Elegir un método de acceso externo

Puede utilizar SetFN SpaceBuilder inmediatamente desde la misma red después de instalarlo. Para acceder desde fuera de la oficina o mediante una red móvil, debe crear una ruta de conexión segura entre el servidor e Internet.

Aunque al principio pueda parecer complejo, el objetivo es sencillo.

https://space.example.com
        ↓
método de conexión para el acceso externo
        ↓
http://localhost:8510

Cloudflare Tunnel permite configurar esta conexión con relativa facilidad. No necesita exponer directamente el puerto del servidor a Internet, y Cloudflare también gestiona el certificado HTTPS y la conexión del dominio.

Compruebe primero si necesita acceso externo

Si solo lo utilizará dentro de la misma oficina o red Wi-Fi, no necesita configurar el acceso externo. Consulte la dirección IP interna en Consultar la dirección de acceso del espacio.

Necesita configurar el acceso externo en los siguientes casos:

• Acceso al espacio desde casa o durante un viaje
• Acceso mediante datos móviles
• Envío de enlaces compartidos a colaboradores externos o clientes
• Uso de un mismo espacio desde varios centros o redes

¿Qué método debe elegir?

Conceptos básicos de túneles y proxies inversos

Túnel

Un conector que se ejecuta en el servidor crea primero una conexión segura con un servicio externo. Las solicitudes externas recorren esa conexión en sentido inverso hasta llegar al servidor.

Con Cloudflare Tunnel, cloudflared crea una conexión saliente desde el servidor a Cloudflare. Por tanto, en un entorno normal no necesita abrir al exterior los puertos 80, 443 ni 8510 del router.

usuario → Cloudflare → Tunnel ya conectado → SetFN :8510

Proxy inverso

Caddy o NGINX recibe primero las solicitudes externas y las reenvía al servicio interno de SetFN. El usuario accede a https://space.example.com sin necesidad de conocer el puerto 8510.

usuario → Caddy o NGINX :443 → SetFN :8510

Un proxy inverso permite administrar desde un solo lugar la terminación HTTPS, el enrutamiento por dominios, los registros de acceso y los límites de solicitudes.

Método recomendado: Cloudflare Tunnel

Cloudflare Tunnel conecta un servicio interno a un dominio público sin exigir una dirección IP enrutable públicamente en el servidor de origen. Como cloudflared inicia la conexión con la red de Cloudflare, también reduce las rutas que podrían permitir el acceso directo al servidor de origen.

Al configurarlo, puede obtener las siguientes ventajas:

• No necesita configurar el reenvío de puertos en la página de administración del router.
• Le afectan menos los cambios de la IP pública y el entorno del proveedor de Internet.
• Puede utilizar una dirección como https://space.example.com.
• Reduce el trabajo de emisión y renovación de certificados externos.
• Si lo necesita, puede restringir usuarios o dominios de correo mediante Cloudflare Access.
• Un solo conector puede enlazar varios servicios web internos con distintos subdominios.

Proceso de configuración de Cloudflare Tunnel

1. Conecte a Cloudflare el dominio que utilizará.
2. Cree un Tunnel desde el panel de Cloudflare.
3. Instale cloudflared en el servidor de SpaceBuilder.
4. Ejecute el conector con el comando mostrado en el panel.
5. En Published application, conecte el dominio con la dirección de SetFN.
6. Si lo necesita, añada una política de Cloudflare Access.
7. Compruebe el acceso desde una red externa.

Utilice los siguientes valores en Service URL de Published application.

Si ha cambiado el puerto de SetFN, introduzca el puerto real del servicio en lugar de 8510.

Guías oficiales detalladas de Cloudflare

Como las pantallas y los comandos de instalación de Cloudflare pueden cambiar, consulte también la documentación oficial al realizar la configuración.

• Introducción a Cloudflare Tunnel
• Crear un Tunnel desde el panel
• Instalar cloudflared según el sistema operativo
• Conectar un servicio local a un dominio público
• Añadir autenticación de usuarios con Cloudflare Access

Operar directamente un proxy inverso

Si ya dispone de una IP pública e infraestructura de servidor, puede conectarlo directamente mediante Caddy o NGINX.

Caddy

Cuando el DNS del dominio apunta al servidor y los puertos 80 y 443 llegan hasta él, Caddy puede emitir y renovar automáticamente los certificados HTTPS. Esto lo hace adecuado para entornos pequeños autogestionados.

space.example.com {
    reverse_proxy 127.0.0.1:8510
}

Consulte la guía de inicio rápido del proxy inverso de Caddy para obtener más información.

NGINX

Si ya utiliza NGINX, puede reenviar las solicitudes HTTPS al puerto local de SetFN.

server {
    listen 443 ssl;
    server_name space.example.com;

    location / {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_pass http://127.0.0.1:8510;
    }
}

Este ejemplo solo muestra la estructura principal del proxy. Para un entorno de producción, revise también los certificados, WebSocket, el tamaño de las cargas, los tiempos de espera y los registros de acceso. Consulte la guía oficial de NGINX para proxies inversos.

Reenvío de puertos del router

Este método reenvía los puertos externos 80 y 443 desde el router al servidor de proxy inverso. En vez de exponer directamente a Internet el puerto 8510 de SetFN, configure Caddy o NGINX para recibir las solicitudes HTTPS en el puerto 443 y reenviarlas internamente al 8510.

Se requieren las siguientes condiciones:

• La conexión a Internet dispone de una IP pública accesible desde el exterior.
• Tiene privilegios de administrador del router.
• El servidor utiliza una IP fija o una reserva DHCP para que su IP interna no cambie.
• El registro DNS apunta a la IP pública.
• El cortafuegos del servidor solo permite los puertos necesarios.
• Están configuradas la emisión y la renovación automática del certificado HTTPS.

Si el proveedor utiliza CGNAT, la IP WAN que aparece en el router puede ser distinta de la IP pública real y el reenvío de puertos podría no funcionar. En ese caso, utilice Cloudflare Tunnel o una VPN.

Preparar el dominio

Si su empresa tiene un dominio, recomendamos utilizar un subdominio como space.example.com. Si no dispone de un dominio, puede adquirirlo en un registrador.

Para utilizar Cloudflare Tunnel, el dominio debe estar conectado como una zona activa en su cuenta de Cloudflare. Si utiliza directamente un proxy inverso, conecte el registro DNS A o AAAA a la IP pública del servidor.

Comprobar el acceso

Después de configurar el acceso, compruébelo en el siguiente orden:

1. Acceda a http://localhost:8510 desde el servidor.
2. Acceda a http://<server IP>:8510 desde la misma red.
3. Acceda al dominio mediante HTTPS.
4. Desactive la conexión Wi-Fi y acceda mediante datos móviles.
5. Compruebe el inicio de sesión, la carga de archivos y las notificaciones en tiempo real o el chat.

Si falla el acceso interno, compruebe primero el estado del servicio de SetFN. Si el acceso interno funciona pero el dominio no, revise en orden el Tunnel, el DNS, el proxy inverso y el cortafuegos.

Lista de comprobación operativa

• Utilice contraseñas largas y únicas para administradores y usuarios.
• Desactive las cuentas y los enlaces compartidos que ya no sean necesarios.
• Registre el conector del Tunnel o el proxy inverso como servicio del sistema.
• Actualice periódicamente el conector, el sistema operativo y el proxy.
• Compruebe el vencimiento del certificado HTTPS y el estado del DNS.
• Revise los registros de acceso externo y de actividad administrativa.
• Prepare un procedimiento para acceder mediante la dirección interna en caso de incidente.

Documentos relacionados

• Consultar la dirección de acceso (red local/interna)
• Configuración de seguridad
• Crear un enlace de uso compartido externo