Cómo gestionar un Proxmox remoto sin acceso entrante

Si alguna vez has montado un homelab, ya conoces esa verdad que nadie quiere admitir en voz alta: el hardware nunca es lo difícil. La red es lo que acaba fundiéndote el cerebro, siempre. Nada lo demuestra más rápido que intentar alojar un servidor Proxmox en casa de otra persona y que te avisen, con educación pero con total firmeza, de que no vas a tener ningún tipo de acceso entrante.

Ese fue el escenario en el que se encontró un aficionado a los servidores domésticos. Un amigo con espacio de sobra le propuso alojar una máquina potente con 16 núcleos y 128GB de RAM, un auténtico laboratorio compacto. Era una oportunidad perfecta, salvo por el pequeño detalle de que su amigo solo permitía tráfico saliente: nada de reenvío de puertos, nada de excepciones en el cortafuegos y nada de "ábreme el puerto 8006 un momento".

¿Cómo administras entonces una máquina con Proxmox a la que en teoría no puedes llegar? Quienes han pasado por esa experiencia tienen mucho que contar, y la mayoría de las soluciones oscilan entre lo asombrosamente práctico y lo ingenioso. Los apasionados de las redes nunca defraudan.

El primer impulso: "basta con usar una VPN"

El plan inicial parecía sencillo: instalar OpenVPN en el servidor Proxmox, conectarlo de vuelta a un servidor VPN activo en casa y dar el trabajo por terminado. Funciona, y bastante gente lo hace así. Sin embargo, quedó patente que OpenVPN ya no es la opción predilecta. Muchas respuestas coincidían en que OpenVPN cumple, pero cuestionaban la necesidad de complicarse tanto la vida.

Un participante lo resumió sin rodeos: WireGuard lo supera en casi todo lo relevante, con un enrutamiento más limpio, mayores velocidades y menos quebraderos de cabeza. Otra persona comentó que había migrado todas sus configuraciones de OpenVPN a WireGuard sin arrepentirse ni un segundo. Cuando la comunidad del homelab se pone de acuerdo en algo, suele ser por un buen motivo.

Así, la base quedó clara: instalar un cliente ligero de WireGuard en el servidor Proxmox o en un router en casa de tu amigo, levantar el túnel directo hacia tu red doméstica y listo. El problema es que en la práctica nunca resulta tan simple.

Routers diminutos, grandes soluciones

Una de las sugerencias más votadas fue descargar por completo las funciones de VPN del servidor Proxmox. Si el hipervisor se cuelga o da problemas, lo último que deseas es que la VPN, lo único que te permite entrar, caiga con él. La solución consiste en añadir un equipo MikroTik o cualquier router pequeño capaz de mantener el túnel de WireGuard abierto con independencia del estado de Proxmox.

Muchos usuarios defienden esta táctica a ultranza. Alguien destacaba que le garantiza acceso ininterrumpido durante actualizaciones o reinicios, permitiéndole alcanzar interfaces como IPMI, iLO o iDRAC si las cosas se tuercen de verdad. Otro recomendaba usar un pequeño router de viaje GL.iNet capaz de alcanzar 500+ Mbps con WireGuard, aunque la conectividad Wi-Fi no pinte nada en este escenario.

La lógica es evidente: si el hipervisor es la máquina a la que quieres acceder, no metas tu vía de escape dentro de él. Así es justo como terminas sin acceso, contemplando una interfaz web caída sin forma de reconectar.

El favorito indiscutible: Tailscale

Como era de esperar, apenas tardaron seis minutos en sugerir Tailscale, y poco después aparecieron varios defensores más con un entusiasmo casi religioso.

Viendo cómo hablan de Tailscale en el mundo del homelab, parece una revelación mística. Tiene sentido: la ausencia de tráfico entrante deja de ser un obstáculo y la falta de reenvío de puertos no importa. ¿Buscas algo que puedas instalar en casi cualquier sitio y olvidarte de ello durante medio año? Esa es su carta de presentación.

Un usuario comentó incluso que puedes probar el montaje antes del despliegue apagando la conexión Wi-Fi del teléfono, conectándote a los datos móviles e intentando acceder desde ahí para confirmar que todo funciona. Es el equivalente dentro del homelab a comprobar las cosas en modo avión.

Otro explicaba que ejecuta Tailscale dentro de un contenedor ligero y lo define como enrutador de subred, que en la jerga de Tailscale significa "cualquier elemento detrás de mí también es accesible". Eso le permitía alcanzar la IP local del servidor Proxmox antes de completar todo el montaje. Podrá parecer demasiado sencillo, pero Tailscale se ha ganado esa reputación con hechos.

Cloudflare Tunnel: el truco de "funciona desde cualquier navegador"

Aquí la conversación tomó otro rumbo. No todo el mundo puede recurrir a Tailscale; un participante mencionaba que en su trabajo lo bloquean por completo. Cloudflare Tunnel aparece como la alternativa para quienes buscan simplemente una dirección web que abra el panel de Proxmox.

Funciona porque Cloudflare Tunnel establece una conexión saliente hacia la red de Cloudflare, de modo que incluso los entornos más blindados permiten levantar el túnel sin reglas de entrada. Con este sistema, muchos configuran un subdominio como:

pve.example.com

Y de pronto cuentan con una vía de acceso limpia hacia su servidor, protegida por HTTPS y autenticada mediante Cloudflare.

Alguien destacó la ventaja añadida de este esquema: Cloudflare procesa la autenticación antes de que la petición toque tu servidor. Si las credenciales no son válidas, el atacante ni siquiera se aproxima a Proxmox.

El inconveniente evidente es que debes confiar a Cloudflare las llaves de tu infraestructura. Otro participante intervino sugiriendo que Pangolin es mejor alternativa si prefieres no depender de Cloudflare, aunque ese ya es otro debate. Con todo, Cloudflare Tunnel cosechó un respaldo notable.

Cuando la cosa se complica: VXLAN, redes virtuales con NAT y enrutamiento avanzado

Algunos no se conformaron con acceder al servidor. Diseñaron topologías de red completas para evitar que sus máquinas virtuales remotas acaparasen direcciones IP de la red local del amigo o quedasen expuestas en una red ajena.

Un usuario describió un esquema bastante elegante. El servidor Proxmox recibe una única IP de la red local, y todo lo demás (máquinas virtuales, contenedores y demás servicios) reside tras una red virtual personalizada con NAT. Un túnel de WireGuard conecta el servidor con su casa, y un router doméstico sabe cómo llegar a esa red virtual remota, de modo que los equipos de su hogar dialogan con las máquinas alojadas en casa del amigo como si compartieran la misma red. Es un detalle de cortesía, ya que evitas saturar el rango DHCP de tu amigo con una docena de máquinas virtuales extrañas.

Otro usuario mencionaba que ejecuta una VM con OPNsense o pfSense sobre Proxmox para que sirva de punto final de la VPN. Resulta paradójico alojar el cortafuegos dentro de una máquina virtual en el mismo servidor al que intentas entrar, pero con una conexión ascendente estable y buenos snapshots, funciona en la práctica. Quienes montan homelabs agudizan el ingenio con rapidez.

Si solo te quedas con un consejo, añade control remoto de energía

En casi cualquier historia de homelab a distancia llega ese momento en el que alguien admite haberse quedado totalmente fuera por una regla de firewall errónea o un fallo de red. Varios miembros del hilo intentaron evitar que el autor original tropezara con la misma piedra, aconsejando instalar un PicoKVM, JetKVM, placa Waveshare o cualquier KVM IP diminuto con relé de encendido integrado.

Es la versión para homelab de esconder una llave de repuesto bajo una piedra. Jamás te hace falta hasta el día en que resulta imprescindible, y marca la diferencia entre arreglar una interfaz mal configurada desde tu sofá o rogar a tu amigo que desconecte y vuelva a enchufar la máquina mientras rezas para que Proxmox reviva. Si administras un hipervisor en remoto, considera un dispositivo de acceso fuera de banda como un seguro innegociable.

Entonces, ¿cuál es la mejor opción?

Cada cual tiene su propia definición de acierto, y eso forma parte del atractivo. Si combinas los consejos más prácticos del debate, obtienes algo parecido a esto:

1. Instala un punto final de WireGuard o Tailscale en un router dedicado en casa de tu amigo, lo que mantiene el acceso operativo incluso si el servidor falla.

2. Asigna al servidor Proxmox una única IP reservada en su red. Todo lo demás debe residir tras una red virtual privada, NAT o una VM con OPNsense o pfSense.

3. Incorpora un túnel de Cloudflare o Pangolin si buscas acceso por navegador sin necesidad de VPN. Resulta muy cómodo, pero exige autenticación robusta.

4. Por tu propia tranquilidad mental, instala un KVM remoto con control de energía, porque tarde o temprano romperás la configuración de red.

El proceso en su conjunto parece complejo, y lo es, pero es justo la clase de complejidad que cautiva a los aficionados al homelab. Es laborioso, algo sobrediseñado y repleto de detalles ingeniosos, el tipo de rompecabezas que compensa resolver cuando disfrutas con estas materias.

Seguramente por eso da gusto leer hilos como este. Poner en marcha un servidor Proxmox en remoto se convierte en una experiencia compartida tanto como en un desafío técnico, donde varios veteranos aportan sus cicatrices de guerra diciendo: "Así mantuve mi máquina en marcha; ojalá te ahorre un fin de semana". Al final, esa es la verdadera satisfacción del homelab: el hardware y el software importan menos que las anécdotas compartidas sobre todo lo que puede fallar y las soluciones peculiares que inventamos para mantener el servicio activo.