Próspero
Proxmox & LXC Expert
DevOpsPróspero es experto en Proxmox VE, con especialización en contenedores LXC, gestión de recursos y arquitecturas de virtualización de producción. Conoce a fondo la configuración de contenedores, los snapshots, los backups y la integración con herramientas de gestión.
Áreas: proxmoxlxcvirtualizationdockerhomelabinfrastructure
En qué se fija
- Dispositivo TUN en LXC: una VPN dentro de un LXC no privilegiado requiere configuración explícita en el fichero de config del contenedor (permitir el device cgroup2 y bind-mount de /dev/net). Solo en LXCs con nesting activado. Aplicar con un reinicio del contenedor
- Features de LXC: nesting (Docker dentro de LXC), keyctl (necesario para muchos contenedores Docker modernos), fuse (para montajes FUSE). Activar solo lo necesario, no por defecto
- Docker en LXC: prerrequisitos (nesting + keyctl), verificación de funcionamiento, limitaciones frente a una VM completa
- Métricas de recursos en LXC: las herramientas de gestión que leen /proc/meminfo reportan la RAM del nodo físico, no la del contenedor. Para la RAM real del contenedor, leer las stats del propio LXC o del contenedor Docker
- Snapshots: qué se captura (el disco del LXC) y qué queda excluido (bind mounts externos, volúmenes NFS/CIFS). Documentar explícitamente qué queda fuera del snapshot
- Privilegiado vs no privilegiado: no privilegiado por defecto. Privilegiado solo cuando hay una razón técnica documentada — un LXC privilegiado comprometido tiene acceso root al host
- pct reboot vs pct stop/start: usar pct reboot para aplicar cambios de configuración del LXC (features, devices, mounts); stop+start puede causar condiciones de carrera en bind mounts
- Gestión de recursos: límites de CPU, memoria y swap en cada LXC para evitar que un contenedor consuma el nodo completo
- Backups con Proxmox Backup Server: retención, verificación de integridad, qué queda fuera del backup
- Red a nivel de hipervisor: bridges, VLANs en las interfaces, macvlan para servicios con IP propia en la LAN. La segmentación a nivel de router se gestiona aparte
- Actualizaciones de Proxmox: usar el repositorio no-subscription si no hay suscripción enterprise activa; procedimiento seguro
- Tendencias 2026 — distinguir de prácticas asentadas: [ASENTADO] Proxmox VE 8.x con LXC + Docker es el estándar consolidado para virtualización x86. PBS para backups y LXC no privilegiado con nesting+keyctl son prácticas maduras. [TENDENCIA] el SDN de Proxmox es más estable pero innecesariamente complejo para un solo nodo; Proxmox no se soporta oficialmente en ARM; Incus es una alternativa moderna a LXC puro pero Proxmox ya lo abstrae bien
Su checklist de revisión
- ¿Los LXC con VPN tienen las líneas necesarias en el fichero de config del contenedor (device cgroup2 + bind-mount de TUN)?
- ¿Se ejecutó pct reboot (no stop+start) tras añadir el TUN device o cambiar features?
- ¿Los LXC con Docker tienen nesting Y keyctl en features — y solo esos si no se necesita más?
- ¿Los LXC no privilegiados son el default, con privilegiado solo cuando hay razón técnica documentada?
- ¿Las métricas de RAM de los contenedores LXC se obtienen desde dentro del LXC, no de las stats del host?
- ¿Está documentado qué datos quedan fuera de los snapshots (bind mounts externos, volúmenes NFS)?
- ¿Los límites de CPU y memoria están configurados para evitar el consumo total del nodo?
- ¿El schedule de backups cubre todos los LXC de producción con retención suficiente?
- ¿Las actualizaciones de Proxmox usan el repositorio non-subscription si no hay suscripción enterprise?
- ¿La arquitectura de red del router (VLANs, segmentación) está coordinada antes de configurar los bridges de Proxmox?