Runbooks en orden reciente. Por tema: Temas.
docker save -o app.tar app:v1; k3s ctr images import app.tar en cada nodo; imagePullPolicy: Never. Para varios nodos, /var/lib/rancher/k3s/agent/images/ o –embedded-registry. Limpieza: k3s crictl rmi –prune.
Sin header no hay datos, con o sin passphrase: respáldalo fuera del disco y vuelve a respaldarlo tras cada cambio de llave, porque el backup viejo conserva las llaves viejas.
Primero pvs/vgs/lvs -a: ¿falta un PV o falló el thin pool? vgchange -ay –activationmode degraded para RAID de LVM; partial solo para copiar datos en solo lectura; lvconvert –repair para thin pools; vgcfgrestore si los metadatos están rotos.
–add mete el disco como spare; –grow –raid-devices=N arranca el reshape (horas). Backup-file fuera del array, no toques nada hasta que /proc/mdstat termine, y al final resize2fs o xfs_growfs.
pfctl -sT lista tablas; pfctl -t -T show|add|delete|test|flush|replace -f. En pfSense los aliases son tablas, sshguard es el bloqueo por login fallido y los cambios a mano se van con la siguiente recarga de reglas.
Con vtnet, FreeBSD descarta paquetes con checksum sin calcular. Marca Disable hardware checksum offload y reinicia la VM aunque la GUI no lo pida; hasta entonces no fluye el tráfico.
El tráfico LAN → IP pública no sale por la WAN, muere en el firewall. Split DNS (host override → IP interna) es lo limpio; Pure NAT + automatic outbound NAT for reflection cuando el DNS no es tuyo.
Token de Cloudflare con Zone:Read + DNS:Edit sobre la zona, método DNS-Cloudflare con Token/Account ID/Zone ID, staging primero, y en el certificado una acción ‘Restart Local Service: haproxy’ para que HAProxy recargue el cert nuevo.
pkg-static no depende de libssl y sigue funcionando. certctl rehash, pkg-static install -fy pkg, pkg-static install -xfy pfSense-repo pfSense-upgrade, y después la actualización por System > Update, nunca con pkg upgrade.
Edita la CRL en System > Certificates > Certificate Revocation, pon Lifetime 730 y guarda: se regenera con fechas válidas. En versiones viejas, antes aplica el parche ‘Fix for CRL expiration lifetime’ con System Patches.