Guía de administración de LGM-OS

43 min · 18 apartados

Este documento es el manual del día a día: cubre de principio a fin lo que se hace desde el panel. Cuando un tema necesita más detalle del que cabe aquí, tiene guía propia:

Índice completo de la documentación: index.md.

Los primeros diez minutos

Este es el camino completo desde que enciendes el equipo hasta tener el NAS haciendo algo útil. Está pensado para hacerse seguido, en orden, y cada paso dice por qué importa —los que se saltan por no entenderlos son justo los que se echan de menos el día malo—.

1. Entrar (1 min)

Abre https://<ip-del-nas>:5001. La IP la enseña la propia consola del equipo al arrancar.

El certificado es autofirmado y el navegador avisa: es normal en una máquina de tu casa —acéptalo—. Si te molesta, se sustituye por uno de verdad más adelante (ver Acceso desde internet).

El asistente de primer acceso te pide crear el administrador: nombre en minúsculas y contraseña de al menos 8 caracteres. No hay usuario ni contraseña de fábrica, así que nadie puede entrar antes que tú.

2. Preparar los discos (2 min)

Almacenamiento → Crear pool. Solo te ofrece discos que se pueden usar: el del sistema nunca aparece, y uno con datos dentro se marca para que no lo formatees sin querer.

• Un solo disco: sirve, pero no protege de nada. Vale para empezar.
• Dos o más: elige espejo. Si uno muere, no se pierde nada y se cambia desde el panel. Es la diferencia entre un susto y una pérdida.
• Btrfs o ZFS: Btrfs si no tienes claro cuál (es el que menos memoria pide); ZFS si vas a poner mucha RAM y quieres lo máximo en integridad.

Al terminar, el NAS crea solo las carpetas del sistema (docker, vm) y tres compartidas: Galeria para las fotos, Musica para las canciones y Peliculas para la videoteca.

3. Una carpeta y una cuenta por persona (3 min)

Panel de Control → Carpetas compartidas → «Crear». Ponle un nombre corto y sin tildes (viaja a Windows, a Mac y al móvil).

Panel de Control → Usuarios → una cuenta por persona, no una compartida. Es lo que permite dar permisos distintos, ver quién ha entrado y quitarle el acceso a uno solo sin cambiarle la contraseña a toda la casa.

En cada carpeta, el interruptor SMB la publica en la red. Desde Windows se abre con \\<ip-del-nas>; desde un Mac, con Cmd+K → smb://<ip-del-nas>.

4. La copia de seguridad (3 min)

Este es el paso que nadie hace y todo el mundo lamenta. Un NAS con espejo protege de que se rompa un disco; no protege de un borrado por error, de un ransomware ni de que se incendie la casa. Para eso hace falta una copia FUERA.

Copias de seguridad → «Nueva» → elige qué carpetas y a dónde (un disco USB, otro equipo por SSH o tu nube). Guía completa: Copias de seguridad.

Y lo único que no es opcional: restaura un archivo cualquiera para comprobar que la copia sirve. Una copia sin restaurar no es una copia, es una carpeta grande.

5. Cerrar la puerta (1 min)

• Panel de Control → Seguridad → activa la verificación en dos pasos.
• Panel de Control → Firewall → actívalo. El panel y SSH quedan siempre permitidos, así que no puedes quedarte fuera.
• Panel de control → Alertas → configura el correo o el webhook y pulsa «Enviar prueba». Sin esto, el NAS no tiene forma de avisarte de que un disco está fallando.

Y ya está

A partir de aquí, lo demás se añade cuando haga falta: aplicaciones, cámaras, acceso desde fuera o VPN. El resto de esta guía es la referencia, tema por tema.

Almacenamiento

• Crear pool: Almacenamiento → «Crear pool». El asistente solo ofrece discos elegibles (nunca el disco del sistema). ZFS para máxima integridad (RAID-Z1/Z2), Btrfs para flexibilidad (RAID1/10). Formatear destruye los datos de los discos.
• Datasets: subdivisiones con cuota y compresión propias (pestaña Datasets).
• Snapshots: pestaña Snapshots para manuales; Panel de control → Tareas programadas para automáticos con retención. La restauración ZFS usa rollback (elimina snapshots posteriores); la de Btrfs crea una copia escribible restaurado-<fecha> para revisar antes.
• Salud: pestaña Salud muestra SMART y permite lanzar scrubs. Programa un scrub mensual con una tarea. Un disco con SMART «FALLANDO» debe sustituirse ya: en «Discos de los pools» de esa misma pestaña se reemplaza el disco averiado por el nuevo (y se amplía el pool con discos adicionales) sin bajar a la consola.

Copias de seguridad

Snapshots y RAID viven dentro del equipo: no protegen de un incendio, un robo ni de un ransomware. Para eso está la app Copias de seguridad, que saca los datos del NAS.

• Destinos: local (un disco USB conectado al NAS u otro pool) o remoto por **rsync sobre SSH** (otro NAS o servidor: casa de un familiar, la oficina, un VPS). El NAS genera su propia clave SSH y basta con autorizar la parte pública en el equipo de destino. Cada destino se prueba escribiendo de verdad en él antes de confiarle nada. El panel lista además S3 como no disponible, con el motivo: subir a S3 exige firmar cada petición desde el proceso privilegiado, y ese proceso solo ejecuta binarios de la allowlist. Está declarado en el contrato de la API para no romperlo el día que se implemente, pero hoy la API rechaza un destino S3 en lugar de fingir que funciona.
• Tareas: carpetas de origen, destino, horario y cuántas versiones (o cuántos días) se conservan. Cada copia es incremental: solo viaja lo que cambió, y las versiones anteriores se mantienen completas mediante enlaces duros (rsync --link-dest), así que ocupan poco. Corren con progreso como el resto de tareas largas y avisan por las alertas si fallan (configura Panel de control → Alertas: una copia que falla en silencio no es una copia). El cifrado del destino todavía no está disponible y la API lo rechaza explícitamente: si el destino es un disco que sale de casa, cífralo tú en el equipo de destino (LUKS) o guárdalo en un sitio de confianza.
• Restauración desde la propia app: eliges la versión y la carpeta de destino. El historial guarda cada ejecución con su tamaño y su error exacto.

Qué copiar, cada cuánto, cómo autorizar la clave paso a paso y —lo más importante— cómo comprobar que la copia sirve restaurándola de verdad: backups.md.

Compartición de archivos

Las carpetas se comparten desde Carpetas compartidas, y los distintivos SMB y NFS de cada una se pulsan para encender o apagar ese protocolo sin abrir el editor.

El NAS aparece solo en la red. Con SMB encendido no hay que saberse la IP ni configurar nada en los equipos: sale en «Red» de Windows, en la barra lateral del Finder de macOS y en el explorador de archivos de Linux. Compartir y anunciarse son cosas distintas, y por eso el cortafuegos abre cinco puertos, no dos:

Los tres últimos solo anuncian que este equipo existe; no dan acceso a nada. Se abren y se cierran con el interruptor de SMB, así que apagarlo los retira todos.

Sobre el protocolo: se negocia el más alto que admitan las dos partes, y con Windows 10/11, macOS y Linux modernos eso es SMB 3.1.1 con cifrado. El mínimo se deja en SMB2 a propósito, para no dejar fuera a un televisor o a un escáner que solo hablen esa versión.

Quién ve qué

Se deniega por defecto, y vale para todas las puertas. Una carpeta compartida sin lista de permisos es de los administradores y de nadie más: no sale al conectar a \NAS, no se abre, y tampoco se llega a ella por NFS ni desde la consola. Para que alguien entre hay que dárselo en la pestaña Carpetas de su ficha.

Los administradores entran siempre en todas, además de lo que diga cada lista. Es la segunda vuelta de llave: si alguna comprobación del panel se salta, sigue haciendo falta ser administrador. La excepción es un «sin acceso» puesto a propósito sobre una persona concreta, que manda sobre todo lo demás — también si esa persona administra.

Mi unidad. Cada cuenta tiene su carpeta privada, en <volumen>/homes/<cuenta>/archivos. Aparece en Archivos, al conectar a \NAS —donde cada persona ve la suya y solo la suya— y es también donde entra su SFTP: las tres puertas llevan a la misma carpeta. Es donde se deja lo de uno sin montar una carpeta compartida. Nadie más entra: ni las otras cuentas por la red, ni escribiendo la ruta en el panel.

Lo que no es tuyo, no se ve. Ni en el panel ni en la lista de carpetas de Windows: se enseñan solo las que esa cuenta puede abrir, así que no se leen ni los nombres. Un administrador lo ve todo, como siempre.

El Panel de control, por rol. Una cuenta normal encuentra ahí tres cosas: la información del equipo, su contraseña y su segundo factor, y la región y la apariencia. El resto son pantallas de administración y no se le ofrecen; si llega a una por un enlace directo, se lo dice.

Una persona, una cuenta

Todo se gestiona en Usuarios y grupos. Cada persona tiene una contraseña y cuatro capacidades que se marcan en su ficha:

Desmarcar una capacidad la retira de verdad (antes solo se daban permisos, y desmarcar no hacía nada). La pestaña Carpetas de su ficha reparte el acceso carpeta por carpeta: sin acceso, lectura y escritura, o solo lectura, y enseña además lo que hereda de sus grupos. Al guardar sin escribir contraseña se conserva la que ya tenía; solo hace falta una nueva para darle de alta en un servicio que todavía no tenía.

En la misma ficha, «Cuenta infantil» (solo para quien entra al panel, y solo lo pone quien administra): esa persona verá en Películas y series únicamente lo calificado como apto hasta 12 años, y nada de lo que no tenga calificación. El recorte lo hace el NAS y no la pantalla, así que no se sortea pegando la dirección de una película. Ver «Películas y series».

El panel no deja quedarse sin administrador: ni quitándose uno mismo el acceso, ni degradando o eliminando al último que queda.

Buscar archivos

• El buscador de Archivos se apoya en un índice de nombres que el NAS mantiene solo: una pasada cada dos minutos que solo mira las carpetas cuya fecha ha cambiado, así que no relee el disco entero ni se nota. Buscar pasa a ser instantáneo y, sobre todo, completo: el recorrido en vivo se rendía a las 60 000 entradas y devolvía «hay más de lo que se enseña».
• El índice vive en el estado del sistema (/var/nas/state/indice.db), no junto a tus datos, y solo guarda rutas: quién puede ver qué lo sigue decidiendo la carpeta compartida en cada búsqueda. Ocupa poco —unos 20 MB por cada 150 000 archivos— y si se borra, se vuelve a construir solo.
• La primera vez tarda lo que tarde en leer el árbol —de unos segundos a una noche, según cuántos archivos haya—, y mientras tanto la búsqueda funciona como antes, recorriendo.
• Lo que creas, subas, muevas o borres desde el panel se apunta al momento; lo que llegue por SMB o NFS aparece en la pasada siguiente.
• Afinar la búsqueda no pide volver a pulsar Intro: una vez dentro de los resultados, cambiar la palabra los rehace sola. Solo cuando el índice está listo; si no, se sigue buscando al pulsar Intro, para no mandar al NAS a recorrer el disco con cada tecla.
• Buscar dentro del contenido (la casilla del buscador) también se apoya en el índice —le pregunta qué documentos hay y en qué orden, del más reciente al más antiguo— pero los abre y los lee en ese momento, con sus topes: indexar el texto de todo sí costaría disco y CPU de verdad.

Las carpetas del sistema

En «Carpetas compartidas» aparecen también las que crea el propio NAS: docker (los datos de las aplicaciones), vm (los discos de las máquinas virtuales), camaras (las grabaciones), Galeria (las fotos y los vídeos), Musica (las canciones) y Peliculas (la videoteca). Se pueden compartir por red, darles papelera y permisos, pero no se renombran, ni se mueven, ni se borran: quitarlas de debajo deja a las cámaras, a la Galería, a Música y a Películas apuntando a una carpeta que ya no existe. Llevan su etiqueta SISTEMA en la lista, y las que ya existían en tu NAS la reciben al actualizar. Dentro de tu «Mi unidad» puedes crear carpetas con esos mismos nombres: ahí no reservan nada. Solo salen cuando el volumen está preparado —tiene sus carpetas docker, vm y appstore—, cosa que hasta ahora únicamente pasaba en los volúmenes creados desde el panel: uno adoptado o venido de una reinstalación se quedaba sin ellas. El NAS lo repasa ahora cada diez minutos y las crea si faltan.

Fotos y vídeos (Galería)

• El NAS crea una carpeta compartida «Galeria» la primera vez que hay un volumen: es el sitio evidente donde dejar las fotos (se ve en Archivos, se comparte por red y el móvil puede copiar ahí el carrete), y la Galería la indexa siempre. Es una carpeta del sistema, así que no se renombra ni se borra desde el panel. Sin tilde porque el nombre de una carpeta compartida viaja a SMB, a NFS y a una ruta del disco.
• La Galería no copia ni mueve nada: lee las fotos y los vídeos que ya están en tus carpetas compartidas y los ordena en una línea de tiempo por meses.
• Se pone al día sola, cada media hora. Lo que llega por SMB —la copia del carrete del móvil, que es como llegan casi todas— aparece sin que nadie pulse nada; «Indexar ahora» sigue estando para cuando no quieres esperar. Si no eliges carpetas, indexa «Galeria» y las compartidas cuyo nombre suene a fotos o a vídeos (Fotos, Photos, Imágenes, DCIM, Vídeos); desde la propia app se pueden elegir a mano. No entran ni la carpeta de las cámaras de vigilancia ni una videoteca de películas: eso no son recuerdos.
• El índice es un SQLite aparte y se rellena en segundo plano: la primera pasada de una carpeta grande tarda, y la app dice que está escaneando mientras tanto. Dejar de compartir una carpeta la saca del índice en la pasada siguiente.
• Los álbumes son listas, no carpetas: una foto puede estar en varios y crear, renombrar o borrar un álbum no toca un solo archivo del disco. Descargar uno da un zip.
• Los vídeos se sirven por rangos, así que se puede saltar a un minuto concreto sin descargar el archivo entero, y su miniatura es un fotograma del segundo 1.
• Qué formatos entran: JPEG (incluido .jfif), PNG, WebP, AVIF, GIF, BMP, TIFF, HEIC/HEIF (iPhone) y RAW de cámara —.cr2, .cr3, .nef, .nrw, .arw, .sr2, .rw2, .orf, .raf, .pef, .srw, .rwl, .3fr, .erf— incluido el ProRAW del iPhone, que es un .dng. En vídeo: .mp4, .mov, .m4v, .mkv, .webm, .avi, .3gp, .mts y .m2ts.
• El RAW no se revela (eso pide un procesador de imagen entero y segundos por foto): se enseña la vista previa que la cámara dejó dentro del archivo, que es un JPEG casi a tamaño completo y es lo que hacen todas las galerías. Lo saca exiftool; los HEIC los abre heif-convert. Los instala LGM-OS; si faltan, esas fotos se indexan igual pero se quedan sin miniatura y el panel lo dice.
• Live Photos: el iPhone guarda cada una como dos archivos (IMG_0042.HEIC y IMG_0042.MOV). La Galería los reconoce por el nombre y enseña un solo elemento, con la etiqueta «Live» y un botón en el visor para ver el movimiento. Antes salían las dos cosas y bajar una carpeta del móvil duplicaba la cuadrícula.
• Borrar desde la Galería manda a la papelera del NAS: se recupera desde Archivos.
• El buscador de duplicados agrupa por tamaño y principio de archivo, y nunca deja borrar la última copia que queda de una foto.

Música

• El NAS crea una carpeta compartida «Musica» la primera vez que hay un volumen: es el sitio evidente donde dejar las canciones —se ve en Archivos y se comparte por red, así que la discoteca se arrastra desde el ordenador—, y Música la mira siempre. Es una carpeta del sistema: no se renombra ni se borra desde el panel. Sin tilde porque el nombre de una carpeta compartida viaja a SMB, a NFS y a una ruta del disco.
• No copia ni mueve nada: lee los archivos de audio que ya están en tus carpetas compartidas y los ordena por artista, por álbum y por carpeta. El índice es un SQLite aparte; borrarlo no toca ni una canción, y el siguiente escaneo lo rehace.
• Se pone al día sola. Mira si algo ha cambiado cada diez minutos y hace una pasada completa cada hora; «Buscar música» sigue estando para cuando no quieres esperar.
• Si no eliges carpetas, mira en todas las compartidas. La música de una casa está en «Música», en «Discos», en «CDs» y en la carpeta de cada uno, así que adivinar por el nombre dejaría la app vacía sin decir por qué; filtrar por extensión no cuesta nada. Desde la propia pantalla se pueden acotar (lo decide quien administra: vale para toda la casa).
• Formatos: .mp3, .flac, .m4a, .aac, .ogg, .opus y .wav.
• Los títulos aparecen antes que los datos. Al indexar, el nombre del archivo hace de título y el de la carpeta de álbum, así que se puede oír desde el primer momento; el artista, el año, la pista y la duración se leen después, por tandas y en segundo plano. En un equipo sin ffmpeg se queda en lo primero y la pantalla lo dice en una línea.
• Carátulas: el cover.jpg (o folder.jpg, o front.jpg) de la carpeta del disco. Si no hay, se saca la que va dentro del propio archivo, copiándola sin recodificar. Un álbum sin ninguna de las dos se pinta con su inicial: no es un error.
• Completar desde internet (apagado de fábrica, lo enciende quien administra). El NAS envía los nombres de tus artistas, discos y canciones a siete catálogos libres y sin clave —MusicBrainz, Cover Art Archive, Deezer, iTunes, TheAudioDB, Wikipedia y LRCLIB— y trae carátula, fecha de publicación, géneros, nombre correcto del artista, su foto, su biografía y la letra de las canciones. **No se envía ningún archivo ni ningún dato tuyo, y no se toca ni una canción.** Lo de casa manda siempre: el año de tus etiquetas gana al del catálogo, y el cover.jpg y la carátula incrustada ganan a la de internet. Se completa poco a poco en segundo plano —los catálogos aceptan pocas peticiones por segundo y el NAS lo respeta—; «Completar ahora» hace una tanda larga sin esperar.
• Corregir a mano (con «Completar desde internet» encendido, y solo quien administra). El emparejador automático prefiere dejar un disco sin portada a ponerle la de otro, así que con una carpeta llamada «Disco 1» no reconoce nada. El botón Corregir de la cabecera de un disco, de la de un artista y del menú de cada canción busca ese nombre en el catálogo y enseña los candidatos con su carátula: al elegir uno se aplica su ficha, y **el artista del disco va a todas sus canciones que no tengan ninguno** —que es lo que quita el «Sin artista» de media discoteca ripeada—. Lo elegido a mano no se vuelve a emparejar solo, y en una canción se puede deshacer para volver a lo que decía su archivo.
• Reconocer canciones sin etiquetas (apagado de fábrica, lo enciende quien administra). Las canciones que llegaron como Track01.mp3 —de un CD ripeado sin consultar nada— se identifican por su sonido: el NAS calcula un resumen acústico de los dos primeros minutos, se lo pregunta al catálogo libre AcoustID y le pone título, artista y disco. No se envía ningún archivo, solo ese resumen, y no se toca ni una canción: lo reconocido se escribe en la biblioteca. En la fila de cada canción hay un botón para reconocerla al momento y, en las ya reconocidas, para **devolverlas a lo que decía su archivo**. Solo se mira lo que parece sin etiquetar (sin artista, o con títulos como «Pista 3» o «AudioTrack 07»); lo que ya está bien no se toca. Lo reconocido entra después en «Completar desde internet» como cualquier otra canción, y así le llegan portada y fecha.
• Hace falta una clave gratuita: date de alta en acoustid.org/new-application y pégala en los ajustes de Música. Sin clave la función se explica y no se activa; la clave se comprueba contra AcoustID antes de guardarse y no viaja en la copia de seguridad.
• Letras: se piden al abrir una canción, no al indexar, y se guardan. Si la letra viene sincronizada, la línea que suena se resalta y tocar una línea salta a ese momento. Un archivo .lrc o .txt con el mismo nombre junto a la canción manda sobre internet y funciona aunque «Completar desde internet» esté apagado.
• La música se sirve por rangos, así que se puede saltar a un minuto concreto sin descargar la canción entera. Sigue sonando al cambiar de pestaña y con la ventana minimizada.
• Las listas de reproducción y las favoritas son de cada uno: nadie más las ve, y borrar una lista no toca ni un archivo del disco.
• La frontera es la de siempre: lo que no puedes abrir en Archivos no aparece aquí, ni su nombre ni su portada.

Radio

• Miles de emisoras de internet, en la pestaña «Radio». Salen del catálogo libre radio-browser.info: no hay que crear ninguna cuenta ni pegar ninguna clave.
• Se busca por nombre, por país (el tuyo viene puesto) y por tema. Sin buscar nada se enseñan las más escuchadas de tu país.
• El sonido pasa por el NAS, no por tu navegador. Es lo que hace que suenen también las emisoras que todavía emiten sin cifrar —un navegador las bloquea dentro de una página segura, sin decir nada— y, de paso, la emisora ve una sola conexión en vez de la de cada teléfono y cada ordenador de la casa.
• Se comprueba que la emisora suena antes de ponerla. Un catálogo abierto tiene emisoras apagadas desde hace años: por eso pulsar tarda un segundo más y, cuando algo no va, se dice qué pasa («no empezó a sonar en 10 segundos») en vez de dejar el reproductor mudo.
• Tus emisoras son tuyas: las guardadas y las últimas escuchadas no las ve nadie más, tampoco quien administra. Viajan en la copia de la configuración.
• Suena en el reproductor de siempre: sigue puesta al cambiar de pestaña y se maneja desde las teclas de música del teclado y desde la pantalla de bloqueo del móvil.

Podcasts

• Suscríbete por su nombre o pegando la dirección de su RSS, en la misma caja. Los nombres se buscan en el catálogo público de iTunes; a partir de ahí el NAS habla directamente con quien publica el podcast.
• Cada uno sigue los suyos. Nadie ve a qué te suscribes ni por dónde vas, tampoco quien administra. El programa se descarga UNA vez aunque lo sigan tres personas de la casa.
• Se refresca solo cada seis horas, y «Actualizar» lo hace al momento. Si un programa deja de contestar, su ficha lo dice y sus episodios siguen estando.
• Avísame de los episodios nuevos: un interruptor por persona. Llega un aviso por programa y por pasada, nunca uno por episodio.
• Se recuerda por dónde ibas en cada episodio, como en Películas y series, y se puede marcar como oído a mano. También aquí el audio pasa por el NAS, y saltar a un minuto concreto sigue funcionando.
• Lo que se descarga es el listado de episodios, no el audio: **los episodios no ocupan sitio en el NAS**.

Películas y series

• El NAS crea una carpeta compartida «Peliculas» la primera vez que hay un volumen: es el sitio evidente donde dejar las películas y las series —se ve en Archivos y se comparte por red, así que se arrastran desde el ordenador—, y la aplicación la mira siempre. Es una carpeta del sistema: no se renombra ni se borra desde el panel. Sin tilde ni espacios porque el nombre de una carpeta compartida viaja a SMB, a NFS y a una ruta del disco.
• No copia ni mueve nada: lee los vídeos que ya están en tus carpetas compartidas y los ordena en películas y series. El índice es un SQLite aparte; borrarlo no toca ni un archivo.
• Elige las carpetas (lo decide quien administra: vale para toda la casa). Si no eliges ninguna, mira en «Peliculas» y en las compartidas cuyo nombre suene a videoteca («Series», «Cine»). Las grabaciones de las cámaras nunca entran.
• El nombre del archivo es la ficha. De «Origen (2010).mkv» saca el título y el año; de «Serie.S01E02.mkv» o «Serie - 1x02.mkv», la serie, la temporada y el episodio, y los agrupa. De fábrica no se consulta nada de fuera, así que lo que se ve es lo que hay en el archivo: un nombre bien puesto es toda la diferencia.
• Completar desde internet (Ajustes, y lo decide quien administra). Apagado de fábrica, y apagado el NAS no le cuenta a nadie qué películas tienes. Encendido, manda **el título y el año de cada película y de cada serie a Wikidata, a Wikipedia y a TVmaze**, y se trae carátula, sinopsis, géneros, fecha de estreno y los títulos de los episodios. No sale nada más: ni rutas, ni nombres de archivo, ni quién ve qué.
• Dos claves opcionales y gratuitas. Con la de themoviedb.org (vale la «API Key (v3)» o el testigo v4) las carátulas son mejores y llegan además el tráiler, el reparto y la saga; con la de omdbapi.com, la nota de IMDb. Sin ninguna funciona igual, con lo que dan Wikipedia y TVmaze. Cada clave se prueba al guardarla: si el catálogo no la reconoce, no se guarda y se dice por qué. Las claves no salen nunca del NAS y no viajan en la copia de la configuración.
• Lo de casa manda. Si al lado de la película hay un .nfo (el que dejan Kodi, Jellyfin y los organizadores de videoteca), de ahí salen el título y la sinopsis; y si el nombre del archivo o de la carpeta lleva un identificador de IMDb (tt1375666), la ficha se pide exacta en vez de buscarse por título.
• Se completa sola, poco a poco, después de cada búsqueda de películas; «Completar ahora» hace una tanda larga sin esperar. Lo que ningún catálogo reconoce se deja como está y no se vuelve a preguntar; lo que falló por la red se reintenta a las pocas horas.
• «Corregir», en la ficha, empareja a mano: busca por título y año y enseña las fichas candidatas con su carátula para elegir la buena.
• El tráiler se abre fuera, en una pestaña nueva: dentro del panel no se incrusta ningún reproductor de terceros.
• «Te puede gustar» y «Para ti». En la ficha de una película o de una serie sale una fila con hasta ocho títulos parecidos, y en la portada otra a partir de lo último que has visto tú (nadie ve la de otro). Solo se recomienda lo que ESTÁ en el NAS y dentro de tus carpetas: no hay nada que ir a buscar a ninguna parte. Con clave de themoviedb.org se usan sus recomendaciones y se cruzan con tu videoteca; sin clave se compara por saga, géneros y década, que es lo que trae «Completar desde internet». Con esa función apagada no hay nada con lo que comparar y las filas no salen. Lo calculado se guarda una semana; corregir una ficha a mano lo rehace.
• Avisar de episodios nuevos (Ajustes, debajo de «Completar desde internet» y dentro de él: apagado aquél, esto no pregunta nada). Una vez al día se le pregunta al catálogo por cada serie del NAS cuál fue su último capítulo emitido; si ése no está aquí, llega un aviso del panel con la temporada, el número, el título y la fecha en que se emitió. De cada capítulo se avisa una sola vez, aunque siga sin estar. Con clave de themoviedb.org se pregunta ahí; sin ninguna, a TVmaze. Una serie emparejada con Wikidata o con OMDb no da este aviso: esos catálogos no listan los episodios con su fecha.
• Carátulas: manda siempre la imagen que esté al lado (Origen (2010).jpg, poster.jpg, folder.jpg); después, la que se haya bajado del catálogo; y si no hay ninguna, el NAS saca un fotograma del 10 % de la película. Una película sin ninguna de las tres se pinta con su inicial: no es un error.
• Se pone al día sola. Mira si algo ha cambiado cada diez minutos y hace una pasada completa cada hora; «Buscar películas» sigue estando para cuando no quieres esperar.
• Se reproduce en el panel. Lo que el navegador abre tal cual se sirve por rangos (con sus propios saltos); lo que no —una película con sonido Dolby Digital, un MKV en un iPhone— lo convierte el NAS al vuelo, copiando el vídeo cuando basta con cambiar el sonido. La pantalla dice cuándo está convirtiendo y por qué.
• Calidad: al lado de los subtítulos, mientras ves algo. «Original» es lo normal; 1080p, 720p y 480p le piden al NAS que reduzca la imagen, que es lo que hace falta cuando la ves fuera de casa o en un móvil y va a tirones. Solo salen las calidades menores que la película. Se cambia sin perder el minuto y se queda elegida en ese equipo para las siguientes.
• Subtítulos: los .srt o .vtt que estén al lado del archivo, con el idioma en el nombre si lo lleva (Origen (2010).en.srt). Se convierten al vuelo a lo que entiende el navegador.
• Traerlos de internet. En la ficha de cualquier película hay un botón **«Buscar subtítulos»**: enseña lo que hay en el catálogo para ese título en el idioma del panel y baja el que elijas. El archivo se deja junto a la película (Origen (2010).es.srt), así que a partir de ese momento lo tiene toda la casa; si en esa carpeta no se puede escribir, se queda en el NAS y se ve igual.
• Los marcados «Para este archivo» son los que van sincronizados con tu copia exacta: el catálogo los ha emparejado por una huella del archivo, no por el título. Los demás pueden ir adelantados o atrasados respecto de tu montaje.
• «Subtítulos automáticos» (Ajustes, bajo «Completar desde internet» y apagado de fábrica): con él puesto, al abrir una película que no trae subtítulos en tu idioma el NAS los busca una vez y los deja puestos. Lo que no encuentra no se vuelve a preguntar solo; el botón de buscar a mano sí lo vuelve a intentar siempre que lo pulses.
• Sale de casa el título, el año y esa huella del archivo; nunca su ruta ni quién lo ve. La fuente es opensubtitles.org, y funciona sin registrarse en nada.
• Cuenta de opensubtitles.com, opcional. Sin ella se busca y se baja igual, con el cupo diario compartido por todo el mundo; con una cuenta gratuita propia (clave, usuario y contraseña) el cupo es tuyo. Se prueba al guardarla: si no la reconocen, no se guarda y se dice por qué. No sale nunca del NAS y no viaja en la copia de la configuración.
• Sigue donde lo dejaste. Cada cuenta guarda su propio minuto y nadie ve el de los demás; al 95 % la película se da por terminada y sale de «Seguir viendo». En una serie se ofrece el episodio siguiente.
• «Seguir viendo» también en el escritorio. Con el botón «+» del panel de recuadros (arriba a la derecha) se enciende el recuadro «Seguir viendo»: hasta seis películas o episodios a medias con su carátula y por dónde van, y un clic abre la aplicación en esa película. Solo se ofrece a quien tenga Películas y series.
• Cuentas infantiles. Marcando «Cuenta infantil» en la ficha de una persona (Panel de control → Usuarios y grupos), esa cuenta solo ve aquí lo calificado como **apto hasta 12 años**: el catálogo, las series, la búsqueda, «Seguir viendo» y el reproductor. El recorte lo hace el NAS, no la pantalla, así que pegarle la dirección de una película no apta tampoco la abre. Lo que no tiene calificación tampoco sale, así que enciende «Completar desde internet» —de ahí viene— o su videoteca se quedará casi vacía. La aplicación lo dice en una línea, para que no parezca averiada.
• La frontera es la de siempre: lo que no puedes abrir en Archivos no aparece aquí, ni su nombre ni su carátula.

Aplicaciones (Docker)

• Centro de Paquetes: instala recetas locales (/var/nas/appstore/templates/) o sincroniza fuentes de catálogo (botón «Fuentes del catálogo»). Además del índice propio https con checksums, se pueden añadir catálogos comunitarios que el NAS convierte a recetas al sincronizar: Community Applications de Unraid (unas 2000 aplicaciones con categorías e iconos) y tiendas CasaOS/ZimaOS. La sincronización corre como tarea con progreso; lo que trajo una fuente que luego quitas se retira solo, y las recetas locales hechas a mano nunca se tocan.
• Buscador, chips de categoría con contadores y filtro «Instaladas» para moverse por un catálogo de miles de aplicaciones.
• El botón «⟳» de una app instalada descarga la imagen nueva y recrea contenedores.
• La app Docker muestra logs en vivo, CPU/RAM y controla contenedores individuales. Un contenedor creado a mano (desde el terminal, por ejemplo) que publique un puerto TCP tiene su botón «Abrir» y aparece en el Launchpad como una aplicación más.

Actualizar LGM-OS sin reinstalar

Desde el panel: Panel de control → Actualizar LGM-OS → «Actualizar ahora». Nada más. No hace falta volver a pasar la ISO por cada versión, ni tener acceso al código, ni configurar un repositorio: el NAS pregunta al servidor del fabricante cuál es la última versión, se la descarga y la instala.

Lo que ocurre por dentro, por si alguna vez hay que mirarlo:

1. El NAS pide la última versión publicada y la compara con la suya. Compara números, no texto: la 1.10.0 es posterior a la 1.9.0.
2. Descarga el paquete y comprueba su SHA-256 contra el que anunció el servidor. Si no coincide, no instala nada y lo dice con esas palabras: lo que llegó no es lo que el servidor dijo que iba a llegar, que es muy distinto de «falló la descarga».
3. Aplica la actualización con el mismo procedimiento de siempre: compila, valida y solo entonces promueve. Si el panel no responde después, revierte solo a la versión anterior.

Desde la consola: sudo lgm update.

Opciones

• Automático: «Buscar actualizaciones automáticamente» avisa en Notificaciones cuando hay una versión nueva; «Instalarlas sin preguntar» las aplica solas cada 6/12/24 horas o cada 7 días, y solo dentro de la franja que elijas (de fábrica, de 03:00 a 06:00): la actualización reinicia los servicios y los grabadores de cámaras, y de madrugada no molesta a nadie. Fuera de la franja el aviso llega igual.
• Desde tu propio código (solo si has clonado el repositorio): si el equipo tiene un checkout de git con remoto, el panel lo usa en vez del servidor de versiones. Es el camino de quien desarrolla; para un NAS instalado desde la ISO no hace falta nada de esto.

Lo que el NAS le cuenta a la web

Cada doce horas el NAS pregunta al servidor de versiones si su licencia sigue valiendo, y en la misma llamada le cuenta cómo se llama, qué versión lleva, cuánto espacio le queda y si tiene avisos pendientes: es lo que ves en la ficha de tu NAS en tu cuenta de la web. No viaja nada más (ni nombres de archivos, ni cuentas, ni direcciones), y no se puede apagar sin quitar la licencia. Las versiones nuevas llegan por oleadas: a cada equipo le toca en un día distinto de los primeros, y «Instalar de todas formas» la pone antes de que le toque.

Mientras actualiza

Verás una barra con la fase y un porcentaje aproximado —copia de seguridad, paquetes del sistema, compilar la interfaz, backend, reiniciar servicios—. Los dos pasos largos son instalar los paquetes y compilar la interfaz: cada uno tarda varios minutos sin dar señales, y eso es normal. El panel se reinicia a mitad: la barra lo dice y sigue contando en cuanto vuelve.

Al terminar, el actualizador comprueba que todo lo que estaba encendido sigue encendido (Docker, Samba, libvirt, NFS…) y, si algo se quedó parado, lo arranca y lo dice por su nombre. También si falla la actualización: una versión que se rinde a mitad no puede dejarte sin contenedores ni sin carpetas compartidas.

Si falla

El aviso rojo trae las últimas líneas del registro —que es donde está el error— y un desplegable con el registro completo. Desde la consola:

sudo tail -n 40 /var/log/lgm-update.log

Como la actualización revierte sola, el NAS se queda funcionando con la versión anterior: no hay prisa por arreglarlo. Las dos causas habituales son quedarse sin memoria al compilar la interfaz (añade 2 GiB de intercambio permanente) y quedarse sin espacio; el panel distingue las dos y lo dice con esas palabras.

Comprobación de los servicios

Panel de control → Comprobación del sistema revisa uno por uno el panel, el almacenamiento, SMB, NFS, WebDAV, SSH, Docker, las copias de seguridad y las cámaras. No mira lo que el panel tiene guardado que debería pasar: mira el sistema —si la unidad de systemd está viva, si hay algo escuchando en el puerto, si el cortafuegos lo deja pasar, si la configuración cuadra con lo que se pidió— y cada problema viene con qué hacer.

Es lo primero que hay que abrir cuando algo «no va» desde otro equipo: dice si el fallo está en el NAS o fuera de él, que es la mitad del trabajo.

Monitor de recursos

Qué ha estado haciendo el NAS mientras no mirabas. La app Monitor guarda el uso de procesador, memoria, disco y red y lo pinta en cuatro gráficas, con el rango a elegir: última hora, día, semana o mes.

Sirve para responder a las tres preguntas que no contesta un número instantáneo:

• «Va lento… ¿desde cuándo?» — un escalón en la gráfica de CPU o de memoria dice el día y casi la hora en que empezó, que suele coincidir con una aplicación instalada o con una copia nueva.
• «¿Se queda sin memoria?» — un techo plano al 100 % durante horas es eso; picos puntuales al copiar archivos son normales.
• «¿Aprovecho la red?» — la gráfica de red durante una copia grande dice si el cuello de botella es el disco o el cable.

El historial lo escribe el propio NAS cada pocos minutos y ocupa muy poco: no hace falta encender nada, ya está corriendo. Al reinstalar o al destruir el volumen se empieza de cero, porque es historia, no datos.

Terminal web

Shell real en el navegador, solo para administradores. Arranca como el usuario del servicio (nas, sin privilegios). El botón «Sesión root» abre una shell de administrador tras re-pedir la contraseña —y el código TOTP si lo tienes activo—: el permiso es un token de un solo uso que caduca en 60 segundos, la elevación la crea el helper privilegiado (el servicio del panel corre con NoNewPrivileges=yes, donde sudo no puede funcionar) y cada apertura queda en la auditoría. Desde ahí puedes instalar lo que quieras (docker run …, apt install …); si lo que lances publica un puerto web, saldrá en Docker y en el Launchpad.

Sistema

• Nombre del equipo: el que pusiste al instalar se cambia en **Panel de control → Información del equipo, con el botón Cambiar** que hay al lado del nombre. Solo letras minúsculas, números y guiones (de 1 a 63, sin empezar ni acabar en guión): es un nombre de máquina, no un título. Es la dirección por la que se entra al NAS (https://<nombre>.local:5001), así que al cambiarlo hay que actualizar los marcadores de toda la casa. El NAS se vuelve a anunciar solo en la red (el Finder del Mac y «Red» de Windows); el certificado del panel lleva el nombre dentro y se rehace en el siguiente reinicio, así que hasta entonces el navegador avisa al entrar por el nombre nuevo.
• Red: IP estática/DHCP por interfaz vía systemd-networkd. ⚠️ Un error aquí puede dejar el NAS inaccesible; ten consola física a mano.
• Hora: la zona horaria y la sincronización por NTP están en **Panel de control → Idioma y hora. Debajo, Servidores de hora** deja escribir los tuyos, uno por línea (pool.ntp.org, o la dirección del router, que casi siempre da la hora). Vacío = los que trae el sistema, que es lo normal; se cambian cuando la red no tiene salida a internet o tiene cerrado el puerto 123/UDP, porque con el reloj mal caducan certificados antes de tiempo y las tareas programadas se disparan a deshora.
• Pantalla del servidor (modo quiosco): si el equipo tiene un monitor conectado (o la consola de su máquina virtual), arranca enseñando este mismo panel a pantalla completa, como cualquier otro sistema operativo, y se sigue administrando por la web desde el resto de la red igual que antes. Se instala solo cuando hay pantalla y se apaga con un interruptor en Panel de control → Información del equipo.

La consola nunca desaparece: el panel ocupa el terminal 7 y el inicio de sesión de siempre se queda en el 1. Si la pantalla se rompe —X no arranca, el navegador se cierra, el panel no responde— con Ctrl+Alt+F1 tienes una consola de verdad, y Ctrl+Alt+F7 vuelve al panel. Desde la consola, lgm kiosk off la apaga, lgm kiosk log dice por qué falla y lgm kiosk on la vuelve a encender.

• Actualizaciones del sistema operativo: no se hacen desde el panel. Un apt upgrade desatendido puede reiniciar servicios o dejarlos a medias sin nadie delante; quien quiera actualizar Debian tiene el terminal. Lo que sí se actualiza desde el panel es LGM-OS, que es código propio y sabe reiniciarse solo.
• Copia de la configuración: descarga puntual o tarea programada tipo «backup» hacia un pool. Lleva todo el estado del panel (usuarios, grupos, carpetas compartidas con sus permisos, servicios, firewall, red, tareas…) menos los secretos del equipo, que se regeneran. No incluye tus datos (para eso, la app Copias de seguridad); guárdala dentro de la copia externa, porque es lo primero que necesitarás al reconstruir el equipo. Detalle y restauración en disaster-recovery.md.
• Registros: journald por unidad; Auditoría: quién hizo qué y desde qué IP.
• Enviar los registros a otro equipo (syslog): Panel de control → Registros → Enviar los registros a otro equipo. Manda una copia de todo lo que el NAS deja escrito a un servidor de registros de tu red (equipo, puerto —514 por defecto— y UDP o TCP). Sirve para tenerlo todo junto y, sobre todo, para que el rastro quede fuera del NAS si alguien le entra. Al guardar se prueba el destino: con TCP la respuesta es de verdad, y con UDP solo se comprueba que el equipo existe en la red, porque nadie confirma un datagrama. Lo hace rsyslog, que LGM-OS instala y deja apagado hasta que enciendas esto; en un NAS instalado antes de la 1.65 puede faltar y la pantalla te dice cómo ponerlo.

Seguridad

• Arquitectura de dos procesos: la API corre como usuario nas sin privilegios y delega en nas-helper (root) a través de un socket Unix; el helper solo acepta una lista cerrada de comandos y rutas (backend/app/core/allowlist.py).
• TLS: autofirmado generado en el primer arranque, con las direcciones del equipo dentro y con validez de 396 días —por debajo del tope de 398 que aceptan iOS y iPadOS; con más, un iPhone no deja entrar al panel ni con el aviso—. Se revisa en cada arranque y se rehace solo si va a caducar o si el NAS cambia de IP; el tuyo o el de Let's Encrypt no se tocan. Lo normal es sustituirlo por uno de Let's Encrypt al publicar el NAS (ver Acceso desde internet); para poner uno tuyo a mano: ```bash cp tucert.pem /etc/nas/tls/cert.pem && cp tuclave.pem /etc/nas/tls/key.pem chgrp nas /etc/nas/tls/key.pem && chmod 640 /etc/nas/tls/key.pem systemctl restart nas-backend ```
• Protección de login: 10 intentos/minuto por IP; 5 fallos seguidos bloquean la cuenta 5 minutos. Todo queda en la auditoría.
• Duración de la sesión: de fábrica el panel se cierra solo a los 30 minutos sin usarlo, y se cambia en Panel de control → Seguridad → Reglas de la contraseña → **Duración de la sesión** (de 5 a 1440 minutos). No es un plazo duro: cada cosa que haces alarga la sesión, así que trabajando no se corta nunca y lo que caduca es un panel abierto y olvidado. Quien marque «mantener la sesión iniciada» al entrar sigue con 30 días, y las sesiones ya abiertas duran lo que se les dio: el plazo nuevo manda a partir del siguiente acceso.
• Roles: admin (total) y viewer (solo lectura), gestionados en Seguridad.
• Nunca abras el puerto 5001 en el router: sirve el panel con certificado autofirmado y expone la API de administración sin nada delante. Ya no hace falta ese apaño, porque hay dos formas mejores de llegar desde fuera y el NAS trae las dos: la VPN WireGuard (no publica ningún servicio en internet) o el acceso externo con Apache en 80/443 y certificado válido de Let's Encrypt. Las dos secciones siguientes.

Acceso desde internet

Panel de Control → Acceso remoto → Acceso externo: dominio dinámico (DDNS), certificado de Let's Encrypt y proxy inverso para publicar el panel y las apps por subdominio. Apache queda como único servicio expuesto (80 y 443) y reenvía a 127.0.0.1; el puerto 5001 y los de las apps no salen del NAS. Con un certificado válido, además, la interfaz se puede instalar como aplicación (PWA).

El procedimiento completo —puertos del router, DuckDNS paso a paso, emisión y renovación del certificado, subdominios y la lista de seguridad previa (2FA, Asesor de seguridad, bloqueo de IPs)— está en external-access.md. Alternativa más conservadora si no necesitas compartir con terceros: la VPN del propio NAS (sección siguiente), sin exponer ningún servicio.

Servicios de red (VPN, DNS y DHCP)

Panel de Control → Servicios de red. Las tres piezas que convierten el NAS en el centro de la red de casa, ordenadas por riesgo:

• La VPN es la forma más segura de llegar al NAS desde fuera: no publica ningún servicio en internet y da acceso a toda la red local, no solo al panel.
• El DNS y el DHCP son el mismo servicio (dnsmasq), así que pararlo detiene los dos: es justo lo que se necesita en una emergencia (sudo systemctl stop dnsmasq).
• dnsmasq se instala desactivado y solo arranca cuando activas DNS o DHCP desde el panel.

Puertos del router, instalación del cliente de VPN paso a paso, cómo apuntar los equipos al DNS y —lo más importante— cómo recuperar la red si el DHCP te deja sin conexión: network-services.md. Léela antes de activar el DHCP, y guárdala en el móvil: si te quedas sin red, no podrás consultarla desde el NAS.

Publicar apps en el catálogo

Cada app es un directorio /var/nas/appstore/templates/<id>/ con:

• manifest.json — id, nombre, descripción, images (pre-descargadas con progreso), web_port y env (variables que el instalador pide al usuario; secret las oculta).
• docker-compose.yml — consume esas variables más NAS_APP_DATA (ruta de datos que inyecta el backend).

Instalar exige un pool: los datos de cada app viven en <pool>/docker/<id>/ (las instalaciones anteriores a esta política siguen en /var/nas/apps/ y no se mueven). Esa carpeta docker no es una carpeta compartida —el gestor de archivos y SMB/NFS no la enseñan— y su nombre está reservado al crear carpetas compartidas. Si el manifiesto trae web_port, al instalar se abre ese puerto en el cortafuegos gestionado (regla nas-app-<id>) y se retira al desinstalar.

Para un repositorio remoto sirve por https un index.json:

{
  "apps": [
    {
      "id": "jellyfin",
      "manifest_url": "https://repo.example.com/jellyfin/manifest.json",
      "compose_url": "https://repo.example.com/jellyfin/docker-compose.yml",
      "sha256_manifest": "<sha256>",
      "sha256_compose": "<sha256>"
    }
  ]
}