Ubuntu Proxmox Virtualización Linux Infraestructura Servidores Automatización Seguridad

Ubuntu 26.04 LTS + Proxmox: guía práctica para el stack de virtualización 2026

Redacción Ayuda.LA
Ubuntu 26.04 LTS + Proxmox: guía práctica para el stack de virtualización 2026

Ubuntu 26.04 LTS es la última release de soporte extendido de Canonical, y llega en un momento en que la virtualización en infraestructuras medianas (el espacio donde operan la mayoría de los ISPs y empresas IT de Latinoamérica) está madurando rápidamente. El kernel 7.0, el soporte de Intel TDX para computación confidencial, y las mejoras en la integración con herramientas de automatización hacen de esta versión una actualización que vale la pena adoptar con criterio.

Para quienes usan Proxmox VE como plataforma de hipervisor (la alternativa open source más usada en el segmento ISP y datacenter de escala media en LATAM), Ubuntu 26.04 como sistema operativo de guest es hoy la combinación con mejor soporte, mejor integración con QEMU/KVM, y más opciones de automatización.

Esta guía cubre los elementos prácticos de esa combinación.

Qué hay de nuevo en Ubuntu 26.04 LTS

Kernel 7.0: lo que cambia para infraestructura

El kernel 7.0 de Linux es una evolución significativa sobre la línea 6.x, con cambios relevantes para workloads de virtualización e infraestructura:

Scheduler mejorado (EEVDF): El scheduler EEVDF (Earliest Eligible Virtual Deadline First) reemplaza al CFS como scheduler por defecto. En workloads de virtualización mixta (VMs de alta y baja prioridad en el mismo host), EEVDF mejora la distribución de CPU y reduce la latencia de las VMs interactivas sin sacrificar el throughput de las VMs de procesamiento por lotes.

io_uring maduro: io_uring llegó a completar el soporte para las operaciones de I/O más comunes, incluyendo operaciones en red. Para Proxmox, la interfaz de I/O de los discos de VMs se beneficia de la menor latencia y el menor costo de CPU de io_uring comparado con el subsistema de AIO clásico.

Mejoras en KVM y VFIO: El subsistema KVM recibe mejoras en la gestión de memoria EPT (Extended Page Tables) que reducen el overhead de memoria en hosts con muchas VMs pequeñas. VFIO (para passthrough de hardware) mejora la estabilidad y el soporte de PCI-e 5.0.

eBPF como ciudadano de primera clase: Las capacidades de eBPF continúan expandiéndose, con mejoras en el JIT compiler y en las interfaces de mapa. Para networking en Proxmox (OVS, VLAN, bridges), eBPF permite implementar funciones de monitoreo y filtrado con overhead mínimo.

Intel TDX: virtualización confidencial en producción

Intel TDX (Trust Domain Extensions) es la implementación de Intel de lo que se llama Trusted Execution Environment (TEE) para VMs completas. La idea central: una VM TDX (“TD” en la nomenclatura de Intel) corre en un entorno donde el hipervisor no puede acceder a la memoria ni al estado del procesador de la VM, incluso si el hipervisor está comprometido.

Esto resuelve un problema que no existe en la mayoría de las infraestructuras pequeñas, pero que es muy relevante en tres contextos específicos:

Hosting de clientes en infraestructura compartida: Si tu empresa ofrece VPS o servidores dedicados virtuales a terceros, TDX permite garantizar a esos clientes que el operador del hipervisor no puede leer su memoria. Es el equivalente técnico a “ni nosotros podemos ver lo que corre en tu VM”.

Compliance y datos sensibles: Workloads con requisitos de compliance estrictos (procesamiento de datos financieros, datos de salud, datos personales bajo legislaciones como la Ley de Protección de Datos de Argentina, la LGPD de Brasil, o el GDPR aplicable a empresas regionales con presencia en Europa) pueden beneficiarse de las garantías criptográficas de TDX.

Computación confidencial multi-tenant: En arquitecturas donde múltiples organizaciones comparten infraestructura y no confían entre sí, TDX aísla los workloads de forma verificable.

Requisitos para usar TDX:

  • Procesador Intel de 4ta generación Xeon Scalable (Sapphire Rapids) o posterior con soporte TDX habilitado en BIOS
  • Ubuntu 26.04 como host y como guest (ambos deben soportar TDX)
  • Proxmox VE 9.x o posterior con soporte TDX activo en QEMU
  • BIOS con TDX habilitado (generalmente requiere configuración explícita en sistemas Dell, HPE, Supermicro)

Si tu hardware actual es de generación anterior (Ice Lake, Cascade Lake), TDX no aplica. Para la mayoría de las infraestructuras ISP en LATAM, TDX es una tecnología para tener en el radar pero no un requisito inmediato. Cambia ese análisis si estás en el negocio de IaaS o si tenés clientes con requisitos de compliance estrictos.

Proxmox VE 9.x: la plataforma

Proxmox VE es el hipervisor open source basado en KVM/QEMU con gestión LXC y una interfaz web completa. La versión 9.x, que corre sobre Debian Bookworm (12), es la versión estable actual y es la recomendada para nuevas instalaciones.

Compatibilidad con Ubuntu 26.04 como guest: Proxmox VE 9.x incluye soporte completo para Ubuntu 26.04 como sistema operativo de VM. El kernel 7.0 de Ubuntu 26.04 es compatible con el backend virtio, el driver de red e1000e/virtio-net, y el driver de disco virtio-scsi que usa Proxmox por defecto.

Templates de VM: Proxmox tiene un sistema de templates que permite clonar VMs preconfiguradas. Ubuntu 26.04 puede configurarse como template base para aprovisionar instancias nuevas en segundos.

Preparar Ubuntu 26.04 como template en Proxmox

El flujo de trabajo recomendado para tener Ubuntu 26.04 como template listo para clonar:

Paso 1: Descargar la cloud image oficial

Canonical publica imágenes cloud (cloud images) de Ubuntu 26.04 en formato qcow2, optimizadas para uso con KVM/QEMU. Estas imágenes incluyen cloud-init preinstalado:

# En el host Proxmox, descargar la imagen cloud oficial
wget https://cloud-images.ubuntu.com/noble/current/noble-server-cloudimg-amd64.img \
  -O /var/lib/vz/template/ubuntu-26.04-cloud.img

(Reemplazá “noble” con el nombre en clave real de Ubuntu 26.04 cuando esté disponible. Las imágenes cloud de Ubuntu siempre están en cloud-images.ubuntu.com.)

Paso 2: Crear la VM base en Proxmox

# Crear la VM con ID 9001 (usar un ID fuera del rango de VMs de producción)
qm create 9001 \
  --name ubuntu-26.04-template \
  --memory 2048 \
  --cores 2 \
  --net0 virtio,bridge=vmbr0 \
  --ostype l26 \
  --agent enabled=1 \
  --serial0 socket \
  --vga serial0

# Importar el disco de la cloud image al storage local-lvm
qm importdisk 9001 /var/lib/vz/template/ubuntu-26.04-cloud.img local-lvm

# Configurar el disco importado como disco de arranque
qm set 9001 \
  --scsihw virtio-scsi-pci \
  --scsi0 local-lvm:vm-9001-disk-0,cache=writeback,discard=on

# Configurar boot y cloud-init
qm set 9001 \
  --boot c \
  --bootdisk scsi0 \
  --ide2 local-lvm:cloudinit

# Configurar opciones cloud-init
qm set 9001 \
  --ciuser ubuntu \
  --cipassword "" \
  --sshkeys /root/.ssh/authorized_keys \
  --ipconfig0 ip=dhcp

# Habilitar QEMU guest agent
qm set 9001 --agent enabled=1

# Convertir a template
qm template 9001

Paso 3: Clonar el template para nuevas instancias

# Clonar el template con un nuevo ID
qm clone 9001 101 --name nueva-vm --full

# Ajustar recursos del clon si es necesario
qm set 101 --memory 4096 --cores 4

# Redimensionar el disco
qm resize 101 scsi0 +20G

# Iniciar la VM
qm start 101

Automatización con NoCloud templates

cloud-init es el estándar de facto para configuración inicial de VMs en entornos cloud y on-premise. Ubuntu 26.04 incluye cloud-init preinstalado en las cloud images. El datasource NoCloud es el que usa Proxmox cuando configura las opciones de cloud-init a través de la interfaz web o la API.

NoCloud funciona presentando a la VM una imagen ISO (un disco virtual) con dos archivos:

  • user-data: configuración de usuario, paquetes, comandos a ejecutar
  • meta-data: información de la instancia (hostname, ID)

Proxmox genera automáticamente esta ISO cuando configurás las opciones de cloud-init en la VM. Pero para automatización más avanzada, podés crear tus propios user-data:

Ejemplo de user-data para un servidor de networking ISP

#cloud-config
hostname: noc-server-01
fqdn: noc-server-01.ejemplo.isp

users:
  - name: admin
    groups: sudo
    shell: /bin/bash
    ssh_authorized_keys:
      - ssh-ed25519 AAAA... [email protected]
    sudo: ALL=(ALL) NOPASSWD:ALL

package_update: true
package_upgrade: true
packages:
  - qemu-guest-agent
  - git
  - vim
  - htop
  - net-tools
  - tcpdump
  - mtr-tiny
  - iperf3
  - prometheus-node-exporter
  - zabbix-agent2

runcmd:
  - systemctl enable qemu-guest-agent
  - systemctl start qemu-guest-agent
  - systemctl enable prometheus-node-exporter
  - systemctl start prometheus-node-exporter
  - timedatectl set-timezone America/Argentina/Buenos_Aires

write_files:
  - path: /etc/zabbix/zabbix_agent2.conf.d/isp-noc.conf
    content: |
      Server=10.0.0.100
      ServerActive=10.0.0.100
      Hostname=noc-server-01

final_message: "VM lista: $UPTIME segundos desde boot"

Snippet de cloud-init en Proxmox

Proxmox permite definir “snippets” de cloud-init que se pueden reutilizar. Para usarlo:

# En el host Proxmox, guardar el user-data en el directorio de snippets
cat > /var/lib/vz/snippets/base-noc-server.yaml << 'EOF'
#cloud-config
# ... contenido del user-data ...
EOF

# Al clonar la VM, especificar el snippet
qm set 101 --cicustom "user=local:snippets/base-noc-server.yaml"

Con este flujo, el aprovisionamiento de un nuevo servidor desde el template hasta tener el agente de monitoreo y todas las herramientas de red instaladas toma menos de cinco minutos y no requiere intervención manual.

Integración con Ansible para gestión a escala

Para entornos con múltiples hosts Proxmox (clusters) y decenas o cientos de VMs, la gestión manual de templates y clones no escala. La combinación natural es Proxmox + cloud-init + Ansible:

# playbook: provision_vm.yml
- name: Clonar y configurar nueva VM
  hosts: proxmox_host
  tasks:
    - name: Clonar template
      community.general.proxmox_kvm:
        api_host: proxmox.ejemplo.isp
        api_user: root@pam
        api_token_id: ansible
        api_token_secret: ""
        clone: ubuntu-26.04-template
        name: ""
        newid: ""
        full: true
        node: pve01
        storage: local-lvm

    - name: Configurar recursos
      community.general.proxmox_kvm:
        api_host: proxmox.ejemplo.isp
        api_user: root@pam
        api_token_id: ansible
        api_token_secret: ""
        vmid: ""
        memory: ""
        cores: ""
        ipconfig:
          ipconfig0: "ip=/24,gw="
        ciuser: admin
        sshkeys: ""
        update: true

    - name: Iniciar VM
      community.general.proxmox_kvm:
        api_host: proxmox.ejemplo.isp
        api_user: root@pam
        api_token_id: ansible
        api_token_secret: ""
        vmid: ""
        state: started

El módulo community.general.proxmox_kvm de Ansible permite gestionar toda la vida útil de las VMs: creación, configuración, inicio, detención, y eliminación.

Hardening de Ubuntu 26.04 para entornos de producción

Ubuntu 26.04 incluye varias mejoras de seguridad por defecto, pero para producción vale la pena aplicar configuración adicional:

AppArmor activo por defecto

Ubuntu mantiene AppArmor (Linux Security Modules) activo con perfiles para los servicios más comunes. Verificá que los perfiles relevantes estén en modo enforce:

# Ver estado de los perfiles
apparmor_status

# Ver perfiles en modo complain (no aplica restricciones)
apparmor_status --complaining

Para servicios críticos sin perfil AppArmor existente, podés generar uno con aa-genprof.

SSH hardening

# /etc/ssh/sshd_config.d/hardening.conf
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
MaxAuthTries 3
LoginGraceTime 30
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers admin

Firewall con nftables

Ubuntu 26.04 usa nftables como backend por defecto para ufw. Para servidores de infraestructura, configurá reglas mínimas:

# Habilitar ufw
ufw default deny incoming
ufw default allow outgoing

# Permitir SSH solo desde la red de gestión
ufw allow from 10.0.0.0/24 to any port 22 proto tcp

# Permitir monitoreo (Zabbix Agent, Prometheus)
ufw allow from 10.0.0.100 to any port 10050 proto tcp
ufw allow from 10.0.0.101 to any port 9100 proto tcp

ufw enable

Actualizaciones de seguridad automáticas

# Instalar unattended-upgrades
apt install unattended-upgrades

# Configurar para aplicar actualizaciones de seguridad automáticamente
dpkg-reconfigure -pmedium unattended-upgrades

Para servidores críticos de producción, las actualizaciones automáticas pueden ser riesgosas si no hay testing previo. La alternativa es configurar unattended-upgrades solo para parches de seguridad (no para upgrades de versión) y mantener un proceso de revisión manual mensual.

Migración desde Proxmox en Debian Bookworm

Si tenés un cluster Proxmox existente corriendo sobre Debian Bookworm (la base de Proxmox VE 8.x), la migración de VMs al nuevo stack implica dos dimensiones separadas:

Migración del host Proxmox (no requerida de inmediato): El host Proxmox puede mantenerse en Debian Bookworm sin necesidad de migrar a Ubuntu 26.04 como sistema operativo del hipervisor. Proxmox como producto corre sobre Debian, no sobre Ubuntu. Ubuntu 26.04 aplica como sistema operativo de las VMs guest, no del host.

Actualización de templates de VM: Si tenés templates de Ubuntu 22.04 LTS o 24.04 LTS en producción, la estrategia recomendada es:

  1. Crear un nuevo template limpio de Ubuntu 26.04 en paralelo.
  2. Para nuevas VMs, usar el template 26.04.
  3. Para VMs existentes críticas, evaluar in-place upgrade vs. reprovisionar según el caso.

El in-place upgrade de Ubuntu 24.04 a 26.04 es posible con do-release-upgrade, pero en VMs de producción con configuraciones complejas, reprovisionar con el template nuevo y restaurar datos/configuración suele ser más predecible.

Lo que recomendamos en la práctica

En Ayuda.LA trabajamos con equipos de infraestructura que gestionan clusters Proxmox con entre 20 y 200 VMs. Lo que más impacto tiene en la eficiencia operativa no es la versión específica del kernel o del SO guest: es la consistencia del proceso de aprovisionamiento.

Un template bien construido con cloud-init, con el agente Zabbix instalado y configurado desde el primer boot, con claves SSH distribuidas correctamente, y con políticas de firewall básicas, vale más que una actualización de versión sin proceso documentado.

Ubuntu 26.04 LTS es una buena excusa para revisar y formalizar ese proceso si todavía no está hecho. Las LTS tienen soporte por cinco años (y diez con Extended Security Maintenance), lo que las hace la base correcta para infraestructura de producción: no estarás actualizando el SO de todas tus VMs cada seis meses.

Conocé más sobre nuestros servicios de virtualización y automatización de infraestructura.

¿Querés modernizar tu stack de virtualización?

Podemos evaluar tu configuración actual de Proxmox, diseñar un proceso de aprovisionamiento con cloud-init y Ansible, y acompañarte en la migración a Ubuntu 26.04 LTS como base de tus VMs de producción.

Hablemos sobre tu infraestructura →

¿Tenés preguntas sobre Proxmox, Ubuntu o automatización de VMs? Escribinos a [email protected] — respondemos todos los mensajes.