Seguridad

Red ZeroTier Infra-mesh — el perímetro principal

Todo el tráfico de monitoreo (métricas, logs, OTLP) viaja dentro de la red ZeroTier dedicada Infra-mesh, separada de otras redes. Los agentes y el LXC central se conectan por su IP de Infra-mesh, nunca por IP pública.

graph LR
    subgraph Internet ["Internet (no usamos esto para monitoreo)"]
        style Internet fill:#ffcccc,stroke:#cc0000
        X[❌ tráfico OTLP público]
    end

    subgraph ZT ["ZeroTier Infra-mesh (cifrada, privada)"]
        style ZT fill:#ccffcc,stroke:#009900
        A1[Servidor remoto 1] -->|OTLP :4317| C[Central]
        A2[Servidor remoto 2] -->|OTLP :4317| C
        A3[Servidor remoto N] -->|OTLP :4317| C
    end

Beneficios de usar ZeroTier: - El puerto 4317 (OTLP) del central no necesita estar abierto a internet - La comunicación está cifrada extremo a extremo por ZeroTier - Para agregar un servidor nuevo al monitoreo, primero tiene que unirse a la red ZeroTier

Configurar ZeroTier en un servidor nuevo

# Instalar ZeroTier
curl -s https://install.zerotier.com | sudo bash

# Unirse a Infra-mesh (pedir el NETWORK_ID de Infra-mesh a Pablo)
sudo zerotier-cli join <NETWORK_ID>

# Ver la IP asignada
zerotier-cli listnetworks

Después de unirse, el servidor aparece en el panel de ZeroTier y un admin tiene que autorizar el nodo. Una vez autorizado, ya tiene conectividad con el central y se puede instalar el agente.

Firewall en el servidor central

El puerto OTLP (4317) solo tiene que ser accesible desde la interfaz ZeroTier (zt0 o similar), no desde internet:

# Ver el nombre de la interfaz ZeroTier
ip link show | grep zt

# Permitir OTLP solo desde la red ZeroTier (ajustar la IP de red según la configuración)
ufw allow in on zt0 to any port 4317 proto tcp

# La UI (8080) puede limitarse a ZeroTier; el acceso público va por Cloudflare/TLS aparte
ufw allow in on zt0 to any port 8080 proto tcp

# Denegar 4317 desde otras interfaces
ufw deny 4317/tcp

Bindings de los agentes

Los servicios del agente escuchan solo en localhost — no exponen puertos al exterior:

ufw deny 9100/tcp

Arreglar bindings incorrectos en agentes ya instalados

Si un agente fue instalado con 0.0.0.0 en el health_check o en el puerto de métricas internas, existe un script para corregirlo en masa sin ir servidor por servidor. Ver Mantenimiento → Corregir binding 0.0.0.0.

Resumen de puertos expuestos

Servidor central

Servidores remotos (agentes)