En este post vamos a ver como agregar los Hosts en Nginx Proxy Manager utilizando los certificados SSL que hemos desplegado.

• Accedemos a Hosts > Proxy Hosts:

• Add Proxy Host:

• En la pestaña Details:
• Domain Names: ragasys.eu
• Scheme: http
• Forward Hostname / IP: IP
• Forward Port: 80
• Websockets Support
• Block Common Exploits
• En la pestaña SSL:
• Seleccionamos en Certificate nuestros certificados SSL
• Marcamos Force SSL
• Marcamos HTTP/2 Support
• Save

• Aquí vemos el host creado y online:

• Si accedemos al host, vemos que ya está utilizando los certificados SSL de Let’s Encrypt:

• Agregamos más hosts a medida que los vamos necesitando:

• En nuestro DNS interno, nos hemos creado estos registros del tipo CNAME apuntando a la máquina que tiene el contenedor Docker de nginx proxy manager:

• Si accedemos a SSL Certificates, vemos que ya tenemos los certificados en uso, una vez creados los hosts:

• Ahora vamos a crear otro host para el propio portal de Nginx Proxy Manager puerto 81 y le haremos la redirección para utilizar un certificado SSL:

• Aquí lo tenemos creado:

• Accedemos por https:

• Vemos que ya está utilizando el certificados SSL de Let’s Encrypt:

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir certificados SSL de Let’s Encrypt en Nginx Proxy Manager configurados por DNS Challenge y como DNS Provider utilizaremos Azure, que es dónde tenemos alojada nuestra zona DNS.

• Para empezar, nos vamos a crear un registro tipo CAA en nuestra zona DNS de Azure para Let’s Encrypt, para ello, accedemos a Zonas DNS > ragasys.eu > Administración de DNS > Registros > Agregar:

• Ahora en nuestra nuestra zona DNS de Azure y debemos de tener en cuenta estos datos:
• Nombre exacto de la zona
• Grupo de recursos donde se encuentra
• Id. de suscripción

• Creamos una aplicación, para ello, accedemos a Microsoft Entra ID > Registro de aplicaciones > Nuevo registro:

• Le indicamos el Nombre y Solo cuentas de este directorio organizativo (Inquilino único), Registrar:

• Aquí tenemos la aplicación creada:

• Ahora vamos a crear el secreto de cliente, para ello, en esta nueva aplicación, accedemos a Administrar > Certificados y secretos > Secretos de los clientes > Nuevo secreto de cliente:

• Le indicamos una descripción y el tiempo de expiración, Agregar:

• Aquí tenemos el secreto de cliente, lo copiamos y guardamos en un lugar seguro, ya que sólo nos lo mostrará una sola vez:

• Sobre la Información general de la aplicación, anotamos los siguientes valores, que serán los que utilice Nginx Proxy Manager para el DNS Challenge:

• Ahora damos permisos a la aplicación sobre la Zona DNS, con esto, nuestra aplicación ya tiene permiso para crear/eliminar registros TXT dentro de la zona ragasys.eu, el rol que debemos asignar es el de Colaborador de zona DNS:

• Como la zona ragasys.eu también la tenemos en nuestro DNS interno, nos creamos el registro CNAME _acme-challenge apuntando a _acme-challenge.ragasys.eu, para que resuelva externamente hacia Azure:

• Con esto, ya tenemos preparado la parte de la zona DNS de Azure, ahora accedemos al portal de Nginx Proxy Manager > SSL Certificates > Add SSL Certificate > Let’s Encrypt y vamos a añadir las configuraciones para obtener el certificado wildcard para para nuestro dominio:

• Añadimos Let’s Encrypt:
• Domain Names, añadimos ragasys.eu y *.ragasys.neu, nos aseguramos de incluir el dominio raíz y el wildcard, Let’s Encrypt requiere que se valide también la raíz cuando pedimos el wildcard.
• Email Address for Let’s Encrypt
• Marcamos Use a DNS Challenge.
• En DNS Provider seleccionanamos Azure.
• Rellenaremos los valores para estos campos, Tenant ID, Client ID, Client Secret, Subscription ID, Resource Group, Zone Name.
• Propagation Seconds, ponemos un valor entre 300 y 600.
• Marcamos I Agree to Let’s Encrypt Terms of Service y pulsamos Save, Nginx Proxy Manager iniciará el proceso ACME, creará el TXT _acme-challenge en la zona DNS de Azure, esperará la propagación y Let’s Encrypt validará.
• Este es el contenido del Credentials File Content:
• dns_azure_sp_client_id =
• dns_azure_sp_client_secret =
• dns_azure_tenant_id =
• dns_azure_zone1 = ragasys.eu:/subscriptions/eliddemisuscripcion/resourceGroups/zonasdnspublicas-rg/providers/Microsoft.Network/dnsZones/ragasys.eu

• Este es el registro TXT _acme-challenge que se genera, Let’s Encrypt valida que el TXT coincida con el valor que generó para esa verificación, después de emitir el certificado, Nginx Proxy Manager debería borrar automáticamente el TXT de la zona si todo funciona bien:

• Aquí podemos ver, los certificados SSL de Let’s Encrypt con Azure como DNS Provider, listos para usar en nuestros Hosts:

Saludos y espero que os sea de ayuda

En este post vamos a ver como montar un FrontalWeb con Nginx (Reverse Proxy) sobre una máquina Ubuntu Server 20.04, con esta implementación le vamos a dar un punto más de seguridad a nuestra infraestructura perimetral, ya que sólo vamos a exponer directamente a Internet un único servidor, sólo va a ser necesario abrir un puerto en nuestro Firewall, ya que a través del Frontalweb vamos a poder alcanzar a los demás servidores, los certificados digitales los vamos a instalar y administrar en un solo servidor, a través del Frontalweb que se va a encargar de cifrar todos los contenidos.

• Lo primero que vamos a realizar será la instalación de Nginx, para ello ejecutamos el comando apt-get install nginx:

• Ahora vamos a añadir dos ficheros de host virtual, uno será un servidor Guacamole y el otro un servidor de Nextcloud, para ello accedemos a la ruta /etc/nginx/sites-available y editamos estos dos ficheros:

• Ahora vamos a crear los enlaces simbólicos desde /etc/nginx/sites-available a /etc/nginx/sites-enabled y eliminamos el enlace simbólico al fichero default que se incluye en la configuración por defecto:

• Reiniciamos el servicio de nginx systemctl restart nginx y verificamos el estado systemctl status nginx:

• Con el comando ufw app list podemos ver los perfiles de aplicación que se pueden usar para habilitar o deshabilitar el acceso a Nginx a través del firewall de Ubuntu:

• En nuestro caso vamos a permitir el acceso a los dos puertos (80 y 443), ufw allow ‘Nginx Full’:

• Ahora vamos a habilitar HTTPS con Lets Encrypt y Certbot para ello, instalamos en primer lugar certbot con el comando apt-get install certbot:

• Ejecutamos apt-get install python3-certbot-nginx para instalar la herramienta:

• Una vez instalada utilizamos la herramienta, para ello ejecutamos el comando certbot –nginx nos hará una serie de preguntas, listará los sitios webs detectados y procederemos a activarlos, en este ejemplo hemos activado los dos sitios webs al mismo tiempo 1,2 aunque también podemos hacerlo por separado, primero el sitio web 1 y luego el 2:

• Seleccionamos la opción 2 para redirigir todo el tráfico HTTP (puerto 80) por HTTPS (puerto 443):

• Para comprobar el certificado podemos acceder a https://www.ssllabs.com/ssltest/ y verificamos el certificado para nuestros dos sitios webs:

• Los paquetes de certbot vienen con una tarea programada (cron), que renueva los certificados automáticamente antes de que caduquen, con el comando certbot renew –dry-run podemos probar la renovación automática de los certificados, y para renovar los certificados manualmente lo haremos con el comando certbot renew
• Si accedemos a /etc/nginx/sites-available y editamos los dos ficheros de Virtual host, podemos ver que se han modificado para hacer la redirección:

• Reiniciamos el servicio de nginx systemctl restart nginx y verificamos el estado systemctl status nginx:

• Con esto ya tendríamos configurado nuestros websites en el servidor que estamos utilizando como FrontalWeb.
• Ahora en nuestro Firewall, que en mi caso es un Fortigate, nos debemos de crear las reglas necesarias para publicar el puerto 80 y 443 apuntando al servidor FrontalWeb que va a ser el único que vamos a exponer en el perímetro, en este post de este mismo blog podemos ver como hacerlo, primero realizamos un NAT estático y luego nos creamos la regla de acceso a los puertos HTTP y HTTPS para el NAT estático creado:

• En nuestro DNS interno debemos de crearnos una zona de búsqueda directa, en mi caso, ragasys.eu, que es el dominio externo que hemos comprado a nuestro proveedor de DNS y que utilizaremos para publicar nuestros servicios, esto lo hacemos en nuestra infraestructura interna, para que los usuarios que accedan desde la red interna no salgan al exterior, en esta zona de búsqueda directa nos creamos estos registros Tipo A y CNAME:

• En nuestro DNS externo, el que tengamos contratado con nuestro proveedor de DNS, debemos de hacer algo parecido, es decir, debemos de crearnos un subdominio del tipo www.ragasys.eu con un registro tipo A apuntando a nuestra IP púbica, y nos crearemos subdominios por cada servicio que queramos publicar con un registro del tipo CNAME apuntando a www.ragasys.eu
• Aquí vemos que ya podemos acceder a nuestro servidor de Guacamole desde el exterior, a través del FrontalWeb, con los certificados que hemos configurado:

Saludos y espero que os sea de ayuda