From aa5f5ae19daab130fd994f896313fe00bfbb965d Mon Sep 17 00:00:00 2001 From: Orquestrador CAS Date: Sat, 19 Sep 2026 06:51:55 +0000 Subject: [PATCH] Tunel Cloudflare de PegaProx conectado: pegaprox.consultoria-as.com funcionando --- servidores/pegaprox/README.md | 23 +++++++++++++++++++++-- 1 file changed, 21 insertions(+), 2 deletions(-) diff --git a/servidores/pegaprox/README.md b/servidores/pegaprox/README.md index 7f47f05..610051f 100644 --- a/servidores/pegaprox/README.md +++ b/servidores/pegaprox/README.md @@ -36,10 +36,28 @@ Panel web para el control y administración centralizada de los 3 nodos Proxmox | Método | Detalle | |---|---| -| Web UI | https://192.168.10.125:5000 (cert autofirmado) | +| Web UI (LAN) | https://192.168.10.125:5000 (cert autofirmado) | +| Web UI (exterior) | https://pegaprox.consultoria-as.com — vía **Cloudflare Tunnel** | | Admin | usuario `admin` / `PegaProxAasi2026!` | | SSH | `ssh root@192.168.10.125` (password: `Aasi940812`) | +## Túnel Cloudflare + +| Parámetro | Valor | +|---|---| +| **Conector** | `cloudflared` 2026.9.1 (repo pkg.cloudflare.com, Ubuntu 24.04) | +| **Servicio** | `systemctl status cloudflared` (token-managed, `/etc/cloudflared/token`) | +| **Protocolo** | `http2` forzado via override systemd (`/etc/systemd/system/cloudflared.service.d/override.conf`) — QUIC a region2 falló en el precheck | +| **Origen** | Dashboard Zero Trust → Public hostname → Type `HTTPS`, Service `https://localhost:5000`, **No TLS Verify** activado (cert autofirmado) | + +> **Troubleshooting del montaje (Sept 2026):** +> 1. Token del conector con "Invalid tunnel secret" → el token se había copiado mal/regenerado; pedirlo fresco del dashboard. +> 2. Error **1016/530** → el registro DNS viejo `pegaprox` bloqueaba el public hostname; se borró y el túnel recreó el CNAME. +> 3. Error **502 con x509** → faltaba "No TLS Verify" por el cert autofirmado de PegaProx. +> 4. Error **502 con connection reset** → Type quedó en `HTTP`; debe ser `HTTPS` (PegaProx sirve TLS en :5000). + +> **Nota consolas**: los WebSockets de consola (VNC 5001 / SSH 5002) usan orígenes distintos al panel. Vía túnel, cada uno necesita su propio public hostname en el dashboard Zero Trust apuntando a `https://localhost:5001` / `https://localhost:5002` con No TLS Verify. + ## Nodos Conectados (root@pam para pruebas) | Cluster | Host | Guests visibles | @@ -53,7 +71,8 @@ Panel web para el control y administración centralizada de los 3 nodos Proxmox ## Seguridad (pendiente de endurecer) - [ ] Activar **2FA (TOTP)** en la cuenta admin (Settings → Security) -- [ ] No exponer públicamente; si se publica, hacerlo solo detrás de Caddy con whitelist IP +- [x] Exposición externa via Cloudflare Tunnel (sin puertos abiertos) +- [ ] Activar **Cloudflare Access** (zero-trust con 2FA) sobre el hostname `pegaprox.consultoria-as.com` antes de uso en producción - [ ] Cambiar de root@pam a usuario PVE con permisos limitados al terminar las pruebas - [ ] La DB está encriptada (SQLCipher); master key en `/etc/pegaprox/secret.key` (respaldarla)