Cómo configurar un homelab seguro con Proxmox y VLANs

Por qué segmentar tu red en el homelab

Montar un laboratorio casero es una forma excelente de aprender tecnología, pero centralizar todo en un solo servidor físico conlleva riesgos evidentes de seguridad. En la práctica, esto significa que si un contenedor Docker de pruebas es vulnerado por un fallo en una aplicación web, el atacante obtiene acceso directo a todo lo demás en tu sistema. Para evitar esta pesadilla, la mejor estrategia es dividir la infraestructura lógica antes de que ocurra el caos. En vez de comprar múltiples computadoras caras, usamos la virtualización y redes virtuales para crear fronteras infranqueables dentro del mismo hardware.

Cuando ejecutamos servidores multimedia, bases de datos corporativas y pruebas de código en la misma máquina, un solo error de configuración puede exponer datos confidenciales o colapsar servicios críticos. La división de tareas exige que cada capa funcione como si estuviera en una habitación cerrada con llave donde nadie entra sin autorización explícita. Este enfoque no solo aumenta la seguridad operativa, sino que también imita el comportamiento de un entorno de centro de datos corporativo de gran escala. Si quieres avanzar en tu carrera y entender cómo diseñar infraestructuras robustas, este es el primer paso esencial.

Para lograr este aislamiento perfecto sin gastar una fortuna en equipos adicionales, podemos combinar herramientas potentes como Proxmox VE, un sistema operativo enfocado en gestionar máquinas virtuales y contenedores con facilidad. Además, tal como discutimos al planificar la resiliencia en sistemas distribuidos tolerantes a fallos, la previsibilidad y la compartimentación evitan que un fallo catastrófico se propague por toda la red doméstica.

Qué son las VLANs y cómo funcionan en la práctica

Una VLAN, o red local virtual, actúa como una cerca invisible que separa los dispositivos conectados al mismo switch físico. Imagina un edificio de oficinas donde el departamento financiero y el equipo de soporte usan el mismo cable de internet que atraviesa las paredes, pero nunca pueden ver las computadoras de los demás. En la práctica, la tecnología de VLAN añade una etiqueta numérica a cada paquete de datos que viaja por los cables de red. Cuando el paquete llega a su destino, el switch lee esta etiqueta y decide si el dispositivo tiene permiso para recibirlo o si debe descartarlo de inmediato.

En el contexto de un homelab que ejecuta Proxmox, esta técnica nos permite crear tres mundos completamente separados usando la única tarjeta de red física del servidor. El primer mundo es la red de uso personal, donde están tus computadoras, impresoras y archivos privados. El segundo mundo es el entorno de producción, dedicado a servicios esenciales que deben funcionar las 24 horas del día sin interrupciones. El tercer mundo es el laboratorio de pruebas, un verdadero campo de entrenamiento donde puedes romper cosas, instalar paquetes desconocidos y ejecutar scripts experimentales sin miedo a estropear el resto de la casa.

Configurar estas etiquetas de red requiere un switch gestionable compatible con el estándar IEEE 802.1Q y un enrutador capaz de manejar el enrutamiento entre redes virtuales, conocido popularmente como router-on-a-stick. Sin estos componentes básicos, las etiquetas se pierden y el aislamiento falla. Por lo tanto, antes de iniciar la configuración en el software, asegúrate de que tu hardware de red admite la creación de troncos.

Configuración del enlace troncal de red en Proxmox

El primer paso práctico para estructurar tu homelab es preparar Proxmox para entender y distribuir las etiquetas de VLAN a las máquinas virtuales y contenedores. El hipervisor necesita recibir el tráfico etiquetado procedente de tu switch principal a través de una única interfaz física y reenviarlo de manera organizada. En la interfaz web de Proxmox, navega hasta la pestaña de redes de tu nodo principal y localiza la tarjeta de red física principal, generalmente nombrada como eno1 o eth0.

En lugar de crear un puente estándar, configuramos un puente Linux con soporte de VLAN habilitado, permitiendo que el sistema procese paquetes etiquetados. Sigue el procedimiento de configuración básico ejecutado en la terminal de Proxmox si necesitas ajustar el archivo de interfaces de red manualmente:

auto lo
iface lo inet loopback

iface eno1 inet manual

auto vmbr0
iface vmbr0 inet manual
        bridge-ports eno1
        bridge-stp off
        bridge-fd 0
        bridge-vlan-aware yes
        bridge-vids 2-4094

auto vmbr0.10
iface vmbr0.10 inet static
        address 192.168.10.100/24
        gateway 192.168.10.1
        comment 'Gestion Proxmox'

Con esta estructura aplicada, el puente vmbr0 pasa a actuar como un enlace troncal inteligente que acepta cualquier paquete etiquetado con las VLANs permitidas. La subinterfaz vmbr0.10 garantiza que el propio panel de administración de Proxmox quede confinado exclusivamente a la VLAN 10, protegiendo el acceso al sistema contra curiosos conectados a la red Wi-Fi común de la residencia. Si necesitas integrar dispositivos inteligentes y automatizaciones locales, puedes consultar la guía sobre cómo configurar Home Assistant para automatizaciones Zigbee locales para asegurar que los dispositivos IoT queden aislados en su propia red dedicada.

Creación y aislamiento de contenedores y máquinas virtuales

Con la base de red lista en Proxmox, el siguiente paso consiste en crear los entornos individualizados para cada propósito. Cuando creas una nueva máquina virtual o contenedor LXC, la interfaz de configuración solicita a qué puente de red debe conectarse el dispositivo. Es en ese momento cuando la magia de la segmentación ocurre de forma simple y directa. Basta con seleccionar el puente vmbr0 e indicar el número de etiqueta correspondiente en el campo de identificación de VLAN, conocido en el panel como VLAN Tag.

Para el entorno de desarrollo, por ejemplo, asignamos la VLAN 30, mientras que el servidor de archivos de uso personal permanece en la VLAN 20. De esta forma, aunque ambos funcionen en el mismo hardware físico y compartan los mismos módulos de memoria RAM, habitan universos de red completamente incomunicados por defecto. Si un script malicioso ejecutado en el entorno de desarrollo intenta escanear la red en busca de vulnerabilidades, solo podrá ver los demás elementos estériles de la propia VLAN 30, manteniendo tus datos personales totalmente a salvo.

Además, esta separación facilita enormemente la aplicación de políticas de respaldo y restricción de ancho de banda. Si un contenedor de pruebas comienza a consumir todo el ancho de banda realizando descargas pesadas, puedes limitar el tráfico directamente en la configuración de la tarjeta de red virtual en Proxmox. Esta granularidad operativa transforma un servidor casero común en una verdadera estación de trabajo de ingeniería de infraestructura, garantizando estabilidad y tranquilidad para el día a día.

Reglas de firewall y validación de seguridad

Aislar las redes mediante VLANs resuelve la mayoría de los problemas de visibilidad, pero aún necesitamos permitir que determinados servicios se comuniquen de forma controlada. Por ejemplo, tu computadora personal en la VLAN 20 necesita acceder al panel de Proxmox en la VLAN 10 para realizar mantenimientos, pero los contenedores de prueba en la VLAN 30 jamás deben tener este privilegio. Para resolver esta ecuación, configuramos reglas de firewall directamente en el enrutador principal o utilizando el sistema de firewall integrado del propio Proxmox.

El firewall de Proxmox permite crear listas de control de acceso basadas en grupos de seguridad, facilitando la aplicación de políticas restrictivas sin depender exclusivamente de equipos de red externos. Se recomienda adoptar la política predeterminada de denegar todo el tráfico inter-VLAN y permitir solo las excepciones estrictamente necesarias. Así, si una aplicación web de pruebas necesita consultar una base de datos de homologación, creamos una regla específica que permita exclusivamente ese puerto de comunicación entre las dos IPs involucradas.

Para validar que el aislamiento funciona perfectamente, ejecuta pruebas prácticas de escaneo de puertos y comandos de ping entre las diferentes redes virtuales. Si un comando disparado desde el interior de la VLAN de pruebas recibe respuestas de máquinas de la VLAN personal, hay un fallo grave en la configuración de las reglas de reenvío del switch o enrutador. Probar la resiliência de tu infraestructura frente a fallos simulados es un excelente ejercicio, alineado con conceptos avanzados de ingeniería, similares a los que aplicamos al utilizar Chaos Engineering en la práctica para probar la robustez de servidores en producción.

Consideraciones finales

Estructurar un homelab con Proxmox y VLANs aisladas eleva drásticamente el nivel de seguridad y organización de tu laboratorio doméstico. Al separar el tráfico de uso personal, producción y desarrollo en fronteras virtuales bien definidas, eliminas los riesgos de contaminación cruzada y obtienes total libertad para experimentar con nuevas tecnologías sin miedo a perder datos importantes. La complejidad inicial de configurar switches gestionables y puentes virtuales se compensa ampliamente con la estabilidad y el aprendizaje práctico adquirido durante todo el proceso.

Invertir tiempo en la planificación de redes virtuales transforma un servidor casero ordinario en un entorno de pruebas profesional y seguro. Recuerda revisar siempre tus reglas de firewall, mantener actualizado tu sistema Proxmox y documentar cada cambio en la topología para facilitar futuros mantenimientos. Con esta sólida base implementada, tu homelab estará listo para ejecutar cualquier carga de trabajo con eficiencia, rendimiento y la tranquilidad de saber que cada dato está rigurosamente protegido en su lugar correspondiente.