termalTu Home Assistant está en http://homeassistant.local:8123, tu Grafana en :3000, y los dos están atrapados en tu red doméstica. Los quieres en un navegador desde la oficina, desde el móvil, o compartidos con alguien — sin convertir tu router en una superficie de ataque. Aquí tienes cinco formas de hacerlo, lo que de verdad te cuesta cada una, y un paso a paso para la vía solo por invitación.
Por qué no reenviar sin más el 8123 o el 3000
Reenviar el puerto en tu router pone una página de inicio de sesión — a veces un panel abierto — delante de todos los bots de internet. A Home Assistant y Grafana los sondean sin parar en cuanto los encuentran, y basta con una contraseña reutilizada o una CVE sin parchear. Además, el CGNAT (habitual en la fibra doméstica y en 4G/5G) a menudo hace imposible el reenvío de todos modos. Cada opción de abajo existe para evitar ese único puerto abierto.
Las cinco opciones
| Opción | ¿URL pública? | En el dispositivo de quien mira | ¿Va más allá de HA? | Coste |
|---|---|---|---|---|
| Nabu Casa (HA Cloud) | Sí, tu propio subdominio | Nada | No — solo Home Assistant | Suscripción |
| Cloudflare Tunnel | Pública, o con control de Access | Nada, o un inicio de sesión de Access | Sí | Plan gratis; necesita un dominio |
| Tailscale / WireGuard | No — malla privada | Un cliente VPN, en todas partes | Sí | Plan gratis |
| Proxy inverso + reenvío de puertos | Sí — en internet | Nada | Sí | Tu tiempo + la exposición |
| Sitio interno de Termalin | No — invita por correo | Solo un navegador | Sí | Plan Pro |
Nabu Casa es el Home Assistant Cloud oficial. Es la vía más suave para Home Assistant — interfaz remota, una URL estable, y financia el proyecto — pero solo cubre Home Assistant, no tu Grafana ni tu Portainer.
Cloudflare Tunnel (cloudflared) llama hacia fuera desde un daemon en tu LAN, así que no se abre ningún puerto. Es potente y tiene un plan gratis, pero para mantener un panel privado necesitas tener un dominio y poner delante una política de Cloudflare Access; sin eso, el nombre de host es una URL pública a la que puede llegar cualquiera.
Tailscale o WireGuard construye una malla privada — nada queda expuesto, y es excelente para tus propios dispositivos. La pega: todo el que se conecta instala el cliente VPN e inicia sesión en él, algo difícil de pedirle a un familiar o a un invitado puntual.
Un proxy inverso con un puerto reenviado (nginx, Caddy, Traefik) te da un HTTPS limpio, pero sigues publicando el servicio en internet y cargando tú con cada parche y cada decisión de autenticación.
Un sitio interno de Termalin está en otro punto: nada de URL pública, y ningún cliente del lado de quien mira. Un Connector en tu LAN llama hacia fuera, y el panel se abre en una dirección privada como https://<10 caracteres>.termal.ink — para ti, y para las personas que invites por correo. Es la forma más rápida de compartir un panel con una persona concreta. Los compromisos son honestos: necesita un plan Pro, hay un límite flexible de 5 GB al día por enlace, y no hay enlace público permanente — una ventaja si quieres privacidad, una limitación si quieres una página de estado pública.
Paso a paso con un Connector
Esto funciona para Home Assistant, Grafana, Portainer, Proxmox — cualquier cosa con una interfaz web en tu red, porque los WebSockets pasan, así que las actualizaciones en vivo de HA y los paneles en vivo de Grafana se comportan igual que en la LAN.
- Instala un Connector en la máquina de Home Assistant, o en cualquier equipo siempre encendido de la misma red — una Raspberry Pi, un NAS, un VPS pequeño en la LAN. Una línea desde Obtener comando de instalación del panel web; llama hacia fuera y nunca escucha.
- Añade el sitio. En el panel web, abre la tarjeta Sitios internos (junto a Copias de seguridad) → Añadir un sitio. Elige el Connector e introduce la dirección tal como la ve esa máquina —
http://localhost:8123si el Connector está en el host de HA, ohttp://10.0.0.5:8123desde otro equipo. Marca «El sitio interno usa https» si tu panel sirve TLS (un certificado autofirmado está bien). - Añadir y abrir. El panel se abre en una pestaña nueva en su dirección
termal.ink. Quedas con la sesión iniciada en él durante 12 horas; la dirección por sí sola no deja entrar a nadie más.
Solo se permiten direcciones privadas — localhost, 10.x, 172.16–31.x, 192.168.x, link-local, el 100.64/10 de Tailscale, ULA de IPv6 — y una dirección pública se rechaza por diseño.
Compartir con un familiar durante 7 días
Desde el panel web, comparte el sitio con una dirección de correo, durante 24 horas o 7 días (hasta 25 personas en un enlace a la vez; compartir de nuevo lo extiende). Reciben un correo de invitación e inician sesión con un código de 6 dígitos — sin crear ninguna cuenta en Termalin. Solo ven ese panel, y cuando lo compartido caduca su sesión termina. Puedes Quitar a una persona o Desactivar el enlace por completo, y cada apertura aparece en el registro de actividad del sitio. Compartir necesita un plan de pago; la prueba puede abrir sitios pero no compartirlos.
Cuándo elegir otra cosa
- Solo Home Assistant, y lo quieres sin fricción → Nabu Casa, y de paso apoyas el proyecto.
- Tienes un dominio y quieres una URL duradera, quizá pública → Cloudflare Tunnel con una política de Access.
- Quien se conecta eres tú, en tus propios dispositivos → Tailscale o WireGuard.
- Uno o dos paneles, compartidos con personas con nombre, nada expuesto → un sitio interno de Termalin.
Para el lado SSH de un laboratorio casero tras NAT, mira SSH tras NAT sin reenvío de puertos y SSH a un NAS o servidor casero.