Un autor técnico explica cómo dos enfoques para ejecutar contenedores —rootless con Podman y rootful con Docker— aparecen idénticos en la práctica pero tienen implicaciones distintas sobre seguridad, redes y diagnóstico de incidentes. Su experiencia incluye caídas intermitentes, migraciones de VPS y una analítica que ofrecía datos erróneos sobre el origen de las visitas.
Qué cambia entre Podman rootless y Docker rootful
La diferencia no está en el nombre del binario, sino en dónde reside el privilegio. En Podman, por defecto, los contenedores pueden ejecutarse en modo rootless: esos procesos son hijos de la sesión de usuario y dentro del contenedor el UID 0 se mapea a un UID sin privilegios fuera (gracias a los namespaces de usuario y a newuidmap/newgidmap). Si alguien logra escapar del contenedor no se encuentra con el root del host.
En Docker clásico, en cambio, un demonio que corre como root (dockerd) gestiona los contenedores, lo que centraliza privilegios y cambia el perfil de riesgo. Esa diferencia aporta seguridad en escenarios distintos y también afecta a aspectos operativos como la red y la trazabilidad de conexiones.
Cómo influyó esto en la disponibilidad y la migración
El autor relata caídas intermitentes del sitio sin monitorización ni métricas precisas, lo que le llevó a asumir inicialmente que el problema venía del proveedor y a migrar de VPS. Tras mover contenedores y cambiar de proveedor, el problema persistió porque la causa —según su diagnóstico— estaba en la capa de caché: un servicio tipo Redis/Valkey que consumía toda la RAM del host cuando no se le imponían límites de memoria.
Sin datos de telemetría (estadísticas de uso de memoria, logs del kernel o métricas del propio almacén en memoria) no puede probarse con certeza. El autor reconoce que, para confirmarlo, haría falta consultar el estado de memoria del almacén (por ejemplo con la herramienta de diagnóstico del servicio) y revisar el registro del kernel en busca de mensajes del OOM killer.
Por qué las IP reales importan en la analítica
En el servidor se aloja Umami, una analítica self-hosted que no usa cookies y agrupa visitas mediante un hash que incluye la IP, el User-Agent y una sal rotativa. Para medir país de origen o referencias, la IP es un dato esencial: si la red del contenedor modifica o enmascara la IP del cliente (por ejemplo por proxies, NAT o técnicas de red del host), la analítica puede atribuir mal el origen de las visitas y ofrecer informes engañosos.
El autor subraya que elegir una solución de analítica que preserve la privacidad (Umami) no elimina la necesidad de garantizar que la infraestructura redes no altere la procedencia real de las conexiones. La configuración de red del contenedor y del host puede afectar directamente la calidad de los datos recogidos.
Lecciones prácticas para administradores y propietarios de webs
- Mide primero, concluye después: instala monitorización básica (métricas de memoria, CPU, uso de swap y logs del kernel) antes de mover servidores o cambiar proveedor.
- Usa límites en caches en memoria: si empleas Redis o un fork compatible (como Valkey), configura maxmemory y políticas de expulsión para evitar que consuman toda la RAM y provoquen OOM.
- Comprende el modo de ejecución de contenedores: rootless reduce el riesgo en caso de escape, pero puede comportarse distinto en red y permisos; rootful centraliza la gestión y cambia el modelo de riesgo.
- Verifica la preservación de IPs: si dependes de la IP para analítica o geolocalización, revisa que proxies, NAT y la configuración de contenedores no estén alterando la IP de origen.
- Parchea independientemente del nombre: forks y renombres de proyectos (por ejemplo, migraciones de Redis a alternativas) no eliminan vulnerabilidades heredadas; aplica actualizaciones y parches según los avisos de seguridad.
El autor admite que su diagnóstico no está probado por falta de métricas, pero usa la experiencia para insistir en prácticas básicas de operación: monitorizar, limitar recursos y confirmar la fidelidad de la red para la analítica.
Lee también:
- Open-WebUI 0.12.5 añade explorador de sesiones, notas multipágina y presencia en vivo
- Google permitirá instalaciones Android con un solo toque desde tiendas de apps autorizadas fuera de EE. UU.
Fuente: atareao con Linux
