Construyendo un HomeLAB: salir a Internet sin abrir puertos

9/9/2026

El problema de abrir puertos

La forma clásica de exponer un servicio a Internet es redirigir un puerto del router hacia el servidor interno — pero eso significa mantener una vía de entrada directa desde cualquier parte del mundo hacia dentro de la red doméstica, con toda la superficie de ataque que eso implica.

La alternativa: conexión saliente en vez de puerto entrante

En vez de abrir nada hacia dentro, un pequeño proceso dentro de mi red establece una conexión saliente permanente hacia un proveedor de red que actúa de intermediario. Ese proveedor recibe el tráfico público y lo reenvía a través de esa conexión — desde el punto de vista de mi router, nunca hay nada entrando desde fuera que no fuera solicitado primero desde dentro.

Todo el tráfico externo que decido publicar pasa primero por el mismo reverse proxy que ya gestiona los servicios internos — así, un único punto centraliza certificados, registro de accesos y la decisión de a qué servicio interno reenviar cada petición según el dominio.

Decidir qué se expone y qué no

No todo lo que corre en el homelab necesita ser público. La decisión que tomé fue expositiva por excepción: por defecto, todo permanece solo accesible desde dentro de mi propia red; únicamente los dos o tres servicios pensados explícitamente para uso externo (esta misma web, y una aplicación de gestión de un torneo periódico) tienen una ruta pública configurada. El resto — gestor de contraseñas, repositorio de código, panel de monitorización — vive exclusivamente en la red interna, sin ninguna vía de acceso desde fuera, ni siquiera por accidente.

Una capa adicional: detección y bloqueo automático

Con servicios ya expuestos, añadí un motor que analiza en tiempo real los registros de acceso del reverse proxy, buscando patrones de ataque conocidos — intentos de fuerza bruta, escaneo de rutas, explotación de vulnerabilidades conocidas de aplicaciones web. Cuando detecta un origen sospechoso, lo bloquea automáticamente a nivel de firewall del propio servidor, sin intervención manual.

Este motor además se beneficia de una base de datos colaborativa: si otro usuario en cualquier parte del mundo ya identificó una IP como maliciosa, mi propio servidor hereda esa protección sin haber sufrido el ataque directamente primero.

Cierre de la serie

Desde la instalación del hypervisor hasta un servicio expuesto al público con protección automática, este ha sido el recorrido completo del homelab — con los errores incluidos, porque fueron la parte donde realmente aprendí algo en cada paso. El proyecto sigue vivo: quedan piezas por mejorar (un segundo equipo dedicado a copias de seguridad, más servicios por documentar), y probablemente seguirán apareciendo por aquí a medida que avancen.