión. No lo convierta en configuración de copiar y pegar para el router, firewall o VPN a menos que se conozcan la plataforma de destino, la topología actual, la ruta de reversión, el acceso a la consola y la ventana de mantenimiento.
Cuándo Usarlo
- Preparándose para dividir una red plana en VLANs de confianza, IoT, invitados, servidores o gestión.
- Moviendo clientes DHCP a Pi-hole, AdGuard Home, Unbound u otro resolvedor de DNS local.
- Agregando acceso VPN con WireGuard, Tailscale, ZeroTier, OpenVPN o VPN nativa del router.
- Revisando si un cambio en el laboratorio doméstico puede bloquear al operador del gateway, switch, punto de acceso, servidor DNS o servidor VPN.
- Convirtiendo una idea informal de red doméstica en un plan de migración por etapas con evidencia de validación.
Reglas de Seguridad
- Mantenga la primera respuesta de solo lectura: inventario, riesgos, plan por etapas, validación y reversión.
- No exponga paneles de administración de gateway, resolvedores DNS, SSH, consolas NAS o interfaces de gestión de VPN directamente a internet público.
- No proporcione comandos de firewall, NAT, VLAN, DHCP o VPN sin una plataforma confirmada y un procedimiento de reversión.
- Exija acceso de consola fuera de banda o en la misma sala antes de cambiar VLANs de gestión, puertos troncales, políticas predeterminadas del firewall o configuraciones de DHCP/DNS.
- Mantenga una ruta de trabajo de regreso a internet antes de dirigir toda la red a un nuevo resolvedor DNS o ruta VPN.
- Trate las redes de IoT, invitados, cámaras y servidores de laboratorio como zonas de confianza diferentes hasta que el operador elija explícitamente lo contrario.
Inventario Requerido
Recolecte esto antes de dar pasos de implementación:
| Área | Preguntas |
|---|---|
| Borde de internet | ¿Cuál es el módem o la ONT? ¿El router del ISP está en modo puente o sigue encaminando? |
| Gateway | ¿Qué rutas, firewalls, maneja DHCP y termina VPNs? |
| Conmutación | ¿Qué puertos del switch son enlaces de subida, puertos de acceso, troncales o no gestionados? |
| Wi-Fi | ¿Qué SSID se asignan a qué redes, y los puntos de acceso son cableados o en malla? |
| Direccionamiento | ¿Qué subredes existen hoy, y qué rangos entran en conflicto con sitios VPN? |
| DNS/DHCP | ¿Qué servicio otorga actualmente las concesiones y las direcciones del resolvedor? |
| Gestión | ¿Cómo llegará el operador al gateway, switch y punto de acceso después de los cambios? |
| Recuperación | ¿Qué se puede revertir localmente si fallan DNS, DHCP, VLANs o rutas VPN? |
Plan de VLANs y Zonas de Confianza
Comience con la intención en lugar de la sintaxis del proveedor.
| Zona | Contenido típico | Política predeterminada |
|---|---|---|
| Confianza (Trusted) | Portátiles, teléfonos, estaciones de trabajo de administración | Puede alcanzar servicios compartidos y gestión solo cuando sea necesario |
| Servidores | NAS, Home Assistant, hosts de laboratorio, resolvedor DNS | Acepta flujos de entrada estrechos desde clientes de confianza |
| IoT | TVs, enchufes inteligentes, cámaras, altavoces | Acceso a internet más excepciones explícitas solamente |
| Invitados (Guest) | Dispositivos de visitantes | Solo internet, sin accesibilidad a LAN |
| Gestión | Gateway, switches, puntos de acceso, controladores | Alcanzable solo desde dispositivos de administración de confianza |
| VPN | Clientes remotos | Acceso igual o más restringido que los clientes de confianza |
Antes de recomendar IDs de VLAN o subredes, confirme:
- El gateway soporta encaminamiento entre VLANs y reglas de firewall.
- El switch soporta el comportamiento de puerto etiquetado y no etiquetado requerido.
- Los puntos de acceso pueden asignar SSID a VLANs.
- El operador sabe a qué puerto está conectado durante el cambio.
- La red de gestión permanece alcanzable después de los cambios en troncales y SSID.
Preparación del Filtrado DNS
Pi-hole u otro resolvedor local debe introducirse como una dependencia, no como un punto único de fallo.
- Asigne al resolvedor una dirección reservada antes de usarlo en las opciones de DHCP.
- Confirme que puede resolver DNS público y nombres locales
home.arpa. - Mantenga el gateway o un segundo resolvedor disponible como respaldo temporal.
- Pruebe un cliente o una VLAN antes de cambiar cada ámbito DHCP.
- Documente qué redes pueden omitir el filtrado y por qué.
- Verifique que las reglas de bloqueo no afecten a portales cautivos, VPNs de trabajo, actualizaciones de firmware o dispositivos médicos/de seguridad.
Evidencia de validación útil:
El cliente recibe la concesión DHCP esperada
El cliente recibe el resolvedor DNS esperado
La consulta DNS pública se realiza con éxito
La consulta local home.arpa se realiza con éxito
El dominio de prueba bloqueado se bloquea solo donde se pretende
Las interfaces de administración del gateway y DNS no son alcanzables desde redes de invitados o IoT
Preparación del Acceso Remoto
Para el acceso estilo WireGuard, decida a qué se le permite llegar a la VPN antes de generar claves o abrir puertos.
| Modo | Cuándo usarlo | Notas de riesgo |
|---|---|---|
| Túnel dividido a una subred | Administración remota de NAS o hosts de laboratorio | Mantenga la lista de rutas estrecha |
| Túnel dividido a servicios de confianza | Acceder a aplicaciones seleccionadas por IP o DNS | Requiere reglas de firewall precisas |
| Túnel completo | Redes no confiables o viajes | Más ancho de banda y responsabilidad de DNS |
| VPN superpuesta (Overlay) | Acceso remoto más simple con controles de identidad | Aún necesita revisión de ACL |
No recomiende reenvío de puertos hasta que el operador confirme:
- El endpoint VPN está parcheado y mantenido activamente.
- El puerto reenviado va solo al servicio VPN, no a una interfaz de administración.
- Se entienden el DNS dinámico, el comportamiento de IP pública y el estado CGNAT del ISP.
- Las claves de los pares se pueden revocar sin reconstruir toda la red.
- Los registros o el estado de conexión pueden verificar quién se conectó y cuándo.
Secuencia de Cambios
Prefiera cambios pequeños y reversibles:
- Tome una instantánea de la topología actual, el plan de IP, la configuración de DHCP, la configuración de DNS y las reglas de firewall.
- Reserve direcciones de infraestructura para gateway, DNS, controlador, puntos de acceso, NAS y endpoint VPN.
- Cree la nueva zona o VLAN sin mover dispositivos críticos.
- Mueva un cliente de prueba y valide DHCP, DNS, encaminamiento, internet y el comportamiento de bloqueo.
- Agregue excepciones de firewall estrechas para los flujos requeridos.
- Mueva un grupo de dispositivos de bajo riesgo.
- Agregue acceso VPN con la ruta y la política de firewall más estrechas que satisfagan el caso de uso.
- Documente el estado final, las excepciones conocidas y los comandos o pasos de interfaz de usuario de reversión.
Lista de Verificación de Revisión
- Cada red tiene una razón de existir y un límite de confianza claro.
- Ninguna interfaz de gestión es alcanzable desde invitados, IoT o internet público.
- Una falla de DNS no inhabilita la capacidad del operador para recuperarse localmente.
- Los cambios de ámbito DHCP se probaron en un cliente antes de la implementación amplia.
- Los clientes VPN reciben solo las rutas y configuraciones DNS que necesitan.
- Las reglas de firewall son denegación predeterminada entre zonas, con excepciones nombradas.
- El operador aún puede alcanzar las superficies de administración del gateway, switch, punto de acceso, DNS y VPN.
- La reversión está documentada en el mismo vocabulario que la interfaz de usuario o CLI de la plataforma elegida.
Anti-Patrones
- Segmentar redes antes de saber qué puertos del switch y SSID llevan qué VLANs.
- Mover la estación de trabajo de administración fuera de la única red de gestión alcanzable.
- Apuntar todos los ámbitos DHCP a un Pi-hole sin probar el DNS de respaldo.
- Publicar la gestión de NAS, DNS, router o hipervisor directamente a internet.
- Tratar el acceso VPN como equivalente al acceso completo a la LAN de confianza.
- Agregar reglas de firewall de permitir todo temporalmente y olvidarse de eliminarlas.
- Copiar comandos de otro proveedor o versión de firmware sin verificar la sintaxis exacta de la plataforma.
Véase También
- Skill:
homelab-network-setup - Skill:
network-config-validation - Skill:
network-interface-health