# ATA 844 Podman, IPs reales y La Liga

Episodio de [Atareao con Linux](https://escuchario.semeescucha.es/podcast/atareao-con-linux), de atareao.

- Publicado: 29 de octubre de 2026
- Duración: 25 min
- Temporada 9, episodio 844
- Audio: https://anchor.fm/s/5a5b39c/podcast/play/128308065/https%3A%2F%2Fd3ctxlq1ktw2nl.cloudfront.net%2Fstaging%2F2026-9-28%2F659b42d9-ee74-62ba-973e-709c50155fc9.mp3
- Página: https://escuchario.semeescucha.es/podcast/atareao-con-linux/episodio/147001814-ata-844-podman-ips-reales-y-la-liga

## Sobre este episodio

Hoy te cuento una historia que empieza bien y acaba dándote un susto. Llevo tiempo moviendo atareao.es a contenedores y ha ido por fases. En casa ya solo tengo Podman rootless, sin demonio y sin pedirle permiso a root para nada. En el servidor donde vive atareao.es, en cambio, seguía con Docker en modo root y con demonio. Dos filosofías distintas. Cuanto menos permisos tenga un contenedor, mejor. Si algo se escapa de uno montado como root, el destrozo puede ser de aúpa. Así que me pasé a rootless, aunque tuviera que repensar medio montaje. Y aquí llega lo que me da rabia. Hace un par de años atareao.es se caía, se disparaba el consumo de CPU y se venía abajo. Sin mirar un log, sin una gráfica, sin una prueba desde fuera, decidí que el problema era del proveedor y me lo llevé a otro. Ya con los datos delante descubrí que el culpable estaba dentro: Redis , que hoy es Valkey . En el servidor monto un Traefik delante y detrás WordPress, MariaDB, Valkey, Umami y OpenGist. Uso Umami por una razón concreta: no pone cookies, no recoge datos personales y no sigue al visitante entre sitios. Que no necesite banner de consentimiento ya es bastante. Pero había un agujero que no veía. Fue Víctor quien me lo puso delante: con Podman rootless la visita llega al contenedor, sí, pero con la IP de origen cambiada por el camino. Sin IP real, Umami no sabe ni de qué país viene quien te lee. Lo apañé poniendo Cloudflare delante y fiándome de su cabecera. Fantástico, hasta que un sábado por la tarde dejó de funcionar. Perdí un par de horas hasta que lo entendí: no era rootless, ni Traefik, ni nada de mi montaje. Era un bloqueo por rangos enteros de IP , de los que dejan media internet sin servicio. Así que me quité el apaño y puse un HAProxy en bare metal en el 443 para mandar todo a Traefik rootless en un puerto alto. Ni puertos privilegiados, ni setcap , ni iptables: la IP real de vuelta y las redes aisladas. Si te toca, esto es lo que puedes hacer. Guarda el dominio, el operador, la hora y el error. Mide con dig , con mtr y con OONI Probe , publica lo que sale y denuncia. Solo así se da la vuelta. Y quédate con una idea: casi nunca falla lo que crees, falla lo que no mides. Capítulos 00:00 - De Docker a Podman: el planteamiento 02:34 - Dos mundos: Podman rootless en casa y Docker root en el servidor 04:34 - atareao.es se caía y culpé a Contabo sin medir 05:23 - El culpable estaba dentro: Redis y Valkey 06:59 - Traefik, WordPress y Umami: cómo monto la infraestructura 09:35 - Víctor me abre los ojos: las IPs reales no llegan 11:56 - Rootless y la IP de origen: el parche de Cloudflare 14:08 - La Liga bloquea rangos de IP: qué puedes hacer 16:19 - HAProxy al 443 y Traefik bajando al 8443 19:13 - Sin setcap ni iptables: por qué Traefik sigue en contenedor 22:13 - Cierre: casi nunca falla lo que crees, falla lo que no mides Más información y enlaces en las notas del episodio 🌐 Aquí lo puedes encontrar todo 👉 https://atareao.es ✈️ Telegram 👉 https://t.me/atareao_con_linux 🦣 Mastodon 👉 https://mastodon.social/@atareao 🐦 Twitter 👉 https://twitter.com/atareao 🐙 GitHub 👉 https://github.com/atareao

Anterior: [ATA 843 ¿Cómo se le da memoria a una IA?](https://escuchario.semeescucha.es/podcast/atareao-con-linux/episodio/146967730-ata-843-como-se-le-da-memoria-a-una-ia)

## Últimos episodios de Atareao con Linux

- [ATA 843 ¿Cómo se le da memoria a una IA?](https://escuchario.semeescucha.es/podcast/atareao-con-linux/episodio/146967730-ata-843-como-se-le-da-memoria-a-una-ia) · 26 de octubre de 2026 · 27 min
- [ATA 842 ffmpeg, afina el oído de tu IA](https://escuchario.semeescucha.es/podcast/atareao-con-linux/episodio/83980015-ata-842-ffmpeg-afina-el-oido-de-tu-ia) · 22 de octubre de 2026 · 21 min
- [ATA 841 GraphRAG, tus notas por fin responden (y sin inventarse nada)](https://escuchario.semeescucha.es/podcast/atareao-con-linux/episodio/26469275-ata-841-graphrag-tus-notas-por-fin-responden-y-sin-inventarse-nada) · 19 de octubre de 2026 · 23 min
- [ATA 840 sqlite-utils, tu navaja suiza para SQLite](https://escuchario.semeescucha.es/podcast/atareao-con-linux/episodio/2404578-ata-840-sqlite-utils-tu-navaja-suiza-para-sqlite) · 15 de octubre de 2026 · 27 min
- [ATA839 Convierte 6000 notas en un cerebro conectado](https://escuchario.semeescucha.es/podcast/atareao-con-linux/episodio/2237853-ata839-convierte-6000-notas-en-un-cerebro-conectado) · 12 de octubre de 2026 · 29 min