Le Panthéon de la Souveraineté

Infraestructura cloud modular, redundante y 100% soberana para liberarse de los GAFAM. Guías técnicas, arquitectura Zero-Trust y cifrado interno (DoT/DoH).

Este proyecto nace de una necesidad de soberanía total y sigue una evolución iterativa:

• Contexto: Una infraestructura alojada principalmente en Suiza (Infomaniak), cuyos datos se replican de forma cifrada en dos sitios secundarios en Alemania y Finlandia (Hetzner). Ningún dato descansa en un solo sitio.
• v1.0 (Cimientos): Definición de la Red Privada y del Firewall Perimetral (HS-01 y HS-02). Base adquirida. Los servidores se comunican por red privada, pero sus consultas de resolución (DNS) aún pueden transitar en claro.
• v1.1 (Actual - Soberanía de los Servidores): Integración nativa del DoT (DNS-over-TLS). A partir de ahora, cada servidor (como VULCAIN) cifra sus propias consultas DNS (actualizaciones, resolución de servicios) hacia la base AEGIS. Ningún servidor habla ya en claro con el DNS, ni siquiera en red privada.
• En Reflexión (mTLS): Estudio de un endurecimiento mayor mediante mTLS (Mutual TLS) para autenticar los servicios entre sí. Esta vía aún está en estudio y no tiene todavía número de versión asignado.

2. Perfil del Autor y Transparencia

No soy un profesional de TI titulado. Este proyecto es fruto de una pasión por la administración de sistemas, construida con autoformación durante los últimos 5 años.

• Riesgo de error: Aunque me apoyo escrupulosamente en las documentaciones oficiales, no estoy exento de errores de comprensión o interpretación.
• Asistencia por IA (Dualidad EURIA y PROMÉTHÉE):
  • Actualmente: EURIA (Infomaniak) se encarga tanto de la redacción de la documentación como de la asistencia técnica para los comandos y la arquitectura.
  • Futuro (Proyecto PROMÉTHÉE): Una IA local dedicada tomará el relevo en los aspectos puramente técnicos y la automatización sensible, mientras que Euria se centrará en la documentación y la metodología.
  • Nota: Cada comando se verifica humanamente.
• Postura Ética: Abandono inmediato de cualquier herramienta cuya política de privacidad sea dudosa.

3. Estado del Proyecto y Advertencia

Este proyecto está en fase de construcción activa (v1.1).

• Documentación: Las guías se redactan a medida que se realiza el despliegue real.
• Estado de los servicios:
  • HS-01 (Red Privada): 🚧 FINALIZACIÓN (D-4). La red ya está operativa en producción; la guía escrita llega en menos de 96h.
  • HS-02 (Firewall): ✅ VALIDADO. Matriz de reglas v1.1 corregida (DNS cerrado en entrada, ICMP saliente bloqueado).
  • HS-03 (Imagen Gold): ✅ VALIDADO. Listo para la creación del snapshot de referencia.
  • VULCAIN: En proceso de despliegue (Prioridad n.º 1). Se configurará para utilizar el DoT hacia AEGIS.
  • AEGIS: Arquitectura DoT/DoH definida, lista para el despliegue.
  • Backups (ARK): Arquitectura multi-DC (Suiza, Alemania, Finlandia) validada en las especificaciones, en proceso de despliegue.
• 🛑 ADVERTENCIA: No despliegue nada en producción sin haber validado cada paso en un entorno de prueba.

4. Limitación de Responsabilidad

Proyecto educativo y personal. La seguridad de sus datos y la estrategia de backup son de su entera responsabilidad.

📜 Filosofía y Objetivos

Demostrar que es posible construir una infraestructura redundante, cifrada de extremo a extremo e independiente.

Los 3 Pilares Fundamentales (v1.1):

1. Soberanía y Redundancia: Alojamiento principal en Suiza (Infomaniak) con replicación de los backups en Alemania y Finlandia (Hetzner).
2. Security by Design (Cifrado de los Servidores):
   • Actual (v1.1): Los propios servidores cifran sus consultas DNS mediante el protocolo DoT (DNS-over-TLS) hacia AEGIS.
   • Regla de Flujo: Todo flujo saliente no esencial está estrictamente bloqueado por el firewall O filtrado a nivel de DNS.
   • Futuro (Reflexión mTLS): Posible implementación de una autenticación mutua mediante certificados.
3. Orden Lógico de Despliegue: Red Privada → Puerta de Entrada (VULCAIN) → Base DNS (AEGIS) → Servicios de Negocio.

🤝 Los Terceros de Confianza Asumidos

🗺️ Arquitectura del Proyecto (Las 12 Deidades)

🔍 Enfoque Evolución: Del DoT al mTLS

• Versión 1.1 (DoT): Cada servidor cifra sus consultas DNS hacia AEGIS.
• Reflexión Futura (mTLS): Autenticación mutua mediante certificados para un Zero-Trust total.

🧩 Filosofía "Lego": Modularidad y Universalidad

• 🏗️ Especiales (Específico Cloud): Las guías de base (Red, Firewall, Imagen) están diseñadas específicamente para el Cloud Público.
• 🌍 Universalidad de las Deidades: Una vez que la base está en su lugar, las guías de instalación son compatibles con Cloud Público, VPS y Local.

El orden de construcción (v1.1):

1. Base de Red (HS-01): Los cimientos invisibles (¡por fin en su lugar!).
2. Firewall (HS-02): Los muros y la puerta blindada.
3. Imagen Gold (HS-03): El molde del sistema seguro.
4. Servicios: Desplegados y conectados.

🤡 Nota del autor sobre la reordenación: Quizá hayan notado que el "Especial #1" tardó en llegar mientras que el "#2" ya estaba allí. No, no es una falla de seguridad, es una funcionalidad experimental llamada "Despliegue por la ventana". Como buen arquitecto apasionado, empecé pintando las persianas (Firewall) y eligiendo los muebles (Imagen Gold) antes de verter los cimientos (Red). Es la evidencia misma la que suele ser invisible... hasta que uno se da cuenta de que no se pueden levantar los muros. 🤦‍♂️ Tranquilos: ¡la red ya estaba montada entre bastidores! La guía HS-01 llega solo para explicar cómo vertí esos cimientos que había puesto en piloto automático.

📚 Documentación y Guías de Despliegue

🗂️ Estructura de la Documentación

La documentación está organizada en la carpeta docs/:

• 📂 00_HORS-SERIES : Guías transversales específicas del Cloud Público.

  • ⏳ Próximamente: HS-01: Constitución de la Red Privada (¡Los verdaderos cimientos!)
  • ✅ Disponible: HS-02: El Firewall Perimetral (Los muros de la fortaleza)
  • ✅ Disponible: HS-03: Creación de la Imagen Gold Debian (El molde del sistema)

  🔄 Nota sobre el "Cruce" de los Especiales: ¿Quizá han notado que los números cambiaron? Es normal (¡y asumido!). Inicialmente, el Firewall era el HS-01 y la Red el HS-02 (olvidado). Nos dimos cuenta de que es difícil filtrar una red que todavía no existe. ¡🤦‍♂️ Por lo tanto, procedimos a una reorganización completa para respetar el orden lógico de despliegue: 1. Red (HS-01) → 2. Firewall (HS-02) → 3. Imagen (HS-03). Si seguían la antigua numeración, ¡nuestras disculpas! Ya está corregido y es coherente.

• 📂 01_DIVINITES : Guías de despliegue específicas (Compatibles con Cloud, VPS y Local).

• 📂 99_COMMUN : Recursos compartidos.

🚀 ¿Por dónde empezar? (Quick Start)

1. Lea este README para comprender la arquitectura v1.1.
2. Despliegue la base de seguridad (¡En orden!):
   • 📄 Especial #1: La Red Privada (Los cimientos).
   • 📄 Especial #2: El Firewall Perimetral (La seguridad).
   • 📄 Especial #3: La Imagen Gold Debian (El sistema).
3. Esté atento a las próximas publicaciones:
   • 🔥 Guía VULCAIN – En redacción.
   • 🛡️ Guía AEGIS – Próximamente.

💡 Consejo: Marque con una estrella (⭐) este repositorio para recibir notificaciones de las actualizaciones.

💰 Modelo Económico y Alojamiento

• Proveedor Principal: Infomaniak (Suiza).

• Proveedor Secundario (Backup): Hetzner (Alemania y Finlandia).

• Redundancia: 3 datacenters distintos. Backups cifrados (AES-256).

• Coste Objetivo: 200€~300€/mes.

• Apoyo al proyecto:

  • ☁️ Infomaniak Public Cloud
  • 🖥️ Infomaniak VPS
  • 📧 kSuite (que incluye kDrive y Euria)
  • ℹ️ Sitio Oficial de Infomaniak

🚀 Roadmap (v1.1 - Construcción)

• Fase 0: Concepción y Herramientas
• Reorganización de los Especiales – Corrección del orden lógico (Red → Firewall → Imagen).
• Publicación de HS-02 y HS-03 – Firewall e Imagen Gold.
• Publicación de HS-01 – Red Privada (Los cimientos que faltaban).
• Fase 1: VULCAIN – Despliegue del Proxy.
• Fase 2: AEGIS – Despliegue de la base DNS.
• Fase 3: ARK y Datos – Backups multi-DC.
• Reflexión mTLS – Estudio de implementación.

🤝 Contribuir y Licencia

Licencias:

• Contenido (Guías): CC BY-SA 4.0
• Software citado: Cada deidad respeta la licencia de su software constitutivo.

"La soberanía digital no es un producto que se compra, es una arquitectura que se construye. A veces, hay que mover los ladrillos para que el edificio se mantenga en pie."