Migracion servicios a Cloudflare Tunnel post-CGNAT: dockge + nginx router + 16 CNAMEs

planificacion/mudanza-departamento.md

@@ -121,3 +121,25 @@
 
 *Plan de mudanza de oficina - Consultoria-AS*  
 *Actualizado: 8 Septiembre 2026 — Agregados minisplits inverter (sala + servidores), teclado musical y rack de bicicletas exterior*
+
+---
+
+## 📡 Migración a Cloudflare Tunnel (post-CGNAT) — 20 Sept 2026
+
+La nueva oficina entrega internet por **CGNAT**: sin port forwarding posible. La exposición externa migró a **Cloudflare Tunnel**:
+
+| Componente | Detalle |
+|---|---|
+| **Conector** | `cloudflared` contenedor Docker en **Dockge** (192.168.10.74), `network_mode: host`, stack `/opt/stacks/cloudflared/` |
+| **Túnel** | `oficina-dockge` (ID 74123581-44be-4011-939a-9c0f815b2958), dashboard-managed |
+| **Ingress** | `*.consultoria-as.com` → `http://localhost:8081` |
+| **Router** | nginx en Dockge (`:8081`): server blocks por hostname → servicio interno; consolas PegaProx siguen en SU túnel propio (LXC 125) |
+| **DNS** | 16 subdominios migrados de A→CNAME `<tunnel-id>.cfargotunnel.com` (proxied) |
+
+**Estado de servicios (verificado 20/Sep)**: git ✓, odoo ✓, n8n ✓, immich ✓, metabase ✓, status ✓, nexus ✓, afterlife ✓, recetas ✓, navidrome ✓, 3d ✗ (app caída), mesh ✓, cronicas ✓, pagoda ✓, hacienda ✗ (app caída), api-hacienda ✗ (app caída).
+
+**Notas de red nueva oficina**:
+- ISP con **CGNAT** + bloqueo de **DNS externo por UDP/53** → los LXCs deben usar el DNS del router (`192.168.10.254`), no 1.1.1.1/8.8.4.4.
+- Gateway/router: `192.168.10.254` responde ✓; subnet LAN se mantuvo `192.168.10.0/24`.
+- puerto **8080 en Dockge = qbittorrent** (no usar para otros servicios); router nginx en **8081**.
+