Infraestructura
Albgott
Albgott es la infraestructura sobre la que corre todo lo demás que construyo: una nube privada autoalojada que gestiono desde 2023, con tres nodos, ocho zonas de red aisladas y más de treinta servicios, llevada con la misma disciplina que exigiría a un equipo de plataforma en el trabajo, aunque aquí el único al que puede avisar una alerta soy yo.
Nada comparte capa sin un motivo
El tráfico no vive en una única red plana: está dividido en ocho zonas, desde la entrada pública hasta un plano de gestión reservado para el propio hardware. El cómputo se reparte de la misma forma, entre tres nodos Proxmox con funciones distintas, funcionando muy por debajo de lo que podrían soportar. El objetivo no es aprovechar al máximo el hardware, sino que un problema en una zona nunca se convierta en un problema para las demás.
Denegación por defecto, todo explícito
Estar en la red no es lo mismo que tener permiso para usarla. Toda conexión se deniega salvo que una regla la permita explícitamente, y tres proxies inversos aplican esto como niveles de confianza: uno accesible desde internet, otro desde cualquier punto de la red interna, y uno —la consola de hipervisores y switches— accesible solo desde un túnel VPN de administración independiente que el túnel de acceso remoto habitual nunca puede tocar. La identidad pasa por Authentik, los secretos por Infisical, y cada credencial que necesita un despliegue —claves SSH, tokens de webhook, una contraseña SMTP, un token de bot de Telegram— vive ahí en lugar de en un archivo de configuración, aunque migrar el último servicio que falta sigue en marcha.
Un push se convierte en un despliegue, sin intervención
Un git push es el único paso manual. Jenkins descarga el código, construye y etiqueta una imagen de contenedor, la sube a un registro privado, la despliega y ejecuta una comprobación de salud contra la URL en producción: de principio a fin, en menos de tres minutos. La última fase avisa a un bot de Telegram con el hash del commit, el mensaje, quién lo subió y la lista de archivos modificados, así que me entero de un despliegue antes de que se me ocurra comprobarlo.
Cada capa, vigilada por otra distinta
Cada contenedor exporta métricas a Prometheus y logs a Loki, y además es comprobado de forma independiente por Uptime Kuma, que no depende del mismo stack que está vigilando. Alertmanager vigila Prometheus y envía directamente a Telegram todo lo que importa; Grafana junta métricas y logs en un único sitio donde mirar.
Nada de esto evita las caídas: el registro de eventos de arriba muestra caídas reales, servicios que se caen y se recuperan por su cuenta. Lo que sí garantiza es que me entero antes de que lo haga un cliente o un script que depende de ellos.