Guía de administración de LGM-OS

57 min · 22 apartados

Este documento es el manual del día a día: cubre de principio a fin lo que se hace desde el panel. Cuando un tema necesita más detalle del que cabe aquí, tiene guía propia:

Índice completo de la documentación: index.md.

Los primeros diez minutos

Este es el camino completo desde que enciendes el equipo hasta tener el NAS haciendo algo útil. Está pensado para hacerse seguido, en orden, y cada paso dice por qué importa —los que se saltan por no entenderlos son justo los que se echan de menos el día malo—.

1. Entrar (1 min)

Abre https://<ip-del-nas>:5001. La IP la enseña la propia consola del equipo al arrancar.

El certificado es autofirmado y el navegador avisa: es normal en una máquina de tu casa —acéptalo—. Si te molesta, se sustituye por uno de verdad más adelante (ver Acceso desde internet).

El asistente de primer acceso te pide crear el administrador: nombre en minúsculas y contraseña de al menos 8 caracteres. No hay usuario ni contraseña de fábrica, así que nadie puede entrar antes que tú.

2. Preparar los discos (2 min)

Almacenamiento → Crear volumen. Solo te ofrece discos que se pueden usar: el del sistema nunca aparece, y uno con datos dentro se marca para que no lo formatees sin querer.

• Un solo disco: sirve, pero no protege de nada. Vale para empezar.
• Dos o más: elige espejo. Si uno muere, no se pierde nada y se cambia desde el panel. Es la diferencia entre un susto y una pérdida.
• Btrfs o ZFS: Btrfs si no tienes claro cuál (es el que menos memoria pide); ZFS si vas a poner mucha RAM y quieres lo máximo en integridad.

Al terminar, el NAS crea solo las carpetas del sistema (docker, vm) y tres compartidas: Galeria para las fotos, Musica para las canciones y Peliculas para la videoteca.

3. Una carpeta y una cuenta por persona (3 min)

Panel de Control → Carpetas de la casa → «Crear». Ponle un nombre corto y sin tildes (viaja a Windows, a Mac y al móvil).

Panel de Control → Usuarios y grupos → una cuenta por persona, no una compartida. Es lo que permite dar permisos distintos, ver quién ha entrado y quitarle el acceso a uno solo sin cambiarle la contraseña a toda la casa.

En cada carpeta, el interruptor SMB la publica en la red. Desde Windows se abre con \\<ip-del-nas>; desde un Mac, con Cmd+K → smb://<ip-del-nas>.

4. La copia de seguridad (3 min)

Este es el paso que nadie hace y todo el mundo lamenta. Un NAS con espejo protege de que se rompa un disco; no protege de un borrado por error, de un ransomware ni de que se incendie la casa. Para eso hace falta una copia FUERA.

Copias de seguridad → «Nueva» → elige qué carpetas y a dónde (un disco USB, otro equipo por SSH o tu nube). Guía completa: Copias de seguridad.

Y lo único que no es opcional: restaura un archivo cualquiera para comprobar que la copia sirve. Una copia sin restaurar no es una copia, es una carpeta grande.

5. Cerrar la puerta (1 min)

• Panel de Control → Seguridad → activa la verificación en dos pasos.
• Panel de control → Cortafuegos → actívalo. El panel y SSH quedan siempre permitidos, así que no puedes quedarte fuera.
• Panel de control → Alertas → configura el correo o el webhook y pulsa «Enviar prueba». Sin esto, el NAS no tiene forma de avisarte de que un disco está fallando.

Y ya está

A partir de aquí, lo demás se añade cuando haga falta: aplicaciones, cámaras, acceso desde fuera o VPN. El resto de esta guía es la referencia, tema por tema.

Almacenamiento

• Crear volumen: Almacenamiento → «Crear volumen». El asistente solo ofrece discos elegibles (nunca el disco del sistema). ZFS para máxima integridad (RAID-Z1/Z2), Btrfs para flexibilidad (RAID1/10). Formatear destruye los datos de los discos.
• Datasets: subdivisiones con cuota y compresión propias (Volúmenes → Carpetas del volumen).
• Snapshots: pestaña Snapshots para manuales; Panel de control → Tareas programadas para automáticos con retención. La restauración ZFS usa rollback (elimina snapshots posteriores); la de Btrfs crea una copia escribible restaurado-<fecha> para revisar antes.
• Salud: pestaña Salud muestra SMART y permite lanzar scrubs. Programa un scrub mensual con una tarea. Un disco con SMART «FALLANDO» debe sustituirse ya: en «Discos de los pools» de esa misma pestaña se reemplaza el disco averiado por el nuevo (y se amplía el pool con discos adicionales) sin bajar a la consola.

Copias de seguridad

Snapshots y RAID viven dentro del equipo: no protegen de un incendio, un robo ni de un ransomware. Para eso está la app Copias de seguridad, que saca los datos del NAS.

• Destinos: local (un disco USB conectado al NAS u otro pool) o remoto por **rsync sobre SSH** (otro NAS o servidor: casa de un familiar, la oficina, un VPS). El NAS genera su propia clave SSH y basta con autorizar la parte pública en el equipo de destino. Cada destino se prueba escribiendo de verdad en él antes de confiarle nada. El panel lista además S3 como no disponible, con el motivo: subir a S3 exige firmar cada petición desde el proceso privilegiado, y ese proceso solo ejecuta binarios de la allowlist. Está declarado en el contrato de la API para no romperlo el día que se implemente, pero hoy la API rechaza un destino S3 en lugar de fingir que funciona.
• Tareas: carpetas de origen, destino, horario y cuántas versiones (o cuántos días) se conservan. Cada copia es incremental: solo viaja lo que cambió, y las versiones anteriores se mantienen completas mediante enlaces duros (rsync --link-dest), así que ocupan poco. Corren con progreso como el resto de tareas largas y avisan por las alertas si fallan (configura Panel de control → Alertas: una copia que falla en silencio no es una copia). El cifrado del destino todavía no está disponible y la API lo rechaza explícitamente: si el destino es un disco que sale de casa, cífralo tú en el equipo de destino (LUKS) o guárdalo en un sitio de confianza.
• Restauración desde la propia app: eliges la versión y la carpeta de destino. El historial guarda cada ejecución con su tamaño y su error exacto.

Qué copiar, cada cuánto, cómo autorizar la clave paso a paso y —lo más importante— cómo comprobar que la copia sirve restaurándola de verdad: backups.md.

Compartición de archivos

Las carpetas se comparten desde Carpetas de la casa, y los distintivos SMB, NFS y WebDAV de cada una se pulsan para encender o apagar ese protocolo sin abrir el editor.

El NAS aparece solo en la red. Con SMB encendido no hay que saberse la IP ni configurar nada en los equipos: sale en «Red» de Windows, en la barra lateral del Finder de macOS y en el explorador de archivos de Linux. Compartir y anunciarse son cosas distintas, y por eso el cortafuegos abre cinco puertos, no dos:

Los tres últimos solo anuncian que este equipo existe; no dan acceso a nada. Se abren y se cierran con el interruptor de SMB, así que apagarlo los retira todos.

Sobre el protocolo: se negocia el más alto que admitan las dos partes, y con Windows 10/11, macOS y Linux modernos eso es SMB 3.1.1 con cifrado. El mínimo se deja en SMB2 a propósito, para no dejar fuera a un televisor o a un escáner que solo hablen esa versión.

Quién ve qué

Se deniega por defecto, y vale para todas las puertas. Una carpeta de la casa sin lista de permisos es de los administradores y de nadie más: no sale al conectar a \NAS, no se abre, y tampoco se llega a ella por NFS ni desde la consola. Para que alguien entre hay que dárselo en la pestaña Carpetas de su ficha.

Los administradores entran siempre en todas, además de lo que diga cada lista. Es la segunda vuelta de llave: si alguna comprobación del panel se salta, sigue haciendo falta ser administrador. La excepción es un «sin acceso» puesto a propósito sobre una persona concreta, que manda sobre todo lo demás — también si esa persona administra.

Mi unidad. Cada cuenta tiene su carpeta privada, en <volumen>/homes/<cuenta>/archivos. Aparece en Archivos y es también donde entra su SFTP. Es donde se deja lo de uno sin montar una carpeta de la casa, y trae ya hechas sus carpetas Fotos, Música, Vídeos, Documentos y Descargas. Nadie más entra —ni las otras cuentas por la red, ni escribiendo la ruta en el panel— salvo en lo que su dueño comparta con el botón «Compartir» (Usuarios y permisos). Tampoco quien administra, mientras no encienda «Ver lo de todas las cuentas».

Por la red sale como una carpeta de la casa más. En Carpetas de la casa tiene su fila, encima de las demás, con un interruptor general y los distintivos SMB, NFS y WebDAV; cada persona entra en la suya y solo la suya por cualquiera de ellos, sin permisos que repartir:

• SMB, encendido de fábrica: al conectar a \\NAS, como home o con el nombre de la cuenta.
• NFS no pide contraseña, así que solo se enciende con la lista de equipos que la pueden montar (su IP o su red), y solo esos la montan.
• WebDAV la deja en https://<NAS>:8081/~<cuenta> (o en el puerto que tenga WebDAV), para las cuentas con «Acceso web a los archivos» en su ficha. Es también el camino por el que LGM Connect la abre desde fuera de casa.

Apagada, «Mi unidad» no sale por ninguno de los tres, pero los archivos no se tocan y se sigue viendo en Archivos. El SFTP va aparte: se da en la ficha de cada cuenta y siempre entra en su «Mi unidad», con el interruptor como esté.

Lo que no es tuyo, no se ve. Ni en el panel ni en la lista de carpetas de Windows: se enseñan solo las que esa cuenta puede abrir, así que no se leen ni los nombres. Un administrador entra en todas las carpetas de la casa, como siempre; las Mi unidad de los demás solo las ve con «Ver lo de todas las cuentas» encendido, y solo para mirar.

El Panel de control, por rol. Una cuenta normal encuentra ahí tres cosas: la información del equipo, su contraseña y su segundo factor, y la región y la apariencia. El resto son pantallas de administración y no se le ofrecen; si llega a una por un enlace directo, se lo dice.

Una persona, una cuenta

Todo se gestiona en Usuarios y grupos. Cada persona tiene una contraseña y cuatro capacidades que se marcan en su ficha:

Desmarcar una capacidad la retira de verdad (antes solo se daban permisos, y desmarcar no hacía nada). La pestaña Carpetas de su ficha reparte el acceso carpeta por carpeta: sin acceso, lectura y escritura, o solo lectura, y enseña además lo que hereda de sus grupos. Al guardar sin escribir contraseña se conserva la que ya tenía; solo hace falta una nueva para darle de alta en un servicio que todavía no tenía.

En la misma ficha, «Cuenta infantil» (solo para quien entra al panel, y solo lo pone quien administra): esa persona verá en Películas y series únicamente lo calificado como apto hasta 12 años, y nada de lo que no tenga calificación. El recorte lo hace el NAS y no la pantalla, así que no se sortea pegando la dirección de una película. Ver «Películas y series».

El panel no deja quedarse sin administrador: ni quitándose uno mismo el acceso, ni degradando o eliminando al último que queda.

Informe de archivos

Edición Empresarial. En el «⋯» de cada carpeta de la casa, Informe de archivos cuenta lo más grande, lo que nadie toca desde hace los meses que elijas y cuánto ocupa cada persona. Lo hace el mismo medidor que pone los pesos en Archivos, carpeta a carpeta y sin prisa, así que no frena el NAS; en una carpeta enorme puede tardar, y puedes cerrar la ventana mientras. Si el volumen no apunta cuándo se abre un archivo, «sin tocar» quiere decir «sin cambiar», y el informe lo dice.

Una sola ruta para toda la empresa

Edición Empresarial. En Servicios de archivos → SMB puedes crear una carpeta de red —\\<NAS>\datos, con el nombre que elijas— que reúne carpetas de este NAS y de otros servidores. Quien la abre las ve todas juntas y, al entrar en una, su equipo va al servidor donde vive, con los permisos de siempre.

• Las de este NAS se eligen de la lista; las de otro servidor se escriben: su nombre (nas2 o nas2.empresa.local) y la carpeta compartida.
• Al añadir una, el panel comprueba que ese servidor contesta; si no, no se guarda.
• Quitarla de la ruta no toca la carpeta de destino.

NFS con las cuentas del dominio

Edición Empresarial. Por NFS el NAS se fía del equipo de enfrente, así que la lista de equipos es la única barrera. Con el NAS unido a un dominio (Servicio de directorio), la ficha de una carpeta con NFS deja elegir Quién puede montarla: los equipos de la lista, como siempre, o cada persona con su cuenta del dominio (Kerberos), con todo firmado o con todo cifrado. Firmado y cifrado van algo más lentos, y el equipo tiene que estar unido al mismo dominio. Al estrenarlo en una carpeta, el NAS comprueba que tiene su clave de NFS en el dominio; si no, no se guarda y te dice qué hacer.

Buscar archivos

• El buscador de Archivos se apoya en un índice de nombres que el NAS mantiene solo: una pasada cada dos minutos que solo mira las carpetas cuya fecha ha cambiado, así que no relee el disco entero ni se nota. Buscar pasa a ser instantáneo y, sobre todo, completo: el recorrido en vivo se rendía a las 60 000 entradas y devolvía «hay más de lo que se enseña».
• El índice vive en el estado del sistema (/var/nas/state/indice.db), no junto a tus datos, y solo guarda rutas: quién puede ver qué lo sigue decidiendo la carpeta de la casa en cada búsqueda. Ocupa poco —unos 20 MB por cada 150 000 archivos— y si se borra, se vuelve a construir solo.
• La primera vez tarda lo que tarde en leer el árbol —de unos segundos a una noche, según cuántos archivos haya—, y mientras tanto la búsqueda funciona como antes, recorriendo.
• Lo que creas, subas, muevas o borres desde el panel se apunta al momento; lo que llegue por SMB o NFS aparece en la pasada siguiente.
• Afinar la búsqueda no pide volver a pulsar Intro: una vez dentro de los resultados, cambiar la palabra los rehace sola. Solo cuando el índice está listo; si no, se sigue buscando al pulsar Intro, para no mandar al NAS a recorrer el disco con cada tecla.
• Buscar dentro del contenido (la casilla del buscador) también se apoya en el índice —le pregunta qué documentos hay y en qué orden, del más reciente al más antiguo— pero los abre y los lee en ese momento, con sus topes: indexar el texto de todo sí costaría disco y CPU de verdad.

Las carpetas del sistema

En «Carpetas de la casa» aparecen también las que crea el propio NAS: docker (los datos de las aplicaciones), vm (los discos de las máquinas virtuales), camaras (las grabaciones), Galeria (las fotos y los vídeos), Musica (las canciones) y Peliculas (la videoteca). Se pueden compartir por red, darles papelera y permisos, pero no se renombran, ni se mueven, ni se borran: quitarlas de debajo deja a las cámaras, a la Galería, a Música y a Películas apuntando a una carpeta que ya no existe. Llevan su etiqueta SISTEMA en la lista, y las que ya existían en tu NAS la reciben al actualizar. Dentro de tu «Mi unidad» puedes crear carpetas con esos mismos nombres: ahí no reservan nada. Solo salen cuando el volumen está preparado —tiene sus carpetas docker, vm y appstore—, cosa que hasta ahora únicamente pasaba en los volúmenes creados desde el panel: uno adoptado o venido de una reinstalación se quedaba sin ellas. El NAS lo repasa ahora cada diez minutos y las crea si faltan.

Fotos y vídeos (Galería)

• El NAS crea una carpeta de la casa «Galeria» la primera vez que hay un volumen: es el sitio evidente donde dejar las fotos (se ve en Archivos, se comparte por red y el móvil puede copiar ahí el carrete), y la Galería la indexa siempre. Es una carpeta del sistema, así que no se renombra ni se borra desde el panel. Sin tilde porque el nombre de una carpeta de la casa viaja a SMB, a NFS y a una ruta del disco.
• La Galería no copia ni mueve nada: lee las fotos y los vídeos que ya están en tus carpetas de la casa y los ordena en una línea de tiempo por meses.
• Se pone al día sola, cada media hora. Lo que llega por SMB —la copia del carrete del móvil, que es como llegan casi todas— aparece sin que nadie pulse nada; «Buscar fotos nuevas» sigue estando para cuando no quieres esperar. Si no eliges carpetas, indexa «Galeria» y las compartidas cuyo nombre suene a fotos o a vídeos (Fotos, Photos, Imágenes, DCIM, Vídeos); desde la propia app se pueden elegir a mano. No entran ni la carpeta de las cámaras de vigilancia ni una videoteca de películas: eso no son recuerdos.
• El índice es un SQLite aparte y se rellena en segundo plano: la primera pasada de una carpeta grande tarda, y la app dice que está escaneando mientras tanto. Dejar de compartir una carpeta la saca del índice en la pasada siguiente.
• Los álbumes son listas, no carpetas: una foto puede estar en varios y crear, renombrar o borrar un álbum no toca un solo archivo del disco. Descargar uno da un zip.
• Los vídeos se sirven por rangos, así que se puede saltar a un minuto concreto sin descargar el archivo entero, y su miniatura es un fotograma del segundo 1.
• Qué formatos entran: JPEG (incluido .jfif), PNG, WebP, AVIF, GIF, BMP, TIFF, HEIC/HEIF (iPhone) y RAW de cámara —.cr2, .cr3, .nef, .nrw, .arw, .sr2, .rw2, .orf, .raf, .pef, .srw, .rwl, .3fr, .erf— incluido el ProRAW del iPhone, que es un .dng. En vídeo: .mp4, .mov, .m4v, .mkv, .webm, .avi, .3gp, .mts y .m2ts.
• El RAW no se revela (eso pide un procesador de imagen entero y segundos por foto): se enseña la vista previa que la cámara dejó dentro del archivo, que es un JPEG casi a tamaño completo y es lo que hacen todas las galerías. Lo saca exiftool; los HEIC los abre heif-convert. Los instala LGM-OS; si faltan, esas fotos se indexan igual pero se quedan sin miniatura y el panel lo dice.
• Live Photos: el iPhone guarda cada una como dos archivos (IMG_0042.HEIC y IMG_0042.MOV). La Galería los reconoce por el nombre y enseña un solo elemento, con la etiqueta «Live» y un botón en el visor para ver el movimiento. Antes salían las dos cosas y bajar una carpeta del móvil duplicaba la cuadrícula.
• Borrar desde la Galería manda a la papelera del NAS: se recupera desde Archivos.
• El buscador de duplicados agrupa por tamaño y principio de archivo, y nunca deja borrar la última copia que queda de una foto.

Música

• El NAS crea una carpeta de la casa «Musica» la primera vez que hay un volumen: es el sitio evidente donde dejar las canciones —se ve en Archivos y se comparte por red, así que la discoteca se arrastra desde el ordenador—, y Música la mira siempre. Es una carpeta del sistema: no se renombra ni se borra desde el panel. Sin tilde porque el nombre de una carpeta de la casa viaja a SMB, a NFS y a una ruta del disco.
• No copia ni mueve nada: lee los archivos de audio que ya están en tus carpetas de la casa y los ordena por artista, por álbum y por carpeta. El índice es un SQLite aparte; borrarlo no toca ni una canción, y el siguiente escaneo lo rehace.
• Se pone al día sola. Mira si algo ha cambiado cada diez minutos y hace una pasada completa cada hora; «Buscar música» sigue estando para cuando no quieres esperar.
• Si no eliges carpetas, mira en todas las compartidas. La música de una casa está en «Música», en «Discos», en «CDs» y en la carpeta de cada uno, así que adivinar por el nombre dejaría la app vacía sin decir por qué; filtrar por extensión no cuesta nada. Desde la propia pantalla se pueden acotar (lo decide quien administra: vale para toda la casa).
• Formatos: .mp3, .flac, .m4a, .aac, .ogg, .opus y .wav.
• Los títulos aparecen antes que los datos. Al indexar, el nombre del archivo hace de título y el de la carpeta de álbum, así que se puede oír desde el primer momento; el artista, el año, la pista y la duración se leen después, por tandas y en segundo plano. En un equipo sin ffmpeg se queda en lo primero y la pantalla lo dice en una línea.
• Carátulas: el cover.jpg (o folder.jpg, o front.jpg) de la carpeta del disco. Si no hay, se saca la que va dentro del propio archivo, copiándola sin recodificar. Un álbum sin ninguna de las dos se pinta con su inicial: no es un error.
• Completar desde internet (apagado de fábrica, lo enciende quien administra). El NAS envía los nombres de tus artistas, discos y canciones a siete catálogos libres y sin clave —MusicBrainz, Cover Art Archive, Deezer, iTunes, TheAudioDB, Wikipedia y LRCLIB— y trae carátula, fecha de publicación, géneros, nombre correcto del artista, su foto, su biografía y la letra de las canciones. **No se envía ningún archivo ni ningún dato tuyo, y no se toca ni una canción.** Lo de casa manda siempre: el año de tus etiquetas gana al del catálogo, y el cover.jpg y la carátula incrustada ganan a la de internet. Se completa poco a poco en segundo plano —los catálogos aceptan pocas peticiones por segundo y el NAS lo respeta—; «Completar ahora» hace una tanda larga sin esperar.
• Corregir a mano (con «Completar desde internet» encendido, y solo quien administra). El emparejador automático prefiere dejar un disco sin portada a ponerle la de otro, así que con una carpeta llamada «Disco 1» no reconoce nada. El botón Corregir de la cabecera de un disco, de la de un artista y del menú de cada canción busca ese nombre en el catálogo y enseña los candidatos con su carátula: al elegir uno se aplica su ficha, y **el artista del disco va a todas sus canciones que no tengan ninguno** —que es lo que quita el «Sin artista» de media discoteca ripeada—. Lo elegido a mano no se vuelve a emparejar solo, y en una canción se puede deshacer para volver a lo que decía su archivo.
• Reconocer canciones sin etiquetas (apagado de fábrica, lo enciende quien administra). Las canciones que llegaron como Track01.mp3 —de un CD ripeado sin consultar nada— se identifican por su sonido: el NAS calcula un resumen acústico de los dos primeros minutos, se lo pregunta al catálogo libre AcoustID y le pone título, artista y disco. No se envía ningún archivo, solo ese resumen, y no se toca ni una canción: lo reconocido se escribe en la biblioteca. En la fila de cada canción hay un botón para reconocerla al momento y, en las ya reconocidas, para **devolverlas a lo que decía su archivo**. Solo se mira lo que parece sin etiquetar (sin artista, o con títulos como «Pista 3» o «AudioTrack 07»); lo que ya está bien no se toca. Lo reconocido entra después en «Completar desde internet» como cualquier otra canción, y así le llegan portada y fecha.
• Hace falta una clave gratuita: date de alta en acoustid.org/new-application y pégala en los ajustes de Música. Sin clave la función se explica y no se activa; la clave se comprueba contra AcoustID antes de guardarse y no viaja en la copia de seguridad.
• Letras: se piden al abrir una canción, no al indexar, y se guardan. Si la letra viene sincronizada, la línea que suena se resalta y tocar una línea salta a ese momento. Un archivo .lrc o .txt con el mismo nombre junto a la canción manda sobre internet y funciona aunque «Completar desde internet» esté apagado.
• La música se sirve por rangos, así que se puede saltar a un minuto concreto sin descargar la canción entera. Sigue sonando al cambiar de pestaña y con la ventana minimizada.
• Las listas de reproducción y las favoritas son de cada uno: nadie más las ve, y borrar una lista no toca ni un archivo del disco.
• La frontera es la de siempre: lo que no puedes abrir en Archivos no aparece aquí, ni su nombre ni su portada.

Radio

• Miles de emisoras de internet, en la pestaña «Radio». Salen del catálogo libre radio-browser.info: no hay que crear ninguna cuenta ni pegar ninguna clave.
• Se busca por nombre, por país (el tuyo viene puesto) y por tema. Sin buscar nada se enseñan las más escuchadas de tu país.
• El sonido pasa por el NAS, no por tu navegador. Es lo que hace que suenen también las emisoras que todavía emiten sin cifrar —un navegador las bloquea dentro de una página segura, sin decir nada— y, de paso, la emisora ve una sola conexión en vez de la de cada teléfono y cada ordenador de la casa.
• Se comprueba que la emisora suena antes de ponerla. Un catálogo abierto tiene emisoras apagadas desde hace años: por eso pulsar tarda un segundo más y, cuando algo no va, se dice qué pasa («no empezó a sonar en 10 segundos») en vez de dejar el reproductor mudo.
• Tus emisoras son tuyas: las guardadas y las últimas escuchadas no las ve nadie más, tampoco quien administra. Viajan en la copia de la configuración.
• Suena en el reproductor de siempre: sigue puesta al cambiar de pestaña y se maneja desde las teclas de música del teclado y desde la pantalla de bloqueo del móvil.

Podcasts

• Suscríbete por su nombre o pegando la dirección de su RSS, en la misma caja. Los nombres se buscan en el catálogo público de iTunes; a partir de ahí el NAS habla directamente con quien publica el podcast.
• Cada uno sigue los suyos. Nadie ve a qué te suscribes ni por dónde vas, tampoco quien administra. El programa se descarga UNA vez aunque lo sigan tres personas de la casa.
• Se refresca solo cada seis horas, y «Actualizar» lo hace al momento. Si un programa deja de contestar, su ficha lo dice y sus episodios siguen estando.
• Avísame de los episodios nuevos: un interruptor por persona. Llega un aviso por programa y por pasada, nunca uno por episodio.
• Se recuerda por dónde ibas en cada episodio, como en Películas y series, y se puede marcar como oído a mano. También aquí el audio pasa por el NAS, y saltar a un minuto concreto sigue funcionando.
• Lo que se descarga es el listado de episodios, no el audio: **los episodios no ocupan sitio en el NAS**.

Películas y series

• El NAS crea una carpeta de la casa «Peliculas» la primera vez que hay un volumen: es el sitio evidente donde dejar las películas y las series —se ve en Archivos y se comparte por red, así que se arrastran desde el ordenador—, y la aplicación la mira siempre. Es una carpeta del sistema: no se renombra ni se borra desde el panel. Sin tilde ni espacios porque el nombre de una carpeta de la casa viaja a SMB, a NFS y a una ruta del disco.
• No copia ni mueve nada: lee los vídeos que ya están en tus carpetas de la casa y los ordena en películas y series. El índice es un SQLite aparte; borrarlo no toca ni un archivo.
• Elige las carpetas (lo decide quien administra: vale para toda la casa). Si no eliges ninguna, mira en «Peliculas» y en las compartidas cuyo nombre suene a videoteca («Series», «Cine»). Las grabaciones de las cámaras nunca entran.
• El nombre del archivo es la ficha. De «Origen (2010).mkv» saca el título y el año; de «Serie.S01E02.mkv» o «Serie - 1x02.mkv», la serie, la temporada y el episodio, y los agrupa. De fábrica no se consulta nada de fuera, así que lo que se ve es lo que hay en el archivo: un nombre bien puesto es toda la diferencia.
• Completar desde internet (Ajustes, y lo decide quien administra). Apagado de fábrica, y apagado el NAS no le cuenta a nadie qué películas tienes. Encendido, manda **el título y el año de cada película y de cada serie a Wikidata, a Wikipedia y a TVmaze**, y se trae carátula, sinopsis, géneros, fecha de estreno y los títulos de los episodios. No sale nada más: ni rutas, ni nombres de archivo, ni quién ve qué.
• Dos claves opcionales y gratuitas. Con la de themoviedb.org (vale la «API Key (v3)» o el testigo v4) las carátulas son mejores y llegan además el tráiler, el reparto y la saga; con la de omdbapi.com, la nota de IMDb. Sin ninguna funciona igual, con lo que dan Wikipedia y TVmaze. Cada clave se prueba al guardarla: si el catálogo no la reconoce, no se guarda y se dice por qué. Las claves no salen nunca del NAS y no viajan en la copia de la configuración.
• Lo de casa manda. Si al lado de la película hay un .nfo (el que dejan Kodi, Jellyfin y los organizadores de videoteca), de ahí salen el título y la sinopsis; y si el nombre del archivo o de la carpeta lleva un identificador de IMDb (tt1375666), la ficha se pide exacta en vez de buscarse por título.
• Se completa sola, poco a poco, después de cada búsqueda de películas; «Completar ahora» hace una tanda larga sin esperar. Lo que ningún catálogo reconoce se deja como está y no se vuelve a preguntar; lo que falló por la red se reintenta a las pocas horas.
• «Corregir», en la ficha, empareja a mano: busca por título y año y enseña las fichas candidatas con su carátula para elegir la buena.
• El tráiler se abre fuera, en una pestaña nueva: dentro del panel no se incrusta ningún reproductor de terceros.
• «Te puede gustar» y «Para ti». En la ficha de una película o de una serie sale una fila con hasta ocho títulos parecidos, y en la portada otra a partir de lo último que has visto tú (nadie ve la de otro). Solo se recomienda lo que ESTÁ en el NAS y dentro de tus carpetas: no hay nada que ir a buscar a ninguna parte. Con clave de themoviedb.org se usan sus recomendaciones y se cruzan con tu videoteca; sin clave se compara por saga, géneros y década, que es lo que trae «Completar desde internet». Con esa función apagada no hay nada con lo que comparar y las filas no salen. Lo calculado se guarda una semana; corregir una ficha a mano lo rehace.
• Avisar de episodios nuevos (Ajustes, debajo de «Completar desde internet» y dentro de él: apagado aquél, esto no pregunta nada). Una vez al día se le pregunta al catálogo por cada serie del NAS cuál fue su último capítulo emitido; si ése no está aquí, llega un aviso del panel con la temporada, el número, el título y la fecha en que se emitió. De cada capítulo se avisa una sola vez, aunque siga sin estar. Con clave de themoviedb.org se pregunta ahí; sin ninguna, a TVmaze. Una serie emparejada con Wikidata o con OMDb no da este aviso: esos catálogos no listan los episodios con su fecha.
• Carátulas: manda siempre la imagen que esté al lado (Origen (2010).jpg, poster.jpg, folder.jpg); después, la que se haya bajado del catálogo; y si no hay ninguna, el NAS saca un fotograma del 10 % de la película. Una película sin ninguna de las tres se pinta con su inicial: no es un error.
• Se pone al día sola. Mira si algo ha cambiado cada diez minutos y hace una pasada completa cada hora; «Buscar películas» sigue estando para cuando no quieres esperar.
• Se reproduce en el panel. Lo que el navegador abre tal cual se sirve por rangos (con sus propios saltos); lo que no —una película con sonido Dolby Digital, un MKV en un iPhone— lo convierte el NAS al vuelo, copiando el vídeo cuando basta con cambiar el sonido. La pantalla dice cuándo está convirtiendo y por qué.
• Calidad: al lado de los subtítulos, mientras ves algo. «Original» es lo normal; 1080p, 720p y 480p le piden al NAS que reduzca la imagen, que es lo que hace falta cuando la ves fuera de casa o en un móvil y va a tirones. Solo salen las calidades menores que la película. Se cambia sin perder el minuto y se queda elegida en ese equipo para las siguientes.
• Subtítulos: los .srt o .vtt que estén al lado del archivo, con el idioma en el nombre si lo lleva (Origen (2010).en.srt). Se convierten al vuelo a lo que entiende el navegador.
• Traerlos de internet. En la ficha de cualquier película hay un botón **«Buscar subtítulos»**: enseña lo que hay en el catálogo para ese título en el idioma del panel y baja el que elijas. El archivo se deja junto a la película (Origen (2010).es.srt), así que a partir de ese momento lo tiene toda la casa; si en esa carpeta no se puede escribir, se queda en el NAS y se ve igual.
• Los marcados «Para este archivo» son los que van sincronizados con tu copia exacta: el catálogo los ha emparejado por una huella del archivo, no por el título. Los demás pueden ir adelantados o atrasados respecto de tu montaje.
• «Subtítulos automáticos» (Ajustes, bajo «Completar desde internet» y apagado de fábrica): con él puesto, al abrir una película que no trae subtítulos en tu idioma el NAS los busca una vez y los deja puestos. Lo que no encuentra no se vuelve a preguntar solo; el botón de buscar a mano sí lo vuelve a intentar siempre que lo pulses.
• Sale de casa el título, el año y esa huella del archivo; nunca su ruta ni quién lo ve. La fuente es opensubtitles.org, y funciona sin registrarse en nada.
• Cuenta de opensubtitles.com, opcional. Sin ella se busca y se baja igual, con el cupo diario compartido por todo el mundo; con una cuenta gratuita propia (clave, usuario y contraseña) el cupo es tuyo. Se prueba al guardarla: si no la reconocen, no se guarda y se dice por qué. No sale nunca del NAS y no viaja en la copia de la configuración.
• Sigue donde lo dejaste. Cada cuenta guarda su propio minuto y nadie ve el de los demás; al 95 % la película se da por terminada y sale de «Seguir viendo». En una serie se ofrece el episodio siguiente.
• «Seguir viendo» también en el escritorio. Con el botón «+» del panel de recuadros (arriba a la derecha) se enciende el recuadro «Seguir viendo»: hasta seis películas o episodios a medias con su carátula y por dónde van, y un clic abre la aplicación en esa película. Solo se ofrece a quien tenga Películas y series.
• Cuentas infantiles. Marcando «Cuenta infantil» en la ficha de una persona (Panel de control → Usuarios y grupos), esa cuenta solo ve aquí lo calificado como **apto hasta 12 años**: el catálogo, las series, la búsqueda, «Seguir viendo» y el reproductor. El recorte lo hace el NAS, no la pantalla, así que pegarle la dirección de una película no apta tampoco la abre. Lo que no tiene calificación tampoco sale, así que enciende «Completar desde internet» —de ahí viene— o su videoteca se quedará casi vacía. La aplicación lo dice en una línea, para que no parezca averiada.
• La frontera es la de siempre: lo que no puedes abrir en Archivos no aparece aquí, ni su nombre ni su carátula.

Aplicaciones (Docker)

• Centro de Paquetes: instala las recetas de la casa (/var/nas/appstore/templates/), que llegan con cada versión del NAS: 1058 aplicaciones de otros desarrolladores, curadas y probadas por nosotros, cada una con su versión fija. No se descarga ningún catálogo de terceros.
• Buscador, chips de categoría con contadores y filtro «Instaladas» para moverse por el catálogo.
• El botón «⟳» de una app instalada descarga la imagen nueva y recrea contenedores.
• La app Docker muestra logs en vivo, CPU/RAM y controla contenedores individuales. Un contenedor creado a mano (desde el terminal, por ejemplo) que publique un puerto TCP tiene su botón «Abrir» y aparece en el Launchpad como una aplicación más.

Actualizar LGM-OS sin reinstalar

Desde el panel: Panel de control → Actualizar LGM-OS → «Actualizar ahora». Nada más. No hace falta volver a pasar la ISO por cada versión, ni tener acceso al código, ni configurar un repositorio: el NAS pregunta al servidor del fabricante cuál es la última versión, se la descarga y la instala.

Lo que ocurre por dentro, por si alguna vez hay que mirarlo:

1. El NAS pide la última versión publicada y la compara con la suya. Compara números, no texto: la 1.10.0 es posterior a la 1.9.0.
2. Descarga el paquete y comprueba su SHA-256 contra el que anunció el servidor. Si no coincide, no instala nada y lo dice con esas palabras: lo que llegó no es lo que el servidor dijo que iba a llegar, que es muy distinto de «falló la descarga».
3. Aplica la actualización con el mismo procedimiento de siempre: compila, valida y solo entonces promueve. Si el panel no responde después, revierte solo a la versión anterior.

Desde la consola: sudo lgm update.

Opciones

• Automático: «Buscar actualizaciones automáticamente» avisa en Notificaciones cuando hay una versión nueva; «Instalarlas sin preguntar» las aplica solas cada 6/12/24 horas o cada 7 días, y solo dentro de la franja que elijas (de fábrica, de 03:00 a 06:00): la actualización reinicia los servicios y los grabadores de cámaras, y de madrugada no molesta a nadie. Fuera de la franja el aviso llega igual.
• Desde tu propio código (solo si has clonado el repositorio): si el equipo tiene un checkout de git con remoto, el panel lo usa en vez del servidor de versiones. Es el camino de quien desarrolla; para un NAS instalado desde la ISO no hace falta nada de esto.

Lo que el NAS le cuenta a la web

Cada doce horas el NAS pregunta al servidor de versiones si su licencia —o su prueba— sigue valiendo, y en la misma llamada le cuenta cómo se llama, qué versión lleva, cuánto espacio le queda y si tiene avisos pendientes: es lo que ves en la ficha de tu NAS en tu cuenta de la web. Viajan también la huella del certificado del panel y sus direcciones dentro de tu red de casa, que es con lo que la app LGM Connect encuentra el NAS sin salir a internet.

Con ese mismo aviso viajan los datos técnicos del equipo, para poder ayudarte si algo falla: fabricante y modelo de la placa, procesador, memoria, los discos (modelo, tamaño, tipo y estado de salud), cómo están montados los volúmenes, el tipo de tarjetas de red y gráfica, y cuántas apps, máquinas virtuales y cámaras hay. Sin números de serie, sin direcciones de red y sin nada tuyo dentro (ni nombres de archivos, ni cuentas). Se apagan en Panel de control → Licencia → Datos técnicos y soporte, y Ver lo que se envía —en «¿Ha fallado algo?»— enseña exactamente lo que sale. Las versiones nuevas llegan por oleadas: a cada equipo le toca en un día distinto de los primeros, y «Instalar de todas formas» la pone antes de que le toque.

Mientras actualiza

Verás una barra con la fase y un porcentaje aproximado —copia de seguridad, paquetes del sistema, preparar la interfaz, backend, reiniciar servicios—. El paso largo es instalar los paquetes del sistema: puede tardar varios minutos sin dar señales, y eso es normal. La interfaz llega ya preparada y se coloca en segundos. El panel se reinicia a mitad: la barra lo dice y sigue contando en cuanto vuelve.

Al terminar, el actualizador comprueba que todo lo que estaba encendido sigue encendido (Docker, Samba, libvirt, NFS…) y, si algo se quedó parado, lo arranca y lo dice por su nombre. También si falla la actualización: una versión que se rinde a mitad no puede dejarte sin contenedores ni sin carpetas de la casa.

Si falla

El aviso rojo trae las últimas líneas del registro —que es donde está el error— y un desplegable con el registro completo. Desde la consola:

sudo tail -n 40 /var/log/lgm-update.log

Como la actualización revierte sola, el NAS se queda funcionando con la versión anterior: no hay prisa por arreglarlo. La causa habitual es quedarse sin espacio en el disco del sistema, y el panel lo dice con esas palabras.

Comprobación de los servicios

Panel de control → Comprobación del sistema revisa uno por uno el panel, el almacenamiento, SMB, NFS, WebDAV, SSH, Docker, las copias de seguridad y las cámaras. No mira lo que el panel tiene guardado que debería pasar: mira el sistema —si la unidad de systemd está viva, si hay algo escuchando en el puerto, si el cortafuegos lo deja pasar, si la configuración cuadra con lo que se pidió— y cada problema viene con qué hacer.

Es lo primero que hay que abrir cuando algo «no va» desde otro equipo: dice si el fallo está en el NAS o fuera de él, que es la mitad del trabajo.

Monitor de recursos

Qué ha estado haciendo el NAS mientras no mirabas. La app Monitor guarda el uso de procesador, memoria, disco y red y lo pinta en cuatro gráficas, con el rango a elegir: última hora, día, semana o mes.

Sirve para responder a las tres preguntas que no contesta un número instantáneo:

• «Va lento… ¿desde cuándo?» — un escalón en la gráfica de CPU o de memoria dice el día y casi la hora en que empezó, que suele coincidir con una aplicación instalada o con una copia nueva.
• «¿Se queda sin memoria?» — un techo plano al 100 % durante horas es eso; picos puntuales al copiar archivos son normales.
• «¿Aprovecho la red?» — la gráfica de red durante una copia grande dice si el cuello de botella es el disco o el cable.

El historial lo escribe el propio NAS cada pocos minutos y ocupa muy poco: no hace falta encender nada, ya está corriendo. Al reinstalar o al destruir el volumen se empieza de cero, porque es historia, no datos.

El escritorio

Todo el panel vive en un escritorio con ventanas, igual en el navegador que en LGM Connect.

Escritorios virtuales y centro de control

• Hay tres escritorios, cada uno con sus ventanas. Se cambia con Ctrl+Alt+← / →, deslizando dos dedos de lado sobre el fondo o desde los escritorios de la bandeja del dock. Para llevar una ventana a otro, botón derecho en su barra de título → «Mover a otro escritorio». Al recargar, cada ventana vuelve a su escritorio.
• Ctrl+Espacio abre el Centro de control: todas las apps y ajustes que tu cuenta puede abrir, ordenados, y los ajustes de este dispositivo, con la letra grande a mano.

El botón derecho y la pulsación larga

• El botón derecho saca un menú en todas partes: el fondo, la barra de arriba, las ventanas, los widgets, el dock, Aplicaciones y dentro de cada app. En los campos de texto sigue saliendo el del navegador, para copiar y pegar.
• Los menús llevan submenús y sus atajos a la vista, y se manejan con las flechas, Intro y Esc.
• En el fondo están «Actualizar el escritorio» y «Ajustes rápidos» (tema, widgets y barra). En la barra de título de una ventana: minimizar, maximizar, acoplar a media pantalla, cambiar de escritorio o cerrar. Sobre una app de Aplicaciones: abrirla, ponerla en el escritorio o fijarla en la barra.
• En el móvil, mantén el dedo medio segundo en cualquier sitio: sale el mismo menú, y confirmar da un toque de vibración.

El dock y los widgets

• El dock trae de serie las apps de uso diario que tu cuenta puede abrir, y las abiertas al final, tras una raya. Un punto marca la app abierta, un globo sus avisos sin leer, y el icono enseña el avance de sus tareas. Si ya lo tenías a tu gusto, se queda como estaba.
• Tiene tres modos, en su botón derecho → «Configurar la barra»: «Siempre visible», «Ocultarse sola» y «Flotante compacta».
• Al final del dock está la bandeja del sistema: los escritorios, la red del NAS, apagar o reiniciar y «Tu cuenta», donde están tus datos y «Cerrar sesión».
• Cada widget elige su tamaño —«Pequeño (media fila)», «Ancho (fila entera)» o «Grande»— en su menú «⋯» o con el botón derecho, que también lo pliega, lo configura, lo duplica o lo quita. Se guarda con tu cuenta, así que te sigue a otro equipo.

IA local

La app IA local responde desde el propio NAS, sin mandar nada fuera. Quien administra la enciende y elige el modelo; después la reparte en Panel de control → Usuarios y grupos como cualquier otra app (de serie no la tiene nadie más).

• Cada cuenta, la suya. Cada persona con el permiso la usa con sus carpetas y sus documentos: resumirlos, dejar una hoja de cálculo en su carpeta, ordenar su escritorio. Lo que habla cada cuenta, y lo que la IA recuerda de ella, solo lo ve ella, ni quien administra.
• Conversaciones guardadas. En «Conversaciones» hay varias, con nombre, guardadas en el NAS: siguen ahí al cerrar la ventana o recargar. «Empezar otra conversación» abre una nueva.
• Usa el panel con tus permisos. Busca la acción, te deja el botón para ir a la pantalla y, si algo cambiaría el NAS, te enseña antes lo que va a hacer y espera a que pulses «Aprobar». Nunca puede más que tú, y lo que lee de un documento lo toma como dato, no como orden. «Parar» la corta en el acto. A quien administra, además, puede instalarle una app del Centro de Paquetes o medir la velocidad de los discos, siempre con aprobación.
• El estado del NAS. Pregúntale cómo está el NAS y contesta con la tarjeta **«Cómo está el NAS ahora»**: un veredicto —Bien, Atención o Grave— con sus cifras (discos, temperaturas, red, tarjeta gráfica) y la guía de la que sale cada paso; cada cita abre su guía. Al abrirse sugiere lo que conviene revisar: un disco caliente, una copia que falló, un volumen casi lleno.
• «Pregúntale a la IA», en el botón derecho de un contenedor, un disco, un archivo, un aviso o un widget, le pregunta por eso sin tener que explicarlo.
• «Explícamelo fácil», debajo de cada respuesta junto a copiar y volver a preguntar, la repite sin palabras técnicas.

La pestaña Gráficas

La antigua app Gráficas e IA es ahora la pestaña Gráficas de IA local, y solo la ve quien administra: cada tarjeta gráfica y dispositivo de IA del NAS, cuánto se usa y qué aplicaciones la tienen. Si tenías un acceso directo a la app de antes, ya no está: abre IA local → Gráficas.

Terminal web

Shell real en el navegador, solo para administradores. Arranca como el usuario del servicio (nas, sin privilegios), y el botón «Sesión root» abre una shell de administrador. Las dos —y también la consola de un contenedor, en Docker— piden antes confirmar la contraseña y el código del segundo factor si lo tienes activo (o una llave de acceso): el permiso es un token de un solo uso que caduca en 60 segundos y solo abre la consola para la que se pidió. La sesión root la crea el helper privilegiado (el servicio del panel corre con NoNewPrivileges=yes, donde sudo no puede funcionar) y cada apertura queda en la auditoría. Desde ahí puedes instalar lo que quieras (docker run …, apt install …); si lo que lances publica un puerto web, saldrá en Docker y en el Launchpad.

Licencia y prueba

Hay una licencia Doméstica (pago único, con un año de actualizaciones que se amplía de año en año), una Vitalicia (actualizaciones para siempre) y la Empresarial (mensual, anual o vitalicia). Todo se hace en Panel de control → Licencia, que enseña también la cuenta atrás de las actualizaciones que le quedan.

• Cuando acaban las actualizaciones, el NAS sigue funcionando entero: solo no instala las versiones publicadas después. Actualizar LGM-OS lo dice y lleva a lgm-os.com para ampliar un año o pasar a Vitalicia; la licencia ampliada le llega sola al NAS en unas horas.
• Si una suscripción Empresarial se cancela, al acabar lo pagado el NAS sigue como doméstico: lo de empresa se apaga y no se borra nada.
• Enlazar tu cuenta. Pulsa Enlazar mi cuenta: el panel enseña un código y una dirección de lgm-os.com. Ábrela desde cualquier equipo —el móvil vale—, entra con tu cuenta gratuita y elige qué hacer con ese NAS: empezar la prueba o usar una licencia tuya. El panel se entera solo en unos segundos; no hay que copiar ninguna clave.
• La prueba dura 60 días y lo abre todo menos la dirección de LGM Túnel, que es de la licencia. Es una por equipo y de la cuenta que la empezó: reinstalar continúa la misma prueba, con la misma fecha de fin.
• Un NAS recién instalado tiene 7 días para enlazarse. Hasta entonces funciona entero y el panel te lo recuerda.
• Si tienes varias licencias, al enlazar eliges cuál va en ese equipo y le pones un nombre («Casa», «Oficina») para distinguirlas en tu cuenta.
• Con una licencia comprada no hace falta enlazar nada: **Tengo una clave → Pegar una clave** sigue funcionando igual que siempre.

Cuando la prueba se acaba: «solo datos»

Sin licencia, al acabar la prueba —o los 7 días sin enlazar— el NAS queda en solo datos. Tus datos nunca se retienen:

• Sigue funcionando lo que sirve para llevártelos: entrar al panel, **ver y descargar todos tus archivos, las carpetas de la casa en solo lectura** desde tus equipos, el estado de los discos y sus avisos, actualizar el sistema, apagar y reiniciar.
• Se pone en pausa todo lo demás: las apps y las máquinas virtuales se detienen, las cámaras dejan de grabar y las copias y tareas programadas no corren. La VPN y el nombre de casa siguen funcionando: si estás fuera, puedes entrar a por tus archivos y a activar la licencia.
• No se borra nada. Al activar una licencia, lo que estaba en marcha vuelve a arrancar tal como lo dejaste.

¿Ha fallado algo?

¿Ha fallado algo? está en la barra de arriba del escritorio —en el móvil, lo primero del centro de control— y en Panel de control → Licencia. Manda un informe a soporte: lo que escribas, la versión y la app que fallaba. Si dejas marcada la casilla, acompaña los datos técnicos del equipo y las últimas líneas de error del panel, de las que el NAS quita antes contraseñas, direcciones con credenciales, correos y rutas de carpetas personales. Nadie entra en tu NAS: el informe es lo único que sale.

Sistema

• Nombre del equipo: el que pusiste al instalar se cambia en **Panel de control → Información del equipo, con el botón Cambiar** que hay al lado del nombre. Solo letras minúsculas, números y guiones (de 1 a 63, sin empezar ni acabar en guión): es un nombre de máquina, no un título. Es la dirección por la que se entra al NAS (https://<nombre>.local:5001), así que al cambiarlo hay que actualizar los marcadores de toda la casa. El NAS se vuelve a anunciar solo en la red (el Finder del Mac y «Red» de Windows); el certificado del panel lleva el nombre dentro y se rehace en el siguiente reinicio, así que hasta entonces el navegador avisa al entrar por el nombre nuevo.
• Red: IP estática/DHCP por interfaz vía systemd-networkd. ⚠️ Un error aquí puede dejar el NAS inaccesible; ten consola física a mano.
• Hora: la zona horaria y la sincronización por NTP están en Panel de control → Región e idioma. Debajo, Servidores de hora deja escribir los tuyos, uno por línea (pool.ntp.org, o la dirección del router, que casi siempre da la hora). Vacío = los que trae el sistema, que es lo normal; se cambian cuando la red no tiene salida a internet o tiene cerrado el puerto 123/UDP, porque con el reloj mal caducan certificados antes de tiempo y las tareas programadas se disparan a deshora.
• Pantalla del servidor (modo quiosco): si el equipo tiene un monitor conectado (o la consola de su máquina virtual), arranca enseñando este mismo panel a pantalla completa, como cualquier otro sistema operativo, y se sigue administrando por la web desde el resto de la red igual que antes. Se instala solo cuando hay pantalla y se apaga con un interruptor en Panel de control → Información del equipo.

La consola nunca desaparece: el panel ocupa el terminal 7 y el inicio de sesión de siempre se queda en el 1. Si la pantalla se rompe —X no arranca, el navegador se cierra, el panel no responde— con Ctrl+Alt+F1 tienes una consola de verdad, y Ctrl+Alt+F7 vuelve al panel. Desde la consola, lgm kiosk off la apaga, lgm kiosk log dice por qué falla y lgm kiosk on la vuelve a encender.

• Actualizaciones del sistema operativo: no se hacen desde el panel. Un apt upgrade desatendido puede reiniciar servicios o dejarlos a medias sin nadie delante; quien quiera actualizar Debian tiene el terminal. Lo que sí se actualiza desde el panel es LGM-OS, que es código propio y sabe reiniciarse solo.
• Copia de la configuración: descarga puntual o tarea programada tipo «backup» hacia un pool. Lleva todo el estado del panel (usuarios, grupos, carpetas de la casa con sus permisos, servicios, firewall, red, tareas…) menos los secretos del equipo, que se regeneran. No incluye tus datos (para eso, la app Copias de seguridad); guárdala dentro de la copia externa, porque es lo primero que necesitarás al reconstruir el equipo. Detalle y restauración en disaster-recovery.md.
• Registros: journald por unidad; Auditoría: quién hizo qué y desde qué IP.
• Enviar los registros a otro equipo (syslog): Panel de control → Centro de registros → Enviar los registros a otro equipo. Manda una copia de todo lo que el NAS deja escrito a un servidor de registros de tu red (equipo, puerto —514 por defecto— y UDP o TCP). Sirve para tenerlo todo junto y, sobre todo, para que el rastro quede fuera del NAS si alguien le entra. Al guardar se prueba el destino: con TCP la respuesta es de verdad, y con UDP solo se comprueba que el equipo existe en la red, porque nadie confirma un datagrama. Lo hace rsyslog, que LGM-OS instala y deja apagado hasta que enciendas esto; en un NAS instalado antes de la 1.65 puede faltar y la pantalla te dice cómo ponerlo.

Restablecer de fábrica

Panel de control → Restablecer de fábrica deja el panel como el primer día sin reinstalar ni tocar los discos: para cuando el NAS cambia de manos o prefieres empezar la configuración de cero. Solo lo ve quien administra.

Cómo se confirma. Hacen falta tres cosas: tu contraseña, el código de dos pasos si tu cuenta lo tiene y un código de ocho letras y números que solo sale en la pantalla conectada al NAS. Pulsa Pedir el código y míralo allí (si esa pantalla enseña el panel, pulsa Ctrl+Alt+F1). Caduca a los diez minutos, admite tres intentos y hay que escribirlo a mano, porque es lo que demuestra que tienes el NAS delante. Sin pantalla conectada no se puede: enchufa una. Tampoco mientras haya en marcha algo que mueve datos —una copia, una restauración, un cambio de disco— o una actualización: la pantalla dice qué es y que esperes.

Lo que pasa después. Antes de borrar nada, el NAS guarda una copia de los ajustes de ahora en su disco del sistema, en /var/nas/apartados/fabrica-<fecha>. Al terminar se reinicia el panel y te pide crear la cuenta de administrador, como el primer día, con el código de alta de la pantalla del NAS. El primer aviso dice dónde quedó esa copia y, si algo no se pudo quitar, qué es y qué hacer con ello. Desde el panel no se puede deshacer.

Tus datos siguen en los volúmenes: si el NAS se va de casa y quieres borrarlos también, elimina el pool en Almacenamiento.

Seguridad

• Arquitectura de dos procesos: la API corre como usuario nas sin privilegios y delega en nas-helper (root) a través de un socket Unix; el helper solo acepta una lista cerrada de comandos y rutas (backend/app/core/allowlist.py).
• TLS: autofirmado generado en el primer arranque, con las direcciones del equipo dentro y con validez de 396 días —por debajo del tope de 398 que aceptan iOS y iPadOS; con más, un iPhone no deja entrar al panel ni con el aviso—. Se revisa en cada arranque y se rehace solo si va a caducar o si el NAS cambia de IP; el tuyo o el de Let's Encrypt no se tocan. Lo normal es sustituirlo por uno de Let's Encrypt al publicar el NAS (ver Acceso desde internet); para poner uno tuyo a mano: ```bash cp tucert.pem /etc/nas/tls/cert.pem && cp tuclave.pem /etc/nas/tls/key.pem chgrp nas /etc/nas/tls/key.pem && chmod 640 /etc/nas/tls/key.pem systemctl restart nas-backend ```
• Protección de login: 10 intentos/minuto por IP; 5 fallos seguidos bloquean la cuenta 5 minutos. Todo queda en la auditoría.
• Duración de la sesión: de fábrica el panel se cierra solo a los 30 minutos sin usarlo, y se cambia en Panel de control → Seguridad → Reglas de la contraseña → **Duración de la sesión** (de 5 a 1440 minutos). No es un plazo duro: cada cosa que haces alarga la sesión, así que trabajando no se corta nunca y lo que caduca es un panel abierto y olvidado. Quien marque «mantener la sesión iniciada» al entrar sigue con 30 días, y las sesiones ya abiertas duran lo que se les dio: el plazo nuevo manda a partir del siguiente acceso.
• Roles: admin (total) y viewer (solo lectura), gestionados en Seguridad.
• Nunca abras el puerto 5001 en el router: sirve el panel con certificado autofirmado y expone la API de administración sin nada delante. Ya no hace falta ese apaño, porque hay dos formas mejores de llegar desde fuera y el NAS trae las dos: la VPN —WireGuard, o Tailscale y NetBird— (no publica ningún servicio en internet) o el acceso externo con Apache en 80/443 y certificado válido de Let's Encrypt. Las dos secciones siguientes.

Acceso desde internet

Panel de control → Acceso externo: dominio dinámico (DDNS), certificado de Let's Encrypt y proxy inverso para publicar el panel y las apps por subdominio. Apache queda como único servicio expuesto (80 y 443) y reenvía a 127.0.0.1; el puerto 5001 y los de las apps no salen del NAS. Con un certificado válido, además, la interfaz se puede instalar como aplicación (PWA).

El procedimiento completo —puertos del router, DuckDNS paso a paso, emisión y renovación del certificado, subdominios y la lista de seguridad previa (2FA, Asesor de seguridad, bloqueo de IPs)— está en external-access.md. Alternativa más conservadora si no necesitas compartir con terceros: la VPN del propio NAS (sección siguiente), sin exponer ningún servicio.

Servicios de red (VPN, DNS y DHCP)

Panel de control → VPN, DNS y DHCP. Las tres piezas que convierten el NAS en el centro de la red de casa, ordenadas por riesgo:

• La VPN es la forma más segura de llegar al NAS desde fuera: no publica ningún servicio en internet y da acceso a toda la red local, no solo al panel.
• Tailscale y NetBird se instalan desde la misma pantalla, en sus pestañas, y son el camino cuando no puedes abrir puertos (CGNAT). Lo que entra por ellos cuenta como de casa en el cortafuegos.
• El DNS y el DHCP son el mismo servicio (dnsmasq), así que pararlo detiene los dos: es justo lo que se necesita en una emergencia (sudo systemctl stop dnsmasq).
• dnsmasq se instala desactivado y solo arranca cuando activas DNS o DHCP desde el panel.

Puertos del router, instalación del cliente de VPN paso a paso, cómo apuntar los equipos al DNS y —lo más importante— cómo recuperar la red si el DHCP te deja sin conexión: network-services.md. Léela antes de activar el DHCP, y guárdala en el móvil: si te quedas sin red, no podrás consultarla desde el NAS.

Publicar apps en el catálogo

Cada app es un directorio /var/nas/appstore/templates/<id>/ con:

• manifest.json — id, nombre, descripción, images (pre-descargadas con progreso), web_port y env (variables que el instalador pide al usuario; secret las oculta).
• docker-compose.yml — consume esas variables más NAS_APP_DATA (ruta de datos que inyecta el backend).

Instalar exige un pool: los datos de cada app viven en <pool>/docker/<id>/ (las instalaciones anteriores a esta política siguen en /var/nas/apps/ y no se mueven). Esa carpeta docker no es una carpeta de la casa —el gestor de archivos y SMB/NFS no la enseñan— y su nombre está reservado al crear carpetas de la casa. Cada puerto que la app publique (y, si comparte la red del NAS, los que declara su receta) recibe al instalarla una regla en el cortafuegos con el nombre de la app, abierta a la red de casa. En Seguridad → Cortafuegos se cierra o se abre a cualquier origen; esa elección vuelve si se reinstala, y la regla se retira al desinstalar.

Para un repositorio remoto sirve por https un index.json:

{
  "apps": [
    {
      "id": "jellyfin",
      "manifest_url": "https://repo.example.com/jellyfin/manifest.json",
      "compose_url": "https://repo.example.com/jellyfin/docker-compose.yml",
      "sha256_manifest": "<sha256>",
      "sha256_compose": "<sha256>"
    }
  ]
}

Consola de flota

Edición Empresarial. La app Flota enseña de un vistazo todos los LGM-OS de la empresa: si están bien, sus avisos sin leer, discos y volúmenes, capacidad, última copia buena y versión, con la actualización que tengan pendiente. Habla con cada NAS por su panel cifrado de siempre (el 5001): no abre ningún puerto nuevo. Un NAS que no contesta sale con su motivo y con lo último que se supo de él, sin frenar a los demás.

Añadir un NAS. En el NAS que quieres ver, abre Flota → Este NAS y crea una clave: Solo ver (lee su resumen y nada más) o Ver y actualizar (además, puede lanzar su actualización). En la consola, pulsa «Añadir un NAS», escribe su dirección y pega la clave. Antes de mandarla, la consola enseña la huella del certificado de ese NAS: compárala con la que sale en Flota → Este NAS y, si no es la misma, no sigas.

Un certificado que cambia. Desde el alta, la consola solo habla con ese NAS si su certificado lo firma la misma autoridad: la renovación de cada año no da la alarma, pero un NAS reinstalado (o alguien que se hace pasar por él) sale como «Certificado cambiado» y no recibe la clave. Tras reinstalarlo, «Comparar la huella otra vez».

Actualizar en grupo. Marca «Incluir al actualizar» en los NAS que quieras y pulsa «Actualizar los elegidos». Se actualizan de uno en uno, en el orden de la lista, y si uno falla se para ahí: los demás se quedan como estaban.

Las claves. Las de los demás NAS se guardan aparte, fuera de la copia de la configuración, y el panel no las vuelve a enseñar. Si restauras la configuración en otro equipo, vuelve a añadir cada NAS. Para que una consola deje de ver un NAS, revoca su clave en ese NAS (Flota → Este NAS).