Migracion a IP estatica GetAStatic Pro: DNS A + Caddy TLS (sin limites Cloudflare)

planificacion/mudanza-departamento.md

@@ -143,3 +143,43 @@ La nueva oficina entrega internet por **CGNAT**: sin port forwarding posible. La
 - Gateway/router: `192.168.10.254` responde ✓; subnet LAN se mantuvo `192.168.10.0/24`.
 - puerto **8080 en Dockge = qbittorrent** (no usar para otros servicios); router nginx en **8081**.
 
+
+---
+
+## 🚀 Migración a IP Estática (GetAStatic Pro) — 21 Sept 2026
+
+Se contrató **GetAStatic Pro** (IPv4 estática dedicada vía WireGuard, California) para eliminar los límites de Cloudflare Tunnel y restaurar el flujo clásico de reverse proxy.
+
+### Arquitectura nueva
+
+```
+Internet ──► 199.87.229.133 (IP estática GetAStatic)
+                │  (túnel WireGuard de GetAStatic)
+                ▼
+          OPNsense (oficina) ──► DNAT 80/443
+                ▼
+          Caddy (Dockge, stack Docker) — TLS Let's Encrypt (DNS-01 Cloudflare)
+                ▼
+          Servicios internos (192.168.10.x)
+```
+
+### Cambios aplicados
+
+| Elemento | Antes | Ahora |
+|---|---|---|
+| DNS de 15 subdominios (consultoria-as.com) | CNAME → túnel Cloudflare | **A → 199.87.229.133** (DNS-only, sin proxy) |
+| DNS nexus (wildcard, apex, manager) | CNAME → túnel | **A → 199.87.229.133** (DNS-only) |
+| TLS | Cloudflare edge | **Caddy** (DNS-01 con token Cloudflare por sitio) |
+| Límite de subida | 100 MB (plan free CF) | **Sin límite** (Jellyfin/streaming OK) |
+| `pegaprox` | túnel propio + nginx loopback | **Caddy → 192.168.10.125:8080** (bloque añadido al Caddyfile con TLS DNS-01) |
+| `horuxfin.com` | Route53 → (sin salida) | Route53 → **IP GetAStatic** (307 ✓) |
+
+### Ajustes técnicos
+
+- El nginx router del LXC PegaProx (125) escuchaba en `127.0.0.1:8080` (solo para su túnel) → cambiado a `0.0.0.0:8080` para que el Caddy lo alcance.
+- El bloque `pegaprox` en el Caddyfile requiere el bloque `tls { dns cloudflare <token> }` como los demás sitios — sin él Caddy intenta TLS-ALPN y falla.
+- Los túneles de Cloudflare (Dockge y PegaProx) quedan **corriendo sin tráfico** como fallback temporal; apagarlos cuando se confirme estabilidad.
+
+### Estado verificado (21 Sep)
+
+✅ git, odoo, n8n, immich, metabase, status, hacienda, afterlife, navidrome, mesh, jellyfin, mediarequest, nexus, pegaprox, nexusautoparts.com.mx, manager, clientes wildcard (strada, atlas…), horuxfin.com