Aloja un sitio web anónimamente desde casa con Raspberry Pi

Ejecutar un sitio público desde un Raspberry Pi en tu red doméstica puede revelar mucho más que una IP. Esta configuración reduce esa exposición de forma práctica:

• Oculta la IP de casa tras un nodo de salida VPN para que nadie pueda relacionar el tráfico del Raspberry Pi con tu ubicación.
• Elimina el reenvío de puertos entrantes porque tu Raspberry Pi solo mantiene conexiones salientes con Cloudflare Tunnel.
• Deja que Cloudflare gestione TLS, caché y absorción de DDoS mientras el origen en Raspberry Pi permanece privado.
• Mantén el bajo coste y la flexibilidad del autoalojamiento en Raspberry Pi sin alquilar un servidor externo.

Este diseño de Raspberry Pi usa una única ruta saliente y zonas de confianza claras para que tu origen nunca sea accesible públicamente:

1. Los visitantes resuelven tu dominio en DNS de Cloudflare y terminan HTTPS en el edge de Cloudflare.
2. Tu Raspberry Pi ejecuta cloudflared, que mantiene un túnel solo saliente hacia Cloudflare.
3. El Raspberry Pi fuerza el tráfico del túnel a través de una interfaz VPN para que Cloudflare solo vea la IP de salida VPN.
4. El servidor web en Raspberry Pi responde y las respuestas vuelven por la VPN y el borde de Cloudflare.

Como el Raspberry Pi solo realiza conexiones salientes, tu router no expone puertos abiertos a internet, reduciendo drásticamente la superficie de ataque en casa.

Reúne el hardware y las cuentas siguientes antes de convertir tu Raspberry Pi en un servidor web privado en casa con Cloudflare Tunnel:

• Una Raspberry Pi 4 o superior con al menos 4 GB de RAM, alimentación fiable y una microSD o SSD de alta resistencia.
• Raspberry Pi OS Lite con SSH activado y endurecimiento básico aplicado.
• Una cuenta de Cloudflare con tu dominio gestionado en DNS de Cloudflare.
• Acceso al panel de Cloudflare Zero Trust para crear túneles y políticas.
• Un proveedor de VPN sin registros que soporte archivos de configuración WireGuard o OpenVPN.
• Opcional: un proxy inverso como Nginx, Caddy o Traefik para enrutamiento y cabeceras.

Kit de inicio Raspberry Pi recomendado

Selección de equipo

Kit de inicio Raspberry Pi 4

Un kit compacto con placa, fuente de alimentación y almacenamiento te ayuda a poner en marcha rápido el hosting anónimo.

Comprar en Amazon

Si necesitas una VPN centrada en la privacidad, proveedores auditados como Proton VPN o NordVPN soportan WireGuard en Raspberry Pi y ofrecen controles de kill switch.

Fortalece el sistema base del Raspberry Pi para que se mantenga estable incluso cuando el sitio sea accesible públicamente vía Cloudflare:

1. Actualiza el sistema operativo con sudo apt update y sudo apt full-upgrade, luego reinicia.
2. Crea un usuario sin privilegios root con sudo y desactiva el acceso SSH por contraseña.
3. Activa las actualizaciones automáticas para que los parches de seguridad se instalen solos.
4. Aplica reglas de firewall que solo permitan el tráfico saliente necesario para la VPN y Cloudflare.
5. Endurece SSH con acceso solo por clave y activa fail2ban o CrowdSec para frenar ataques de fuerza bruta.
6. Ejecuta tu stack web en Raspberry Pi bajo systemd para que los servicios se reinicien automáticamente tras fallos.

A continuación, asegúrate de que el túnel del Raspberry Pi solo accede a internet mediante una ruta VPN cifrada:

1. Genera perfiles WireGuard o OpenVPN desde tu proveedor VPN. WireGuard suele ser más rápido en Raspberry Pi.
2. Importa la configuración. Para WireGuard, colócala en /etc/wireguard/wg0.conf.
3. Inicia la VPN y configura la interfaz VPN como ruta predeterminada para el tráfico saliente del Raspberry Pi.
4. Activa el inicio automático al arrancar usando systemd networkd o NetworkManager.
5. Implementa un kill switch con iptables o nftables para que cloudflared no pueda conectarse sin la VPN.
6. Confirma la IP de salida con curl https://ifconfig.me para asegurarte de que Cloudflare solo verá la dirección VPN.

Con la VPN activa, crea un túnel Cloudflare en el Raspberry Pi que haga proxy de las solicitudes HTTPS al servidor web local.

1. Instala cloudflared desde el repositorio oficial o usa el binario independiente.
2. Autentícate con cloudflared tunnel login para conectar tu cuenta.
3. Crea un túnel con nombre como cloudflared tunnel create anonymous-site y anota el UUID.
4. Escribe /etc/cloudflared/config.yml con reglas de ingreso que asignan tu nombre de host al servicio web que se ejecuta en el Raspberry Pi.
5. Forza el túnel a usar la ruta VPN manteniendo la ruta predeterminada en la interfaz VPN y aplicando las reglas del kill switch.
6. Crea un servicio systemd para que el túnel arranque al iniciar y se reinicie tras fallos.
7. Crea el registro DNS de Cloudflare (CNAME) que apunte tu nombre de host al UUID del túnel bajo cfargotunnel.com.

Después, los visitantes acceden al sitio a través de Cloudflare mientras el origen en Raspberry Pi permanece privado e inaccesible por escaneos directos.

Consulta la documentación oficial de Cloudflare Tunnel para una guía más detallada de políticas.

Defensas en capas mantienen el alojamiento en Raspberry Pi resistente incluso si un control falla:

• Protege rutas sensibles usando políticas Cloudflare Zero Trust o tokens de servicio.
• Activa reglas WAF, protección contra bots y limitación de tasa para reducir abusos.
• Usa certificados de origen limitados al túnel y aplica HTTPS de extremo a extremo.
• Ejecuta fail2ban o CrowdSec en la Pi para bloquear intentos repetidos de autenticación.
• Separa contenido público de paneles de administración y protege herramientas privadas con Cloudflare Access.
• Envía logs sanitizados a un colector remoto vía VPN para minimizar la exposición de metadatos.

Supervisa cada capa del Raspberry Pi para evitar que fallos provoquen fugas accidentales de la IP de origen:

• Ejecuta cloudflared tunnel info para confirmar que el conector está operativo.
• Consulta DNS con dig +short y verifica que resuelve a IPs del edge de Cloudflare.
• Revisa la interfaz VPN con wg show o openvpn --status para confirmar que el cifrado está activo.
• Controla CPU, memoria, salud del disco y ancho de banda del Raspberry Pi con Netdata, Prometheus Node Exporter o Grafana Agent.
• Programa comprobaciones de disponibilidad para recibir alertas rápidas si el túnel o la VPN caen.
• Revisa analíticas de Cloudflare para detectar picos, bloqueos y patrones que sugieran sondeos.

Un sitio web alojado en un Raspberry Pi puede posicionarse bien si la entrega es rápida y constante:

• Activa caché y funciones de rendimiento de Cloudflare para que los recursos carguen rápido globalmente.
• Usa Brotli y HTTP/3 para reducir la latencia entre visitantes y el edge de Cloudflare.
• Descarga los recursos estáticos a Cloudflare Workers o Pages mientras mantienes la lógica dinámica en el Raspberry Pi.
• Añade datos estructurados JSON-LD para mejorar la elegibilidad de resultados enriquecidos donde sea relevante.
• Automatiza despliegues a través del túnel para evitar exponer puertos de gestión.
• Supervisa Core Web Vitals con analíticas respetuosas con la privacidad y corrige regresiones pronto.

Separando la entrega del origen en Raspberry Pi, obtienes rendimiento global sin sacrificar la privacidad.

Profundiza con estos recursos de privacidad y seguridad: