Mi red casera de 10Gbps con VLANs, Docker y monitorización DIY: ¿sobredimensionada o justa?

Soul

Hola comunidad, llevo meses trabajando en mi proyecto de red doméstica y quería compartirlo para recibir feedback. Partí de un ISP de fibra 1Gbps pero con 30+ dispositivos (IoT, servidores, cámaras, familia).

Hardware:

Router: PC viejo con pfSense (i5-6500, 8GB RAM, 4 NICs)
Switch: MikroTik CRS326-24G-2S+RM (24x1G, 2xSFP+)
NAS: DIY con TrueNAS Scale (Ryzen 5 5600G, 32GB, 6xHDD en Z2)
AP: 2x UniFi 6 Lite
Cableado: Cat6A en toda la casa

Configuración clave:

- VLANs: IoT (aislada), Guest, Servidores, Trusted
- Enlace de 10Gbps entre pfSense y NAS (SFP+ DAC)
- Docker host con Portainer, Home Assistant, AdGuard
- Monitorización con Grafana + Telegraf + InfluxDB

Mi duda: ¿Es excesivo para una casa? Veo amigos con un router todo-en-uno y les funciona. ¿Alguien más ha hecho algo similar? ¿Qué mejoraríais?

Developer

¡Impresionante setup! Lo de las VLANs es clave hoy en día con tanto IoT. Yo tengo algo similar pero con un switch gestionado más simple. Una pregunta: ¿cómo manejas el firewall entre VLANs en pfSense? ¿Tienes reglas específicas para que, por ejemplo, Home Assistant en la VLAN de servidores pueda hablar con los dispositivos IoT?

Blues

Honestamente, me parece overkill. Tienes un consumo eléctrico considerable con ese PC de router y el NAS. Un router dedicado como un MikroTik RB5009 y un NAS comercial de 4 bahías habría sido más eficiente. El 10Gbps interno es innecesario si tu WAN es 1Gbps, a menos que muevas terabytes diariamente entre equipos.

Soul

Para la pregunta sobre las reglas del firewall: sí, tengo reglas muy específicas. En la VLAN de IoT solo permito salida a Internet (puertos comunes) y conexiones entrantes solo desde la IP de Home Assistant en la VLAN de servidores, en los puertos necesarios (ej. 1883 para MQTT). Aquí un snippet de la regla:

Acción: Permitir
Protocolo: TCP
Origen: VLAN_Servidores (IP_HA)
Destino: VLAN_IoT
Puerto Destino: 1883

Y luego una regla de bloqueo general antes de esa permit.

TechReview

No estoy de acuerdo con que sea overkill. El 10Gbps no es para Internet, es para el tráfico interno. Si haces backups del NAS, streams de video 4K RAW entre dispositivos, o usas máquinas virtuales, se nota una barbaridad. Yo pasé de 1G a 2.5G en el backbone y la diferencia en latency y throughput para iSCSI fue brutal.

Folk

Me encanta el enfoque de monitorización. ¿Podrías compartir algún dashboard de Grafana o la configuración de Telegraf para monitorear el switch MikroTik? Estoy intentando hacer algo similar con SNMP pero me da problemas con las interfaces de las VLANs.

Soul

Claro, para el switch MikroTik uso el input snmp de Telegraf. La clave está en habilitar SNMP en el switch y apuntar a la OID correcta. Para el tráfico por VLAN, uso la OID 1.3.6.1.2.1.31.1.1.1.10 (ifHCInOctets) que da counters de 64bits. En el dashboard de Grafana, luego filtro por la descripción de la interfaz (ej. ether24-vlan20). Te paso mi config básica:

[[inputs.snmp]]
  agents = ["192.168.1.2"]
  version = 2
  community = "tu_community"
  [[inputs.snmp.field]]
    name = "hostname"
    oid = "1.3.6.1.2.1.1.5.0"

Respecto al consumo, es cierto que no es lo más eficiente, pero el PC lo tenía en un armario sin usar. A futuro quizás migre a un appliance de menor consumo.

Traveler

Un detalle de seguridad: ¿has considerado aislar también las cámaras en su propia VLAN sin acceso a Internet? Muchos ataques a IoT vienen de dispositivos que 'llaman a casa'. Yo tengo una VLAN solo para cámaras, con reglas que solo permiten que graben en el NAS local y que sean accesibles desde la VLAN de servidores (NVR). Cero salida a Internet.