Traefik o Nginx Proxy Manager en Proxmox: ¿cuál es más fácil?
Ejecutar varias aplicaciones en Proxmox suele crear un problema de enrutamiento. Servicios como Home Assistant, Jellyfin, Immich, Portainer y los paneles de monitoreo pueden usar cada uno una máquina virtual, un contenedor, una dirección IP y un puerto distintos.
Un proxy inverso da a estos servicios nombres de dominio coherentes y ofrece un único lugar para gestionar las conexiones HTTPS. En lugar de abrir una aplicación con una dirección como 192.168.1.40:8080, los usuarios pueden visitar un nombre como app.example.com.
Traefik y Nginx Proxy Manager son dos opciones populares. Nginx Proxy Manager se centra en la gestión gráfica y en una configuración sencilla, mientras que Traefik se centra en el descubrimiento automático de servicios y en la configuración como código.
Nginx Proxy Manager suele ser más fácil para principiantes y para entornos con un número limitado de servicios estables. Traefik pasa a ser más fácil cuando las aplicaciones se despliegan, se modifican o se eliminan con frecuencia mediante Docker Compose.
¿Qué hace un proxy inverso en Proxmox?
Un proxy inverso recibe las peticiones web entrantes y reenvía cada una al servicio interno correcto. Tanto Traefik como Nginx Proxy Manager pueden situarse delante de aplicaciones que se ejecutan en máquinas virtuales de Proxmox, contenedores LXC y entornos Docker.
El proxy inverso no tiene por qué ejecutarse directamente en el host Proxmox. Proxmox admite tanto máquinas virtuales KVM como contenedores LXC, así que los administradores pueden crear un invitado dedicado a los servicios de proxy. LXC usa el kernel Linux del host, mientras que una máquina virtual tiene su propio kernel invitado y una separación más fuerte respecto al host Proxmox.
Una máquina virtual pequeña con Docker suele ser la opción más limpia para cualquiera de los dos productos. Ofrece una compatibilidad sencilla con Docker y mantiene el proxy expuesto a internet separado del sistema de gestión de Proxmox.
Un despliegue en LXC puede consumir menos recursos, pero ejecutar Docker dentro de LXC añade otra capa de permisos, anidamiento y configuración de almacenamiento. Los administradores que elijan LXC deberían entender en qué se diferencia el aislamiento de contenedores de la virtualización completa.
¿Cuál es más fácil de instalar?
Para la mayoría de usuarios, Nginx Proxy Manager tiene la instalación inicial más sencilla. El proyecto oficial se distribuye como una imagen Docker ya construida. Su configuración básica de Docker Compose expone los puertos 80 y 443 para el tráfico web y el puerto 81 para la interfaz de administración, y unos volúmenes persistentes guardan los datos de la aplicación y la información de los certificados. Tras arrancar el contenedor, los administradores hacen la mayoría de las tareas desde el navegador.
El proyecto se diseñó para que la configuración de un proxy inverso fuera posible sin conocer Nginx a fondo. Su interfaz puede crear hosts de proxy, redirecciones, flujos TCP o UDP, listas de acceso y certificados SSL.
Traefik también ofrece un inicio rápido oficial con Docker, pero la configuración introduce más conceptos. Los administradores tienen que entender los entry points, los proveedores, los routers, los servicios y el middleware. Un despliegue básico no es especialmente difícil, pero resolver problemas suele implicar leer YAML, etiquetas de Docker y registros en lugar de ir haciendo clic por formularios. Por eso Nginx Proxy Manager gana la primera ronda, la de la instalación.
¿Con cuál es más fácil añadir servicios?
La respuesta depende de dónde se ejecute la aplicación.
Con Nginx Proxy Manager, el administrador abre la interfaz y crea un host de proxy. La configuración suele incluir el dominio público, la dirección interna de destino, el puerto de destino y el certificado SSL.
Este proceso es fácil de visualizar, y funciona igual de bien cuando el destino es un contenedor Docker, un servicio en LXC, una máquina virtual o un servidor físico, porque Nginx Proxy Manager solo necesita acceso de red a la aplicación. La desventaja es que cada servicio suele requerir una entrada manual aparte. Cuando un contenedor cambia de dirección o de puerto, puede que también haya que actualizar la configuración del proxy.
Traefik es más fuerte cuando las aplicaciones se ejecutan en Docker. Su proveedor de Docker lee la información de enrutamiento de las etiquetas de los contenedores, así que los administradores pueden definir el dominio, el puerto de destino, el comportamiento HTTPS y el middleware dentro del mismo archivo de Docker Compose que define la aplicación.
Traefik también puede vigilar los eventos de Docker. Cuando arranca un contenedor etiquetado, Traefik puede crear la ruta automáticamente, y cuando el contenedor se detiene, Traefik puede eliminarla. Añadir la primera aplicación puede ser más fácil en Nginx Proxy Manager, pero añadir la vigésima aplicación Docker suele ser más fácil en Traefik.
¿Cuál simplifica más la gestión de SSL?
Nginx Proxy Manager hace que la gestión de certificados sea más fácil de entender. La interfaz puede solicitar certificados gratuitos a Let's Encrypt, subir certificados personalizados y activar HTTPS en cada host de proxy. También ofrece opciones para forzar HTTPS y configurar listas de acceso.
Un usuario puede ver qué certificado corresponde a cada host sin leer archivos de configuración. Eso ayuda en pequeñas empresas y homelabs donde la persona que gestiona Proxmox puede no ser administrador de redes a tiempo completo.
Traefik también admite la gestión automática de certificados, pero la configuración se declara normalmente en archivos o argumentos de línea de comandos. Los administradores configuran un resolvedor de certificados, eligen el método de desafío ACME y asocian el resolvedor a los routers.
Ese enfoque es potente porque la configuración de certificados se puede guardar junto al resto del código de infraestructura. También perdona menos cuando el DNS, los puertos o las etiquetas están mal configurados. Nginx Proxy Manager tiene el flujo visual más fácil, y Traefik el más repetible.
¿Cuál es mejor para automatizar con Docker?
Traefik gana claramente en la automatización centrada en Docker. Su proveedor de Docker descubre contenedores y construye la configuración de enrutamiento a partir de etiquetas, y Terraform, Ansible y otras herramientas de automatización pueden definir esas etiquetas al crear los contenedores.
Como resultado, la configuración de enrutamiento puede viajar con la aplicación. Un proyecto de Docker Compose puede incluir la imagen de la aplicación, el almacenamiento, la red, el dominio y las reglas del proxy en una sola definición bajo control de versiones.
Nginx Proxy Manager separa la configuración del proxy del despliegue de la aplicación. La aplicación puede crearse con Docker Compose y su ruta pública crearse después desde la interfaz de administración. Esa separación resulta más fácil para los principiantes, pero genera más trabajo manual y hace más difícil reproducir el despliegue completo desde código.
Traefik es especialmente útil cuando una máquina virtual de Proxmox aloja muchas aplicaciones Docker o cuando los servicios se despliegan mediante pipelines automatizados.
¿Cuál es más fácil de depurar?
Nginx Proxy Manager suele ser más fácil para los problemas básicos de enrutamiento. Un administrador puede abrir la interfaz, comprobar la dirección de destino, revisar el certificado seleccionado y examinar la configuración del host de proxy. El proyecto también permite configuración avanzada de Nginx cuando las opciones gráficas no bastan.
Traefik ofrece un panel que muestra routers, servicios y middleware, pero los administradores tienen que entender cómo se conectan esos componentes. Una sola etiqueta de Docker incorrecta puede impedir que aparezca un router o enviar el tráfico al puerto interno equivocado.
En algunas situaciones Traefik detecta automáticamente el puerto expuesto de un contenedor. Cuando un contenedor expone varios puertos, los administradores pueden tener que indicar el destino correcto con una etiqueta de servicio.
Para un reenvío de dominio corriente, Nginx Proxy Manager tiene el camino de depuración más corto. Traefik da mejor visibilidad una vez que el administrador entiende su modelo de configuración.
¿Cuál es más seguro?
Cualquiera de los dos se puede desplegar de forma segura, pero sus riesgos son distintos.
Nginx Proxy Manager expone una interfaz de administración, normalmente en el puerto 81. Esa interfaz debería quedar restringida a redes internas de confianza o a un método seguro de acceso remoto. Los directorios de datos y de certificados deberían tener copia de seguridad y estar protegidos, porque contienen la configuración del proxy y material privado de los certificados.
La integración de Traefik con Docker suele requerir acceso a la API de Docker. La documentación oficial de Traefik advierte de que el acceso sin restricciones a la API de Docker es un problema de seguridad, porque un proxy comprometido podría exponer el host subyacente. Propone alternativas como proxies de socket restringidos, acceso por SSH y endpoints remotos protegidos.
Montar directamente el socket de Docker es cómodo, pero la comodidad no debería imponerse al diseño de seguridad. Como mínimo, los administradores deberían desactivar la exposición automática de todos los contenedores y exigir una etiqueta explícita antes de que Traefik publique un servicio. Traefik ofrece la opción exposedByDefault para este comportamiento.
Un invitado de Proxmox dedicado también limita el impacto si el proxy se ve comprometido. Instalar cualquiera de las dos herramientas directamente en el host Proxmox expone sin necesidad la capa de gestión de la virtualización.
¿Cuál es más fácil de respaldar?
Los dos productos son fáciles de proteger cuando sus datos persistentes están bien ubicados.
La configuración básica de Nginx Proxy Manager usa ubicaciones persistentes para los datos de la aplicación y los certificados de Let's Encrypt. Hacer copia de seguridad de esas ubicaciones conserva los hosts de proxy, los usuarios y los certificados. Su proceso de actualización documentado usa Docker Compose para descargar una imagen más nueva y recrear los contenedores conservando los datos persistentes.
La configuración de Traefik suele guardarse en archivos de Docker Compose, archivos de configuración estática y datos de certificados. Los archivos pueden ir a Git, mientras que el almacenamiento sensible de certificados tiene que respaldarse por separado.
Proxmox Backup Server puede proteger toda la máquina virtual o el invitado LXC que aloja el proxy inverso. Aun así, las copias de los archivos de configuración a nivel de aplicación siguen siendo útiles porque permiten revisarlos y recuperarlos más rápido.
¿Cuál deberías elegir?
Elige Nginx Proxy Manager cuando quieras una interfaz gráfica, gestiones un número modesto de servicios estables o necesites enrutar tráfico entre varias máquinas virtuales y contenedores. Encaja con usuarios que prefieren elegir dominios, direcciones, puertos y certificados desde un navegador, y tiene sentido cuando el proxy inverso lo gestiona alguien que no trabaja habitualmente con etiquetas de Docker ni archivos de configuración.
Elige Traefik cuando la mayoría de los servicios se ejecuten en Docker, los despliegues se definan con Docker Compose o el enrutamiento tenga que actualizarse solo a medida que los contenedores arrancan y se detienen. Traefik tiene una curva de aprendizaje más pronunciada, pero reduce el trabajo repetitivo en entornos dinámicos, y su configuración se puede revisar, versionar y desplegar junto a las aplicaciones.
Nginx Proxy Manager es más fácil el primer día, y Traefik puede volverse más fácil a medida que el entorno crece. Para un homelab típico con Proxmox o una pequeña empresa con menos de veinte servicios en su mayoría estables, Nginx Proxy Manager es la opción más accesible. Para un entorno de Proxmox con mucho Docker y construido en torno a la automatización, Traefik suele ser la plataforma más sólida a largo plazo.