(Borrador — biografía corta pendiente.)

Contacto

• Email personal: me [at] inetshell [dot] mx
• Email profesional: me [at] inet [dot] sh
• GPG/PGP: TBD

Redes Sociales

Los iconos debajo enlazan a las mismas cuentas.

• Kubernetes
• Linux
• AWS
• GCP

1

nc -v 10.1.1.1 1433

En Windows no hay nc de serie. El equivalente más cercano en PowerShell es probar si el puerto TCP acepta conexión:

1

Test-NetConnection -ComputerName 10.1.1.1 -Port 1433

Alias corto:

1

tnc 10.1.1.1 -Port 1433

Qué mirar

TcpTestSucceeded:

Más detalle, al estilo nc -v:

1

Test-NetConnection -ComputerName 10.1.1.1 -Port 1433 -InformationLevel Detailed

Solo el puerto, sin ping

Test-NetConnection también hace ICMP por defecto. Si solo quieres el TCP:

1
2

Test-NetConnection -ComputerName 10.254.3.2 -Port 1433 -WarningAction SilentlyContinue |
  Select-Object ComputerName, RemoteAddress, RemotePort, TcpTestSucceeded

PowerShell muy viejo

Si Test-NetConnection no existe, el cliente TCP de .NET:

1
2
3
4
5
6
7
8
9

$tcp = New-Object System.Net.Sockets.TcpClient
try {
    $tcp.Connect("10.254.3.2", 1433)
    Write-Host "Conectado a 10.254.3.2:1433"
} catch {
    Write-Host "Fallo: $($_.Exception.Message)"
} finally {
    $tcp.Close()
}

El destino (/datadrive aquí) tiene que existir y estar montado antes. Root o sudo.

1
2
3

sudo systemctl stop k3s
sudo systemctl stop k3s-agent   # solo si este nodo es agent
sudo /usr/local/bin/k3s-killall.sh

1
2
3

sudo mv /run/k3s/ /datadrive/k3s/
sudo mv /var/lib/kubelet/pods/ /datadrive/k3s-pods/
sudo mv /var/lib/rancher/ /datadrive/k3s-rancher/

1
2
3

sudo ln -s /datadrive/k3s/ /run/k3s
sudo ln -s /datadrive/k3s-pods/ /var/lib/kubelet/pods
sudo ln -s /datadrive/k3s-rancher/ /var/lib/rancher

1
2

sudo systemctl start k3s
sudo systemctl start k3s-agent   # solo en agents

1
2

kubectl get nodes
kubectl get pods -A

Qué se mueve

Ahí vive el estado de trabajo: containerd, manifests, pods. Un mv a medias o un start con las rutas vacías rompe el cluster.

Trampas

/run es tmpfs. Tras un reboot el symlink /run/k3s desaparece. Recréalo en un unit After=local-fs.target o no muevas /run/k3s y deja el runtime en RAM.

k3s-agent no existe en un server-only. systemctl stop k3s-agent falla; no es un error de la migración.

Crea el padre de los destinos (mkdir -p /datadrive) y confirma el mount (findmnt /datadrive) antes del mv. Un mv a un path que no está montado deja los datos en el disco viejo con otro nombre.

containerd y kubelet a veces no quieren symlink. Si el node no vuelve Ready, cambia a bind mount en /etc/fstab:

1

/datadrive/k3s-rancher  /var/lib/rancher  none  bind  0  0

Alternativa más limpia: --data-dir

El path “oficial” de k3s es --data-dir (/var/lib/rancher/k3s por defecto). En un nodo nuevo, instala con el data-dir ya en el disco grande. En uno existente, el mv + symlink (o bind) de /var/lib/rancher es el atajo; no reescribas el unit a ciegas a mitad de un cluster.

Guía que documenta este mv + symlink: How to Move K3s Data to a New Location.

El efecto práctico: ya no puedes “abrir Internet Explorer y listo”. IE 8 habla TLS 1.0 (a lo sumo 1.2 con hacks frágiles). Google Chrome dejó de soportar XP/Vista hace años; los instaladores actuales ni arrancan. Mozilla Firefox también abandonó XP (el último canal usable fue ESR antiguo). Los sitios bancarios, GitHub, paneles cloud y casi cualquier SaaS exigen TLS 1.2+ y HTTP/2 o Chromium reciente. El resultado en un ProLiant o un lab con 2003: el navegador muestra certificados inválidos, páginas en blanco o “esta página no se puede mostrar”.

Si aún tienes que operar un host legacy (firmware, SCADA, licencia de software, laboratorio), necesitas un navegador moderno que compile para Win32 viejo. La opción que funciona en lab: Supermium.

Qué es Supermium

Es un fork de Chromium mantenido para Windows XP SP3, Server 2003 SP2, Vista, 7, 8.x y versiones nuevas. Se comporta como un drop-in de Chrome (extensiones, chrome://flags, sandbox) pero sigue empaquetando builds 32-bit con SSE2 para CPUs de esa época.

Requisitos oficiales (resumen):

• Windows XP SP3 o Server 2003 SP2 (o posterior)
• CPU con SSE2 (Pentium 4 en adelante; dual-core recomendado)
• ≥ 768 MB RAM (2 GB+ para que no se sienta a pedales)

Descargas: win32subsystem.live/supermium — instaladores 32-bit y 64-bit.

Instalación rápida

1. En una máquina con Internet moderno, descarga el Setup 32-bit (casi todo XP/2003 de lab es x86) o 64-bit si el OS es x64.
2. Copia el instalador al host legacy (USB, SMB, iLO virtual media).
3. Instala como administrador. Acepta el UAC/legacy prompts.
4. Abre Supermium y prueba https://example.com y el sitio que realmente necesitas.

Si el instalador no corre: confirma SP3/SP2, SSE2 (coreinfo / ficha de CPU) y que no estés en un Windows 2000 / XP RTM sin service pack.

Extensiones y privacidad

A diferencia de Chrome actual, Supermium no tiene fecha de muerte para Manifest V2. Puedes sideloadear uBlock Origin desde GitHub y seguir bloqueando anuncios en un OS que ya no debería tocar la red pública.

También arrastra flags estilo ungoogled-chromium y opciones de UI (Aero, tabs clásicos). Útil; no confíes en eso como “hardening” del sistema operativo.

Advertencias (léelas)

• El OS sigue sin parches. Un navegador nuevo no arregla SMB1, RDP viejo ni vulnerabilidades de kernel. Usa el host solo en VLAN aislada, VPN, o jump host; no lo expongas a Internet.
• Supermium reduce el riesgo de sitios rotos por TLS; no convierte a XP/2003 en un sistema seguro.
• Descarga el binario desde el sitio oficial. Un “Chrome para XP” de un foro random es un vector clásico de malware.
• Para trabajo real, el objetivo sigue siendo migrar (VM nueva, contenedor, o saltar el servicio a un OS soportado). Esto es un puente, no una estrategia.

Cuándo tiene sentido

• Entrar al iLO / iDRAC / panel web de un appliance que solo documentaste en un 2003 de lab.
• Bajar un driver o EULA desde un portal que rechaza IE8.
• Demostrar un fallo de compatibilidad sin levantar una VM Windows 10 solo para un click.

Descarga y docs: Supermium.

Si necesitas ssh user@2003-box desde un jump host moderno (scripts, scp, Ansible legacy, copiar logs sin RDP), instala un SSH server de terceros. En lab uso Bitvise SSH Server; 7.x es la línea validada en Server 2003.

Bitvise sigue listando XP SP3 y Server 2003 en su matriz de compatibilidad. Para un host sin parches desde 2015, quédate con un instalador probado en tu imagen (7.x si ya lo validaste) o prueba el current solo en un clon — no en producción a ciegas.

Por qué no otras opciones

Instalación (resumen)

1. En una máquina con Internet moderno, descarga el instalador desde bitvise.com/ssh-server-download (o el paquete 7.x que guardaste en el lab).
2. Verifica la firma digital del .exe (Properties → Digital Signatures → Bitvise).
3. Copia el instalador al 2003 (USB, SMB, iLO virtual media). No lo bajes con IE8 desde un mirror random.
4. Ejecuta el instalador como Administrador.
5. Reinicia cuando el propio Bitvise lo pida (recomendado tras el primer install, sobre todo si vas a usar auth por llave).
6. Abre Bitvise SSH Server Control Panel, arranca el servicio si no está en Automatic.

Guía oficial de install: Installing Bitvise SSH Server.

Config mínima que no debes saltarte

• Cuentas: permite solo el/los usuarios Windows que necesitas (o cuentas virtuales de Bitvise). No dejes “everyone with a local account”.
• Puerto: 22 por defecto. Si el host está en una VLAN de management, déjalo; si no, cambia el puerto y restringe por firewall / ACL de switch.
• Firewall de Windows 2003: abre TCP/22 (o el puerto que elegiste) para la red de management únicamente.
• Auth por llave: importa la pubkey del jump host; desactiva password auth cuando ya funcione la llave.
• SFTP root: monta solo el path que necesitas (p. ej. D:\logs), no C:\.

Desde el cliente:

1
2
3

ssh Administrador@192.168.x.x
# o el usuario que habilitaste
scp archivo.log Administrador@192.168.x.x:D:/logs/

OpenSSH del cliente moderno habla bien con Bitvise; no hace falta el cliente Bitvise salvo que quieras su GUI.

Seguridad (contexto legacy)

El servidor sigue sin parches de Microsoft. Abrir SSH mejora la operativa; aumenta la superficie de red si el puerto es alcanzable desde más que el jump host.

• VLAN / firewall: solo la IP del bastion.
• No expongas el 2003 a Internet “porque ya tiene SSH”.
• Licencia: Personal Edition es free no comercial; Standard es evaluación / pago. Respeta eso en lab vs trabajo.
• Objetivo real: migrar el workload. SSH es el puente para sacar datos y apagar el caja.

Relacionado

Para abrir un portal HTTPS desde el mismo host (IE8 ya no sirve): navegador moderno en XP/2003 con Supermium.

Docs y descarga: Bitvise SSH Server.

Temas

• ZFS — pools, snapshots, cifrado, send/recv
• HP iLO — CLI, firmware, licencia
• Proxmox — plantillas cloud-init y VMs
• Windows — legacy XP/2003, disco, SSH
• k3s — cluster ligero, data-dir, migración de discos

Tags

Si buscas por palabra clave suelta (extensión, herramienta, síntoma): todos los tags.

1
2

du -xh --max-depth=1 / | sort -h
# o ncdu /

En Windows no hay un du decente en la caja. Explorer → Properties es lento y opaco. La herramienta que uso en lab y en escritorios: WinDirStat — free, open source, treemap interactivo.

Piensa en du con esteroides: escanea un drive o una carpeta y te muestra dónde está el espacio, no solo cuántos GB.

Qué hace (más allá de sumar bytes)

El sitio del proyecto documenta scan multithread, scan NTFS directo cuando aplica, dark mode e integración con Explorer.

Uso rápido

1. Descarga el instalador (o portable) desde windirstat.net / GitHub releases del proyecto.
2. Ejecuta como Administrador si vas a escanear C:\ entero (permisos en Windows, perfiles de otros usuarios, etc.).
3. Elige el volumen o una carpeta concreta (D:\VMs, C:\Users\…\AppData).
4. Espera el scan. En discos grandes tarda; no es du sobre un tmpfs.
5. En el treemap, haz zoom en el bloque gordo. Abre la carpeta en Explorer o borra desde la UI solo si sabes lo que es.

Cuándo usarlo

• Disco “lleno” y no sabes si es Downloads, hibernación, pagefile, ISOs o snapshots de VM.
• Comparar antes/después de limpiar un perfil o un share.
• Enseñar a alguien no-CLI qué está ocupando espacio (el treemap vende solo).

Qué no es

• No sustituye du/ncdu en Linux o en un NAS por SSH.
• No es un limpiador mágico: borrar System Volume Information, WinSxS o bases de datos “porque son grandes” rompe el host.
• Un scan de todo C:\ en un file server con millones de archivos puede tardar mucho; acota la raíz.

Equivalente mental

Descarga y docs: https://windirstat.net/.

1. Sirve el .bin por HTTP

El iLO descarga el firmware; no se lo empujas por SCP. Un python3 -m http.server en la red de management basta, o nginx. El archivo es el ilo*.bin oficial de HPE.

2. Entra y carga

1
2
3
4

ssh -c aes256-cbc Administrator@<ilo-ip>
show /map1/firmware1
cd /map1/firmware1
load -source http://<http-server>/ilofirmware.bin

-c aes256-cbc es el truco en iLO 2/3: OpenSSH moderno rechaza los ciphers del iLO si no se los pides.

show /map1/firmware1 imprime la versión actual antes de tocar nada. Guárdala.

Qué esperar

• El load tarda minutos. No cortes la sesión.
• El iLO se reinicia solo. El host no se apaga (el firmware vive en el BMC).
• Si el HTTP no es alcanzable desde la NIC del iLO, load falla con un error opaco: prueba oemhp_ping al servidor HTTP.

Después del reboot, show /map1/firmware1 otra vez y confirma el version string.

Referencia: Upgrade HP iLO via SSH.

Ver también: comandos CLI de iLO.

Guías útiles: Ars native encryption, ZFS encrypted backups.

Crear

1
2

zfs create -o encryption=on -o keyformat=passphrase -o keylocation=prompt tank/encrypted
zfs create tank/encrypted/child1

child1 hereda cifrado. No pongas encryption=off en un hijo: OpenZFS no permite “agujero” sin cifrar bajo un padre cifrado.

Keyfile en vez de prompt:

1
2

zfs create -o encryption=on -o keyformat=passphrase \
  -o keylocation=file:///root/zfs.key tank/encrypted

El archivo de la key no va en el dataset cifrado. USB, TPM o un path en otro pool.

Cargar la key al boot

1
2

zfs load-key tank/encrypted
zfs mount tank/encrypted

Sin load-key, el dataset existe y zfs list lo muestra, pero no monta.

Recibir un dataset claro como cifrado

En el primer recv, puedes fijar propiedades de cifrado:

1
2
3

zfs send tank/test@snap1 \
  | zfs recv -o encryption=on -o keyformat=passphrase \
      -o keylocation=file:///path/to/keyfile tank/encrypted

Eso es un receive sin -w. -w (raw) copia el wrapping key del origen: solo aplica si el origen ya estaba cifrado. Detalle en send de dataset sin cifrar a cifrado.

Rotar passphrase (OpenZFS)

En Solaris el comando era zfs key -c. En OpenZFS / Linux / TrueNAS:

1
2

zfs change-key tank/encrypted
zfs get keyformat,keylocation,keystatus tank/encrypted

Keyfile nueva:

1

zfs change-key -o keylocation=file:///media/stick/key tank/encrypted

rekey de wrapping key (no re-cifra todos los bloques; rota la key que envuelve las master keys) es zfs change-key -i según versión — lee zfs change-key de tu man page antes de usarlo en producción.

Ver también: hold de snapshots, backups fuera del host.

Incremental a otro host (el comando que uso)

1
2

zfs send -w -R -v -i vol1/secure/backups@initial vol1/secure/backups@new \
  | ssh root@10.0.0.1 zfs recv -s vol1/secure/backups

Pon un hold en @initial y @new mientras corre el send, o el prune te rompe la cadena.

El primer full (sin -i) es obligatorio una vez:

1
2

zfs send -w -R -v vol1/secure/backups@initial \
  | ssh root@10.0.0.1 zfs recv -s vol1/secure/backups

Aterrizar en S3

Mismo stream, otro lado del pipe:

1
2
3

zfs send -w -R vol1/secure/backups@new \
  | gzip -1 \
  | aws s3 cp - s3://mi-bucket/zfs/backups@new.zfs.gz

Restaurar:

1
2
3

aws s3 cp s3://mi-bucket/zfs/backups@new.zfs.gz - \
  | gunzip \
  | zfs recv -s vol1/secure/backups

Esto no es un sync de archivos. Es un blob opaco: o recuperas el stream entero (o el incremental encima del full), o no recuperas nada. Versiona los nombres @initial, @new y no borres el full.

Para incrementales en S3, herramientas como z3 llevan el catálogo de qué snapshot ya subió. Un aws s3 cp - crudo no sabe de eso.

-w en S3 es correcto si el dataset ya está cifrado: Amazon no ve plaintext. Si el origen no está cifrado, o cifras en recv (artículo) o cifras el objeto (KMS / cliente) — el stream en claro en un bucket es un backup en claro.

Ver también: cifrado nativo.

Hilo: Import/convert/export RAW images to ZFS volume.

Snapshot y dd

Si la VM está encendida, congela el disco con un snapshot y lee el snap (el ZVOL @snap aparece bajo /dev/zvol/…):

1
2
3

zfs snapshot rpool/data/vm-101-disk-0@export
dd if=/dev/zvol/rpool/data/vm-101-disk-0@export of=/mnt/backup/vm-101.raw bs=1M status=progress
zfs destroy rpool/data/vm-101-disk-0@export

VM apagada, puedes leer el zvol vivo:

1

dd if=/dev/zvol/rpool/data/vm-101-disk-0 of=/mnt/backup/vm-101.raw bs=1M status=progress

bs=1M (o 1m en dd GNU) importa: el default de 512 B es eterno.

qemu-img (qcow2 / vmdk)

1

qemu-img convert -p -f raw -O qcow2 /mnt/backup/vm-101.raw /mnt/backup/vm-101.qcow2

O directo desde el zvol:

1

qemu-img convert -p -f raw -O qcow2 /dev/zvol/rpool/data/vm-101-disk-0 vm-101.qcow2

El otro sentido (RAW → ZVOL)

1
2

zfs create -s -V 32G rpool/data/vm-101-disk-0
dd if=file.raw of=/dev/zvol/rpool/data/vm-101-disk-0 bs=1M status=progress

-s = sparse. El RAW no puede ser más grande que el zvol.

Ver también: comandos básicos.

Conectarte

1

ssh Administrator@<ilo-ip>

En firmware viejo a veces hace falta un cipher débil:

1

ssh -c aes256-cbc Administrator@<ilo-ip>

Cuentas

Crear un usuario con grupos típicos de admin (el iLO se puede resetear después de cambios de red; las cuentas no):

1

create /map1/accounts1 username=ops password='<password>' group=admin,config,oemhp_vm,oemhp_rc,oemhp_power

Cambiar el password de Administrator (hazlo en el primer boot; hpinvent / Administrator es el default de HP):

1

set /map1/accounts1/Administrator password='<nuevo-password>'

Red (el iLO se reinicia)

1
2
3

set map1/dhcpendpt1 EnabledState=no
set map1/enetport1/lanendpt1/ipendpt1 IPv4Address=192.168.1.213 SubnetMask=255.255.255.0
set map1/enetport1 SystemName=merlin

Tras cada set de red, espera a que el iLO vuelva y reconecta SSH a la IP nueva.

Montar un ISO por HTTP y boot una vez

El ISO tiene que ser HTTP alcanzable desde el iLO, no desde tu laptop.

1
2
3

set /map1/oemhp_vm1/cddr1 oemhp_image=http://10.254.0.50/ssp2017.iso
set /map1/oemhp_vm1/cddr1 oemhp_boot=Once
show /map1/oemhp_vm1/cddr1

Power

1
2
3
4

show /system1
start /system1
stop /system1
reset /system1

Ping desde el iLO

Útil para ver si el iLO ve la red de management:

1

oemhp_ping /map1 10.1.1.50

Manual

La referencia de HP para este árbol CLP: iLO scripting and command line.

Ver también: actualizar firmware por SSH, leer la licencia.

Ver qué hay

1

zpool import

Lista pools importables con su nombre (VOL1 en el ejemplo) y si están FAULTED / UNAVAIL.

Importar

1

zpool import -f VOL1

-f = “sé que puede estar importado en otro host”. Es el caso típico después de un crash: ZFS cree que el otro lado todavía lo tiene.

Si -f no basta porque las últimas txgs quedaron a medias:

1

zpool import -F VOL1

-F rebobina a un txg anterior consistente. Puedes perder los segundos de writes del apagón. Es preferible a un pool que no monta.

-n simula:

1

zpool import -F -n VOL1

Después: scrub

1
2

zpool scrub VOL1
zpool status VOL1

El scrub confirma que el rewind no dejó checksum errors. Déjalo terminar antes de borrar snapshots “por si acaso”.

Qué no hacer

• zpool create sobre los mismos sdX destruye las etiquetas.
• -F no es el primer recurso: prueba -f primero.
• Si el pool es raíz (rpool / bpool de Proxmox), importa desde un live USB, no desde el sistema que no arranca.

Ver también: reemplazar discos, comandos básicos.

El endpoint

1

curl -sk "https://<ilo-ip>/xmldata?item=CpqKey"

En el navegador: https://<ilo-ip>/xmldata?item=CpqKey.

La respuesta es XML con el producto y la key (o el estado unlicensed). No es Redfish; es el interfaz xmldata de iLO, el mismo que usan los scripts viejos de HP SIM.

Notas

• -k porque el certificado del iLO casi nunca es de un CA público.
• Algunos iLO sirven esto en HTTP (http://<ilo-ip>/xmldata?item=CpqKey) si HTTPS ya no negocia.
• Trata la key como secreto. No la subas a git ni a un paste.
• Leerla no activa nada: solo lee lo que ya está grabado en el BMC. Para aplicar otra key sigue siendo license en CLP o la UI.

Ver también: comandos CLI.

Probado en Proxmox 8.0.4. El flujo es el de este gist (fork del de zidenis). Las URLs de Fedora 38 / Ubuntu 23.04 envejecen: cambia el wget por el cloud image actual de la distro.

1. Bajar el image

En el nodo, como root, en un storage con espacio (NFS, local, lo que uses):

1
2
3
4
5
6

export IMAGES_PATH="/mnt/pve/nfs-data/images/"
cd "${IMAGES_PATH}"

wget https://repo.almalinux.org/almalinux/9/cloud/x86_64/images/AlmaLinux-9-GenericCloud-latest.x86_64.qcow2
wget https://repo.almalinux.org/almalinux/9/cloud/x86_64/images/CHECKSUM -O SHA256SUMS
sha256sum -c SHA256SUMS --ignore-missing

Otras distros (descomenta la que toque):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

# Amazon Linux 2 — https://cdn.amazonlinux.com/os-images/latest/
# wget https://cdn.amazonlinux.com/os-images/2.0.20230727.0/kvm/amzn2-kvm-2.0.20230727.0-x86_64.xfs.gpt.qcow2

# CentOS Stream 9
# wget https://cloud.centos.org/centos/9-stream/x86_64/images/CentOS-Stream-GenericCloud-9-latest.x86_64.qcow2

# Fedora (ajusta la versión)
# wget https://download.fedoraproject.org/pub/fedora/linux/releases/38/Cloud/x86_64/images/Fedora-Cloud-Base-38-1.6.x86_64.qcow2

# Oracle Linux 9 — el .qcow no es qcow2; conviértelo
# wget https://yum.oracle.com/templates/OracleLinux/OL9/u2/x86_64/OL9U2_x86_64-kvm-b197.qcow
# qemu-img convert -O qcow2 -o compat=0.10 OL9U2_x86_64-kvm-b197.qcow OL9U2_x86_64-kvm-b197.qcow2

# RHEL 9 — hace falta login en access.redhat.com

# Rocky 9
# wget https://dl.rockylinux.org/pub/rocky/9/images/x86_64/Rocky-9-GenericCloud-Base.latest.x86_64.qcow2

# Ubuntu cloudimg
# wget https://cloud-images.ubuntu.com/noble/current/noble-server-cloudimg-amd64.img

2. Variables de la VM y de cloud-init

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

export QEMU_CPU_MODEL="host"
export VM_CPU_SOCKETS=1
export VM_CPU_CORES=2
export VM_MEMORY=4098
export VM_RESOURCE_POOL="CustomResourcePool"

export CLOUD_INIT_USER="user"
export CLOUD_INIT_SSHKEY="/home/user/.ssh/id_rsa.pub"
export CLOUD_INIT_IP="dhcp"
export CLOUD_INIT_NAMESERVER="1.1.1.1"
export CLOUD_INIT_SEARCHDOMAIN="example.com"

export TEMPLATE_ID=1001
export VM_NAME="alma9"
export VM_DISK_IMAGE="${IMAGES_PATH}/AlmaLinux-9-GenericCloud-latest.x86_64.qcow2"

--cpu host pasa las flags de la CPU del nodo (mejor rendimiento; el template no es portable a otro CPU vendor sin rehacer). VM_MEMORY=4098 es el valor del gist; 4096 también vale.

El usuario de cloud-init no es root. La llave tiene que ser el .pub que vas a usar desde tu laptop.

3. Crear la VM base e importar el disco

Cambia local-lvm y vmbr0 por tu storage y bridge reales.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

qm create ${TEMPLATE_ID} --name ${VM_NAME} --cpu ${QEMU_CPU_MODEL} \
  --sockets ${VM_CPU_SOCKETS} --cores ${VM_CPU_CORES} --memory ${VM_MEMORY} \
  --numa 1 --net0 virtio,bridge=vmbr0 --ostype l26 --agent 1 \
  --pool ${VM_RESOURCE_POOL} --scsihw virtio-scsi-single

qm set ${TEMPLATE_ID} --scsi0 local-lvm:0,import-from=${VM_DISK_IMAGE}
qm set ${TEMPLATE_ID} --ide2 local-lvm:cloudinit --boot order=scsi0
qm set ${TEMPLATE_ID} --ipconfig0 ip=${CLOUD_INIT_IP} \
  --nameserver ${CLOUD_INIT_NAMESERVER} --searchdomain ${CLOUD_INIT_SEARCHDOMAIN}
qm set ${TEMPLATE_ID} --ciupgrade 1 --ciuser ${CLOUD_INIT_USER} --sshkeys ${CLOUD_INIT_SSHKEY}
qm cloudinit update ${TEMPLATE_ID}

--agent 1 pide qemu-guest-agent. Alma/Rocky/Fedora lo traen o cloud-init lo instala (ciupgrade). Amazon Linux 2 y algunos Ubuntu cloudimg no muestran la IP en la GUI de Proxmox hasta que instalas el agent a mano.

4. Convertir a template

1
2

qm set ${TEMPLATE_ID} --name "${VM_NAME}-Template"
qm template ${TEMPLATE_ID}

A partir de aquí esa VM no se arranca: se clona.

5. Clonar y arrancar

1
2
3

export VM_ID=$(pvesh get /cluster/nextid)
qm clone ${TEMPLATE_ID} ${VM_ID} --name ${VM_NAME}
qm start ${VM_ID}

SSH con la llave privada pareja del .pub que metiste en cloud-init:

1

ssh user@192.168.0.123 -i ~/.ssh/id_rsa

Si no ves la IP en Proxmox: consola serial, o ip neigh en el bridge, o DHCP leases del router.

Fuente: gist inetshell/f1d0206d5319c11062845901e4f3d06b.

Sirve para la snapshot desde la que estás haciendo zfs send, o para la que es el único rollback conocido después de un upgrade.

Poner el hold

1

zfs hold keep tank/home/cindys@snap1

Recursivo en todo un árbol (primero snapshot, luego hold):

1
2

zfs snapshot -r tank/home@now
zfs hold -r keep tank/home@now

El tag (keep) es libre, pero único por snapshot. Puedes tener keep y offsite a la vez en el mismo @now.

Qué ves al destruir

1
2

zfs destroy tank/home/cindys@snap1
# cannot destroy 'tank/home/cindys@snap1': dataset is busy

Eso es el hold, no un dataset montado. zfs destroy -d marca el snapshot para borrar cuando no queden holds (diferido), no lo ignora.

Listar

1
2

zfs holds tank/home@now
zfs holds -r tank/home@now

1
2
3

NAME                  TAG   TIMESTAMP
tank/home@now         keep  Thu Jul 15 11:25:39 2010
tank/home/cindys@now  keep  Thu Jul 15 11:25:39 2010

Soltar y entonces sí destruir

1
2

zfs release -r keep tank/home@now
zfs destroy -r tank/home@now

Si un send largo sigue corriendo, espera a que termine: el hold está precisamente para que el prune no te coma el cursor incremental.

Docs de Oracle (el mecanismo es el mismo en OpenZFS): Holding ZFS snapshots.

Ver también: send a dataset cifrado.

Estado

1

zpool status vol1

Ejemplo: el miembro muerto aparece como GUID:

1

1894156996840098641  OFFLINE

Eso pasa cuando el kernel ya no tiene /dev/sdX para ese disco (lo arrancaste, se fue, o cambió de letra).

Replace

1

zpool replace -f vol1 1894156996840098641 /dev/disk/by-id/ata-NEWDISK

-f fuerza si ZFS todavía “recuerda” el disco viejo. El destino debe ser al menos del mismo tamaño (mejor, by-id, no sde).

Si el disco nuevo es el mismo slot y ZFS lo ve:

1

zpool replace vol1 /dev/disk/by-id/ata-OLDDISK /dev/disk/by-id/ata-NEWDISK

o, autodetect del recambio en el mismo sitio:

1

zpool replace vol1 /dev/disk/by-id/ata-OLDDISK

Esperar el resilver

1
2

zpool status vol1
watch -n 5 zpool status vol1

No apagues el host, no exportes el pool, no hagas otro replace en el mismo vdev hasta resilvered. En RAIDZ1 estás un disco abajo: un segundo fallo en ese periodo es pérdida.

Después

1
2

zpool detach vol1 1894156996840098641   # solo si quedó como spare/old y status lo pide
zpool labelclear /dev/sdOLD             # si reusas el disco viejo en otra máquina

Ver también: import después de apagón.

Hilo de origen: r/zfs.

Comando

1
2
3
4
5
6

zfs snapshot tank/test@snap1
zfs send tank/test@snap1 \
  | zfs recv -o encryption=on \
      -o keyformat=passphrase \
      -o keylocation=file:///path/to/keyfile \
      tank/encrypted

Notas que rompen el send si se omiten:

1. No uses -w. Raw send reproduce el estado de cifrado del origen. Origen en claro → destino en claro, y los -o encryption=… se ignoran o fallan.
2. Pon el nombre del dataset destino (tank/encrypted). Un recv sin destino no crea el dataset.
3. Passphrase vs file: keylocation=prompt no funciona bien al otro lado de un pipe no interactivo. Keyfile o keylocation=file://.
4. Los incrementales siguientes (-i) heredan el cifrado. No vuelvas a pasar -o encryption=on.

Comprobar

1
2

zfs get encryption,keystatus,keyformat tank/encrypted
zfs load-key tank/encrypted   # si keystatus=unavailable

El otro sentido

Cifrado → cifrado con la misma wrapping key: zfs send -w. Cifrado → otro key wrapping: send sin -w (ZFS descifra al enviar; el recv vuelve a cifrar). Eso exige load-key en el origen y es más lento.

Ver también: cifrado nativo.

Pool

1
2
3
4
5
6

zpool create vol1 raidz sda sdb sdc
zpool status vol1
zpool export vol1
zpool import -f vol1
zpool destroy tank          # irreversible
zpool labelclear ada0       # limpia etiquetas ZFS de un disco suelto

raidz aquí es RAIDZ1 (una paridad). Para dos: raidz2. Identifica discos por /dev/disk/by-id/…, no por sdX que se reordenan.

Mountpoint

1
2
3

zfs unmount vol1
zfs set mountpoint=/mnt/vol1 vol1
zfs mount vol1

L2ARC (cache) y SLOG (ZIL)

1
2
3
4

zpool add vol1 cache <disk-id>
zpool add vol1 log <disk-id>
zpool add vol1 log mirror <disk-id-a> <disk-id-b>
zpool remove vol1 <device>

Cache = lecturas calientes. Log = sync writes (NFS, VMs). Un SLOG USB “rápido” es peor que no tener SLOG: si muere a mitad de un txg, duele. Espeja el log.

Compression

1
2
3

zfs set compression=lz4 newvol
zfs set compression=off newvol
zfs get compressratio newvol

lz4 es el default razonable en OpenZFS moderno. zstd comprime más y cuesta CPU. La propiedad se hereda a datasets hijos que no la pisen.

Ver también

• Importar después de un apagón
• Reemplazar discos
• Cifrado nativo