Clúster proxy multi-nodo
con autenticación híbrida

El objetivo era montar una infraestructura de red de juego con comportamiento de proxy de capa de aplicación: un nodo de entrada por región que enruta tráfico hacia múltiples backends segregados por función, con control centralizado de sesiones, autenticación propia y capa de datos compartida entre regiones.

La red operó en dos regiones simultáneas — Europa y Latinoamérica — cada una con su propio proxy Waterfall y conjunto de nodos backend independientes, pero compartiendo la misma base de datos PostgreSQL y el mismo estado de permisos LuckPerms. Un jugador podía cambiar de región manteniendo su rango, inventario y sesión intactos.

Cada región corre en su propio hardware gestionado desde Pterodactyl sobre Proxmox, con contenedores Docker aislados por nodo. La capa de datos (PostgreSQL y Redis) es compartida entre regiones, actuando como fuente de verdad única para cuentas, permisos y tienda.

El servidor corre en modo offline a nivel de Waterfall para poder interceptar la autenticación antes de delegarla. El plugin propio en Java implementa tres ramas:

Redis actúa como capa de estado compartido entre el proxy y todos los nodos backend. Cada sesión autenticada escribe una clave con el UUID del jugador y metadatos: estado de auth, tipo de cuenta, timestamp, nodo actual.

session:<uuid> → Hash
  ├── authenticated  : "true"
  ├── account_type   : "premium" | "offline"
  ├── 2fa_verified   : "true" | "false"
  ├── current_node   : "lobby" | "skywars" | "minekoro" | "ffa" | "eventos"
  ├── login_ts       : <unix timestamp>
  └── ip             : <ip de origen>

TTL: 1800s (renovado on activity)
Revocación: DEL session:<uuid> en disconnect

Al cambiar de nodo, el backend destino consulta Redis antes de cargar al jugador, evitando que un cliente no autenticado pueda acceder directamente al puerto del nodo aunque lo conozca por otros medios.

El sistema de permisos se gestiona con LuckPerms configurado en modo de almacenamiento PostgreSQL, lo que permite que todos los nodos compartan el mismo estado de permisos en tiempo real sin necesidad de sincronización manual.

Cada nodo arranca con LuckPerms apuntando a la misma base de datos central. Un cambio de rango aplicado desde cualquier nodo, o desde la consola del proxy, se refleja de forma inmediata en el resto del clúster.

default          → permisos base (todos los jugadores)
  vip            → acceso a comandos cosméticos, prioridad de cola
    vip+         → slots reservados, kits adicionales
      staff      → moderación, /kick, /mute, /ban (con log)
        admin    → acceso total + gestión de nodos

Los rangos de la tienda (VIP, VIP+) se asignan automáticamente vía la integración con el sistema de compras, sin intervención manual del equipo de administración.

La tienda externa se integra directamente con el clúster mediante un sistema de entrega automática en juego: el jugador completa la compra en la web y recibe los ítems o el rango sin intervención del equipo.

Los productos se mapean a acciones configurables: ejecución de comandos con privilegios, asignación de grupos en LuckPerms, entrega de ítems en inventario o modificación de metadatos en la base de datos del jugador. La cola de entregas pendientes garantiza que ninguna compra se pierde ante desconexiones.

pending_deliveries
  ├── id          SERIAL PRIMARY KEY
  ├── player_uuid UUID NOT NULL
  ├── product_id  VARCHAR(64) NOT NULL
  ├── commands    JSONB          -- lista de comandos a ejecutar
  ├── purchased_at TIMESTAMPTZ
  └── delivered_at TIMESTAMPTZ  -- NULL hasta ejecución

Toda la infraestructura de procesos corre sobre Pterodactyl Panel, desplegado en una VM dedicada en Proxmox. Pterodactyl gestiona:

• Arranque, parada y reinicio de cada nodo de forma independiente
• Límites de recursos por contenedor (CPU, RAM, swap, disco)
• Acceso a consola en tiempo real con logs por nodo
• Gestión de backups programados del mundo y la base de datos
• Control de usuarios con permisos granulares por servidor

El acceso al panel está restringido por IP y protegido con Caddy como reverse proxy HTTPS, con certificado emitido por Let's Encrypt.