Para que los logs no crezcan indefinidamente, se puede configurar newsyslog en FreeBSD
sudo tee /etc/newsyslog.conf.d/filebrowser.conf > /dev/null << EOF # FileBrowser log rotation - rotates weekly or when > 10MB /home/carlos/.config/filebrowser/filebrowser.log carlos:carlos 640 7 10000 * Z EOF
sudo service newsyslog restartFreeBSD es genial!.
En la página de Tailscale "Regístrese con su proveedor de identidad", inicie sesión con una cuenta de proveedor de identidad de inicio de sesión único (SSO).
como habilitar acceso remoto a un servidor local (FreeBSD 14.3), que está detrás de un NAT (una red doméstica donde el ISP no permite abrir puertos), sin necesidad de un dominio publico.
Tailscale, un servicio P2P basado en wireguard que implementa NAT traversal para crear una red VPN segura y privada. Permite conectar dispositivos de forma directa (P2P) cuando es posible, o a través de relays (DEP servers) si el NAT es estricto. No expone puertos públicos ni requiere configuraciones complejas en routers. Tailscale es gratuito para uso personal (hasta 3 usuarios y 100 dispositivos).
Tailscale no necesita dominio público porque el acceso se realiza a través de IPs privadas de Tailscale (en el rango 100.64.0.0/10 conocidas como CGNAT) o nombre de host automáticos en tu "tailnet" (red privada de Tailscale).
Instalación, configuración, NAT traversal y acceso a servicios locales. Asumido que tiene acceso root en el servidor FreeBSD 14.3 y que el sistema está actualizado (pkg update && pkg upgrade).
Wireguard es el protocolo subyacente, un VPN moderno, ligero y seguro que usa criptografía de curva elíptica para túneles cifrados.
Nat Travesal. Tailscale utiliza técnicas como STUN (para descubrir IPs públicas y puertos), ICE (para negociar conexiones P2P) y relays DERP (servidores de Tailscale que actúan como intermediariso si el P2P falla debido a NAT simétrico o firewalls estrictos).
Tailnet. Su red privada virtual. Todos los dispositivos autenticados en su cuenta forman parte de ella.
Servicios locales. Para acceder a un servicio en el servidor (por ejemplo web en 80), el cliente se conecta a la IP de Tailscale + puerto, como si estuvieran en la misma LAN.
Dispositivo cliente (PC, teléfono móvil, etc.) desde donde se accederá instalando Tailscale (disponible para Windows, macOS, FreeBSD, iOS, Android, Linux).
Firewall en FreeBSD. Si usa PF (Packet Filter), asegurarse de que permita tráfico saliente (por defecto lo hace). No necesita reglas entrantes especiales para Tailscale, ya que utiliza la interfaz tailscale0.
pkg install tailscale
Esto instala tailscaled (el demonio) y tailscale (la CLI). Dependencias como Wireguard se instalan automáticamente.
sysrc tailscaled_enable="YES"
service tailscaled start
service tailscaled status
tailscale up
Esto genera un URL de autenticación (ej. https://login.tailscale.com/a/65831eb3ddff0). Copiar y pegar en un navegador en cualquier dispositivo. Iniciar sesión con su cuenta de Tailscale para aprobar el dispositivo. Una vez aprobado, el comando completará y el servidor se unirá a su tailnet.
tailscale logout tailscale up --hostname=tornado
tailscale status 100.115.10.68 tormenta nombreusuario@ freebsd
Se muestra el servidor con una IP de Tailscale y estado online
ifconfig tailscale0 tailscale0: flags=1008043< <UP,BROADCAST,RUNNING,MULTICAST,LOWER_UP> metric 0 mtu 1280 options=4080000< <LINKSTATE,MEXTPG> inet 100.115.10.68 netmask 0xffffffff broadcast 100.115.10.68 inet6 fd7a:115c:a1e0::cd01:687 prefixlen 48 groups: tun nd6 options=101 <PERFORMNUD,NO_DAD> Opened by PID 27732
You are about to connect the device tormenta to the nombreususario@gmail.com tailnet. Public key nodekey:af18fa705771d20c28856057767cafc... Hostname tormenta Operating system freebsd (14.3-RELEASE-p7) Tailscale version 1.94.1 tormenta 100.115.10.68
No es necesario configurar nada extra en su router o firewall.
Por defecto, Tailscale permite acceso a cualquer puerto en la IP de Tailscale del servidor, siempre que el servicio escuche en 0.0.0.0 o la interfaz tailscale0
Ejemplo para un servidor web (por ejemplo, Nginx en el puerto 80) se configura para escuchar en 0.0.0.0:80
---
server {
listen 8000; #poudriere
server_name localhost;
root /usr/local/share/poudriere/html;
location /data {
alias /usr/local/poudriere/data/logs/bulk;
autoindex on;
}
location /packages {
root /usr/local/poudriere/data;
autoindex on;
}
location / {
index index.html index.htm;
}
# redirect server error pages to the static page /50x.html
#
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /usr/local/www/nginx-dist;
}
}
# Servidor web principal en el puerto 80
server {
listen 0.0.0.0:80; #nginx
server_name localhost;
root /usr/local/www/nginx;
index index.html index.htm;
# Paginas de error para el servidor principal
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /usr/local/www/nginx-dist;
}
}
}
---
Si se quiere acceder a toda la subred local (otros dispositivos en la red 192.168.88.0/24), se tiene que habilitar subnet routes:
tailscale up --advertise-routes=192.168.88.0/24. Posteriormenta se aprueba en el
admin console.
Usar ACLs (Access Control Lists) en el admin console para restringir accesos (por ejemplo, solo ciertos usuarios pueden acceder al servidor).
Habilitar MagicDNS. En el admin console, ir a DNS > Enable MagicDNS. Para usar nombre como fsb143 en lugar de IPs.
Para headless (sin interacción): Usar pre-auth keys
Instalar Tailscale en el dispositivo Ejecutar tailscale up y autenticar con el mismo URL/login utilizado para el servidor
(unirse al mismo tailnet)
Web: abrir http://100.115.10.68:80 (reemplazar con la IP de Tailscale del servidor
obtenida de tailscale status). Bienvenido al servidor FreeBSD nginx! Si ve esta pagina, el servidor web nginx se instalo correctamente y funciona
correctamente. Se requiere configuracion adicional. Para obtener documentacion y soporte en linea, consulte nginx.org. Gracias por usar nginx.
El autor de este sencillo e ingenioso guión es iceflatline. Contiene algunas modificaciones para adaptarlo a este laboratorio
https://gnulinuxcodigo.blogspot.com/2025/03/crear-particiones-en-disco-duro-usb-con.html
zpool create -o ashift=12 \ -O compression=lz4 \ -O atime=off \ -O mountpoint=none \ backup /dev/gpt/zbackup
sudo zfs create -o mountpoint=none zbackup/solaris sudo zfs create -o mountpoint=none zbackup/solaris/home sudo zfs create -o mountpoint=none zbackup/solaris/home/carlos sudo zfs create -o mountpoint=none zbackup/tormenta-confiles sudo zfs create -o mountpoint=none zbackup/usr/ sudo zfs create -o mountpoint=none zbackup/usr/backup sudo zfs create -o mountpoint=none zbackup/usr/backup/docs sudo zfs create -o mountpoint=none zbackup/usr/home
Seguridad contra modificaciones accidentales
Evita conflictos de rutas
Comportamiento en el arranque — Con mountpoint=none ZFS no intenta montar nada del pool zbackup al arrancar, lo que acelera el boot y evita errores si el disco USB no está conectado en ese momento.
Acceso bajo demanda — Cuando se necesita recuperar algo, se monta puntualmente el dataset de interés, se hace lo que se necesita, y luego se desmonta.
Los scripts no se ven afectados — zfs receive escribe directamente al dataset sin necesidad de que esté montado. mountpoint=none no interfiere en absoluto con zfs send/receive.
carlos@tormenta:~ % zfs list -r zbackup zbackup 48.9G 1.71T 4.86M none zbackup/solaris 40.8G 1.71T 96K none zbackup/solaris/home 40.8G 1.71T 96K none zbackup/solaris/home/carlos 40.8G 1.71T 39.9G none zbackup/tormenta-confiles 800K 1.71T 800K none zbackup/usr 8.16G 1.71T 104K none zbackup/usr/backup 7.80G 1.71T 104K none zbackup/usr/backup/docs 7.80G 1.71T 7.80G none zbackup/usr/home 368M 1.71T 132M none
#!/bin/sh
### BEGIN INFO
# PROVIDE:
# REQUIRE:
# KEYWORD:
### INICIO DEL GUION
# Estas variables se nombran primero porque están anidadas en otras variables.
snap_prefix=snap
retention=15
# Se necesitan rutas completas a estas utilidades al ejecutar el script desde \
cron.
date=/bin/date
grep=/usr/bin/grep
sed=/usr/bin/sed
sort=/usr/bin/sort
xargs=/usr/bin/xargs
zfs=/sbin/zfs
src_0="zroot/home/carlos"
dst_0="zbackup/solaris/home/carlos"
host="root@192.168.88.160"
# Usar $date en lugar de date para consistencia con rutas absolutas.
today="$snap_prefix-`$date +%Y%m%d`"
yesterday="$snap_prefix-`$date -v -1d +%Y%m%d`"
snap_today="$src_0@$today"
snap_yesterday="$src_0@$yesterday"
# Patrón grep con sufijo numérico para evitar falsos positivos.
snap_old=`$zfs list -t snapshot -o name \
| $grep "${src_0}@${snap_prefix}-[0-9]" \
| $sort -r \
| $sed 1,${retention}d \
| $sort \
| $xargs -n 1`
log=/home/carlos/cronlog
# Todo el pipeline de listado remoto corre en tormenta vía SSH.
snap_old_dst_0=`ssh $host "$zfs list -t snapshot -o name \
| grep '${dst_0}@${snap_prefix}-[0-9]' \
| sort -r \
| sed 1,${retention}d \
| sort"`
# Crea una línea en blanco entre la entrada de registro anterior y esta.
echo >> $log
# Imprimir el nombre del script.
echo "zfsrep.sh" >> $log
# Imprime la fecha de hoy.
$date >> $log
# Crea una línea en blanco.
echo >> $log
# Buscar instantánea de hoy y, si no la encuentra, créala.
if $zfs list -H -o name -t snapshot \
| $sort \
| $grep "${snap_today}$" > /dev/null
then
echo "La instantánea de hoy '$snap_today' ya existe." >> $log
else
echo "Tomando la instantánea de hoy: $snap_today" >> $log
$zfs snapshot -r $snap_today >> $log 2>&1
fi
echo >> $log
# Replicar el snapshot diario (ayer) o mostrar error si falta.
if $zfs list -H -o name -t snapshot \
| $sort \
| $grep "${snap_yesterday}$" > /dev/null
then
echo "La instantánea de ayer '$snap_yesterday' existe. Continuando \
con la replicacion..." >> $log
$zfs send -R -i $snap_yesterday $snap_today \
| ssh $host $zfs receive -vuF -x mountpoint $dst_0 >> $log 2>&1
echo >> $log
echo "Replicacion completada." >> $log
else
echo "Error: Replicacion no completada. Falta la instantánea de \
ayer." >> $log
fi
echo >> $log
# Eliminar instantáneas locales más antiguas que el valor asignado a retention.
echo "Intentando destruir instantáneas antiguas $src_0..." >> $log
if [ -n "$snap_old" ]
then
echo "Destruyendo las siguientes instantáneas antiguas:" >> $log
echo "$snap_old" >> $log
$zfs list -t snapshot -o name \
| $grep "${src_0}@${snap_prefix}-[0-9]" \
| $sort -r \
| $sed 1,${retention}d \
| $sort \
| $xargs -n 1 $zfs destroy -r >> $log 2>&1
else
echo "No se pudo encontrar ninguna instantánea local para \
destruir." >> $log
fi
echo >> $log
# Purgar snaps remotos > retention
# Todo el pipeline, incluido zfs destroy, corre en tormenta vía SSH.
echo "Intentando destruir instantáneas antiguas $dst_0..." >> $log
if [ -n "$snap_old_dst_0" ]
then
echo "Destruyendo las siguientes instantáneas antiguas en $host:" >> $log
echo "$snap_old_dst_0" >> $log
ssh $host "$zfs list -t snapshot -o name \
| grep '${dst_0}@${snap_prefix}-[0-9]' \
| sort -r \
| sed 1,${retention}d \
| sort \
| xargs -n 1 $zfs destroy -r" >> $log 2>&1
else
echo "No se pudo encontrar ninguna instantánea remota para \
destruir." >> $log
fi
# Marcar el fin del script con un delimitador.
echo "**********" >> $log
### FIN DEL SCRIPT
Luego, agregue una tarea a la tabla cron bajo la cuenta del usuario. El script se ejecuta todos los días a las 22:00 (hora local):
# Ejecuta script backup cada día a las 22:00 0 22 * * * /home/carlos/bin/zfsrep.sh
********** zfsrep.sh Tue Apr 15 09:45:19 CEST 2025 Tomando la instantánea de hoy: zroot/home@snap-20250415 La instantánea de ayer 'zroot/home@snap-20250414' existe. \ Continuando con la replicacion... receiving incremental stream of zroot/home@snap-20250415 into \ zbackup/solaris/home/carlos@snap-20250415 received 312B stream in 0.91 seconds (341B/sec) receiving incremental stream of zroot/home/carlos@snap-20250415 \ into zbackup/solaris/home/carlos@snap-20250415 received 16.3M stream in 7.07 seconds (2.30M/sec) Replicacion completada. Intentando destruir instantáneas antiguas zroot/home... Destruyendo las siguientes instantáneas antiguas: zroot/home@snap-20250327 Intentando destruir instantáneas antiguas zbackup/solaris... No se pudo encontrar ninguna instantánea para destruir.FreeBSD es genial!.
Instalación y configuración de Zerotier en el servidor FreeBSD
Instalación y puesta en marcha de Zerotier
pkg install net/zerotier sysrc zerotier_enable=YES service zerotier start
Unirse a la Red Zerotier (192.168.192.0-24):
zerotier-cli join <Network ID>
Reemplaza <Network ID> con el ID de tu red Zerotier (puedes verlo en Zerotier central).
Autorizar el servidor en Zerotier, aparecerá en la lista de miembros con su ID
Asigna una IP fija al servidor en la red Zerotier (por ej: 192.168.192.133).
Habilitar IP Forwarding (Reenvío de paquetes):
echo "net.inet.ip.forwarding=1" >> /etc/sysctl.conf
Aplicar los cambios:
sysctl net.inet.ip.forwarding=1 net.inet.ip.forwarding: 1
# Macros
wan_if = "re0" # Interfaz conectada al MikroTik (LAN)
lan_net = "192.168.88.0/24" # Red local
zt_if = "zt1ocu1pr8e2sac" # Interfaz ZeroTier
zt_net = "192.168.192.0/24" # Red ZeroTier
# Opciones generales
set block-policy drop
set skip on { lo0, $zt_if } # ZeroTier no necesita filtrado estricto
scrub in all fragment reassemble
# Reglas predeterminadas
block all
pass out quick keep state
# Permitir tráfico entre redes LAN y ZeroTier
pass quick from $lan_net to $zt_net
pass quick from $zt_net to $lan_net
# Permitir servicios desde la LAN (Samba, NFSv4, SSH)
pass in on $wan_if proto { tcp, udp } from $lan_net to any port { 139, \
445, 111, 2049, 22 }
# Permitir SSH desde ZeroTier (clientes externos)
pass in on $zt_if proto tcp from $zt_net to ($wan_if) port 22
# Reglas para ZeroTier (puerto UDP 9993 y comunicación entre peers)
pass in on $zt_if proto udp from any to any port 9993
# Permitir ICMP (pings y mensajes de error)
pass in inet proto icmp all icmp-type { echoreq, unreach }
Instalar Zerotier en los dispositivos cliente
Unirlos a la red Zerotier
zerotier-cli join <Network ID> o mediante la app
Autoriza los clientes en Zerotier y asígnales IPs fijas si es necesario
Conectarse desde un cliente usando la IP de Zerotier del servidor
ssh usuario@192.168.192.133
Ruta estática entre la red local (192.168.88.0/24) y Zerotier (192.168.192.0/24)
¿Por qué es necesaria?
Los clientes en Zerotier (192.168.192.0/24) no saben como llegar a la red local del servidor (192.168.88.0/24) por defecto.
La ruta estática indica a Zerotier que el servidor actúa como puerta de enlace para la red local.
Ir a su red en Zerotier
En Advanced > Managed Routes,
añadir:
- Destination: 192.168.88.0/24 - Via: 192.168.192.133 (IP Zerotier del servidor)
Zerotier como VPN Layer 2:
Crea una red virtual donde todos los dispositivos aparecen como si estuvieran en la misma LAN, evitando la necesidad de port forwarding
Ruta estática:
Dirige el tráfico desde Zerotier hacia la red local a través del servidor, que actúa como router.
Agregar una regla que permita el tráfico SSH desde la red ZeroTier hacia el servidor FreeBSD
# En Mikrotik (RouterOS CLI) /ip firewall filter add chaind=filter action=accept protocol=tcp \ dst-port=22 src-address=192.168.192.0/24 comment="Permitir SSH desde ZeroTier"
# En /etc/ssh/sshd_config ListenAddress 192.168.192.133
service sshd restart
Desde un cliente Zerotier, por ej: desactivo la conexión wifi de mi teléfono móvil y activo los datos para conectarme desde una red externa:
ssh carlos@192.168.192.133
tcpdump -i zt1ocu1pr8e2sac
- En /usr/local/etc/zerotier-one/zerotier-one.conf, configura allowManaged y allowGlobal para controlar el acceso a rutas:
{
"settings": {
"allowManaged": true,
"allowGlobal": false
}
}
Esta configuración garantiza que solo los servicios necesarios estén expuestos, y la comunicación entre redes se realice de manera segura y controlada.
FreeBSD es genial!.