Para que los logs no crezcan indefinidamente, se puede configurar newsyslog en FreeBSD
sudo tee /etc/newsyslog.conf.d/filebrowser.conf > /dev/null << EOF # FileBrowser log rotation - rotates weekly or when > 10MB /home/carlos/.config/filebrowser/filebrowser.log carlos:carlos 640 7 10000 * Z EOF
sudo service newsyslog restartFreeBSD es genial!.
pkg install filebrowser which filebrowser filebrowser version File Browser v2.52.0/c11c986b7382a5c1f18d83ee7e6093dc0544cff9
mkdir -p /home/carlos/fileserver
mkdir -p /home/carlos/.config/filebrowser
filebrowser config init -d /home/carlos/.config/filebrowser/filebrowser.db
filebrowser users add carlos tu_contraseña_segura \ --perm.admin \ --perm.create \ --perm.delete \ --perm.download \ --perm.execute \ --perm.modify \ --perm.rename \ --perm.share \ -d /home/carlos/.config/filebrowser/filebrowser.db
--perm.admin → Acceso administrativo completo --perm.create → Crear archivos y carpetas --perm.delete → Eliminar archivos --perm.download → Descargar archivos --perm.execute → Ejecutar comandos --perm.modify → Modificar archivos --perm.rename → Renombrar archivos/carpetas --perm.share → Compartir enlaces públicos
sudo service FileBrowser stop sudo pkill -9 filebrowser
filebrowser users add invitado password123 \ --perm.download \ --scope /home/carlos/fileserver/publico \ -d /home/carlos/.config/filebrowser/filebrowser.db
filebrowser config cat -d /home/carlos/.config/filebrowser/filebrowser.db
filebrowser users ls -d /home/carlos/.config/filebrowser/filebrowser.db
{
"port": 8080,
"baseURL": "",
"address": "0.0.0.0",
"log": "/home/carlos/.config/filebrowser/filebrowser.log",
"database": "/home/carlos/.config/filebrowser/filebrowser.db",
"root": "/home/carlos/fileserver"
}
#!/bin/sh
# PROVIDE: filebrowser
# REQUIRE: NETWORKING DAEMON tailscaled
# KEYWORD: shutdown
. /etc/rc.subr
name="filebrowser"
desc="Web File Browser"
rcvar="${name}_enable"
load_rc_config $name
: ${filebrowser_enable:="NO"}
: ${filebrowser_runas:="carlos"}
: ${filebrowser_config:="/home/carlos/.config/filebrowser/config.json"}
procname="/usr/local/bin/${name}"
command="/usr/sbin/daemon"
command_args="-c -u ${filebrowser_runas} -t \"${desc}\" \
${procname} -c ${filebrowser_config}"
start_precmd="filebrowser_prestart"
filebrowser_prestart()
{
log_file="/home/carlos/.config/filebrowser/filebrowser.log"
if [ ! -f "${log_file}" ]; then
touch "${log_file}"
chown ${filebrowser_runas} "${log_file}"
chmod 640 "${log_file}"
fi
}
run_rc_command "$1"
sudo chmod 555 /usr/local/etc/rc.d/filebrowser
sudo sysrc filebrowser_enable="YES"
sudo service filebrowser status filebrowser is running as pid 1918. ls -ld /var/run/filebrowser drwxr-xr-x 2 carlos wheel 3 Apr 3 09:21 /var/run/filebrowser sudo cat /var/run/filebrowser/filebrowser.pid 1918 tail -10 /home/carlos/.config/filebrowser/filebrowser.log 2026/04/02 23:57:05 Listening on [::]:8080 2026/04/03 08:40:10 Got signal: terminated 2026/04/03 08:40:10 Stopped serving new connections. 2026/04/03 08:40:10 Graceful shutdown complete. 2026/04/03 08:41:06 Listening on [::]:8080 2026/04/03 08:46:48 Got signal: terminated 2026/04/03 08:46:48 Stopped serving new connections. 2026/04/03 08:46:48 Graceful shutdown complete. 2026/04/03 08:47:40 Listening on [::]:8080 2026/04/03 09:21:27 Listening on [::]:8080
tailscale status 100.69.99.114 tornado nombreusuario@ freebsd -
sudo service tailscaled start tailscale up
tailscale logout tailscale up --hostname=tornado
# ========================================
# Configuración PF para tornado.local.com
# ========================================
# MACROS (Variables)
ext_if = "wlan0" # Interfaz de red
tailscale_if = "tailscale0"
local_net = "192.168.88.0/24" # Red local permitida
ssh_port = "22" # Puerto SSH
filebrowser_port = "8080"
filebrowser_https_port = "8443"
http_port = "80"
https_port = "443"
# --- OPCIONES ---
set skip on lo0 # No filtrar loopback
set block-policy drop # Descartar paquetes bloqueados silenciosamente
set loginterface $ext_if # Interfaz para estadísticas
# --- SCRUB (Normalización de paquetes) ---
scrub in all # Normalizar todo el tráfico entrante
# --- POLÍTICA PREDETERMINADA ---
block all # Bloquear todo por defecto
# --- REGLAS ANTISPOOF ---
antispoof quick for $ext_if # Protección contra IP spoofing
# --- PERMITIR LOOPBACK ---
pass quick on lo0 all # Permitir todo en loopback
# --- PERMITIR TRÁFICO EN TAILSCALE ---
pass quick on $tailscale_if all keep state
# --- Solo permite TAILSCALE ---
pass in quick on $tailscale_if all keep state
# --- PERMITIR ICMP (ping) desde red local ---
pass in quick on $ext_if inet proto icmp from $local_net to any icmp-type { echoreq } keep state
# --- PERMITIR SSH SOLO DESDE RED LOCAL ---
pass in quick on $ext_if proto tcp from $local_net to ($ext_if) port $ssh_port keep state
# --- PERMITIR FILEBROWSER HTTP DESDE RED LOCAL ---
pass in quick on $ext_if proto tcp from $local_net to ($ext_if) port $filebrowser_port keep state
# --- PERMITIR FILEBROWSER HTTP DESDE TAILSCALE ---
pass in quick on $tailscale_if proto tcp to any port $filebrowser_port keep state
# --- PERMITIR FILEBROWSER HTTPS DESDE RED LOCAL ---
pass in quick on $ext_if proto tcp from $local_net to ($ext_if) port $filebrowser_https_port keep state
# --- PERMITIR FILEBROWSER HTTPS DESDE TAILSCALE ---
pass in quick on $tailscale_if proto tcp to any port $filebrowser_https_port keep state
# --- PERMITIR TRÁFICO SALIENTE ---
pass out quick on $ext_if all keep state
# --- LOGGING (opcional) ---
# pass in log on $ext_if proto tcp from $local_net to ($ext_if) port $ssh_port keep state
sudo pfctl -f /etc/pf.conf sudo service pf reload
sudo service filebrowser start
sudo service filebrowser status Password: filebrowser is running as pid 4721
sudo sockstat -4l | grep 8080 carlos filebrowse 1322 5 tcp46 *:8080
http://192.168.88.183:8080
https://100.69.99.114:443 https://tornado.tail0788a4.ts.net
Usuario carlos Contraseña tu_contraseña_segura
tail -f /home/carlos/.config/filebrowser/filebrowser.log
ps aux | grep filebrowser carlos 5542 0.0 0.4 1270900 30200 - I 23:57 \ 0:05.52 /usr/local/bin/filebrowser -c /home/carlos/.config/filebrowser/config.json
sudo pfctl -sr Password: scrub in all fragment reassemble block drop all block drop in quick on ! wlan0 inet from 192.168.88.0/24 to any block drop in quick inet from 192.168.88.183 to any pass in quick on wlan0 inet proto tcp from 192.168.88.0/24 to \ (wlan0) port = ssh flags S/SA keep state pass in quick on wlan0 inet proto tcp from 192.168.88.0/24 to \ (wlan0) port = http-alt flags S/SA keep state pass in quick on wlan0 inet proto tcp from 192.168.88.0/24 to \ (wlan0) port = 8443 flags S/SA keep state pass in quick on wlan0 inet proto icmp from 192.168.88.0/24 to \ any icmp-type echoreq keep state pass out quick on wlan0 all flags S/SA keep state pass quick on lo0 all flags S/SA keep state pass quick on tailscale0 all flags S/SA keep state
IMPORTANTE: Detener FileBrowser antes de modificar la base de datos
sudo service filebrowser stop sudo pkill -9 filebrowser
filebrowser users update carlos \ --password nueva_contraseña \ -d /home/carlos/.config/filebrowser/filebrowser.db
filebrowser config set \ --branding.name "Servidor de Carlos" \ --branding.disableExternal \ -d /home/carlos/.config/filebrowser/filebrowser.db
filebrowser config set \ --theme dark \ -d /home/carlos/.config/filebrowser/filebrowser.db
sudo service filebrowser start
filebrowser config set --signup false -d /home/carlos/.config/filebrowser/filebrowser.db
filebrowser config set --auth.recaptcha.secret "" -d /home/carlos/.config/filebrowser/filebrowser.db
cp /home/carlos/.config/filebrowser/filebrowser.db /home/carlos/.config/filebrowser/filebrowser.db.backup
tar -czf /home/carlos/fileserver-backup-$(date +%Y%m%d).tar.gz /home/carlos/fileserver/
sudo service filebrowser restart
sudo service filebrowser stop sudo pkill -9 filebrowser
rm -f /var/run/filebrowser/filebrowser.pid
sudo service filebrowser start
sudo ps aux | grep "filebrowser" carlos 1322 0.0 0.4 1279096 29736 v0- I Sun23 1:11.45 \ /usr/local/bin/filebrowser -c /home/carlos/.config/filebrowser/config.json
tail -f /home/carlos/.config/filebrowser/filebrowser.log
sudo service filebrowser stop sudo pkill -9 filebrowser filebrowser users ls -d /home/carlos/.config/filebrowser/filebrowser.db
filebrowser config cat -d /home/carlos/.config/filebrowser/filebrowser.db
http://localhost:8080
http://192.168.88.183:8080
http://100.69.99.114:8080 https://https://tornado.tail0788a4.ts.net
Configuración completada exitosamente: FileBrowser instalado y configurando Autenticación habilitada (usuario: carlos) Acceso desde red local (192.168.88.0/24) Acceso remoto seguro vía Tailscale Firewall PF configurado correctamente Autoarranque habilitado (rc.conf)
Tailscale puede proporcionar certificados HTTPS válidos de forma automática para un nodo.
Esto generará certificados en /var/lib/tailscale/certs/ o /usr/local/tailscale/certs/. Si no existe el directorio, Tailscale los colocará en el directorio actual.
tailscale status
https://tornado.tail0788a4.ts.net
¡El certificado será válido y reconocido por todos los navegadores!
sudo tailscale serve --bg http://127.0.0.1:8080
https://tornado.tail0788a4.ts.net
No es necesario configurar nada más, Tailscale maneja todo el HTTPS
tailscale serve status https://tornado.tail0788a4.ts.net (tailnet only) |-- / proxy http://127.0.0.1:8080
tailscale status --json | grep tornado
"DNSName": "tornado.tail0788a4.ts.net.",
"tornado.tail0788a4.ts.net"
Para que Tailscale Serve se mantenga después de reiniciar:
sudo vim /usr/local/etc/rc.d/tailscale_serve
#!/bin/sh
# PROVIDE: tailscale_serve
# REQUIRE: tailscaled filebrowser
# KEYWORD: shutdown
. /etc/rc.subr
name="tailscale_serve"
rcvar="tailscale_serve_enable"
load_rc_config $name
: ${tailscale_serve_enable:="NO"}
start_cmd="${name}_start"
stop_cmd="${name}_stop"
tailscale_serve_start()
{
echo "Starting Tailscale Serve..."
/usr/local/bin/tailscale serve --bg http://127.0.0.1:8080
}
tailscale_serve_stop()
{
echo "Stopping Tailscale Serve..."
/usr/local/bin/tailscale serve reset
}
run_rc_command "$1"
sudo chmod +x /usr/local/etc/rc.d/tailscale_serve
sudo sysrc tailscale_serve_enable="YES" sudo service tailscale_serve start
https://login.tailscale.com/admin/machines
Hacer clic en los 3 puntos -> "Enable HTTPS"
En la página que se abre: Marcar "HTTPS certificates" (requerido) NO marque "Funnel" (a menos que quiera acceso público desde Internet)
Nota: Serve = Acceso solo desde tu Tailnet (privado) - Esto es lo que quiere
Hacer clic en "Enable HTTPS and Serve" o "Enable"
sudo tailscale serve --bg http://127.0.0.1:8080
Debería funcionar sin errores
tailscale serve status https://tornado.tail0788a4.ts.net (tailnet only) |-- / proxy http://127.0.0.1:8080
https://tornado.tail0788a4.ts.net
Cuando habilita HTTPS en Tailscale, el nombre de su dispositivo (tornado.tail0788a4.ts.net) se escribirá en un Certificate Transparency Log público. Esto es un requisito de Let's Encrypt y no se puede evitar. Esto NO expone:
Su IP Sus archivos El contenido de tu servidor
El nombre del dispositivo (tornado.tail0788a4.ts.net)
sudo tailscale status --json | grep -i magic
"InMagicSock": false,
"MagicDNSSuffix": "tail0788a4.ts.net",
"MagicDNSSuffix": "tail0788a4.ts.net",
"MagicDNSEnabled": true
"InMagicSock": true,
"InMagicSock": true,
"InMagicSock": true,
"InMagicSock": true,
sudo pkill -9 filebrowser rm -f /var/run/filebrowser/filebrowser.pid
filebrowser -c /home/carlos/.config/filebrowser/config.json 2026/03/27 09:17:02 Using config file: /home/carlos/.config/filebrowser/config.json 2026/03/27 09:17:02 Using database: /home/carlos/.config/filebrowser/filebrowser.db
tail -50 /home/carlos/.config/filebrowser/filebrowser.log
filebrowser -c /home/carlos/.config/filebrowser/config.json &
Elemento Valor URL de acceso https://tornado.tail0788a4.ts.net Certificado SSL Let's Encrypt (válido, sin advertencias) FileBrowser HTTP en localhost:8080 Tailscale Serve HTTPS proxy en puerto 443 Acceso Solo desde su Tailnet (privado) Usuario carlos Usuario no privilegiado invitadohttps://gnulinuxcodigo.blogspot.com/2026/04/crear-rotacion-de-logs-filebrowser.html
En la página de Tailscale "Regístrese con su proveedor de identidad", inicie sesión con una cuenta de proveedor de identidad de inicio de sesión único (SSO).
como habilitar acceso remoto a un servidor local (FreeBSD 14.3), que está detrás de un NAT (una red doméstica donde el ISP no permite abrir puertos), sin necesidad de un dominio publico.
Tailscale, un servicio P2P basado en wireguard que implementa NAT traversal para crear una red VPN segura y privada. Permite conectar dispositivos de forma directa (P2P) cuando es posible, o a través de relays (DEP servers) si el NAT es estricto. No expone puertos públicos ni requiere configuraciones complejas en routers. Tailscale es gratuito para uso personal (hasta 3 usuarios y 100 dispositivos).
Tailscale no necesita dominio público porque el acceso se realiza a través de IPs privadas de Tailscale (en el rango 100.64.0.0/10 conocidas como CGNAT) o nombre de host automáticos en tu "tailnet" (red privada de Tailscale).
Instalación, configuración, NAT traversal y acceso a servicios locales. Asumido que tiene acceso root en el servidor FreeBSD 14.3 y que el sistema está actualizado (pkg update && pkg upgrade).
Wireguard es el protocolo subyacente, un VPN moderno, ligero y seguro que usa criptografía de curva elíptica para túneles cifrados.
Nat Travesal. Tailscale utiliza técnicas como STUN (para descubrir IPs públicas y puertos), ICE (para negociar conexiones P2P) y relays DERP (servidores de Tailscale que actúan como intermediariso si el P2P falla debido a NAT simétrico o firewalls estrictos).
Tailnet. Su red privada virtual. Todos los dispositivos autenticados en su cuenta forman parte de ella.
Servicios locales. Para acceder a un servicio en el servidor (por ejemplo web en 80), el cliente se conecta a la IP de Tailscale + puerto, como si estuvieran en la misma LAN.
Dispositivo cliente (PC, teléfono móvil, etc.) desde donde se accederá instalando Tailscale (disponible para Windows, macOS, FreeBSD, iOS, Android, Linux).
Firewall en FreeBSD. Si usa PF (Packet Filter), asegurarse de que permita tráfico saliente (por defecto lo hace). No necesita reglas entrantes especiales para Tailscale, ya que utiliza la interfaz tailscale0.
pkg install tailscale
Esto instala tailscaled (el demonio) y tailscale (la CLI). Dependencias como Wireguard se instalan automáticamente.
sysrc tailscaled_enable="YES"
service tailscaled start
service tailscaled status
tailscale up
Esto genera un URL de autenticación (ej. https://login.tailscale.com/a/65831eb3ddff0). Copiar y pegar en un navegador en cualquier dispositivo. Iniciar sesión con su cuenta de Tailscale para aprobar el dispositivo. Una vez aprobado, el comando completará y el servidor se unirá a su tailnet.
tailscale logout tailscale up --hostname=tornado
tailscale status 100.115.10.68 tormenta nombreusuario@ freebsd
Se muestra el servidor con una IP de Tailscale y estado online
ifconfig tailscale0 tailscale0: flags=1008043< <UP,BROADCAST,RUNNING,MULTICAST,LOWER_UP> metric 0 mtu 1280 options=4080000< <LINKSTATE,MEXTPG> inet 100.115.10.68 netmask 0xffffffff broadcast 100.115.10.68 inet6 fd7a:115c:a1e0::cd01:687 prefixlen 48 groups: tun nd6 options=101 <PERFORMNUD,NO_DAD> Opened by PID 27732
You are about to connect the device tormenta to the nombreususario@gmail.com tailnet. Public key nodekey:af18fa705771d20c28856057767cafc... Hostname tormenta Operating system freebsd (14.3-RELEASE-p7) Tailscale version 1.94.1 tormenta 100.115.10.68
No es necesario configurar nada extra en su router o firewall.
Por defecto, Tailscale permite acceso a cualquer puerto en la IP de Tailscale del servidor, siempre que el servicio escuche en 0.0.0.0 o la interfaz tailscale0
Ejemplo para un servidor web (por ejemplo, Nginx en el puerto 80) se configura para escuchar en 0.0.0.0:80
---
server {
listen 8000; #poudriere
server_name localhost;
root /usr/local/share/poudriere/html;
location /data {
alias /usr/local/poudriere/data/logs/bulk;
autoindex on;
}
location /packages {
root /usr/local/poudriere/data;
autoindex on;
}
location / {
index index.html index.htm;
}
# redirect server error pages to the static page /50x.html
#
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /usr/local/www/nginx-dist;
}
}
# Servidor web principal en el puerto 80
server {
listen 0.0.0.0:80; #nginx
server_name localhost;
root /usr/local/www/nginx;
index index.html index.htm;
# Paginas de error para el servidor principal
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /usr/local/www/nginx-dist;
}
}
}
---
Si se quiere acceder a toda la subred local (otros dispositivos en la red 192.168.88.0/24), se tiene que habilitar subnet routes:
tailscale up --advertise-routes=192.168.88.0/24. Posteriormenta se aprueba en el
admin console.
Usar ACLs (Access Control Lists) en el admin console para restringir accesos (por ejemplo, solo ciertos usuarios pueden acceder al servidor).
Habilitar MagicDNS. En el admin console, ir a DNS > Enable MagicDNS. Para usar nombre como fsb143 en lugar de IPs.
Para headless (sin interacción): Usar pre-auth keys
Instalar Tailscale en el dispositivo Ejecutar tailscale up y autenticar con el mismo URL/login utilizado para el servidor
(unirse al mismo tailnet)
Web: abrir http://100.115.10.68:80 (reemplazar con la IP de Tailscale del servidor
obtenida de tailscale status). Bienvenido al servidor FreeBSD nginx! Si ve esta pagina, el servidor web nginx se instalo correctamente y funciona
correctamente. Se requiere configuracion adicional. Para obtener documentacion y soporte en linea, consulte nginx.org. Gracias por usar nginx.
