Nginx Proxy Manager vs Traefik: cómo elegir un proxy inverso para Proxmox

Un proxy inverso da a las aplicaciones que se ejecutan en Proxmox nombres de dominio coherentes, certificados HTTPS y un camino controlado desde los usuarios hasta los servicios internos.

Nginx Proxy Manager y Traefik pueden enrutar tráfico hacia máquinas virtuales, contenedores LXC, aplicaciones Docker y servidores físicos. Se diferencian sobre todo en cómo los administradores definen y mantienen esas rutas. Nginx Proxy Manager ofrece una interfaz gráfica organizada en torno a proxy hosts creados a mano, mientras que Traefik usa archivos de configuración, proveedores de servicios y etiquetas de contenedor para descubrir y enrutar las aplicaciones automáticamente.

Nginx Proxy Manager suele ser la mejor opción para entornos pequeños, con servicios estables y administradores que prefieren la gestión gráfica. Traefik suele encajar mejor en entornos centrados en Docker, donde las aplicaciones se despliegan mediante archivos Compose, automatización o sistemas de entrega continua.

¿Cómo funciona Nginx Proxy Manager?

Nginx Proxy Manager pone una capa de gestión gráfica encima de Nginx. Los administradores crean proxy hosts introduciendo un nombre de dominio, una dirección de destino y un puerto de destino. La interfaz también puede gestionar redirecciones, streams TCP o UDP, certificados personalizados y hosts que deben devolver una página de error estándar.

El proyecto incluye gestión gratuita de certificados SSL mediante Let's Encrypt, listas de acceso, autenticación HTTP básica, permisos de usuario y un registro de auditoría. Los usuarios avanzados pueden añadir configuración de Nginx personalizada cuando las opciones gráficas no bastan.

Este modelo es fácil de entender porque cada aplicación tiene una entrada visible. Un proxy host para photos.example.com podría reenviar las peticiones a un servidor Immich en 192.168.10.40 por el puerto 2283. El administrador no necesita entender routers, proveedores, middleware ni descubrimiento de servicios, ya que Nginx Proxy Manager solo necesita acceso de red al destino.

Eso también lo hace útil en entornos Proxmox mixtos. Un mismo proxy puede enrutar hacia un contenedor LXC, una VM con Docker, una aplicación que corre en otro servidor y una interfaz de gestión en una VLAN separada.

¿Cómo funciona Traefik?

Traefik está diseñado para infraestructura dinámica. En lugar de introducir cada ruta en una interfaz central, los administradores conectan Traefik a proveedores. Un proveedor puede ser Docker, otra plataforma de contenedores, un registro de servicios o un archivo de configuración. Traefik lee la información del proveedor y construye su configuración de enrutamiento.

Con Docker, las reglas de enrutamiento se definen normalmente como etiquetas asociadas a los contenedores. Un archivo Docker Compose puede declarar a la vez la imagen de la aplicación, el almacenamiento, la red, el nombre de dominio, el comportamiento HTTPS y el puerto interno del servicio. Cuando la aplicación arranca, Traefik la descubre y crea la ruta, y cuando se elimina la aplicación, Traefik elimina la ruta correspondiente.

Este enfoque exige aprender más al principio, porque los administradores tienen que entender conceptos de Traefik como entry points, routers, services y middleware. La recompensa llega cuando el entorno crece: las aplicaciones y sus reglas de enrutamiento se pueden desplegar desde archivos bajo control de versiones sin que nadie tenga que iniciar sesión en una interfaz de proxy aparte.

¿Cuál es mejor para Proxmox?

Proxmox puede ejecutar tanto máquinas virtuales KVM como contenedores de sistema LXC, así que cualquiera de los dos proxies inversos puede ejecutarse en un invitado dedicado y enrutar tráfico hacia cargas de trabajo de todo el entorno Proxmox.

En la mayoría de los despliegues, una VM Linux pequeña con Docker es el modelo de alojamiento más limpio. La VM crea una frontera de kernel separada entre el proxy expuesto a Internet y el host Proxmox, y Docker Compose ofrece un método de instalación documentado y repetible para ambos productos.

Una instalación nativa dentro de LXC puede usar menos recursos, pero Docker dentro de LXC plantea preguntas adicionales sobre el anidamiento, el almacenamiento y los permisos. Evita instalar el proxy inverso directamente en el host Proxmox, porque mezcla el tráfico público de las aplicaciones con la capa de gestión de la virtualización.

El proxy debería tener una dirección estable y, normalmente, ser el único sistema que recibe el tráfico público reenviado en los puertos 80 y 443.

¿Cuál es mejor para los certificados SSL?

Nginx Proxy Manager tiene el flujo de certificados más sencillo. Un administrador puede solicitar un certificado de Let's Encrypt al crear un proxy host, forzar HTTPS y seleccionar el certificado desde la interfaz. También se pueden subir certificados personalizados. Al ser visual, los problemas con los certificados son más fáciles de entender para administradores que no trabajan a menudo con archivos de configuración.

Traefik usa certificate resolvers. Los administradores definen un resolver ACME en la configuración estática y luego lo referencian desde los routers o entry points que correspondan. Traefik puede deducir los dominios de los certificados a partir de las reglas de enrutamiento y gestionar automáticamente los certificados resultantes.

Traefik exige más configuración inicial, pero la política de certificados se puede guardar junto con el resto del código de infraestructura. Un servicio Docker nuevo puede recibir HTTPS automáticamente cuando sus etiquetas de enrutamiento hacen referencia al resolver configurado.

Nginx Proxy Manager es más fácil para administrar certificados de vez en cuando, y Traefik es mejor cuando los certificados deben seguir al despliegue automatizado de las aplicaciones.

¿Cuál es mejor para el control de acceso?

Nginx Proxy Manager incluye listas de acceso y autenticación HTTP básica. También admite varios usuarios, permisos y registro de auditoría. Estos controles son útiles para proteger paneles sencillos o limitar el acceso por dirección. La autenticación básica puede dejar de ser adecuada cuando la aplicación de fondo también espera usar la cabecera de autorización del navegador, así que prueba la compatibilidad.

Traefik ofrece middleware que puede cambiar cómo se procesan las peticiones antes de llegar a la aplicación. Su middleware ForwardAuth puede delegar la autenticación en otro servicio, y otros middlewares se encargan de funciones como la limitación de peticiones, las redirecciones y la gestión de cabeceras.

Eso hace que Traefik sea más flexible en entornos que usan plataformas de autenticación centralizada. La configuración es más técnica, pero las políticas de autenticación se pueden reutilizar en varias aplicaciones. En resumen, Nginx Proxy Manager tiene controles integrados más fáciles, mientras que Traefik es una base más sólida para políticas avanzadas de identidad y de peticiones.

¿Cuál es mejor para la automatización?

Traefik gana con claridad cuando las aplicaciones se definen mediante Docker Compose, Terraform, Ansible u otro sistema de despliegue automatizado. Las reglas del proxy viven junto a la aplicación, así que una revisión de código puede mostrar tanto cómo se ejecuta el servicio como cómo llegarán a él los usuarios. Los cambios pueden pasar por desarrollo, pruebas y producción con la misma configuración.

Traefik también admite la recarga en caliente de la configuración de enrutamiento dinámica, de modo que las rutas pueden cambiar sin interrumpir las conexiones existentes.

Nginx Proxy Manager separa el despliegue de las aplicaciones de la configuración del proxy. Un administrador puede desplegar la aplicación con Compose y luego crear su ruta a mano en la interfaz de Nginx Proxy Manager. Eso funciona con diez aplicaciones estables, pero se vuelve más difícil de controlar cuando se crean o sustituyen decenas de servicios con frecuencia.

Nginx Proxy Manager se puede automatizar igualmente con herramientas de la comunidad y sus interfaces internas, pero el proyecto no se diseñó en torno a la automatización.

¿Cuál es más fácil de diagnosticar?

Nginx Proxy Manager es más fácil cuando el problema es un simple error de destino. Los administradores pueden abrir el proxy host y revisar el dominio, la dirección de reenvío, el puerto, el certificado y la lista de acceso, y su conocida base de Nginx viene acompañada de un gran volumen de conocimiento general para resolver problemas.

Traefik ofrece un panel, logs, logs de acceso, métricas y trazas. Puede exponer el número de peticiones, los tiempos de respuesta y la actividad de enrutamiento a sistemas como Prometheus, OpenTelemetry, Datadog e InfluxDB.

Eso da a Traefik una observabilidad más completa en entornos grandes. Sin embargo, el administrador tiene que averiguar si el problema está en un router, un service, un middleware, un proveedor o una etiqueta de contenedor. Nginx Proxy Manager permite diagnosticar más rápido en montajes sencillos, y Traefik da una visibilidad operativa más profunda una vez que el equipo entiende su arquitectura.

¿Cuál es más seguro?

Los dos productos se pueden asegurar, pero sus riesgos principales son distintos.

Nginx Proxy Manager tiene una interfaz de administración que debería quedar restringida a redes de confianza. Sus datos persistentes incluyen la configuración del proxy, información de usuarios y material de certificados, así que hay que proteger el acceso y las copias de seguridad.

El proveedor Docker de Traefik normalmente requiere acceso a la API de Docker. Traefik advierte de forma explícita de que el acceso sin restricciones a la API de Docker plantea un problema de seguridad, porque un proxy comprometido podría exponer el host Docker subyacente. Su documentación sugiere endpoints remotos protegidos, controles de autorización o un proxy restringido para el socket de Docker. Traefik también debería configurarse para publicar contenedores solo cuando se habiliten de forma explícita, lo que evita que un servicio Docker ajeno quede accesible desde fuera automáticamente.

Elijas el que elijas, colócalo en un invitado de Proxmox dedicado, restringe su interfaz de gestión y expón solo los puertos públicos necesarios.

¿Cuál es más fácil de respaldar?

Nginx Proxy Manager guarda su base de datos, su configuración y la información de los certificados en ubicaciones persistentes de Docker. La instalación se puede recrear desde su archivo Compose siempre que esas ubicaciones persistentes sigan disponibles. Su instalación oficial admite SQLite o una configuración con base de datos externa.

Los despliegues de Traefik suelen guardar la mayor parte de la configuración en archivos Compose y de configuración. También hay que conservar los datos de certificados ACME, porque contienen la información de los certificados emitidos.

Los dos productos se benefician de dos capas de copia de seguridad. Guarda los archivos Compose y de configuración en control de versiones, y usa Proxmox o Proxmox Backup Server para proteger la VM completa que contiene el proxy y sus datos persistentes. El repositorio de configuración permite reconstruir el servicio, mientras que una copia de la VM da una recuperación más rápida cuando se pierde todo el host del proxy.

¿Qué proxy inverso deberías elegir?

Elige Nginx Proxy Manager cuando quieras una interfaz gráfica, gestiones un conjunto de aplicaciones relativamente estable y necesites controles sencillos de SSL y de acceso. Encaja en homelabs, pequeñas empresas y entornos Proxmox mixtos donde las aplicaciones corren en VM, contenedores LXC y servidores físicos.

Elige Traefik cuando la mayoría de las aplicaciones corran en Docker, el despliegue se controle mediante código o las rutas del proxy deban aparecer y desaparecer automáticamente con los servicios. También es la mejor opción cuando necesitas middleware reutilizable, integración con autenticación centralizada o métricas y trazas detalladas.

Nginx Proxy Manager facilita la gestión manual, y Traefik es mejor en automatización. Para un entorno Proxmox pequeño con servicios estables, Nginx Proxy Manager suele ser la opción más práctica. Para un entorno Docker en crecimiento, construido en torno a despliegues repetibles, Traefik es la plataforma más sólida a largo plazo.