En este post vamos a ver como Actualizar Nginx Proxy Manager con Docker.

• Lo primero que vamos a ver es que versión de Nginx Proxy Manager tenemos instalada, para ello, ejecutamos docker exec nginxpm cat package.json | grep version:

• Ahora actualizamos a la versión más reciente.
• cd /opt/docker/nginxpm
• docker compose pull nginxproxymanager
• docker compose up -d
• Descarga la nueva versión
• Detiene el contenedor actual
• Lo recrea con la nueva imagen, manteniendo toda la configuración, certificados, bases de datos, etc…
  porque están montados como volúmenes:
• volumes:
• /opt/docker/nginxpm/data:/data
• /opt/docker/nginxpm/data/letsencrypt:/etc/letsencrypt
• /opt/docker/nginxpm/certs:/opt/custom-certs:ro

• Volvemos a ejecutar docker exec nginxpm cat package.json | grep version y vemos que tenemos actualizada a la última versión disponible de Nginx Proxy Manager:

• Si hacemos un docker images vemos las imágenes disponibles en nuestro sistema y con docker ps -a vemos la imagen que está en uso para nuestro Nginx Proxy Manager:

• Con docker rmi imageID podemos eliminar las imágenes que ya no están en uso, en este caso eliminamos la imagen antigua de Nginx Proxy Manager que ya no utilizamos:

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir certificados SSL personalizados en Nginx Proxy Manager.

• Para empezar, copiamos nuestros certificados wildcard en el directorio de certificados de Nginx Proxy Manager, separamos el fichero .pfx para obtener el certificado público por un lado .crt, y la clave privada por otro .key, para ello vamos a introducir los comandos:
• openssl pkcs12 -in wildcard_ragasys_net.pfx -clcerts -nokeys -out wildcard_ragasys_net.crt
• openssl pkcs12 -in wildcard_ragasys_net.pfx -nocerts -nodes -out wildcard_ragasys_net.key
• openssl pkcs12 -in wildcard_ragasys_net.pfx -cacerts -nokeys -out wildcard_ragasys_net_chain.crt

• Con este último comando (openssl pkcs12 -in wildcard_ragasys_net.pfx -cacerts -nokeys -out wildcard_ragasys_net_chain.crt) me va a dar el contenido del .crt vacío (en blanco), ya que es una entidad certificadora que he desplegado desde el Active Directory, con los certificados comprados a una entidad certificadora oficial no tendríamos este problema.
• Para solucionarlo, debo exportar el certificado de mi entidad certificadora:

• Se nos abre este asistente, Siguiente:

• Seleccionamos X.509 codificado base 64 (.CER), Siguiente:

• Le indicamos la ruta para guardarlo, Siguiente:

• Finalizamos:

• Y copiamos el contenido de este fichero .cer en el fichero .crt que estaba en blanco:

• Con esto ya tengo preparado, los tres ficheros que necesito para subirlos al Nginx Proxy Manager como certificados personalizados, .crt (clave pública), .key (clave privada) y el certificado intermedio:

• Ahora, dentro de la consola web de Nginx Proxy Manager, accedemos a Certificados > Añadir Certificado > Certificado Personalizado:

• Le indicamos un nombre y añadimos nuestros certificados (clave privada, clave pública y certificado intermedio), Guardar:

• Como podemos ver, ya lo tenemos añadido y listo para usar con nuestros hosts:

• Como podemos ver, en la ruta /opt/docker/nginxpm/data/custom_ssl nos guarda los certificados personalizados:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como agregar los Hosts en Nginx Proxy Manager utilizando los certificados SSL que hemos desplegado.

• Accedemos a Hosts > Proxy Hosts:

• Add Proxy Host:

• En la pestaña Details:
• Domain Names: ragasys.eu
• Scheme: http
• Forward Hostname / IP: IP
• Forward Port: 80
• Websockets Support
• Block Common Exploits
• En la pestaña SSL:
• Seleccionamos en Certificate nuestros certificados SSL
• Marcamos Force SSL
• Marcamos HTTP/2 Support
• Save

• Aquí vemos el host creado y online:

• Si accedemos al host, vemos que ya está utilizando los certificados SSL de Let’s Encrypt:

• Agregamos más hosts a medida que los vamos necesitando:

• En nuestro DNS interno, nos hemos creado estos registros del tipo CNAME apuntando a la máquina que tiene el contenedor Docker de nginx proxy manager:

• Si accedemos a SSL Certificates, vemos que ya tenemos los certificados en uso, una vez creados los hosts:

• Ahora vamos a crear otro host para el propio portal de Nginx Proxy Manager puerto 81 y le haremos la redirección para utilizar un certificado SSL:

• Aquí lo tenemos creado:

• Accedemos por https:

• Vemos que ya está utilizando el certificados SSL de Let’s Encrypt:

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir certificados SSL de Let’s Encrypt en Nginx Proxy Manager configurados por DNS Challenge y como DNS Provider utilizaremos Azure, que es dónde tenemos alojada nuestra zona DNS.

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Azure para Let’s Encrypt, para ello, accedemos a Zonas DNS > ragasys.eu > Administración de DNS > Registros > Agregar:

• Ahora en nuestra nuestra zona DNS de Azure y debemos de tener en cuenta estos datos:
• Nombre exacto de la zona
• Grupo de recursos donde se encuentra
• Id. de suscripción

• Creamos una aplicación, para ello, accedemos a Microsoft Entra ID > Registro de aplicaciones > Nuevo registro:

• Le indicamos el Nombre y Solo cuentas de este directorio organizativo (Inquilino único), Registrar:

• Aquí tenemos la aplicación creada:

• Ahora vamos a crear el secreto de cliente, para ello, en esta nueva aplicación, accedemos a Administrar > Certificados y secretos > Secretos de los clientes > Nuevo secreto de cliente:

• Le indicamos una descripción y el tiempo de expiración, Agregar:

• Aquí tenemos el secreto de cliente, lo copiamos y guardamos en un lugar seguro, ya que sólo nos lo mostrará una sola vez:

• Sobre la Información general de la aplicación, anotamos los siguientes valores, que serán los que utilice Nginx Proxy Manager para el DNS Challenge:

• Ahora damos permisos a la aplicación sobre la Zona DNS, con esto, nuestra aplicación ya tiene permiso para crear/eliminar registros TXT dentro de la zona ragasys.eu, el rol que debemos asignar es el de Colaborador de zona DNS:

• Como la zona ragasys.eu también la tenemos en nuestro DNS interno, nos creamos el registro CNAME _acme-challenge apuntando a _acme-challenge.ragasys.eu, para que resuelva externamente hacia Azure:

• Con esto, ya tenemos preparado la parte de la zona DNS de Azure, ahora accedemos al portal de Nginx Proxy Manager > SSL Certificates > Add SSL Certificate > Let’s Encrypt y vamos a añadir las configuraciones para obtener el certificado wildcard para para nuestro dominio:

• Añadimos Let’s Encrypt:
• Domain Names, añadimos ragasys.eu y *.ragasys.neu, nos aseguramos de incluir el dominio raíz y el wildcard, Let’s Encrypt requiere que se valide también la raíz cuando pedimos el wildcard.
• Email Address for Let’s Encrypt
• Marcamos Use a DNS Challenge.
• En DNS Provider seleccionanamos Azure.
• Rellenaremos los valores para estos campos, Tenant ID, Client ID, Client Secret, Subscription ID, Resource Group, Zone Name.
• Propagation Seconds, ponemos un valor entre 300 y 600.
• Marcamos I Agree to Let’s Encrypt Terms of Service y pulsamos Save, Nginx Proxy Manager iniciará el proceso ACME, creará el TXT _acme-challenge en la zona DNS de Azure, esperará la propagación y Let’s Encrypt validará.
• Este es el contenido del Credentials File Content:
• dns_azure_sp_client_id =
• dns_azure_sp_client_secret =
• dns_azure_tenant_id =
• dns_azure_zone1 = ragasys.eu:/subscriptions/eliddemisuscripcion/resourceGroups/zonasdnspublicas-rg/providers/Microsoft.Network/dnsZones/ragasys.eu

• Este es el registro TXT _acme-challenge que se genera, Let’s Encrypt valida que el TXT coincida con el valor que generó para esa verificación, después de emitir el certificado, Nginx Proxy Manager debería borrar automáticamente el TXT de la zona si todo funciona bien:

• Aquí podemos ver, los certificados SSL de Let’s Encrypt con Azure como DNS Provider, listos para usar en nuestros Hosts:

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir certificados SSL de Let´s Encrypt en Nginx Proxy Manager configurados por DNS Challenge y como DNS Provider utilizaremos Cloudflare, que es dónde tenemos alojadas nuestras zonas DNS.

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Cloudflare para Let´s Encrypt, para ello, accedemos a DNS > Registros > Agregar registro:

• Ahora vamos a crear un API Token en nuestra zona DNS de Cloudflare, accedemos a Mi Perfil > Tokens de API > Crear Token:

• Seleccionamos Editar zona DNS > Usar plantilla, también podemos usar Crear Token Personalizado:

• Le indicamos un nombre para el token, le indicamos los permisos, los recursos de zona, Ir al resumen:

• Nos muestra un resumen y creamos el token para nuestra zona:

• Aquí tenemos el token generado, debemos de copiar el valor, ya que lo mostrará sólo una vez, guardamos el token en un sitio seguro:

• Verificamos el token y vemos que es válido:

• Aquí vemos que ya tenemos el token activo:

• Con esto, ya tenemos preparado la parte de la zona DNS de Cloudflare, ahora accedemos al portal de Nginx Proxy Manager > SSL Certificates > Add SSL Certificate > Let’s Encrypt y vamos a añadir las configuraciones para obtener el certificado wildcard para para nuestro dominio:

• Añadimos Let’s Encrypt:
• Domain Names, añadimos ragasys.net y *.ragasys.net, nos aseguramos de incluir el dominio raíz y el wildcard, Let’s Encrypt requiere que se valide también la raíz cuando pedimos el wildcard.
• Email Address for Let’s Encrypt, nuestro email registrado en Cloudflare.
• Marcamos Use a DNS Challenge.
• En DNS Provider seleccionanamos Cloudflare.
• Pegamos el API Token que copiamos desde Cloudflare.
• Propagation Seconds, ponemos un valor entre 300 y 600).
• Marcamos I Agree to Let’s Encrypt Terms of Service y pulsamos Save, Nginx Proxy Manager iniciará el proceso ACME, creará el TXT _acme-challenge en Cloudflare, esperará la propagación y Let’s Encrypt validará.

• Aquí podemos ver los certificados SSL de Let’s Encrypt con Cloudflare como DNS Provider listos para usuar en nuestros Hosts:

• Estos son los registros TXT _acme-challenge que se generan, Let’s Encrypt valida que el TXT coincida con el valor que generó para esa verificación, después de emitir el certificado, Nginx Proxy Manager debería borrar automáticamente el TXT de la zona si todo funciona bien:

• Tengo otro dominio DNS llamado ragasyssistemas.com en cloudflare, y también quiero añadir a Nginx Proxy Manager los certificados SSL de Let’s Encrypt para este dominio, para ello, vuelvo a repetir todo el proceso, y aquí vemos, que ya los tengo agregados y listos para usar en nuestros Hosts:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como desplegar Nginx Proxy Manager con Docker.

• Para empezar, vamos a ver que hemos preparado esta máquina virtual con Ubuntu Server 24.04 LTS, dónde tenemos dos discos, uno de sistema y otro de datos:

• Como podemos ver, el disco de datos lo hemos montado sobre /opt/docker que es dónde vamos a ubicar todos los contenedores Dockers y sus configuraciones:

• Nos creamos el registro DNS del tipo CNAME para nginx proxy manager apuntando a la máquina que tiene instalada el Docker:

• Lo primero que vamos a realizar es actualizar nuestro sistema, sudo apt update && sudo apt upgrade -y:

• Instalamos las dependencias necesarias, sudo apt install -y ca-certificates curl gnupg lsb-release:

• Instalamos Docker desde el script oficial, curl -fsSL https://get.docker.com -o get-docker.sh, sudo sh get-docker.sh, rm get-docker.sh:

• Instalamos el plugin de Docker Compose, sudo apt install -y docker-compose-plugin:

• Verificamos las versiones, docker –version, docker compose version:

• Ahora vamos a crear la estructura de directorios y permisos para el contenedor de nginx proxy manager:
• sudo mkdir -p /opt/docker/nginxpm/data
• sudo mkdir -p /opt/docker/nginxpm/certs
• sudo chmod -R 755 /opt/docker

• Así quedaría nuestra estructura de directorios:

• Ahora creamos la red interna para Docker, esto permite que los contenedores se comuniquen sin exponer puertos externos, sudo docker network create internal-net:

• Lo siguiente que haremos será crearnos el archivo docker-compose.yml para nginx proxy manager, sudo nano /opt/docker/nginxpm/docker-compose.yml:

• Iniciamos Nginx Proxy Manager, cd /opt/docker/nginxpm, sudo docker compose up -d:

• Aquí vemos el contenedor levantado:

• Ahora accedemos al panel de administración de Nginx Proxy Manager en el puerto 81, el usuario es admin@example.com y la contraseña changeme:

• Editamos el usuario y lo personalizamos a nuestro gusto, Save:

• Cambiamos la contraseña por defecto, Save:

• Esta sería la estructura de directorios que queda configurada para el contenedor Docker de Nginx Proxy Manager:

• Con todo esto, ya tenemos nuestro contenedor Docker de Nginx Proxy Manager operativo, en los siguientes posts veremos, cómo se configuran los certificados SSL, veremos tres formas, dos de ellas con Let´s Encrypt configurado por DNS Challenge, uno con el DNS Provider por Cloudflare y otro con el DNS Provider por Azure así no exponemos hacia fuera los puertos 80 y 443, la tercera forma que veremos con los certificados serán con certificados comprados a una CA y utilizando la parte Custom para añadirlos, y en otros post veremos como desplegar otras aplicaciones con Docker como homepage utilizando el Nginx Proxy Manager con los certificados que hemos añadido, configurando los Host en nuestro Nginx Proxy Manager.
• Aquí os dejo un pequeño apunte con los comando útiles de Docker:

Link descarga en pdf

Saludos y espero que os sea de ayuda

En este post vamos a ver como montar un FrontalWeb con Apache (Reverse Proxy) sobre una máquina Ubuntu Server 24.04 LTS utilizando certificados de Let´s Encrypt, con esta implementación le vamos a dar un punto más de seguridad a nuestra infraestructura perimetral, ya que sólo vamos a exponer directamente a Internet un único servidor, sólo va a ser necesario abrir un puerto en nuestro Firewall, ya que a través del Frontalweb vamos a poder alcanzar a los demás servidores, los certificados digitales los vamos a instalar y administrar en un solo servidor, a través del Frontalweb que se va a encargar de cifrar todos los contenidos.

• Lo primero que vamos a realizar será la instalación de Apache, para ello ejecutamos el comando apt-get install apache2:

• Una vez finalizada la instalación, con el comando apache2ctl -v podemos ver la versión de apache que hemos instalado:

• Con el comando ufw app list podemos ver los perfiles de aplicación que se pueden usar para habilitar o deshabilitar el acceso a Apache a través del firewall de Ubuntu:

Apache → Este perfil solo abre el puerto 80 (tráfico web normal sin cifrar)

Apache Full → Abre tanto el puerto 80 (tráfico web normal sin cifrar) como el puerto 443 (tráfico cifrado TLS / SSL)

Apache Secure → Este perfil solo abre el puerto 443 (tráfico cifrado TLS / SSL)

• En nuestro caso vamos a permitir el acceso a los dos puertos (80 y 443), ufw allow ‘Apache Full’:

• Para verificar que el servidor Apache está funcionando, accedemos a la URL de nuestro servidor, http://frontalweb.ragasys.net:

• Con el comando systemctl status apache2 podemos ver el estado del servicio del servidor Apache, que como podemos ver está activo y ejecutándose:

• Una vez que hemos instalado nuestro servidor de apache, vamos a habilitar los siguientes módulos:
• a2enmod ssl
• a2enmod proxy
• a2enmod proxy_http
• a2enmod proxy_balancer
• a2enmod lbmethod_byrequests
• a2enmod headers
• a2enmod rewrite

• Con el comando systemctl restart apache2 reiniciamos el servicio:

• Nos vamos a crear nuestro primer VirtualHost, en la ruta /etc/apache2/sites-available, y ejecutando nano nextcloud.ragasys.eu.conf, este primer VirtualHost será un servidor de Nextcloud que tenemos en nuestra infraestructura, con este fichero, todo el tráfico http y https que llegue a la URL de dominio púbico indicada, se va a redirigir al servidor interno de nextcloud, siempre a través de conexión cifrada https:

<VirtualHost *:80>
ServerName nextcloud.ragasys.eu
ServerAlias nextcloud.ragasys.eu

#RewriteEngine On
#RewriteCond %{HTTPS} off
#RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

ErrorLog /var/log/apache2/nextcloud.ragasys.eu/error.log
CustomLog /var/log/apache2/nextcloud.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName nextcloud.ragasys.eu
ServerAlias nextcloud.ragasys.eu

#SSLEngine on
#SSLCertificateFile /etc/letsencrypt/live/nextcloud.ragasys.eu/fullchain.pem
#SSLCertificateKeyFile /etc/letsencrypt/live/netxcloud.ragasys.eu/privkey.pem

ProxyPreserveHost On
ProxyPass / http://nextcloud.ragasys.net/
ProxyPassReverse / http://nextcloud.ragasys.net/

ErrorLog /var/log/apache2/nextcloud.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/nextcloud.ragasys.eu/ssl-access.log combined
</VirtualHost>

• Nos creamos nuestro segundo VirtualHost, en la ruta /etc/apache2/sites-available, y ejecutando nano guacamole.ragasys.eu.conf:

<VirtualHost *:80>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

#RewriteEngine On
#RewriteCond %{HTTPS} off
#RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

ErrorLog /var/log/apache2/guacamole.ragasys.eu/error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

#SSLEngine on
#SSLCertificateFile /etc/letsencrypt/live/guacamole.ragasys.eu/fullchain.pem
#SSLCertificateKeyFile /etc/letsencrypt/live/guacamole.ragasys.eu/privkey.pem

ProxyPreserveHost On
ProxyPass /guacamole http://guacamole.ragasys.net:8080/guacamole/ flushpackets=on
ProxyPassReverse /guacamole http://guacamole.ragasys.net:8080/guacamole/

ErrorLog /var/log/apache2/guacamole.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/ssl-access.log combined
</VirtualHost>

• Nos creamos también el directorio para los logs de los sites virtuales:

• Habilitamos los VirtualHost con el comando a2ensite nextcloud.ragasys.eu.conf y a2ensite guacamole.ragasys.eu.conf y como podemos ver ya tenemos habilitados los sites:

• Deshabilitamos el site por defecto a2dissite 000-default.conf:

• Ejecutamos systemctl restart apache2 y systemctl status apache2 para reiniciar y ver el estado del servicio:

• Ahora en nuestro Firewall, que en mi caso es un Fortigate, nos debemos de crear las reglas necesarias para publicar el puerto 443 apuntando al servidor FrontalWeb que va a ser el único que vamos a exponer en el perímetro, en este post de este mismo blog podemos ver como hacerlo, primero realizamos un NAT estático y luego nos creamos la regla de acceso a los puertos HTTP y HTTPS para el NAT estático creado:

• En nuestro DNS interno debemos de crearnos una zona de búsqueda directa, en mi caso, ragasys.eu, que es el dominio externo que hemos comprado a nuestro proveedor de DNS y que utilizaremos para publicar nuestros servicios, esto lo hacemos en nuestra infraestructura interna, para que los usuarios que accedan desde la red interna no salgan al exterior, en esta zona de búsqueda directa nos creamos estos registros Tipo A y CNAME: 

• En nuestro DNS externo, el que tengamos contratado con nuestro proveedor de DNS, debemos de hacer algo parecido, es decir, debemos de crearnos un subdominio del tipo www.ragasys.eu con un registro tipo A apuntando a nuestra IP púbica, y nos crearemos subdominios por cada servicio que queramos publicar con un registro del tipo CNAME apuntando a www.ragasys.eu:

• Ahora vamos a instalar cerbot, para ello, ejecutamos apt install certbot python3-certbot-apache:

• Obtenemos el certificado SSL de Let’s Encrypt para el primer site, para ello, ejecutamos certbot –apache -d nextcloud.ragasys.eu:

• Obtenemos el certificado SSL de Let’s Encrypt para el segundo site, para ello, ejecutamos certbot –apache -d guacamole.ragasys.eu:

• Si accedemos a la configuración de los sites virtuales, nos ha quedado así tras el despliegue de los certificados SSL de Let’s Encrypt:

• El fichero bien estructurado del primer site debe quedar así:

<VirtualHost *:80>
ServerName nextcloud.ragasys.eu
ServerAlias nextcloud.ragasys.eu

RewriteEngine on
RewriteCond %{SERVER_NAME} =nextcloud.ragasys.eu
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]

ErrorLog /var/log/apache2/nextcloud.ragasys.eu/error.log
CustomLog /var/log/apache2/nextcloud.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName nextcloud.ragasys.eu
ServerAlias nextcloud.ragasys.eu

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/nextcloud.ragasys.eu/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/nextcloud.ragasys.eu/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

ProxyPreserveHost On
ProxyPass / http://nextcloud.ragasys.net/
ProxyPassReverse / http://nextcloud.ragasys.net/

ErrorLog /var/log/apache2/nextcloud.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/nextcloud.ragasys.eu/ssl-access.log combined
</VirtualHost>

• El fichero bien estructurado del segundo site debe quedar así:

<VirtualHost *:80>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

RewriteEngine on
RewriteCond %{SERVER_NAME} =guacamole.ragasys.eu
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]

ErrorLog /var/log/apache2/guacamole.ragasys.eu/error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/guacamole.ragasys.eu/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/guacamole.ragasys.eu/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

ProxyPreserveHost On
ProxyPass /guacamole http://guacamole.ragasys.net:8080/guacamole/ flushpackets=on
ProxyPassReverse /guacamole http://guacamole.ragasys.net:8080/guacamole/

ErrorLog /var/log/apache2/guacamole.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/ssl-access.log combined
</VirtualHost>

• El fichero de este segundo host me ha estado dando problemas, y no conseguía acceder, se iba siempre a la página por defecto de apache.
• Para dejarlo fino y funcionando, se ha quedado así de manera definitiva:

<VirtualHost *:80>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

RewriteEngine on
RewriteRule /(.*) https://guacamole.ragasys.eu/guacamole [R,L]

ErrorLog /var/log/apache2/guacamole.ragasys.eu/error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/access.log combined
</VirtualHost>

<VirtualHost *:443>
ServerName guacamole.ragasys.eu
ServerAlias guacamole.ragasys.eu

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/guacamole.ragasys.eu/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/guacamole.ragasys.eu/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

ProxyPreserveHost On
SSLProxyEngine On
RewriteEngine On

<Location />
ProxyPass http://guacamole.ragasys.net:8080/guacamole/ flushpackets=on
ProxyPassReverse http://guacamole.ragasys.net:8080/guacamole/
</Location>
ErrorLog /var/log/apache2/guacamole.ragasys.eu/ssl-error.log
CustomLog /var/log/apache2/guacamole.ragasys.eu/ssl-access.log combined
</VirtualHost>

• Certbot renueva los certificados automáticamente, pero podemos verificarlo con, certbot renew –dry-run:

• Aquí vemos que ya podemos acceder a nuestro servidor de Nextcloud desde el exterior, a través del FrontalWeb, con los certificados SSL de Let’s Encrypt: 

• Aquí vemos que ya podemos acceder a nuestro servidor de Apache Guacamole desde el exterior, a través del FrontalWeb, con los certificados SSL de Let’s Encrypt:

• Para comprobar el certificado podemos acceder a  https://www.ssllabs.com/ssltest/ y verificamos el certificado para nuestros dos sitios webs:

Saludos y espero que os sea de ayuda

En este post vamos a ver como montar un FrontalWeb con Nginx (Reverse Proxy) sobre una máquina Ubuntu Server 20.04, con esta implementación le vamos a dar un punto más de seguridad a nuestra infraestructura perimetral, ya que sólo vamos a exponer directamente a Internet un único servidor, sólo va a ser necesario abrir un puerto en nuestro Firewall, ya que a través del Frontalweb vamos a poder alcanzar a los demás servidores, los certificados digitales los vamos a instalar y administrar en un solo servidor, a través del Frontalweb que se va a encargar de cifrar todos los contenidos.

• Lo primero que vamos a realizar será la instalación de Nginx, para ello ejecutamos el comando apt-get install nginx:

• Ahora vamos a añadir dos ficheros de host virtual, uno será un servidor Guacamole y el otro un servidor de Nextcloud, para ello accedemos a la ruta /etc/nginx/sites-available y editamos estos dos ficheros:

• Ahora vamos a crear los enlaces simbólicos desde /etc/nginx/sites-available a /etc/nginx/sites-enabled y eliminamos el enlace simbólico al fichero default que se incluye en la configuración por defecto:

• Reiniciamos el servicio de nginx systemctl restart nginx y verificamos el estado systemctl status nginx:

• Con el comando ufw app list podemos ver los perfiles de aplicación que se pueden usar para habilitar o deshabilitar el acceso a Nginx a través del firewall de Ubuntu:

• En nuestro caso vamos a permitir el acceso a los dos puertos (80 y 443), ufw allow ‘Nginx Full’:

• Ahora vamos a habilitar HTTPS con Lets Encrypt y Certbot para ello, instalamos en primer lugar certbot con el comando apt-get install certbot:

• Ejecutamos apt-get install python3-certbot-nginx para instalar la herramienta:

• Una vez instalada utilizamos la herramienta, para ello ejecutamos el comando certbot –nginx nos hará una serie de preguntas, listará los sitios webs detectados y procederemos a activarlos, en este ejemplo hemos activado los dos sitios webs al mismo tiempo 1,2 aunque también podemos hacerlo por separado, primero el sitio web 1 y luego el 2:

• Seleccionamos la opción 2 para redirigir todo el tráfico HTTP (puerto 80) por HTTPS (puerto 443):

• Para comprobar el certificado podemos acceder a https://www.ssllabs.com/ssltest/ y verificamos el certificado para nuestros dos sitios webs:

• Los paquetes de certbot vienen con una tarea programada (cron), que renueva los certificados automáticamente antes de que caduquen, con el comando certbot renew –dry-run podemos probar la renovación automática de los certificados, y para renovar los certificados manualmente lo haremos con el comando certbot renew
• Si accedemos a /etc/nginx/sites-available y editamos los dos ficheros de Virtual host, podemos ver que se han modificado para hacer la redirección:

• Reiniciamos el servicio de nginx systemctl restart nginx y verificamos el estado systemctl status nginx:

• Con esto ya tendríamos configurado nuestros websites en el servidor que estamos utilizando como FrontalWeb.
• Ahora en nuestro Firewall, que en mi caso es un Fortigate, nos debemos de crear las reglas necesarias para publicar el puerto 80 y 443 apuntando al servidor FrontalWeb que va a ser el único que vamos a exponer en el perímetro, en este post de este mismo blog podemos ver como hacerlo, primero realizamos un NAT estático y luego nos creamos la regla de acceso a los puertos HTTP y HTTPS para el NAT estático creado:

• En nuestro DNS interno debemos de crearnos una zona de búsqueda directa, en mi caso, ragasys.eu, que es el dominio externo que hemos comprado a nuestro proveedor de DNS y que utilizaremos para publicar nuestros servicios, esto lo hacemos en nuestra infraestructura interna, para que los usuarios que accedan desde la red interna no salgan al exterior, en esta zona de búsqueda directa nos creamos estos registros Tipo A y CNAME:

• En nuestro DNS externo, el que tengamos contratado con nuestro proveedor de DNS, debemos de hacer algo parecido, es decir, debemos de crearnos un subdominio del tipo www.ragasys.eu con un registro tipo A apuntando a nuestra IP púbica, y nos crearemos subdominios por cada servicio que queramos publicar con un registro del tipo CNAME apuntando a www.ragasys.eu
• Aquí vemos que ya podemos acceder a nuestro servidor de Guacamole desde el exterior, a través del FrontalWeb, con los certificados que hemos configurado:

Saludos y espero que os sea de ayuda

En este post vamos a ver como montar un FrontalWeb con Apache (Reverse Proxy) sobre una máquina Ubuntu Server 20.04, con esta implementación le vamos a dar un punto más de seguridad a nuestra infraestructura perimetral, ya que sólo vamos a exponer directamente a Internet un único servidor, sólo va a ser necesario abrir un puerto en nuestro Firewall, ya que a través del Frontalweb vamos a poder alcanzar a los demás servidores, los certificados digitales los vamos a instalar y administrar en un solo servidor, a través del Frontalweb que se va a encargar de cifrar todos los contenidos.

• Lo primero que vamos a realizar será la instalación de Apache, para ello ejecutamos el comando apt-get install apache2:

• Una vez finalizada la instalación, con el comando apache2ctl –v podemos ver la versión de apache que hemos instalado:

• Con el comando ufw app list podemos ver los perfiles de aplicación que se pueden usar para habilitar o deshabilitar el acceso a Apache a través del firewall de Ubuntu:

Apache → Este perfil solo abre el puerto 80 (tráfico web normal sin cifrar)

Apache Full → Abre tanto el puerto 80 (tráfico web normal sin cifrar) como el puerto 443 (tráfico cifrado TLS / SSL)

Apache Secure → Este perfil solo abre el puerto 443 (tráfico cifrado TLS / SSL)

FUENTE: https://ubunlog.com/servidor-web-apache-instalacion-conceptos-basicos-ubuntu-20-04/

• En nuestro caso vamos a permitir el acceso a los dos puertos (80 y 443), ufw allow ‘Apache Full’:

• Para verificar que el servidor Apache está funcionando, accedemos a la URL de nuestro servidor, http://frontalweb.ragasys.net:

• Con el comando systemctl status apache2 podemos ver el estado del servicio del servidor Apache, que como podemos ver está activo y ejecutándose:

• Una vez que hemos instalado nuestro servidor de apache, vamos a habilitar los siguientes módulos:
• a2enmod ssl
• a2enmod proxy
• a2enmod proxy_http
• a2enmod proxy_balancer
• a2enmod lbmethod_byrequests
• a2enmod rewrite

• Ahora vamos a exportar los certificados wildcard que nos creamos anteriormente en nuestra entidad emisora de certificados y los vamos a presentar en el formato adecuado:

• Primero vamos a separar el fichero .pfx para obtener el certificado público por un lado .cer, y la clave privada por otro .key, , para ello vamos a introducir los comandos:
• openssl pkcs12 -in wildcard_ragasys_eu.pfx -clcerts -nokeys -out wildcard_ragasys_eu.cer   
• openssl pkcs12 -in wildcard_ragasys_eu.pfx -nocerts -nodes -out wildcard_ragasys_eu.key

• También copiamos la cadena de certificados cambiándola de nombre, cp wildcard_ragasys_eu_ca-bundle.p7b cadenaragasyseu.crt:

• Ahora movemos los certificados que hemos generado, junto con la cadena de la CA al directorio /etc/ssl/certficados ya que este directorio será el que usaremos en los ficheros de los VirtualHost:

• Una vez terminado el tema de los certificados, nos vamos a crear nuestro primer VirtualHost, en la ruta /etc/apache2/sites-available, y ejecutando nano nextcloud.ragasys.eu.conf, este primer VirtualHost será un servidor de Nextcloud que tenemos en nuestra infraestructura, con este fichero, todo el tráfico http y https que llegue a la URL de dominio púbico indicada, se va a redirigir al servidor interno de nextcloud, siempre a través de conexión cifrada https, para eso hemos generado los certificados:

• Nos creamos también el directorio para los logs de este sitio:

• Habilitamos nuestro primer VirtualHost con el comando a2ensite nextcloud.ragasys.eu.conf:

• Como podemos ver ya tenemos habilitado nuestro primer site, también hemos deshabilitado el site por defecto a2dissite 000-default.conf:

• Ahora reiniciamos el servicio de apache2, systemctl restart apache2 y verificamos que el servicio está corriendo con systemctl status apache2:

• Con esto ya tendríamos configurado nuestro primer website en nuestro servidor de FrontalWeb.
• Ahora en nuestro Firewall, que en mi caso es un Fortigate, nos debemos de crear las reglas necesarias para publicar el puerto 443 apuntando al servidor FrontalWeb que va a ser el único que vamos a exponer en el perímetro, en este post de este mismo blog podemos ver como hacerlo, primero realizamos un NAT estático y luego nos creamos la regla de acceso a los puertos HTTP y HTTPS para el NAT estático creado:

• En nuestro DNS interno debemos de crearnos una zona de búsqueda directa, en mi caso, ragasys.eu, que es el dominio externo que hemos comprado a nuestro proveedor de DNS y que utilizaremos para publicar nuestros servicios, esto lo hacemos en nuestra infraestructura interna, para que los usuarios que accedan desde la red interna no salgan al exterior, en esta zona de búsqueda directa nos creamos estos registros Tipo A y CNAME:

• En nuestro DNS externo, el que tengamos contratado con nuestro proveedor de DNS, debemos de hacer algo parecido, es decir, debemos de crearnos un subdominio del tipo www.midomino.com con un registro tipo A apuntando a nuestra IP púbica, y nos crearemos subdominios por cada servicio que queramos publicar con un registro del tipo CNAME apuntando a www.midomino.com
• Aquí vemos que ya podemos acceder a nuestro servidor de Nextcloud desde el exterior, a través del FrontalWeb, con los certificados que hemos configurado:

• Aquí os muestro otro ejemplo del servicio Apache Guacamole publicado a través del FrontalWeb:

• Aquí vemos que ya podemos acceder a nuestro servidor de Apache Guacamole desde el exterior, a través del FrontalWeb, con los certificados que hemos configurado:

Saludos y espero que os resulte de ayuda