En este post vamos a ver como añadir certificados SSL de Let’s Encrypt en Nginx Proxy Manager configurados por DNS Challenge y como DNS Provider utilizaremos Azure, que es dónde tenemos alojada nuestra zona DNS.

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Azure para Let’s Encrypt, para ello, accedemos a Zonas DNS > ragasys.eu > Administración de DNS > Registros > Agregar:

• Ahora en nuestra nuestra zona DNS de Azure y debemos de tener en cuenta estos datos:
• Nombre exacto de la zona
• Grupo de recursos donde se encuentra
• Id. de suscripción

• Creamos una aplicación, para ello, accedemos a Microsoft Entra ID > Registro de aplicaciones > Nuevo registro:

• Le indicamos el Nombre y Solo cuentas de este directorio organizativo (Inquilino único), Registrar:

• Aquí tenemos la aplicación creada:

• Ahora vamos a crear el secreto de cliente, para ello, en esta nueva aplicación, accedemos a Administrar > Certificados y secretos > Secretos de los clientes > Nuevo secreto de cliente:

• Le indicamos una descripción y el tiempo de expiración, Agregar:

• Aquí tenemos el secreto de cliente, lo copiamos y guardamos en un lugar seguro, ya que sólo nos lo mostrará una sola vez:

• Sobre la Información general de la aplicación, anotamos los siguientes valores, que serán los que utilice Nginx Proxy Manager para el DNS Challenge:

• Ahora damos permisos a la aplicación sobre la Zona DNS, con esto, nuestra aplicación ya tiene permiso para crear/eliminar registros TXT dentro de la zona ragasys.eu, el rol que debemos asignar es el de Colaborador de zona DNS:

• Como la zona ragasys.eu también la tenemos en nuestro DNS interno, nos creamos el registro CNAME _acme-challenge apuntando a _acme-challenge.ragasys.eu, para que resuelva externamente hacia Azure:

• Con esto, ya tenemos preparado la parte de la zona DNS de Azure, ahora accedemos al portal de Nginx Proxy Manager > SSL Certificates > Add SSL Certificate > Let’s Encrypt y vamos a añadir las configuraciones para obtener el certificado wildcard para para nuestro dominio:

• Añadimos Let’s Encrypt:
• Domain Names, añadimos ragasys.eu y *.ragasys.neu, nos aseguramos de incluir el dominio raíz y el wildcard, Let’s Encrypt requiere que se valide también la raíz cuando pedimos el wildcard.
• Email Address for Let’s Encrypt
• Marcamos Use a DNS Challenge.
• En DNS Provider seleccionanamos Azure.
• Rellenaremos los valores para estos campos, Tenant ID, Client ID, Client Secret, Subscription ID, Resource Group, Zone Name.
• Propagation Seconds, ponemos un valor entre 300 y 600.
• Marcamos I Agree to Let’s Encrypt Terms of Service y pulsamos Save, Nginx Proxy Manager iniciará el proceso ACME, creará el TXT _acme-challenge en la zona DNS de Azure, esperará la propagación y Let’s Encrypt validará.
• Este es el contenido del Credentials File Content:
• dns_azure_sp_client_id =
• dns_azure_sp_client_secret =
• dns_azure_tenant_id =
• dns_azure_zone1 = ragasys.eu:/subscriptions/eliddemisuscripcion/resourceGroups/zonasdnspublicas-rg/providers/Microsoft.Network/dnsZones/ragasys.eu

• Este es el registro TXT _acme-challenge que se genera, Let’s Encrypt valida que el TXT coincida con el valor que generó para esa verificación, después de emitir el certificado, Nginx Proxy Manager debería borrar automáticamente el TXT de la zona si todo funciona bien:

• Aquí podemos ver, los certificados SSL de Let’s Encrypt con Azure como DNS Provider, listos para usar en nuestros Hosts:

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir certificados SSL de Let´s Encrypt en Nginx Proxy Manager configurados por DNS Challenge y como DNS Provider utilizaremos Cloudflare, que es dónde tenemos alojadas nuestras zonas DNS.

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Cloudflare para Let´s Encrypt, para ello, accedemos a DNS > Registros > Agregar registro:

• Ahora vamos a crear un API Token en nuestra zona DNS de Cloudflare, accedemos a Mi Perfil > Tokens de API > Crear Token:

• Seleccionamos Editar zona DNS > Usar plantilla, también podemos usar Crear Token Personalizado:

• Le indicamos un nombre para el token, le indicamos los permisos, los recursos de zona, Ir al resumen:

• Nos muestra un resumen y creamos el token para nuestra zona:

• Aquí tenemos el token generado, debemos de copiar el valor, ya que lo mostrará sólo una vez, guardamos el token en un sitio seguro:

• Verificamos el token y vemos que es válido:

• Aquí vemos que ya tenemos el token activo:

• Con esto, ya tenemos preparado la parte de la zona DNS de Cloudflare, ahora accedemos al portal de Nginx Proxy Manager > SSL Certificates > Add SSL Certificate > Let’s Encrypt y vamos a añadir las configuraciones para obtener el certificado wildcard para para nuestro dominio:

• Añadimos Let’s Encrypt:
• Domain Names, añadimos ragasys.net y *.ragasys.net, nos aseguramos de incluir el dominio raíz y el wildcard, Let’s Encrypt requiere que se valide también la raíz cuando pedimos el wildcard.
• Email Address for Let’s Encrypt, nuestro email registrado en Cloudflare.
• Marcamos Use a DNS Challenge.
• En DNS Provider seleccionanamos Cloudflare.
• Pegamos el API Token que copiamos desde Cloudflare.
• Propagation Seconds, ponemos un valor entre 300 y 600).
• Marcamos I Agree to Let’s Encrypt Terms of Service y pulsamos Save, Nginx Proxy Manager iniciará el proceso ACME, creará el TXT _acme-challenge en Cloudflare, esperará la propagación y Let’s Encrypt validará.

• Aquí podemos ver los certificados SSL de Let’s Encrypt con Cloudflare como DNS Provider listos para usuar en nuestros Hosts:

• Estos son los registros TXT _acme-challenge que se generan, Let’s Encrypt valida que el TXT coincida con el valor que generó para esa verificación, después de emitir el certificado, Nginx Proxy Manager debería borrar automáticamente el TXT de la zona si todo funciona bien:

• Tengo otro dominio DNS llamado ragasyssistemas.com en cloudflare, y también quiero añadir a Nginx Proxy Manager los certificados SSL de Let’s Encrypt para este dominio, para ello, vuelvo a repetir todo el proceso, y aquí vemos, que ya los tengo agregados y listos para usar en nuestros Hosts:

Saludos y espero que os resulte de ayuda

En este post veremos cómo agregar un certificado SSL de Let’s Encrypt en un nodo Proxmox VE 9.0, los haremos a través de DNS Challenge y cómo DNS Provider usaremos Azure que es donde tenemos nuestra zona DNS llamada ragasys.eu

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Azure para Let’s Encrypt, para ello, accedemos a Zonas DNS > ragasys.eu > Administración de DNS > Registros > Agregar:

• Ahora en nuestra nuestra zona DNS de Azure y debemos de tener en cuenta estos datos:
• Nombre exacto de la zona
• Grupo de recursos donde se encuentra
• Id. de suscripción

• Creamos una aplicación, para ello, accedemos a Microsoft Entra ID > Registro de aplicaciones > Nuevo registro:

• Le indicamos el Nombre y Solo cuentas de este directorio organizativo (Inquilino único), Registrar:

• Aquí tenemos la aplicación creada:

• Ahora vamos a crear el secreto de cliente, para ello, en esta nueva aplicación, accedemos a Administrar > Certificados y secretos > Secretos de los clientes > Nuevo secreto de cliente, lo copiamos y guardamos en un lugar seguro, ya que sólo nos lo mostrará una sola vez:

• Aquí tenemos los datos que necesitamos más el client secret:

• Ahora damos permisos a la aplicación sobre la Zona DNS, con esto, nuestra aplicación ya tiene permiso para crear/eliminar registros TXT dentro de la zona ragasys.eu, el rol que debemos asignar es el de Colaborador de zona DNS:

• Como la zona ragasys.eu también la tenemos en nuestro DNS interno, nos creamos el registro CNAME _acme-challenge apuntando a _acme-challenge.ragasys.eu, para que resuelva externamente hacia Azure:

• Con esto, ya tenemos preparado la parte de la zona DNS de Azure.
• Ahora en nuestro nodo de Proxmox, lo primero que vamos a realizar será crearnos una cuenta en Let’s Encrypt, para ello, sobre nuestro nodo proxmox accedemos a Centro de datos > ACME > Cuentas > Agregar:

• Le indicamos el nombre de la cuenta, un correo válido, y el directorio ACME, Registrar:

• Ya tenemos la cuenta de Let’s Encrypt generada:

• Ahora en Centro de datos > ACME > Plugins de desafío > Agregar, vamos a agregar el plugin para Azure:

• Le indicamos un ID de plugin, el retardo de validación, el API DNS
• AZUREDNS_SUBSCRIPTIONID=
• AZUREDNS_TENANTID=
• AZUREDNS_APPID=
• AZUREDNS_CLIENTSECRET=
• Agregar:

• Y aquí vemos que ya tenemos el plugin añadido:

• Los datos del plugin los obtenemos de nuestro portal de Azure.
• Ahora vamos a agregar el certificado de Let’s Encrypt al nodo proxmox, para ello accedemos a proxmoxlab11 > Certificados > ACME y usamos la cuenta de Let’s Encrypt que nos hemos creado anteriormente, Aplicar:

• Damos a Agregar para añadir el dominio:

• Introducimos el Tipo de desafío DNS, el plugin que añadimos anteriormente y el nombre de dominio de nuestro nodo Proxmox, Crear:

• Y aquí vemos que ya tenemos la configuración realizada:

• Damos a Solicitar certificados ahora y vemos cómo se han validado:

• Aquí tenemos el certificado SSL de Let’s Encrypt para nuestro nodo Proxmox:

• Accedemos a través del navegador a nuestro nodo Proxmox y vemos como reconoce el certificado SSL de Let’s Encrypt:

Saludos y espero que os sea de ayuda

En este post veremos cómo agregar un certificado SSL de Let’s Encrypt en un nodo Proxmox VE 9.0, los haremos a través de DNS Challenge y cómo DNS Provider usaremos Cloudflare que es donde tenemos nuestra zona DNS llamada ragasys.net.

• Lo primero que vamos a realizar será crearnos una cuenta en Let’s Encrypt, para ello, sobre nuestro nodo proxmox accedemos a Centro de datos > ACME > Cuentas > Agregar:

• Le indicamos el nombre de la cuenta, un correo válido, y el directorio ACME, Registrar:

• Ya tenemos la cuenta generada de Let’s Encrypt:

• Ahora en Centro de datos > ACME > Plugins de desafío > Agregar, vamos a agregar el plugin para Cloudflare:

• Le indicamos un ID de plugin, el retardo de validación, el API DNS, CF_Account, CF_Email, CF_Token y CF_Zone_ID, Agregar:

• Y aquí vemos que ya tenemos el plugin añadido:

• Los datos del plugin los obtenemos de nuestra cuenta de Cloudflare:

• El Token de API, seguimos este enlace en este mismo blog para crearlo.
• Ahora vamos a agregar el certificado de Let’s Encrypt al nodo proxmox, para ello accedemos a proxmoxlab11 > Certificados > ACME y usamos la cuenta de Let’s Encrypt que nos hemos creado anteriormente, Aplicar:

• Damos a Agregar para añadir el dominio:

• Introducimos el Tipo de desafío DNS, el plugin que añadimos anteriormente y el nombre de dominio de nuestro nodo Proxmox, Crear:

• Y aquí vemos que ya tenemos la configuración realizada:

• Damos a Solicitar certificados ahora y vemos cómo se han validado:

• Aquí tenemos el certificado SSL de Let’s Encrypt para nuestro nodo Proxmox:

• Accedemos a través del navegador a nuestro nodo Proxmox y vemos como reconoce el certificado SSL de Let’s Encrypt:

Saludos y espero que os sea de ayuda

En este post vamos a ver como instalar y configurar un servidor de correos en Ubuntu Server 24.04 LTS, utilizaremos postfix para el servidor SMTPS y dovecot para el servidor POP3S e IMAPS.

• Antes de empezar vamos a crear los registros necesarios en nuestros servidores DNS (A, PTR, MX, SPF).
• Servidor DNS interno:

• Servidor DNS externo:

• Lo primero que vamos a realizar sobre nuestro servidor Ubuntu Server 24.04 LTS, es instalar el servidor SMTP postfix ejecutando el comando apt install postfix -y:

• Configuramos el modo Sitio de Internet para el dominio eu:

• Editamos el archivo de configuración de postfix, nano /etc/postfix/main.cf y modificamos los siguientes parámetros:

myhostname = mail.ragasys.eu

myorigin = /etc/mailname

mydestination = $myhostname, localhost, localhost.localdomain, ragasys.eu

relayhost =

relay_domains = $mydestination

mynetworks = 127.0.0.0/8 [::1]/128 192.168.3.0/24

mydomain = ragasys.eu

home_mailbox = Maildir/

mailbox_size_limit = 0

recipient_delimiter = +

inet_interfaces = all

inet_protocols = ipv4

• Ahora como vamos a utilizar los certificados de Let’s Encrypt debemos de añadir al fichero main.cf de postfix, estas líneas, antes debemos de comentar todas las líneas de configuración de TLS:

# Habilitar TLS en Postfix

smtpd_tls_cert_file=/etc/letsencrypt/live/mail.ragasys.eu/fullchain.pem

smtpd_tls_key_file=/etc/letsencrypt/live/mail.ragasys.eu/privkey.pem

smtpd_tls_CAfile=/etc/letsencrypt/live/mail.ragasys.eu/chain.pem

smtpd_use_tls=yes

smtpd_tls_security_level=may

smtpd_tls_auth_only = yes

smtpd_tls_protocols=!SSLv2, !SSLv3

smtpd_tls_mandatory_protocols=!SSLv2, !SSLv3

# Forzar TLS en conexiones salientes

smtp_tls_security_level=may

smtp_tls_CAfile=/etc/letsencrypt/live/mail.ragasys.eu/chain.pem

smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

# Habilitar autenticación SMTP segura

smtpd_sasl_auth_enable = yes

smtpd_sasl_type = dovecot

smtpd_sasl_path = private/auth

smtpd_sasl_security_options = noanonymous

smtpd_sasl_local_domain = $mydomain

broken_sasl_auth_clients = yes

smtpd_recipient_restrictions =

permit_sasl_authenticated,

permit_mynetworks,

reject_unauth_destination

• Para habilitar el puerto 465 en postfix, editamos el archivo de configuración nano /etc/postfix/master.cf:

• Al final del archivo añadimos:

smtps     inet  n       –       y       –       –       smtpd

-o syslog_name=postfix/smtps

-o smtpd_tls_wrappermode=yes

-o smtpd_tls_security_level=encrypt

-o smtpd_sasl_auth_enable=yes

-o smtpd_client_restrictions=permit_sasl_authenticated,reject

-o smtpd_relay_restrictions=permit_sasl_authenticated,reject

• Reiniciamos postfix para aplicar los cambios, systemctl restart postfix, systemctl enable postfix, systemctl status postfix:

• Instalamos ahora el servidor POP3 e IMAP de dovecot para ello, ejecutamos apt install dovecot-core dovecot-imapd dovecot-pop3d -y:

• Editamos la configuración principal ejecutando, nano /etc/dovecot/conf.d/10-mail.conf y configuramos esta línea, mail_location = maildir:~/Maildir:

• Editamos la configuración de autenticación ejecutando, nano /etc/dovecot/conf.d/10-auth.conf:

• Descomentamos la línea, disable_plaintext_auth = yes:

• Y habilitamos PAM, auth_mechanisms = plain login:

• Le indicamos a Dovecot que ignore el dominio y solo use el nombre de usuario, auth_username_format = %n:

• Ahora editamos la configuración de dovecot, nano /etc/dovecot/conf.d/10-master.conf:

• Buscamos la sección service auth y añadimos:

service auth {

unix_listener /var/spool/postfix/private/auth {

mode = 0660

user = postfix

group = postfix

}

unix_listener auth-userdb {

mode = 0600

user = dovecot

group = dovecot

}

}

• Edita la configuración SSL ejecutando, nano /etc/dovecot/conf.d/10-ssl.conf:

• Y cambiamos estas líneas, ya que vamos a utilizar certificados de Let’s Encrypt:

ssl = required

ssl_cert = </etc/letsencrypt/live/mail.ragasys.eu/fullchain.pem

ssl_key = </etc/letsencrypt/live/mail.ragasys.eu/privkey.pem

• Ahora vamos a obtener los certificados SSL con Let’s Encrypt.
• Instalamos cerbot ejecutando, apt install certbot -y:

• Generamos el certificado para nuestro dominio, certbot certonly –standalone -d mail.ragasys.eu:

• Ahora creamos una tarea para renovar el certificado automáticamente, ejecutamos crontab -e:

• Agregamos la línea, 0 3 * * * certbot renew –quiet && systemctl reload postfix dovecot, esta tarea programa la renovación automática de los certificados SSL de Let’s Encrypt cada día a las 3:00 de la mañana, y si hay una renovación exitosa, recarga Postfix y Dovecot para aplicar los nuevos certificados sin reiniciar los servicios:

• Reiniciamos dovecot para aplicar los cambios, systemctl restart dovecot, systemctl enable dovecot, systemctl status dovecot:

• Verificamos en el servidor de correos que los puertos SMTPS-465, POP3S-995 e IMAPS-993 están operativos, para ello, ejecutamos ss -tlnp | grep :465, ss -tlnp | grep :995 y ss -tlnp | grep :993 :

• En nuestro firewall debemos de abrir estos puertos hacia el servidor de correos:

• Desde un equipo externo verificamos que los puertos SMTPS-465, POP3S-995 e IMAPS-993 están operativos:

• Ahora nos vamos a crear estas dos cuentas de correo para verificar que todo funciona correctamente, estas dos cuentas no van a poder iniciar sesión en el sistema, para crearlas ejecutamos useradd -m -s /sbin/nologin usuario y le configuramos una contraseña:

• Instalamos testsaslauthd, que es una herramienta para probar la autenticación SASL, apt install sasl2-bin:

• Con el comando testsaslauthd -u usuario -p contraseña o testsaslauthd -u usuario -p contraseña -s smtp, verificamos la autenticación SASL:

• Iniciamos una conexión openssl al puerto SMTPS 465 con, openssl s_client -connect mail.ragasys.eu:465 -crlf -quiet y como se puede ver iniciamos la conexión, desde esta conexión vamos a mandar un correo de un usuario a otro.
• Una vez establecida la conexión podemos empezar a enviar comandos SMTP al servidor.
• Empezamos con helo mail.ragasys.eu que lo envía el cliente para identificarse.
• auth login para empezar a autenticarnos
• Escribimos nuestro usuario en Base64, nos abrimos otra terminal y ejecutamos echo -n «usuario» | base64
• Escribimos nuestra contraseña en Base64, nos abrimos otra terminal y ejecutamos echo -n «mipassword» | base64
• Seguimos con mail from: bmarley@ragasys.eu para identificar al remitente del correo.
• Luego rcpt to: eclapton@ragasys.eu para identificar al destinatario del correo.
• data para indicar que se va a comenzar a enviar el mensaje.
• subject: Prueba postfix dovecot con protocolos seguros que permite especificar el asunto del mensaje, es obligatorio que este comando se envíe a continuación de data y hay que enviar una línea en blanco y después el contenido o cuerpo del mensaje, se finaliza con una línea que tenga sólo un punto.
• quit cierra la conexión cliente servidor.

• Desde otra terminal sacamos nuestro usuario y password en Base64:

• Ahora vamos a acceder al buzón del usuario al que le hemos mandado el correo y comprobamos que lo ha recibido.
• Iniciamos una conexión openssl al puerto POP3S 995 con, openssl s_client -connect mail.ragasys.eu:995 -crlf -quiet y como se puede ver iniciamos la conexión.
• Una vez establecida la conexión podemos empezar a enviar comandos al servidor dovecot.
• Empezamos con user eclapton para iniciar sesión en el servidor.
• Seguimos con pass contraseña para validar credenciales.
• list para ver los mensajes en el buzón del usuario, en este caso nos indica que hay 4 mensajes.
• retr 4 para ver el contenido del mensaje 4.
• quit cierra la conexión cliente servidor.

• Ahora, en un cliente de correo electrónico, vamos a configurar las dos cuentas de usuario.
• Creamos la cuenta de eclapton:

• Introducimos las credenciales:

• Configuramos el acceso al servidor para IMAP por protocolo seguro 993:

• Configuramos el acceso al servidor para SMTP por protocolo seguro 465:

• Aquí vemos que se ha configurado correctamente:

• Para el usuario bmarley hacemos lo mismo:

• Como podemos ver, aquí tenemos las dos cuentas configuradas sobre el cliente de Outlook, ya podremos empezar a enviar y recibir correos:

• Ahora mandaremos un correo de eclapton a bmarley y viceversa:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como montar un FrontalWeb con Apache (Reverse Proxy) sobre una máquina Ubuntu Server 24.04 LTS utilizando certificados de Let´s Encrypt, con esta implementación le vamos a dar un punto más de seguridad a nuestra infraestructura perimetral, ya que sólo vamos a exponer directamente a Internet un único servidor, sólo va a ser necesario abrir un puerto en nuestro Firewall, ya que a través del Frontalweb vamos a poder alcanzar a los demás servidores, los certificados digitales los vamos a instalar y administrar en un solo servidor, a través del Frontalweb que se va a encargar de cifrar todos los contenidos.

• Lo primero que vamos a realizar será la instalación de Apache, para ello ejecutamos el comando apt-get install apache2:

• Una vez finalizada la instalación, con el comando apache2ctl -v podemos ver la versión de apache que hemos instalado:

• Con el comando ufw app list podemos ver los perfiles de aplicación que se pueden usar para habilitar o deshabilitar el acceso a Apache a través del firewall de Ubuntu:

Apache → Este perfil solo abre el puerto 80 (tráfico web normal sin cifrar)

Apache Full → Abre tanto el puerto 80 (tráfico web normal sin cifrar) como el puerto 443 (tráfico cifrado TLS / SSL)

Apache Secure → Este perfil solo abre el puerto 443 (tráfico cifrado TLS / SSL)

• En nuestro caso vamos a permitir el acceso a los dos puertos (80 y 443), ufw allow ‘Apache Full’:

• Para verificar que el servidor Apache está funcionando, accedemos a la URL de nuestro servidor, http://frontalweb.ragasys.net:

• Con el comando systemctl status apache2 podemos ver el estado del servicio del servidor Apache, que como podemos ver está activo y ejecutándose:

• Una vez que hemos instalado nuestro servidor de apache, vamos a habilitar los siguientes módulos:
• a2enmod ssl
• a2enmod proxy
• a2enmod proxy_http
• a2enmod proxy_balancer
• a2enmod lbmethod_byrequests
• a2enmod headers
• a2enmod rewrite

• Con el comando systemctl restart apache2 reiniciamos el servicio:

• Nos vamos a crear nuestro primer VirtualHost, en la ruta /etc/apache2/sites-available, y ejecutando nano nextcloud.ragasys.eu.conf, este primer VirtualHost será un servidor de Nextcloud que tenemos en nuestra infraestructura, con este fichero, todo el tráfico http y https que llegue a la URL de dominio púbico indicada, se va a redirigir al servidor interno de nextcloud, siempre a través de conexión cifrada https:

<VirtualHost *:80>
ServerName nextcloud.ragasys.eu
ServerAlias nextcloud.ragasys.eu

#RewriteEngine On
#RewriteCond %{HTTPS} off
#RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

ErrorLog /var/log/apache2/nextcloud.ragasys.eu/error.log
CustomLog /var/log/apache2/nextcloud.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName nextcloud.ragasys.eu
ServerAlias nextcloud.ragasys.eu

#SSLEngine on
#SSLCertificateFile /etc/letsencrypt/live/nextcloud.ragasys.eu/fullchain.pem
#SSLCertificateKeyFile /etc/letsencrypt/live/netxcloud.ragasys.eu/privkey.pem

ProxyPreserveHost On
ProxyPass / http://nextcloud.ragasys.net/
ProxyPassReverse / http://nextcloud.ragasys.net/

ErrorLog /var/log/apache2/nextcloud.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/nextcloud.ragasys.eu/ssl-access.log combined
</VirtualHost>

• Nos creamos nuestro segundo VirtualHost, en la ruta /etc/apache2/sites-available, y ejecutando nano guacamole.ragasys.eu.conf:

<VirtualHost *:80>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

#RewriteEngine On
#RewriteCond %{HTTPS} off
#RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

ErrorLog /var/log/apache2/guacamole.ragasys.eu/error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

#SSLEngine on
#SSLCertificateFile /etc/letsencrypt/live/guacamole.ragasys.eu/fullchain.pem
#SSLCertificateKeyFile /etc/letsencrypt/live/guacamole.ragasys.eu/privkey.pem

ProxyPreserveHost On
ProxyPass /guacamole http://guacamole.ragasys.net:8080/guacamole/ flushpackets=on
ProxyPassReverse /guacamole http://guacamole.ragasys.net:8080/guacamole/

ErrorLog /var/log/apache2/guacamole.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/ssl-access.log combined
</VirtualHost>

• Nos creamos también el directorio para los logs de los sites virtuales:

• Habilitamos los VirtualHost con el comando a2ensite nextcloud.ragasys.eu.conf y a2ensite guacamole.ragasys.eu.conf y como podemos ver ya tenemos habilitados los sites:

• Deshabilitamos el site por defecto a2dissite 000-default.conf:

• Ejecutamos systemctl restart apache2 y systemctl status apache2 para reiniciar y ver el estado del servicio:

• Ahora en nuestro Firewall, que en mi caso es un Fortigate, nos debemos de crear las reglas necesarias para publicar el puerto 443 apuntando al servidor FrontalWeb que va a ser el único que vamos a exponer en el perímetro, en este post de este mismo blog podemos ver como hacerlo, primero realizamos un NAT estático y luego nos creamos la regla de acceso a los puertos HTTP y HTTPS para el NAT estático creado:

• En nuestro DNS interno debemos de crearnos una zona de búsqueda directa, en mi caso, ragasys.eu, que es el dominio externo que hemos comprado a nuestro proveedor de DNS y que utilizaremos para publicar nuestros servicios, esto lo hacemos en nuestra infraestructura interna, para que los usuarios que accedan desde la red interna no salgan al exterior, en esta zona de búsqueda directa nos creamos estos registros Tipo A y CNAME: 

• En nuestro DNS externo, el que tengamos contratado con nuestro proveedor de DNS, debemos de hacer algo parecido, es decir, debemos de crearnos un subdominio del tipo www.ragasys.eu con un registro tipo A apuntando a nuestra IP púbica, y nos crearemos subdominios por cada servicio que queramos publicar con un registro del tipo CNAME apuntando a www.ragasys.eu:

• Ahora vamos a instalar cerbot, para ello, ejecutamos apt install certbot python3-certbot-apache:

• Obtenemos el certificado SSL de Let’s Encrypt para el primer site, para ello, ejecutamos certbot –apache -d nextcloud.ragasys.eu:

• Obtenemos el certificado SSL de Let’s Encrypt para el segundo site, para ello, ejecutamos certbot –apache -d guacamole.ragasys.eu:

• Si accedemos a la configuración de los sites virtuales, nos ha quedado así tras el despliegue de los certificados SSL de Let’s Encrypt:

• El fichero bien estructurado del primer site debe quedar así:

<VirtualHost *:80>
ServerName nextcloud.ragasys.eu
ServerAlias nextcloud.ragasys.eu

RewriteEngine on
RewriteCond %{SERVER_NAME} =nextcloud.ragasys.eu
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]

ErrorLog /var/log/apache2/nextcloud.ragasys.eu/error.log
CustomLog /var/log/apache2/nextcloud.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName nextcloud.ragasys.eu
ServerAlias nextcloud.ragasys.eu

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/nextcloud.ragasys.eu/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/nextcloud.ragasys.eu/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

ProxyPreserveHost On
ProxyPass / http://nextcloud.ragasys.net/
ProxyPassReverse / http://nextcloud.ragasys.net/

ErrorLog /var/log/apache2/nextcloud.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/nextcloud.ragasys.eu/ssl-access.log combined
</VirtualHost>

• El fichero bien estructurado del segundo site debe quedar así:

<VirtualHost *:80>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

RewriteEngine on
RewriteCond %{SERVER_NAME} =guacamole.ragasys.eu
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]

ErrorLog /var/log/apache2/guacamole.ragasys.eu/error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/guacamole.ragasys.eu/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/guacamole.ragasys.eu/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

ProxyPreserveHost On
ProxyPass /guacamole http://guacamole.ragasys.net:8080/guacamole/ flushpackets=on
ProxyPassReverse /guacamole http://guacamole.ragasys.net:8080/guacamole/

ErrorLog /var/log/apache2/guacamole.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/ssl-access.log combined
</VirtualHost>

• El fichero de este segundo host me ha estado dando problemas, y no conseguía acceder, se iba siempre a la página por defecto de apache.
• Para dejarlo fino y funcionando, se ha quedado así de manera definitiva:

<VirtualHost *:80>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

RewriteEngine on
RewriteRule /(.*) https://guacamole.ragasys.eu/guacamole [R,L]

ErrorLog /var/log/apache2/guacamole.ragasys.eu/error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/guacamole.ragasys.eu/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/guacamole.ragasys.eu/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

ProxyPreserveHost On
SSLProxyEngine On
RewriteEngine On

<Location />
ProxyPass http://guacamole.ragasys.net:8080/guacamole/ flushpackets=on
ProxyPassReverse http://guacamole.ragasys.net:8080/guacamole/
</Location>
ErrorLog /var/log/apache2/guacamole.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/ssl-access.log combined
</VirtualHost>

• Certbot renueva los certificados automáticamente, pero podemos verificarlo con, certbot renew –dry-run:

• Aquí vemos que ya podemos acceder a nuestro servidor de Nextcloud desde el exterior, a través del FrontalWeb, con los certificados SSL de Let’s Encrypt: 

• Aquí vemos que ya podemos acceder a nuestro servidor de Apache Guacamole desde el exterior, a través del FrontalWeb, con los certificados SSL de Let’s Encrypt:

• Para comprobar el certificado podemos acceder a  https://www.ssllabs.com/ssltest/ y verificamos el certificado para nuestros dos sitios webs:

Saludos y espero que os sea de ayuda

En este post vamos a ver como montar un FrontalWeb con Nginx (Reverse Proxy) sobre una máquina Ubuntu Server 20.04, con esta implementación le vamos a dar un punto más de seguridad a nuestra infraestructura perimetral, ya que sólo vamos a exponer directamente a Internet un único servidor, sólo va a ser necesario abrir un puerto en nuestro Firewall, ya que a través del Frontalweb vamos a poder alcanzar a los demás servidores, los certificados digitales los vamos a instalar y administrar en un solo servidor, a través del Frontalweb que se va a encargar de cifrar todos los contenidos.

• Lo primero que vamos a realizar será la instalación de Nginx, para ello ejecutamos el comando apt-get install nginx:

• Ahora vamos a añadir dos ficheros de host virtual, uno será un servidor Guacamole y el otro un servidor de Nextcloud, para ello accedemos a la ruta /etc/nginx/sites-available y editamos estos dos ficheros:

• Ahora vamos a crear los enlaces simbólicos desde /etc/nginx/sites-available a /etc/nginx/sites-enabled y eliminamos el enlace simbólico al fichero default que se incluye en la configuración por defecto:

• Reiniciamos el servicio de nginx systemctl restart nginx y verificamos el estado systemctl status nginx:

• Con el comando ufw app list podemos ver los perfiles de aplicación que se pueden usar para habilitar o deshabilitar el acceso a Nginx a través del firewall de Ubuntu:

• En nuestro caso vamos a permitir el acceso a los dos puertos (80 y 443), ufw allow ‘Nginx Full’:

• Ahora vamos a habilitar HTTPS con Lets Encrypt y Certbot para ello, instalamos en primer lugar certbot con el comando apt-get install certbot:

• Ejecutamos apt-get install python3-certbot-nginx para instalar la herramienta:

• Una vez instalada utilizamos la herramienta, para ello ejecutamos el comando certbot –nginx nos hará una serie de preguntas, listará los sitios webs detectados y procederemos a activarlos, en este ejemplo hemos activado los dos sitios webs al mismo tiempo 1,2 aunque también podemos hacerlo por separado, primero el sitio web 1 y luego el 2:

• Seleccionamos la opción 2 para redirigir todo el tráfico HTTP (puerto 80) por HTTPS (puerto 443):

• Para comprobar el certificado podemos acceder a https://www.ssllabs.com/ssltest/ y verificamos el certificado para nuestros dos sitios webs:

• Los paquetes de certbot vienen con una tarea programada (cron), que renueva los certificados automáticamente antes de que caduquen, con el comando certbot renew –dry-run podemos probar la renovación automática de los certificados, y para renovar los certificados manualmente lo haremos con el comando certbot renew
• Si accedemos a /etc/nginx/sites-available y editamos los dos ficheros de Virtual host, podemos ver que se han modificado para hacer la redirección:

• Reiniciamos el servicio de nginx systemctl restart nginx y verificamos el estado systemctl status nginx:

• Con esto ya tendríamos configurado nuestros websites en el servidor que estamos utilizando como FrontalWeb.
• Ahora en nuestro Firewall, que en mi caso es un Fortigate, nos debemos de crear las reglas necesarias para publicar el puerto 80 y 443 apuntando al servidor FrontalWeb que va a ser el único que vamos a exponer en el perímetro, en este post de este mismo blog podemos ver como hacerlo, primero realizamos un NAT estático y luego nos creamos la regla de acceso a los puertos HTTP y HTTPS para el NAT estático creado:

• En nuestro DNS interno debemos de crearnos una zona de búsqueda directa, en mi caso, ragasys.eu, que es el dominio externo que hemos comprado a nuestro proveedor de DNS y que utilizaremos para publicar nuestros servicios, esto lo hacemos en nuestra infraestructura interna, para que los usuarios que accedan desde la red interna no salgan al exterior, en esta zona de búsqueda directa nos creamos estos registros Tipo A y CNAME:

• En nuestro DNS externo, el que tengamos contratado con nuestro proveedor de DNS, debemos de hacer algo parecido, es decir, debemos de crearnos un subdominio del tipo www.ragasys.eu con un registro tipo A apuntando a nuestra IP púbica, y nos crearemos subdominios por cada servicio que queramos publicar con un registro del tipo CNAME apuntando a www.ragasys.eu
• Aquí vemos que ya podemos acceder a nuestro servidor de Guacamole desde el exterior, a través del FrontalWeb, con los certificados que hemos configurado:

Saludos y espero que os sea de ayuda