Estás en el Módulo 6 de 7: Ir al índice completo del Curso Docker: El Laboratorio
En los módulos anteriores hemos construido el motor y la cabina de mando de nuestro servidor. Pero en el momento en que tu búnker se conecta a la red, se vuelve un objetivo. Un trasteador inteligente no solo construye; blinda.
No basta con que tus Stacks funcionen. Si tu acceso a Portainer no es seguro o si usas imágenes vulnerables, estás dejando la puerta abierta. Hoy vamos a instalar los sistemas de defensa: control de acceso por roles, cifrado SSL y la magia del Proxy Inverso para ocultar tus puertos al mundo.
Control de Acceso: ¿Quién tiene las llaves?
El primer muro de defensa es el RBAC (Role-Based Access Control). En Portainer, no todos los usuarios deben tener el mismo poder.
- Administradores: Tienen el control total. Pueden borrar Stacks, ver logs de seguridad y cambiar la configuración del motor de Docker. Solo tú deberías ser Admin.
- Usuarios Estándar: Pueden usar los contenedores pero no romper el sistema. Ideal si compartes recursos con un socio o quieres limitar el riesgo de un error humano.
Experiencia de Laboratorio: Siempre que crees un usuario nuevo, aplica el principio de “mínimo privilegio”. Si alguien solo necesita ver las estadísticas de un contenedor de n8n, no le des acceso a toda la infraestructura.
El Escudo Invisible: ¿Qué es un Proxy Inverso?
En un servidor de pocos recursos, abrir decenas de puertos en tu router (el 9443 de Portainer, el 8080 de tu web, el 5678 de n8n…) es peligroso y consume RAM innecesaria gestionando el cifrado en cada punto.
Un Proxy Inverso (como Nginx Proxy Manager o Traefik) actúa como un portero único. Recibe todo el tráfico por el puerto seguro 443 y lo reparte internamente a tus contenedores basándose en nombres de dominio.
La elegancia del Proxy: En lugar de entrar por IP:9443, entrarás por portainer.tudominio.com. El proxy gestiona el certificado SSL por ti, ahorrando recursos y aumentando la seguridad.
Cifrado SSL/TLS: Adiós a las advertencias
Como vimos al instalar Portainer, el navegador suele quejarse del certificado “auto-firmado”. Para eliminar este riesgo y asegurar que tus contraseñas viajen cifradas, tienes dos opciones:
- Certificados Propios: Cargar tus propios archivos
.crty.keyen la configuración de Portainer. - Túneles Seguros: Usar herramientas como Cloudflare Tunnels que cifran la conexión de extremo a extremo sin necesidad de abrir puertos ni gestionar certificados locales.
Docker Hardened Images: Seguridad desde la Raíz
La seguridad no es solo el acceso, es el software. Las Hardened Images (imágenes endurecidas) son plantillas que han sido auditadas y despojadas de herramientas peligrosas.
| Característica | Imagen Genérica | Hardened (Endurecida) |
|---|---|---|
| Superficie de ataque | Grande (muchas librerías) | Mínima (solo lo esencial) |
| Vulnerabilidades (CVE) | Pueden contener fallos viejos | Escaneadas y parcheadas |
| Peso | Más pesada | Mucho más ligera |
| Seguridad | Baja/Media | Alta (Estándar Industrial) |
Acción Práctica: Auditoría de Campo
Vamos a realizar dos ajustes críticos de seguridad en tu panel ahora mismo:
1. Revisa la “Caja Negra” (Logs)
En el menú lateral de Portainer, bajo la sección de Settings, busca “Logs”. Aquí verás cada inicio de sesión y cada cambio realizado. Si ves una IP desconocida, es hora de cambiar contraseñas.
2. Configura el Tiempo de Sesión
Ve a Settings -> Authentication. Reduce el tiempo de expiración de la sesión (por ejemplo, a 8 horas). Esto asegura que, si dejas la sesión abierta en un PC público o compartido, se cierre sola por inactividad.
3. Consulta al Asistente de IA
Portainer incluye un botón “Ask AI”. Ponlo a prueba preguntándole: “How can I restrict a user to only see one specific stack?”. Verás cómo la IA te guía por los menús de acceso que acabamos de ver.
Conclusión y Siguientes Pasos
Has transformado tu servidor Ubuntu de una máquina expuesta a una fortaleza digital. Entiendes los roles, el poder del Proxy Inverso y la importancia de usar imágenes seguras. Tu búnker es ahora un entorno profesional.
Con la seguridad blindada, solo nos queda un paso para terminar este viaje: aprender a cuidar tu servidor para que siga rugiendo como el primer día.
👉 Siguiente Módulo: Módulo 7: Mantenimiento y Resolución de Problemas (El Sistema en Forma)
¡Nos vemos en el próximo trasteo! 🛠️