Servidor personal: Debian + Docker, no FreeBSD

2026-07-16T00:00:00+00:00

Contexto</h2>
Este post reemplaza una entrada anterior que describía el plan original: FreeBSD, jails, bastilleBSD. Ese plan no se ejecutó así. Lo que terminó corriendo en la máquina reusada (hostname `pcale</code>) es Debian 13 (Trixie)</strong> con todo containerizado en Docker</strong>, un stack por servicio en docker-compose.yml</code> separados, sin hypervisor ni jails.</p>`
`La razón del cambio fue práctica: Docker Compose me da aislamiento por servicio sin la curva de aprendizaje adicional de jails/bhyve, y el ecosistema de imágenes ya resueltas (linuxserver, imágenes oficiales) redujo tiempo de instalación a casi cero comparado con compilar todo desde ports.</p>`

Infraestructura base</h2>

SO:</strong> Debian 13 (Trixie), kernel 6.12.x</li>
Actualizaciones:</strong> unattended-upgrades</code> para parches de seguridad automáticos</li>
Todo lo demás vive en contenedores</strong> — cada servicio tiene su propio docker-compose.yml</code> bajo /home/ale/<servicio>/</code>, así config, volúmenes y upgrades quedan aislados por app</li>
</ul>
Acceso y red</h2>
No hay puertos abiertos al público en el router. El acceso normal es vía Tailscale</strong>: cada servicio interno se publica con un hostname propio y HTTPS real usando Tailscale Services:</p>
tailscale serve --service=svc:<nombre> --bg --https=443 http://localhost:<puerto>
tailscale serve --service=svc:<nombre> --bg --http=80 http://localhost:<puerto>
</code></pre>
Esto da URLs como https://nextcloud.tail32b955.ts.net</code>, con certificado válido, sin recordar puertos. Un par de servicios sí salen a internet público, pero vía Cloudflare Tunnel</strong> (cloudflared</code>, conexión saliente únicamente, nada expuesto en el router) — el caso principal es PeerTube en tube.richard69.lat</code>.</p>
Perímetro:</strong></p>

SSH solo con clave, llave de seguridad física (YubiKey), X11Forwarding</code> desactivado</li>
ufw</code> en default-deny, la mayoría de servicios restringidos a LAN (192.168.68.0/24</code>) + Tailscale (100.0.0.0/8</code>)</li>
fail2ban</code> en el jail de SSH (maxretry 3, ban 24h)</li>
Vaultwarden llegó a tener un hostname público en el tunnel; se sacó por completo y ahora es Tailscale-only</li>
</ul>
Servicios corriendo</h2>
Nube y datos personales</strong></p>

Nextcloud</strong> — almacenamiento personal, también sirve como fuente de la biblioteca de Calibre-web (apunta directo a Documents/Libros</code> sin duplicar archivos)</li>
Immich</strong> — fotos</li>
Vaultwarden</strong> — gestor de contraseñas (servidor compatible con Bitwarden), solo por Tailscale</li>
Calibre-web</strong> — lector/biblioteca de ebooks</li>
</ul>
Media</strong></p>

Jellyfin</strong> — servidor de medios (películas, series, música)</li>
qBittorrent + Radarr + Sonarr + Prowlarr</strong> — el stack *arr completo: indexers → búsqueda → descarga → importación, aterrizando directo en la biblioteca de Jellyfin, que se refresca sola al importar</li>
Navidrome</strong> — streaming de música</li>
spotiflac</strong>, AudioMuse AI</strong> — utilidades de música</li>
PeerTube</strong> — instancia propia y federada de video (tube.richard69.lat</code>), con una imagen parcheada a mano (ver abajo)</li>
</ul>
Todo el lado de descargas (qBittorrent, Radarr, Sonarr, Prowlarr, spotiflac) corre con network_mode: container:mullvad-exit-vpn</code>, compartiendo el namespace de red de un único contenedor gluetun</a>, así ese tráfico —y solo ese— sale por un exit de Mullvad vía WireGuard.</p>
Un extra que armé sobre esto: un script que convierte un canal de PeerTube seguido en una biblioteca de Jellyfin de archivos .strm</code> (punteros a la URL del HLS del video original). Jellyfin los reproduce en directo desde la instancia origen sin que el archivo toque el disco del servidor.</p>
Utilidades</strong></p>

Glance</strong> — dashboard único: bookmarks, RSS, clima, chequeos de salud de cada servicio, buscador</li>
4get</strong> — metabuscador privado, también el buscador embebido en Glance</li>
ntfy</strong> — notificaciones push self-hosted (alertas del servidor, watchdog de la VPN, etc.)</li>
Uptime Kuma / Beszel</strong> — monitoreo, con umbrales de alerta mandando a ntfy</li>
Prosody</strong> — mensajería XMPP</li>
Forgejo</strong> — Git self-hosted (donde vive este mismo blog)</li>
</ul>
Problemas encontrados (y soluciones)</h2>
network_mode: container:X</code> no se re-resuelve solo.</strong> Docker fija esa referencia a un container ID</em> en el momento de crear el contenedor. Si gluetun se recrea (docker compose up --force-recreate</code>, o cualquier reinicio del stack), todo lo que comparte su netns (qBittorrent, Radarr, Sonarr, Prowlarr, spotiflac) queda apuntando a un namespace huérfano. El síntoma es engañoso: el contenedor se ve Up (healthy)</code> y su proceso interno escucha bien desde adentro, pero nada llega desde afuera. Fix: force-recreate de cada contenedor afectado, no alcanza con docker restart</code>.</p>
*La ruta de descarga de un arr no puede ser su propia root folder.</em></em> Si la categoría de qBittorrent apunta al mismo path que el root folder de Radarr/Sonarr, la app no puede distinguir “todavía bajando” de “ya importado” y tira DownloadClientRootFolderCheck</code>. Solución: carpetas de staging separadas (/media/downloads/movies</code>, /media/downloads/shows</code>), Radarr/Sonarr importan por hardlink desde ahí al root folder real.</p>
ntfy en iOS necesita un base-url</code> alcanzable.</strong> iOS no puede recibir contenido completo en el push directamente (limitación de APNs) — el teléfono hace polling al base-url</code> del propio servidor después de recibir un push genérico de “new message”. Si ese base-url</code> apunta a un dominio muerto, la notificación queda vacía sin ningún error visible en ningún lado.</p>
PeerTube solo acepta thumbnails remotos en JPEG.</strong> El validador de videos federados de PeerTube rechaza en silencio cualquier video cuyo thumbnail remoto sea PNG o WebP. Lo resolví con un parche chico horneado en una imagen Docker custom — hay que reconstruirla (no solo docker compose pull</code>) en cada actualización de PeerTube o el parche desaparece sin avisar.</p>
Qué falta por hacer</h2>

Cloudflare Access delante de Uptime Kuma si algún día se tunelea al público</li>
Reglas de ufw</code> para un par de servicios más nuevos (4get, AudioMuse) que hoy solo responden desde localhost</li>
Un manual real de recuperación ante desastres — por ahora ese conocimiento vive en mis notas, no en un documento</li>
</ul>
Idea central</h2>
El objetivo cambió de “aprender FreeBSD a fondo” a “tener servicios propios corriendo de forma confiable, con el mínimo de superficie expuesta al público”. Docker Compose y Tailscale resultaron el camino más corto ahí. FreeBSD y jails siguen siendo un proyecto que me interesa, pero para otro momento — ver el post de OpenBSD para la versión de “control total” aplicada a algo más chico (el hospedaje de este mismo sitio).</p>
Referencias</h2>

Documentación de Tailscale</a></li>
gluetun</a></li>
Glance</a></li>
Servarr Wiki</a></li>
Documentación de PeerTube</a></li>
</ul>

Nezzontli - Homelab

Servidor personal: Debian + Docker, no FreeBSD

Qué falta por hacer</h2> Cloudflare Access delante de Uptime Kuma si algún día se tunelea al público</li> Reglas de ufw</code> para un par de servicios más nuevos (4get, AudioMuse) que hoy solo responden desde localhost</li>

Referencias</h2> Documentación de Tailscale</a></li> gluetun</a></li> Glance</a></li> Servarr Wiki</a></li> Documentación de PeerTube</a></li> </ul>

Referencias</h2>

Documentación de Tailscale</a></li>
gluetun</a></li>
Glance</a></li>
Servarr Wiki</a></li>
Documentación de PeerTube</a></li> </ul>