En este post vamos a ver como añadir certificados SSL personalizados en Nginx Proxy Manager.

• Para empezar, copiamos nuestros certificados wildcard en el directorio de certificados de Nginx Proxy Manager, separamos el fichero .pfx para obtener el certificado público por un lado .crt, y la clave privada por otro .key, para ello vamos a introducir los comandos:
• openssl pkcs12 -in wildcard_ragasys_net.pfx -clcerts -nokeys -out wildcard_ragasys_net.crt
• openssl pkcs12 -in wildcard_ragasys_net.pfx -nocerts -nodes -out wildcard_ragasys_net.key
• openssl pkcs12 -in wildcard_ragasys_net.pfx -cacerts -nokeys -out wildcard_ragasys_net_chain.crt

• Con este último comando (openssl pkcs12 -in wildcard_ragasys_net.pfx -cacerts -nokeys -out wildcard_ragasys_net_chain.crt) me va a dar el contenido del .crt vacío (en blanco), ya que es una entidad certificadora que he desplegado desde el Active Directory, con los certificados comprados a una entidad certificadora oficial no tendríamos este problema.
• Para solucionarlo, debo exportar el certificado de mi entidad certificadora:

• Se nos abre este asistente, Siguiente:

• Seleccionamos X.509 codificado base 64 (.CER), Siguiente:

• Le indicamos la ruta para guardarlo, Siguiente:

• Finalizamos:

• Y copiamos el contenido de este fichero .cer en el fichero .crt que estaba en blanco:

• Con esto ya tengo preparado, los tres ficheros que necesito para subirlos al Nginx Proxy Manager como certificados personalizados, .crt (clave pública), .key (clave privada) y el certificado intermedio:

• Ahora, dentro de la consola web de Nginx Proxy Manager, accedemos a Certificados > Añadir Certificado > Certificado Personalizado:

• Le indicamos un nombre y añadimos nuestros certificados (clave privada, clave pública y certificado intermedio), Guardar:

• Como podemos ver, ya lo tenemos añadido y listo para usar con nuestros hosts:

• Como podemos ver, en la ruta /opt/docker/nginxpm/data/custom_ssl nos guarda los certificados personalizados:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como añadir certificados SSL de Let’s Encrypt en Nginx Proxy Manager configurados por DNS Challenge y como DNS Provider utilizaremos Azure, que es dónde tenemos alojada nuestra zona DNS.

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Azure para Let’s Encrypt, para ello, accedemos a Zonas DNS > ragasys.eu > Administración de DNS > Registros > Agregar:

• Ahora en nuestra nuestra zona DNS de Azure y debemos de tener en cuenta estos datos:
• Nombre exacto de la zona
• Grupo de recursos donde se encuentra
• Id. de suscripción

• Creamos una aplicación, para ello, accedemos a Microsoft Entra ID > Registro de aplicaciones > Nuevo registro:

• Le indicamos el Nombre y Solo cuentas de este directorio organizativo (Inquilino único), Registrar:

• Aquí tenemos la aplicación creada:

• Ahora vamos a crear el secreto de cliente, para ello, en esta nueva aplicación, accedemos a Administrar > Certificados y secretos > Secretos de los clientes > Nuevo secreto de cliente:

• Le indicamos una descripción y el tiempo de expiración, Agregar:

• Aquí tenemos el secreto de cliente, lo copiamos y guardamos en un lugar seguro, ya que sólo nos lo mostrará una sola vez:

• Sobre la Información general de la aplicación, anotamos los siguientes valores, que serán los que utilice Nginx Proxy Manager para el DNS Challenge:

• Ahora damos permisos a la aplicación sobre la Zona DNS, con esto, nuestra aplicación ya tiene permiso para crear/eliminar registros TXT dentro de la zona ragasys.eu, el rol que debemos asignar es el de Colaborador de zona DNS:

• Como la zona ragasys.eu también la tenemos en nuestro DNS interno, nos creamos el registro CNAME _acme-challenge apuntando a _acme-challenge.ragasys.eu, para que resuelva externamente hacia Azure:

• Con esto, ya tenemos preparado la parte de la zona DNS de Azure, ahora accedemos al portal de Nginx Proxy Manager > SSL Certificates > Add SSL Certificate > Let’s Encrypt y vamos a añadir las configuraciones para obtener el certificado wildcard para para nuestro dominio:

• Añadimos Let’s Encrypt:
• Domain Names, añadimos ragasys.eu y *.ragasys.neu, nos aseguramos de incluir el dominio raíz y el wildcard, Let’s Encrypt requiere que se valide también la raíz cuando pedimos el wildcard.
• Email Address for Let’s Encrypt
• Marcamos Use a DNS Challenge.
• En DNS Provider seleccionanamos Azure.
• Rellenaremos los valores para estos campos, Tenant ID, Client ID, Client Secret, Subscription ID, Resource Group, Zone Name.
• Propagation Seconds, ponemos un valor entre 300 y 600.
• Marcamos I Agree to Let’s Encrypt Terms of Service y pulsamos Save, Nginx Proxy Manager iniciará el proceso ACME, creará el TXT _acme-challenge en la zona DNS de Azure, esperará la propagación y Let’s Encrypt validará.
• Este es el contenido del Credentials File Content:
• dns_azure_sp_client_id =
• dns_azure_sp_client_secret =
• dns_azure_tenant_id =
• dns_azure_zone1 = ragasys.eu:/subscriptions/eliddemisuscripcion/resourceGroups/zonasdnspublicas-rg/providers/Microsoft.Network/dnsZones/ragasys.eu

• Este es el registro TXT _acme-challenge que se genera, Let’s Encrypt valida que el TXT coincida con el valor que generó para esa verificación, después de emitir el certificado, Nginx Proxy Manager debería borrar automáticamente el TXT de la zona si todo funciona bien:

• Aquí podemos ver, los certificados SSL de Let’s Encrypt con Azure como DNS Provider, listos para usar en nuestros Hosts:

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir certificados SSL de Let´s Encrypt en Nginx Proxy Manager configurados por DNS Challenge y como DNS Provider utilizaremos Cloudflare, que es dónde tenemos alojadas nuestras zonas DNS.

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Cloudflare para Let´s Encrypt, para ello, accedemos a DNS > Registros > Agregar registro:

• Ahora vamos a crear un API Token en nuestra zona DNS de Cloudflare, accedemos a Mi Perfil > Tokens de API > Crear Token:

• Seleccionamos Editar zona DNS > Usar plantilla, también podemos usar Crear Token Personalizado:

• Le indicamos un nombre para el token, le indicamos los permisos, los recursos de zona, Ir al resumen:

• Nos muestra un resumen y creamos el token para nuestra zona:

• Aquí tenemos el token generado, debemos de copiar el valor, ya que lo mostrará sólo una vez, guardamos el token en un sitio seguro:

• Verificamos el token y vemos que es válido:

• Aquí vemos que ya tenemos el token activo:

• Con esto, ya tenemos preparado la parte de la zona DNS de Cloudflare, ahora accedemos al portal de Nginx Proxy Manager > SSL Certificates > Add SSL Certificate > Let’s Encrypt y vamos a añadir las configuraciones para obtener el certificado wildcard para para nuestro dominio:

• Añadimos Let’s Encrypt:
• Domain Names, añadimos ragasys.net y *.ragasys.net, nos aseguramos de incluir el dominio raíz y el wildcard, Let’s Encrypt requiere que se valide también la raíz cuando pedimos el wildcard.
• Email Address for Let’s Encrypt, nuestro email registrado en Cloudflare.
• Marcamos Use a DNS Challenge.
• En DNS Provider seleccionanamos Cloudflare.
• Pegamos el API Token que copiamos desde Cloudflare.
• Propagation Seconds, ponemos un valor entre 300 y 600).
• Marcamos I Agree to Let’s Encrypt Terms of Service y pulsamos Save, Nginx Proxy Manager iniciará el proceso ACME, creará el TXT _acme-challenge en Cloudflare, esperará la propagación y Let’s Encrypt validará.

• Aquí podemos ver los certificados SSL de Let’s Encrypt con Cloudflare como DNS Provider listos para usuar en nuestros Hosts:

• Estos son los registros TXT _acme-challenge que se generan, Let’s Encrypt valida que el TXT coincida con el valor que generó para esa verificación, después de emitir el certificado, Nginx Proxy Manager debería borrar automáticamente el TXT de la zona si todo funciona bien:

• Tengo otro dominio DNS llamado ragasyssistemas.com en cloudflare, y también quiero añadir a Nginx Proxy Manager los certificados SSL de Let’s Encrypt para este dominio, para ello, vuelvo a repetir todo el proceso, y aquí vemos, que ya los tengo agregados y listos para usar en nuestros Hosts:

Saludos y espero que os resulte de ayuda

En este post veremos cómo agregar un certificado SSL de Let’s Encrypt en un nodo Proxmox VE 9.0, los haremos a través de DNS Challenge y cómo DNS Provider usaremos Azure que es donde tenemos nuestra zona DNS llamada ragasys.eu

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Azure para Let’s Encrypt, para ello, accedemos a Zonas DNS > ragasys.eu > Administración de DNS > Registros > Agregar:

• Ahora en nuestra nuestra zona DNS de Azure y debemos de tener en cuenta estos datos:
• Nombre exacto de la zona
• Grupo de recursos donde se encuentra
• Id. de suscripción

• Creamos una aplicación, para ello, accedemos a Microsoft Entra ID > Registro de aplicaciones > Nuevo registro:

• Le indicamos el Nombre y Solo cuentas de este directorio organizativo (Inquilino único), Registrar:

• Aquí tenemos la aplicación creada:

• Ahora vamos a crear el secreto de cliente, para ello, en esta nueva aplicación, accedemos a Administrar > Certificados y secretos > Secretos de los clientes > Nuevo secreto de cliente, lo copiamos y guardamos en un lugar seguro, ya que sólo nos lo mostrará una sola vez:

• Aquí tenemos los datos que necesitamos más el client secret:

• Ahora damos permisos a la aplicación sobre la Zona DNS, con esto, nuestra aplicación ya tiene permiso para crear/eliminar registros TXT dentro de la zona ragasys.eu, el rol que debemos asignar es el de Colaborador de zona DNS:

• Como la zona ragasys.eu también la tenemos en nuestro DNS interno, nos creamos el registro CNAME _acme-challenge apuntando a _acme-challenge.ragasys.eu, para que resuelva externamente hacia Azure:

• Con esto, ya tenemos preparado la parte de la zona DNS de Azure.
• Ahora en nuestro nodo de Proxmox, lo primero que vamos a realizar será crearnos una cuenta en Let’s Encrypt, para ello, sobre nuestro nodo proxmox accedemos a Centro de datos > ACME > Cuentas > Agregar:

• Le indicamos el nombre de la cuenta, un correo válido, y el directorio ACME, Registrar:

• Ya tenemos la cuenta de Let’s Encrypt generada:

• Ahora en Centro de datos > ACME > Plugins de desafío > Agregar, vamos a agregar el plugin para Azure:

• Le indicamos un ID de plugin, el retardo de validación, el API DNS
• AZUREDNS_SUBSCRIPTIONID=
• AZUREDNS_TENANTID=
• AZUREDNS_APPID=
• AZUREDNS_CLIENTSECRET=
• Agregar:

• Y aquí vemos que ya tenemos el plugin añadido:

• Los datos del plugin los obtenemos de nuestro portal de Azure.
• Ahora vamos a agregar el certificado de Let’s Encrypt al nodo proxmox, para ello accedemos a proxmoxlab11 > Certificados > ACME y usamos la cuenta de Let’s Encrypt que nos hemos creado anteriormente, Aplicar:

• Damos a Agregar para añadir el dominio:

• Introducimos el Tipo de desafío DNS, el plugin que añadimos anteriormente y el nombre de dominio de nuestro nodo Proxmox, Crear:

• Y aquí vemos que ya tenemos la configuración realizada:

• Damos a Solicitar certificados ahora y vemos cómo se han validado:

• Aquí tenemos el certificado SSL de Let’s Encrypt para nuestro nodo Proxmox:

• Accedemos a través del navegador a nuestro nodo Proxmox y vemos como reconoce el certificado SSL de Let’s Encrypt:

Saludos y espero que os sea de ayuda

En este post veremos cómo agregar un certificado SSL de Let’s Encrypt en un nodo Proxmox VE 9.0, los haremos a través de DNS Challenge y cómo DNS Provider usaremos Cloudflare que es donde tenemos nuestra zona DNS llamada ragasys.net.

• Lo primero que vamos a realizar será crearnos una cuenta en Let’s Encrypt, para ello, sobre nuestro nodo proxmox accedemos a Centro de datos > ACME > Cuentas > Agregar:

• Le indicamos el nombre de la cuenta, un correo válido, y el directorio ACME, Registrar:

• Ya tenemos la cuenta generada de Let’s Encrypt:

• Ahora en Centro de datos > ACME > Plugins de desafío > Agregar, vamos a agregar el plugin para Cloudflare:

• Le indicamos un ID de plugin, el retardo de validación, el API DNS, CF_Account, CF_Email, CF_Token y CF_Zone_ID, Agregar:

• Y aquí vemos que ya tenemos el plugin añadido:

• Los datos del plugin los obtenemos de nuestra cuenta de Cloudflare:

• El Token de API, seguimos este enlace en este mismo blog para crearlo.
• Ahora vamos a agregar el certificado de Let’s Encrypt al nodo proxmox, para ello accedemos a proxmoxlab11 > Certificados > ACME y usamos la cuenta de Let’s Encrypt que nos hemos creado anteriormente, Aplicar:

• Damos a Agregar para añadir el dominio:

• Introducimos el Tipo de desafío DNS, el plugin que añadimos anteriormente y el nombre de dominio de nuestro nodo Proxmox, Crear:

• Y aquí vemos que ya tenemos la configuración realizada:

• Damos a Solicitar certificados ahora y vemos cómo se han validado:

• Aquí tenemos el certificado SSL de Let’s Encrypt para nuestro nodo Proxmox:

• Accedemos a través del navegador a nuestro nodo Proxmox y vemos como reconoce el certificado SSL de Let’s Encrypt:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar un certificado SSL para nuestro dominio personalizado y darle la capa de seguridad para las comunicaciones de nuestro App Service, así todas las peticiones que entran y salen de la web llevarán la información encriptada.

• Antes de comenzar, debemos de tener preparado el certificado SSL con el que vamos a encriptar la información entrante y saliente de nuestro App Service, en este ejemplo, para no comprar un certificado, lo he desplegado de mi propia entidad emisora de certificado que tengo montada sobre un Windows Server, en este post del blog podéis ver como se genera el certificado.
• Una vez generado el certificado, accedemos a App Services > miappserice > Dominios personalizados y sobre el dominio que hemos añadido damos al link Agregar enlace:

• Agregamos y cargamos el certificado PFX:

• Agregamos el enlace:

• Como podemos ver, ya tenemos el certificado SSL agregado al App Service con nuestro dominio personalizado:

• Sobre Configuración de TLS/SSL > Enlaces > Enlaces TLS/SSL podemos ver el enlace configurado:

• Sobre Configuración de TLS/SSL > Certificados de clave privada (.pfx) podemos ver los certificados agregados a nuestro sitio web:

• Si accedemos a App Services > miappserice > Introducción podemos ver que la URL ya no es la que nos pone por defecto Azure, es la URL de nuestro domino personalizado, que al tener certificado SSL configurado se sustituye por la otra:

• Si le damos a Examinar vemos el acceso por https a nuestro sitio web con el dominio personalizado y con el certificado que le hemos agregado, en este caso, el navegador me lo muestra como no seguro porque no confía en la entidad emisora del certificado, ya que esta entidad, al ser propia local de mi infraestructura no está dada de alta en ningún lado, cuando el certificado es comprado a una entidad de confianza, esto nos lo mostraría correctamente, pero bueno, para mostrar el ejemplo, nos puede valer:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo preparar un certificado SSL Wildcard para después desplegarlo sobre un servidor Apache Linux haciendo las funciones de FrontalWeb.

Los certificados SSL Wildcard protegen la dirección URL de tu sitio web, así como también un número ilimitado de sus subdominios. Por ejemplo, un certificado Wildcard individual puede proteger www.ragasys.com, blog.ragasys.com y tienda.ragasys.com

Estos certificados protegen el nombre común y todos los subdominios con el nivel que desees especificar cuando envíes tu solicitud. Simplemente agrega un asterisco (*) en el área del subdominio a la izquierda del nombre común.

Fuente: https://es.godaddy.com/help/que-es-un-certificado-ssl-wildcard-567

• Para preparar nuestro certificado SSL Wildcard, tenemos montada en nuestra infraestructura una entidad emisora de certificados, en este link de este mismo blog podemos ver como montarlo.
• Lo primero que vamos a realizar será crear una petición de firma de certificado, para ello accedemos al IIS (Internet Information Services) de nuestra entidad emisora de certificados, nos situamos sobre el servidor ADCS > Certificados del servidor:

• Sobre Certificados de servidor, damos clic sobre Crear una solicitud de certificado:

• En las Propiedades de nombre distintivo, Introducimos los datos para la información requerida para el certificado que queremos generar, en nombre común utilizamos el * para que sea válido con cualquier subdomino de nuestra infraestructura:

• En las Propiedades de proveedor de servicios criptográficos, utilizamos RSA con 2048 bits:

• Sobre Nombre de archivo, le indicamos la ruta y el nombre, clic sobre Finalizar:

• Como podemos ver aquí tenemos la solicitud de certificado creada:

• Una vez que tenemos la solicitud de certificado creada, accedemos a nuestra CA https://adcs.ragasys.net/certsrv/ y solicitamos un certificado:

• Solicitamos una solicitud avanzada de certificado:

• Copiamos el contenido del fichero .txt que nos generó la solicitud de certificado, como plantilla seleccionamos Servidor web, y damos clic a Enviar:

• Ahora seleccionamos la opción Codificado en DER y nos descargamos el certificado y la cadena de certificado:

• Ahora nos vamos a descargar el certificado que utiliza nuestra CA, para ello volvemos al inicio de la web de CA, y clicamos sobre Descargar un certificado de CA:

• Seleccionamos DER y clic sobre Descargar certificado CA:

• Como vemos aquí lo tenemos descargado:

• Ahora vamos a completar la solicitud de certificado que hemos generado, para ello, desde nuestro IIS sobre Certificados de servidor, clicamos sobre Completar solicitud de certificado:

• Seleccionamos el certificado que nos hemos creado, le damos un nombre y seleccionamos el almacén, clc sobre Aceptar:

• Como podemos ver ya lo tenemos disponible en la lista de certificados de nuestro IIS:

• Si nos abrimos una consola mmc podemos ver el certificado que nos hemos creado:

• Para terminar, vamos a preparar el certificado SSL Wildcard para exportarlo como PFX, para ello, desde nuestro IIS, seleccionamos el certificado, y damos clic sobre Exportar:

• La asignamos un nombre y contraseña al certificado:

• Como podemos ver aquí lo tenemos exportado como fichero PFX:

• Con todo esto que hemos realizado, ya tendríamos preparado el certificado SSL wildcard para desplegarlo sobre nuestro FrontalWeb con Apache Linux, pero esto será en otro post.

Saludos y espero que os sea de ayuida

En este post vamos a ver como crear certificados SSL autofirmados para puerta de enlace de escritorio remoto, estos certificados nos van a permitir establecer conexiones seguras por RDS.

• Nos abrimos el Administrador del servidor, y nos vamos a Servicios de Escritorio remoto:

• Sobre la opción de Información general nos vamos a las Tareas > Editar propiedades de la implementación:

• Sobre las propiedades de la implementación, nos vamos a la parte de Certificados y aquí tenemos dos opciones, la primera de ellas nos permite crear un certificado SSL autofirmado, esta opción nos va a indicar que No es de confianza, la segunda opción Seleccionar un certificado existente nos va a permitir implementar un certificado generado por una entidad emisora de certificados como por ejemplo, DigiCert, Verisign… cualquier entidad a la cuál le compremos el certificado, para una infraestructura en producción sería la opción recomendada, nosotros vamos a montar un certificado autofirmado ya que estamos en laboratorio y testeos, seleccionamos por tanto Crear nuevo certificado, debemos de configurarlo para los 4 servicios de rol:

• Empezamos por el primer rol, Agente de conexión a Escritorio Remoto – Habilitar inicio de sesión único:

• Nos creamos el nuevo certificado, y aquí muy importante en el nombre de certificado, debemos darle el nombre DNS que configuramos en la puerta de enlace de escritorio remoto, le asignamos una contraseña que debemos recordar cuando implementemos el certificado, le daremos una ubicación dónde lo almacenaremos y marcamos el check de permitir agregar al almacén de certificados y aceptamos:

• Ahora aplicamos y una vez aplicado podemos ver que el estado es correcto:

• Seguiremos con el segundo rol, Agente de conexión a Escritorio Remoto – Publicación, en este caso vamos a Seleccionar un certificado existente, que será el que nos acabamos de crear:

• Seleccionamos el certificado, le indicamos la contraseña, marcamos el check de permitir agregar al almacén de certificados y aceptamos:

• Ahora aplicamos y una vez aplicado podemos ver que el estado es correcto:

• Seguiremos con el tercer rol, Acceso web a Escritorio Remoto, en este caso vamos a Seleccionar un certificado existente, que será el que nos acabamos de crear:

• Seleccionamos el certificado, le indicamos la contraseña, marcamos el check de permitir agregar al almacén de certificados y aceptamos:

• Ahora aplicamos y una vez aplicado podemos ver que el estado es correcto:

• Seguiremos con el cuarto rol, Puerta de enlace Escritorio Remoto, en este caso vamos a Seleccionar un certificado existente, que será el que nos acabamos de crear:

• Seleccionamos el certificado, le indicamos la contraseña, marcamos el check de permitir agregar al almacén de certificados y aceptamos:

• Ahora aplicamos y una vez aplicado podemos ver que el estado es correcto:

• Una vez que tenemos todos los roles con sus certificados implementados, damos clic a Agregar:

• Como podemos ver ya tenemos bien implementada la Puerta de enlace de Escritorio remoto:

En este post vamos a ver como sustituir el certificado SSL autofirmado de Veeam Backup & Replication, ya que hasta la versión 9.5 Update 3 este certificado tiene caducidad de un año, con la versión 9.5 Update 4 ya viene corregido este problema, pero cuidado, nos podemos encontrar el caso que tenemos la versión 9.5 Update 4 y el certificado nos caduca al año, esto es debido a que hemos realizado un upgrade de la versión 9.5 Update 3 al Update 4, este sería el error que nos vamos a encontrar al acceder a la consola de Veeam Backup & Replication si nuestro certificado SSL autofirmado ha caducado:

• Para ver el certificado SSL autofirmado de Veeam Backup & Replication accedemos a la consola y nos vamos a las opciones General Options > Security:

• Para instalar un nuevo certificado SSL autofirmado y con caducidad de 10 años daremos clic sobre “Install” en las opciones de seguridad:

• Se nos abrirá el siguiente asistente, dónde generamos un nuevo certificado:

• El sistema nos indica que los servicios de Veeam serán reiniciados y que si tenemos alguna tarea de backup o restore en ejecución está será interrumpida:

• Le indicamos un nombre al certificado:

• Aquí vemos que el certificado se ha generado correctamente y no caduca hasta los 10 años:

Saludos y espero que os sea de ayuda