Construindo um Cluster de Homelab com Peças Usadas

Alguns meses atrás, este laboratório era uma única máquina. Agora são quatro.

Não porque eu planejei assim — mas porque é assim que homelabs realmente crescem. Você começa com algo modesto, fica sem espaço, aparece uma promoção ou uma máquina de segunda mão, e de repente você está rodando um cluster ao invés de um único servidor. Aqui está como o meu terminou com quatro nós Proxmox, o que cada um faz, e o que eu diria para o eu do passado se pudesse.

Aqui está a topologia atual, de ponta a ponta:

O cluster hoje

pve1 é o cavalo de batalha. 64GB de RAM (upgrade a partir de 16GB, depois que ficou claro que as VMs de atacante/vítima, as ferramentas de detecção, e os serviços de infraestrutura queriam todos um lugar com espaço para respirar). É aqui que acontece a maior parte do trabalho “ativo” do laboratório — as máquinas que eu ataco, defendo, e instrumento no dia a dia.

pve2 começou como um segundo nó pequeno e desde então passou a carregar parte da infraestrutura do meu laboratório de Active Directory. Não é glamouroso, mas os serviços de domínio precisam de um lugar confiável para funcionar.

pve3 é dedicado ao SIEM. O Wazuh vive aqui, sozinho, de propósito — eu não queria que a infraestrutura de detecção competisse por recursos com as coisas que ela deveria estar monitorando.

pve4 é a adição mais recente: um Dell OptiPlex SFF com CPU de 6 núcleos/12 threads, 24GB de RAM, um SSD NVMe rápido para o sistema operacional, e um disco separado de ~8TB conectado só para armazenamento em massa. Esse armazenamento extra é a verdadeira novidade aqui — é o primeiro nó do cluster que não é limitado por espaço em disco, o que abre portas para coisas que eu não conseguia nem considerar antes (retenção de capturas de pacote, janelas de backup maiores, ferramentas que consomem muito espaço que eu vinha adiando).

Por que um cluster ao invés de uma máquina maior

De vez em quando me perguntam isso, e a resposta honesta é: não foi bem uma decisão, foi um acúmulo. Cada nó apareceu por um motivo diferente — um upgrade de RAM aqui, uma máquina de graça ali — e o cluster do Proxmox significou que eu não precisava escolher entre eles. Eu pude manter tudo, gerenciar de um só lugar, e distribuir o trabalho para o nó que fizesse mais sentido para cada tarefa.

Também existe um benefício real que só ficou óbvio depois: separação de responsabilidades. Manter o SIEM no seu próprio nó significa que uma VM barulhenta no range de ataque não consegue sufocar a coisa que deveria estar registrando os logs dela. Manter a infraestrutura de AD semi-isolada significa que um teste ruim de Kerberoasting não derruba o controlador de domínio que eu preciso para os próximos dez laboratórios.

Uma palavra sobre onde comprar o hardware

Vale mencionar: parte desse equipamento (como o upgrade de RAM do pve1) foi comprado há um tempo, antes da demanda impulsionada por IA empurrar os preços de memória e componentes para cima em geral. Se eu fosse comprar a mesma RAM hoje, custaria bem mais.

Essa mudança de preços é exatamente o motivo pelo qual o pve4 veio do eBay ao invés de uma loja de varejo. Desktops de escritório e peças usadas continuam com preços razoáveis mesmo com o hardware novo ficando mais caro, e para um homelab, “preço razoável e bom o suficiente” ganha de “novo em folha e justificável” o tempo todo. Prefiro gastar a economia em armazenamento ou em um quinto nó do que pagar um preço premium por peças que um homelab não precisa ter zero-quilômetro.

O que eu faria diferente

Se eu estivesse começando do zero, eu pensaria em armazenamento bem mais cedo do que pensei. A maioria dos meus nós começou a vida limitada por espaço em disco, e só quando o pve4 apareceu com armazenamento de verdade que eu percebi o quanto isso vinha silenciosamente limitando quais laboratórios eu conseguia sequer tentar — qualquer coisa envolvendo retenção séria de PCAP ou imagens forenses grandes simplesmente não era viável antes.

Eu também planejaria os papéis de cada hardware desde o início, ao invés de decidir depois. Definir “esse nó é para infraestrutura de detecção, ponto final” depois dos fatos funciona, mas teria evitado algumas migrações de VM desajeitadas se eu soubesse disso desde o primeiro dia.

O que vem a seguir

Com o armazenamento do pve4 no lugar, algumas ideias que estavam engavetadas voltaram à mesa — coisas que precisavam de espaço em disco de verdade que eu simplesmente não tinha antes. Mais sobre isso conforme for tomando forma.

Se você está construindo algo parecido: pense maior do que você acha que vai precisar, especialmente em armazenamento, porque você vai crescer para dentro disso mais rápido do que espera. E não tenha medo de rodar hardware desencontrado — um cluster não se importa que um nó seja cinco anos mais novo que outro, ele só quer nós.

Notas completas de construção, análises de detecção, e configurações (sanitizadas) estão no repositório público → github.com/davidbrown-sec/cybersecurity-homelab