220 lines
8.9 KiB
Markdown
220 lines
8.9 KiB
Markdown
# Dockge / Caddy — Reverse Proxy y SSL
|
|
|
|
> Servidor `dockge` (192.168.10.74) que ejecuta **Caddy** en Docker como reverse proxy central para los servicios públicos de la red.
|
|
>
|
|
> **Estado**: ✅ Caddy corriendo, certificados renovados.
|
|
|
|
---
|
|
|
|
## 1. Información General
|
|
|
|
| Parámetro | Valor |
|
|
|---|---|
|
|
| **Hostname** | `dockge` |
|
|
| **IP LAN** | `192.168.10.74` |
|
|
| **Servicio** | Caddy v2.11.2 (contenedor Docker) |
|
|
| **Imagen** | `caddy-cloudflare:latest` |
|
|
| **Configuración** | `/etc/caddy/Caddyfile` dentro del contenedor |
|
|
| **Panel Dockge** | `http://192.168.10.74:5001` |
|
|
|
|
### Contenedores principales
|
|
|
|
| Contenedor | Función | Puerto expuesto |
|
|
|---|---|---|
|
|
| `caddy` | Reverse proxy + SSL automático | `443/tcp`, `80/tcp` |
|
|
| `jellyfin` | Media server | `8096/tcp`, `1900/udp`, `7359/udp` |
|
|
| `jellyseerr` | Requests de Jellyfin | `5055/tcp` |
|
|
| `bazarr` | Subtítulos | `6767/tcp` |
|
|
| `sonarr` | Series | `8989/tcp` |
|
|
| `radarr` | Películas | `7878/tcp` |
|
|
| `qbittorrent` | Torrents | `8080/tcp`, `6881/tcp+udp` |
|
|
| `prowlarr` | Indexers | `9696/tcp` |
|
|
| `dockge` | Gestor de stacks Docker | `5001/tcp` |
|
|
|
|
---
|
|
|
|
## 2. Dominios Gestionados por Caddy
|
|
|
|
### Dominios `consultoria-as.com`
|
|
|
|
| Dominio | Backend | Estado |
|
|
|---|---|---|
|
|
| `jellyfin.consultoria-as.com` | `127.0.0.1:8096` | ✅ |
|
|
| `mediarequest.consultoria-as.com` | `127.0.0.1:5055` | ✅ |
|
|
| `immich.consultoria-as.com` | `192.168.10.78:2283` | ✅ |
|
|
| `odoo.consultoria-as.com` | `192.168.10.81:8069` | ✅ |
|
|
| `n8n.consultoria-as.com` | `192.168.10.83:5678` | ✅ |
|
|
| `metabase.consultoria-as.com` | `192.168.10.170:3000` | ✅ |
|
|
| `hacienda.consultoria-as.com` | `192.168.10.167:5172` | ✅ |
|
|
| `apihotel.consultoria-as.com` | `192.168.10.167:4000` | ✅ |
|
|
| `api-hacienda.consultoria-as.com` | `192.168.10.167:4000` | ✅ |
|
|
| `nexus.consultoria-as.com` | `192.168.10.91:5000` | ✅ |
|
|
| `git.consultoria-as.com` | `192.168.10.69:3000` | ✅ |
|
|
| `navidrome.consultoria-as.com` | `192.168.10.85:4533` | ✅ |
|
|
| `foro.consultoria-as.com` | `192.168.30.73:4567` | ✅ |
|
|
| `status.consultoria-as.com` | `192.168.10.87:3001` | ✅ |
|
|
| `cronicas.consultoria-as.com` | `192.168.10.92:3000` | ✅ |
|
|
| `pagoda.consultoria-as.com` | `192.168.10.92:3001` | ✅ |
|
|
| `mesh.consultoria-as.com` | `https://192.168.10.97:4443` | ✅ |
|
|
| `recetas.consultoria-as.com` | `192.168.10.156:8080` | ✅ |
|
|
| `afterlife.consultoria-as.com` | `192.168.10.84:3000` | ✅ |
|
|
| `3d.consultoria-as.com` | `192.168.10.104:8000` | ✅ |
|
|
| `play.consultoria-as.com` | `192.168.10.108:80` | ⚠️ Backend caído |
|
|
| `gym.consultoria-as.com` | `192.168.10.123:80` | ⚠️ Backend caído |
|
|
| `strada.consultoria-as.com` | `192.168.10.113:80` | ✅ |
|
|
|
|
### Dominios adicionales
|
|
|
|
| Dominio | Backend | Estado |
|
|
|---|---|---|
|
|
| `horuxfin.com`, `www.horuxfin.com` | `192.168.10.90:3000` | ⚠️ No se puede renovar certificado (token solo cubre `consultoria-as.com`) |
|
|
| `nexusautoparts.com.mx` | `192.168.10.91:80` | ✅ |
|
|
| `*.nexusautoparts.com.mx` | `192.168.10.91:80` | ✅ |
|
|
| `manager.nexusautoparts.com.mx` | `192.168.10.89:5003` | ✅ |
|
|
|
|
---
|
|
|
|
## 3. Certificados SSL (Let's Encrypt vía Cloudflare DNS)
|
|
|
|
Caddy obtiene y renueva certificados automáticamente usando el **DNS challenge** de Cloudflare.
|
|
|
|
### Token de Cloudflare
|
|
|
|
Ubicado en el encabezado del `Caddyfile`:
|
|
|
|
```caddyfile
|
|
{
|
|
acme_dns cloudflare <TOKEN>
|
|
}
|
|
```
|
|
|
|
El token debe tener permisos:
|
|
- **Zone:Read**
|
|
- **DNS:Edit**
|
|
- Zona: `consultoria-as.com`
|
|
|
|
> **Nota**: el token actual solo cubre `consultoria-as.com`. Para renovar `horuxfin.com` se necesita un token adicional con acceso a esa zona.
|
|
|
|
### Renovación de certificados
|
|
|
|
Caddy renueva certificados automáticamente. Para forzar una renovación manual:
|
|
|
|
```bash
|
|
ssh root@192.168.10.74
|
|
docker restart caddy
|
|
```
|
|
|
|
O recargar configuración:
|
|
|
|
```bash
|
|
docker exec caddy caddy reload --config /etc/caddy/Caddyfile --force
|
|
```
|
|
|
|
### Comandos útiles
|
|
|
|
```bash
|
|
# Ver logs de Caddy
|
|
ssh root@192.168.10.74 "docker logs caddy --tail 50"
|
|
|
|
# Ver certificados activos
|
|
ssh root@192.168.10.74 "docker exec caddy caddy list-modules --versions"
|
|
|
|
# Validar Caddyfile
|
|
ssh root@192.168.10.74 "docker exec caddy caddy validate --config /etc/caddy/Caddyfile"
|
|
|
|
# Verificar expiración de un dominio
|
|
echo | openssl s_client -servername strada.consultoria-as.com -connect strada.consultoria-as.com:443 2>/dev/null | openssl x509 -noout -enddate
|
|
```
|
|
|
|
---
|
|
|
|
## 3.5 Problema Resuelto: Certificados nexusautoparts expirados (08 Sep 2026)
|
|
|
|
**Síntoma**: todos los clientes de Nexus Autoparts veían "página no es segura" — `nexusautoparts.com.mx`
|
|
y `*.nexusautoparts.com.mx` con certificado vencido (15 Ago 2026).
|
|
|
|
**Causa raíz (combinada)**:
|
|
1. El storage de certificados de Caddy se corrompió: los directorios
|
|
`/data/caddy/certificates/.../nexusautoparts.com.mx/` y `wildcard_.nexusautoparts.com.mx/`
|
|
**desaparecieron**, quedando solo **lock files huérfanos** en `/data/caddy/caddy/locks/` que
|
|
bloqueaban la re-emisión en bucle ("expected 1 zone, got 0" + "no such file or directory").
|
|
2. El token de Cloudflare usado en esos bloques **solo tenía acceso a la zona `consultoria-as.com`**,
|
|
por lo que el DNS-01 challenge para `nexusautoparts.com.mx` nunca podía funcionar.
|
|
|
|
**Solución aplicada (08 Sep 2026)**:
|
|
1. Eliminar los lock files huérfanos: `rm /data/caddy/caddy/locks/issue_cert_*nexusautoparts*.lock`
|
|
(volumen `/var/lib/docker/volumes/caddy_data/_data/caddy/locks/`)
|
|
2. Crear token de Cloudflare nuevo con **Zone:Read + DNS:Edit sobre la zona `nexusautoparts.com.mx`**
|
|
y configurarlo en los 3 bloques `nexusautoparts` del Caddyfile (los de `consultoria-as.com`
|
|
conservan el token original).
|
|
3. `docker restart caddy` → certificados re-emitidos (`certificate obtained successfully`
|
|
para wildcard y apex), vigentes hasta Dic 2026.
|
|
|
|
**Lección**: cada zona en Cloudflare necesita su propio token con permisos DNS en el Caddyfile.
|
|
Zonas pendientes de token: `horuxfin.com`.
|
|
|
|
---
|
|
|
|
## 4. Problemas Resueltos (21 Jun 2026)
|
|
|
|
- ✅ **Token de Cloudflare inválido**: se actualizó el token en el Caddyfile.
|
|
- ✅ **Certificados expirados**: se reinició Caddy y se renovaron todos los certificados de `consultoria-as.com` y `nexusautoparts.com.mx`.
|
|
- ✅ **IP incorrecta de StradaAutopartes**: se corrigió de `192.168.10.117` a `192.168.10.113`.
|
|
|
|
### Pendientes
|
|
|
|
- [ ] Investigar servicios caídos detrás de `play.consultoria-as.com` (192.168.10.108) y `gym.consultoria-as.com` (192.168.10.123).
|
|
- [ ] Generar token de Cloudflare para la zona `horuxfin.com` si se requiere HTTPS en ese dominio.
|
|
|
|
---
|
|
|
|
## 5. Backends Caídos Detectados
|
|
|
|
| Dominio | Backend | Problema |
|
|
|---|---|---|
|
|
| `play.consultoria-as.com` | `192.168.10.108:80` | No responde (timeout) |
|
|
| `gym.consultoria-as.com` | `192.168.10.123:80` | No responde (timeout) |
|
|
|
|
Estos servicios generan errores `502` en Caddy porque sus backends no están accesibles. Revisar si las VMs/contenedores están apagados o cambiaron de IP.
|
|
|
|
---
|
|
|
|
*Documentación Caddy / Dockge - Consultoria Alcaraz Salazar*
|
|
*Actualizado: 21 de Junio de 2026*
|
|
|
|
---
|
|
|
|
## ⚠️ Caddy + GetAStatic: certificados y DNS (Sept 2026) — LECTURA OBLIGATORIA
|
|
|
|
### El problema y su causa raíz
|
|
|
|
Los certificados nuevos fallaban con:
|
|
```
|
|
querying authoritative nameservers: read udp -> 162.159.38.193:53: no route to host
|
|
```
|
|
**Causa**: la verificación de propagación DNS de Caddy (certmagic) consulta los **nameservers autoritativos** directamente por UDP/53 — y el ISP de la oficina (CGNAT) **bloquea el DNS externo**. Los certificados existentes funcionan porque se emitieron antes de la mudanza.
|
|
|
|
### El fix aplicado
|
|
|
|
1. **`propagation_delay 120s` en TODOS los bloques `tls`** (24 bloques): hace que el solver **espere** en vez de fallar en la verificación. ⚠️ **Requiere unidad** (`120s`, no `120` — sin unidad el contenedor entra en **crash loop** y **todos los servicios caen**).
|
|
2. **Regla NAT "Redirect DNS" en el OPNsense**: todo el tráfico UDP/TCP 53 de la LAN se redirige al resolver local (127.0.0.1) — el resolver del OPNsense sí resuelve (usa DoT, no bloqueado).
|
|
|
|
### Procedimiento seguro para editar el Caddyfile (¡obligatorio!)
|
|
|
|
```bash
|
|
# 1. extraer, editar
|
|
docker exec caddy cat /etc/caddy/Caddyfile > /tmp/Caddyfile.host
|
|
# (editar /tmp/Caddyfile.host)
|
|
# 2. VALIDAR ANTES DE APLICAR ← la lección del crash loop
|
|
docker exec -i caddy caddy validate --adapter caddyfile --config /dev/stdin < /tmp/Caddyfile.host
|
|
# 3. solo si dice "Valid configuration":
|
|
docker cp /tmp/Caddyfile.host caddy:/etc/caddy/Caddyfile
|
|
docker exec caddy caddy reload --config /etc/caddy/Caddyfile
|
|
```
|
|
|
|
### Otros hallazgos de la sesión
|
|
|
|
- **Backoff largo de ACME**: tras fallos, Caddy reintenta en horas. Forzar con `docker restart caddy` (reintenta al arrancar).
|
|
- **Backend de PegaProx colgado**: `127.0.0.1:5000` con conexiones en cola (app viva pero muda) → `systemctl restart pegaprox` en el LXC 125. Síntoma: el dominio da timeout tras completar el TLS.
|
|
- **Medir TLS con SNI correcto**: `curl -H "Host: x"` NO cambia el SNI (da falsos 000). Usar `--resolve x:443:<ip>` u `openssl s_client -servername x`.
|