Configuración de Apache Gu

Configuración

Después de instalar todos los componentes, es necesario configurarlos correctamente. Esto incluye la configuración de Guacamole para conectarse a la base de datos, la configuración de Tomcat y la instalación del servidor proxy inverso Caddy para proporcionar HTTPS.

1. Configuración de Guacamole (guacamole.properties)

El archivo de configuración principal de Guacamole es guacamole.properties. Este le indica a Guacamole cómo conectarse a la base de datos y a otros componentes.

# Cree o edite el archivo guacamole.properties
sudo nano /etc/guacamole/guacamole.properties

Agregue el siguiente contenido al archivo, reemplazando your_db_password con su contraseña para el usuario de PostgreSQL guacamole_user:

# Hostname and port of guacd
guacd-hostname: localhost
guacd-port: 4822

# PostgreSQL authentication
postgresql-hostname: localhost
postgresql-port: 5432
postgresql-database: guacamole_db
postgresql-username: guacamole_user
postgresql-password: your_db_password

Guarde los cambios (Ctrl+O, Enter) y salga (Ctrl+X).

2. Configuración de Tomcat para usar Guacamole

Es necesario indicarle a Tomcat dónde buscar la configuración de Guacamole. Esto se hace creando el archivo setenv.sh.

# Cree un directorio para la configuración de Tomcat
sudo mkdir -p /etc/tomcat10/conf/Catalina/localhost/

# Cree el archivo setenv.sh para Tomcat
sudo nano /usr/share/tomcat10/bin/setenv.sh

Agregue la siguiente línea a setenv.sh:

#!/bin/bash
export GUACAMOLE_HOME=/etc/guacamole

Guarde los cambios. Haga el archivo ejecutable y reinicie Tomcat:

# Haga el archivo setenv.sh ejecutable
sudo chmod +x /usr/share/tomcat10/bin/setenv.sh

# Reinicie Tomcat para aplicar los cambios
sudo systemctl restart tomcat10

# Verifique los registros de Tomcat en busca de errores
sudo journalctl -u tomcat10 --since "5 minutes ago"

Los registros de Tomcat deben mostrar entradas sobre la carga de Guacamole sin errores críticos.

3. Configuración del servidor Caddy para HTTPS

Caddy es un servidor web moderno con HTTPS automático. Es ideal para Guacamole, ya que obtiene y renueva automáticamente los certificados SSL/TLS a través de Let's Encrypt.

# Instale Caddy.
# Agregue el repositorio de Caddy
sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list

# Actualice la lista de paquetes e instale Caddy
sudo apt update
sudo apt install -y caddy

Configure el Caddyfile. Reemplace guacamole.yourdomain.com con su dominio real que apunta a la dirección IP de su VPS.

# Edite el Caddyfile
sudo nano /etc/caddy/Caddyfile

Elimine el contenido existente y agregue lo siguiente:

guacamole.yourdomain.com {
    reverse_proxy localhost:8080 {
        header_up Host {host}
        header_up X-Real-IP {remote_ip}
        header_up X-Forwarded-For {remote_ip}
        header_up X-Forwarded-Proto {scheme}
    }

    # Habilite la compresión Gzip para mejorar el rendimiento
    encode gzip
}

Guarde el archivo y reinicie Caddy:

# Verifique la configuración de Caddy
sudo caddy validate --config /etc/caddy/Caddyfile

# Reinicie Caddy
sudo systemctl reload caddy

# Asegúrese de que Caddy esté en ejecución
sudo systemctl status caddy

Ahora su Apache Guacamole debería ser accesible a través de HTTPS en https://guacamole.yourdomain.com.

4. Verificación de la funcionalidad

Abra un navegador web y vaya a su nombre de dominio (por ejemplo, https://guacamole.yourdomain.com). Debería ver la página de inicio de sesión de Guacamole.

Utilice las credenciales predeterminadas: Nombre de usuario: guacadmin, Contraseña: guacadmin. ¡Cambie esta contraseña inmediatamente después del primer inicio de sesión!

Después de iniciar sesión, puede agregar una nueva conexión. Por ejemplo, para SSH:

• Haga clic en "New Connection".
• Seleccione "SSH" como protocolo.
• En el campo "Hostname", especifique la dirección IP o el dominio de su servidor SSH de destino.
• En el campo "Port", especifique 22.
• En los campos "Username" y "Password", especifique las credenciales para el acceso SSH.
• Guarde la conexión e intente conectarse a ella.

Si encuentra problemas, verifique los registros de Tomcat (sudo journalctl -u tomcat10), Caddy (sudo journalctl -u caddy) y Guacd (sudo journalctl -u guacd) en busca de errores.

Copias de seguridad y mantenimiento

Las copias de seguridad regulares y el mantenimiento del sistema son críticamente importantes para el funcionamiento estable y seguro de Apache Guacamole. La pérdida de datos o el software desactualizado pueden provocar problemas graves.

1. Qué respaldar

Para Guacamole, es necesario respaldar regularmente los siguientes componentes:

• Base de datos PostgreSQL: Contiene todos los usuarios, sus configuraciones, definiciones de conexión y registros de auditoría. Este es el componente más importante.
• Archivos de configuración de Guacamole:
  • /etc/guacamole/guacamole.properties
  • /etc/guacamole/extensions/ (todos los archivos JAR de extensiones)
  • /etc/guacamole/lib/ (controlador JDBC)
• Configuración de Caddy: /etc/caddy/Caddyfile
• Configuración de Tomcat: /usr/share/tomcat10/bin/setenv.sh (y, posiblemente, otras configuraciones personalizadas)
• Claves SSH: Si las utiliza para la autenticación de Guacamole en los servidores de destino (almacenadas en /etc/guacamole/keys/ o ubicaciones similares).

2. Script sencillo de copia de seguridad automática

Crearemos un script sencillo que realizará la copia de seguridad de la base de datos y los archivos de configuración, y luego los empaquetará. Para el almacenamiento, se puede utilizar un almacenamiento de objetos externo compatible con S3 o un VPS separado.

Para las copias de seguridad de la base de datos PostgreSQL utilizaremos pg_dump. Para los archivos, tar. Para enviar a S3 se puede usar s3cmd o awscli, pero para simplificar, simplemente crearemos un archivo.

# Cree el directorio para los scripts de copia de seguridad
sudo mkdir -p /opt/backup_scripts
sudo chown youruser:youruser /opt/backup_scripts

# Cree el archivo del script de copia de seguridad
nano /opt/backup_scripts/guacamole_backup.sh

Añada el siguiente contenido al archivo guacamole_backup.sh. Reemplace your_db_password, guacamole_user y guacamole_db con sus datos. También especifique la ruta al directorio donde se guardarán las copias de seguridad (por ejemplo, /var/backups/guacamole).

#!/bin/bash

# Variables
BACKUP_DIR="/var/backups/guacamole"
DATE=$(date +%Y%m%d%H%M%S)
DB_NAME="guacamole_db"
DB_USER="guacamole_user"
DB_PASSWORD="your_db_password" # ¡En producción, use .pgpass o variables de entorno!

# Cree el directorio para las copias de seguridad, si no existe
mkdir -p "$BACKUP_DIR"

# 1. Copia de seguridad de la base de datos PostgreSQL
echo "Volcando base de datos PostgreSQL..."
PGPASSWORD="$DB_PASSWORD" pg_dump -U "$DB_USER" -h localhost "$DB_NAME" > "$BACKUP_DIR/guacamole_db_$DATE.sql"
if [ $? -eq 0 ]; then
    echo "Copia de seguridad de la base de datos PostgreSQL exitosa: $BACKUP_DIR/guacamole_db_$DATE.sql"
else
    echo "ERROR: Falló la copia de seguridad de la base de datos PostgreSQL."
    exit 1
fi

# 2. Copia de seguridad de los archivos de configuración de Guacamole y Caddy
echo "Archivando archivos de configuración..."
tar -czf "$BACKUP_DIR/guacamole_configs_$DATE.tar.gz" \
    /etc/guacamole \
    /etc/caddy/Caddyfile \
    /usr/share/tomcat10/bin/setenv.sh
if [ $? -eq 0 ]; then
    echo "Copia de seguridad de los archivos de configuración exitosa: $BACKUP_DIR/guacamole_configs_$DATE.tar.gz"
else
    echo "ERROR: Falló la copia de seguridad de los archivos de configuración."
    exit 1
fi

# 3. Limpieza de copias de seguridad antiguas (conservamos los últimos 7 días)
echo "Limpiando copias de seguridad antiguas..."
find "$BACKUP_DIR" -type f -name "*.sql" -mtime +7 -delete
find "$BACKUP_DIR" -type f -name "*.tar.gz" -mtime +7 -delete
echo "Proceso de copia de seguridad completado."

# IMPORTANTE: Envío de copias de seguridad a almacenamiento externo
# Aquí puede añadir comandos para enviar archivos a S3, FTP/SFTP remoto,
# o usar herramientas especializadas como restic o borg.
# Ejemplo para S3 con awscli (requiere instalación y configuración previa de awscli):
# aws s3 cp "$BACKUP_DIR/guacamole_db_$DATE.sql" s3://your-s3-bucket/guacamole/
# aws s3 cp "$BACKUP_DIR/guacamole_configs_$DATE.tar.gz" s3://your-s3-bucket/guacamole/

Guarde el archivo, hágalo ejecutable y configure Cron para que se ejecute regularmente:

# Haga el script ejecutable
chmod +x /opt/backup_scripts/guacamole_backup.sh

# Cree el directorio para guardar las copias de seguridad
sudo mkdir -p /var/backups/guacamole
sudo chown youruser:youruser /var/backups/guacamole

# Abra crontab para el usuario actual
crontab -e

Añada la siguiente línea para ejecutar la copia de seguridad diariamente a las 03:00 de la mañana:

0 3 * * * /opt/backup_scripts/guacamole_backup.sh >> /var/log/guacamole_backup.log 2>&1

Guarde y cierre crontab. Ahora las copias de seguridad se crearán automáticamente.

3. Dónde almacenar las copias de seguridad

Es extremadamente importante almacenar las copias de seguridad en un recurso separado del servidor principal. Opciones:

• Almacenamiento de objetos externo compatible con S3: La opción más recomendada. Fiable, escalable y relativamente económica.
• VPS separado: Se puede configurar un segundo VPS pequeño exclusivamente para almacenar copias de seguridad de diferentes servidores.
• NAS/Almacenamiento en red: Si tiene su propio equipo.
• Servidor FTP/SFTP: Una opción sencilla, pero menos fiable si no se configura el cifrado y el control de integridad.

¡Nunca almacene las únicas copias de seguridad en el mismo servidor que está respaldando!

4. Actualizaciones: continuas vs ventana de mantenimiento

Las actualizaciones regulares del software son importantes para la seguridad y para obtener nuevas funciones. El enfoque de las actualizaciones depende de la criticidad de su sistema.

• Rolling updates (actualizaciones continuas): Adecuado para sistemas menos críticos o sistemas con alta disponibilidad, donde hay un clúster y se pueden actualizar los nodos por turnos. Para un VPS Guacamole individual, esto significa aplicar las actualizaciones tan pronto como estén disponibles.
• Maintenance window (ventana de mantenimiento): El enfoque preferido para la mayoría de los sistemas de producción, incluido Guacamole en un solo VPS. Se asigna un tiempo específico (por ejemplo, una vez al mes por la noche) para realizar las actualizaciones, probarlas y solucionar posibles problemas.

Proceso de actualización recomendado:

1. Cree una copia de seguridad completa antes de iniciar cualquier actualización.
2. Actualice el sistema:

   
   sudo apt update && sudo apt upgrade -y
   sudo apt autoremove -y
               

3. Actualice los componentes de Guacamole (si hay nuevas versiones disponibles):
   • Descargue las nuevas versiones de guacamole-server (para guacd) y guacamole-client.war, así como las extensiones.
   • Detenga Tomcat y Guacd.
   • Reemplace los archivos antiguos por los nuevos.
   • Inicie los servicios.
4. Verifique el funcionamiento: Después de cada actualización, asegúrese de que Guacamole funciona correctamente y de que puede conectarse a los diferentes sistemas de destino.

Siempre lea el changelog y las instrucciones de actualización en el sitio web oficial de Apache Guacamole antes de actualizar los componentes principales.

Solución de problemas + Preguntas frecuentes

Aquí se recopilan los problemas típicos que pueden surgir al configurar Apache Guacamole y las respuestas a las preguntas frecuentes.

No puedo conectarme a Guacamole por nombre de dominio (error 502 Bad Gateway o Connection Refused)

Qué verificar:

1. Asegúrese de que su dominio (por ejemplo, guacamole.yourdomain.com) apunte correctamente a la dirección IP de su VPS en los registros DNS.
2. Verifique que Caddy Server esté en ejecución: sudo systemctl status caddy.
3. Revise los registros de Caddy: sudo journalctl -u caddy --since "5 minutes ago". Busque errores relacionados con la vinculación de puertos o el proxy.
4. Asegúrese de que Tomcat esté en ejecución y escuchando en el puerto 8080: sudo systemctl status tomcat10 y sudo ss -tulpn | grep 8080.
5. Verifique que el firewall UFW permita las conexiones entrantes en los puertos 80 y 443: sudo ufw status verbose.

La página de Guacamole se carga, pero no puedo iniciar sesión (credenciales incorrectas o error de base de datos)

Qué verificar:

1. Revise los registros de Tomcat: sudo journalctl -u tomcat10 --since "5 minutes ago". Busque errores relacionados con la conexión a la base de datos o la autenticación.
2. Asegúrese de que PostgreSQL esté en ejecución: sudo systemctl status postgresql.
3. Verifique el contenido de /etc/guacamole/guacamole.properties. Asegúrese de que postgresql-hostname, postgresql-port, postgresql-database, postgresql-username y postgresql-password estén especificados correctamente.
4. Asegúrese de que el usuario guacamole_user tenga permisos sobre la base de datos guacamole_db.
5. Intente iniciar sesión con las credenciales predeterminadas guacadmin/guacadmin. Si funciona, pero su usuario no, es posible que haya un problema con la creación del usuario o sus permisos.

No se puede conectar a un servidor remoto (RDP/VNC/SSH) a través de Guacamole

Qué verificar:

1. Revise los registros de guacd: sudo journalctl -u guacd --since "5 minutes ago". Busque errores relacionados con la conexión al host remoto o problemas de protocolo.
2. Asegúrese de que guacd esté en ejecución: sudo systemctl status guacd.
3. Verifique que el servidor de destino sea accesible desde su VPS (por ejemplo, ping target_ip, telnet target_ip ssh_port).
4. Asegúrese de que el firewall en el servidor de destino (y en su VPS, si bloquea las salientes) permita las conexiones entrantes en el puerto correspondiente (22 para SSH, 3389 para RDP, 5900 para VNC).
5. Verifique la configuración de conexión en la interfaz web de Guacamole (hostname, port, credentials).

¿Qué configuración mínima de VPS es adecuada para Apache Guacamole?

Para uno o dos usuarios simultáneos y un uso no intensivo, un VPS con 2 núcleos de CPU, 2 GB de RAM y 40 GB de disco SSD será mínimamente adecuado. Sin embargo, si planea un uso más activo, especialmente con RDP para interfaces gráficas o para varios usuarios, se recomienda encarecidamente una configuración con 4 núcleos de CPU, 4 GB de RAM y 80 GB de NVMe SSD. Esto proporcionará un rendimiento y una estabilidad significativamente mejores, evitando retrasos y bloqueos al transcodificar transmisiones de video.

¿Qué elegir — VPS o dedicado para esta tarea?

Para la mayoría de los escenarios, incluido el uso de Guacamole por un equipo pequeño o un usuario individual, un VPS es la opción óptima. Ofrece un rendimiento suficiente a un costo significativamente menor y mayor flexibilidad en la gestión. Un servidor dedicado se vuelve necesario si espera una carga muy alta (más de 20-30 usuarios simultáneos), requiere recursos físicos garantizados de CPU y RAM, o si tiene requisitos regulatorios estrictos para el aislamiento completo del hardware. Para empezar y escalar en la mayoría de los casos, un VPS será la mejor solución, permitiendo actualizar fácilmente el plan a medida que crecen las necesidades.

¿Cómo restablecer la contraseña del administrador de Guacamole?

Qué verificar: Si olvidó la contraseña de guacadmin, puede restablecerla ejecutando una consulta SQL en la base de datos PostgreSQL. Cómo solucionar:

# Conéctese a PostgreSQL como el usuario postgres
sudo -i -u postgres

# Conéctese a la base de datos Guacamole
psql guacamole_db

# Actualice la contraseña para el usuario guacadmin (reemplace 'new_strong_password')
# La contraseña debe estar hasheada con SHA-256. En este ejemplo, la restablecemos a 'new_strong_password'
# y Guacamole la hasheará automáticamente al primer inicio de sesión si la especifica como texto plano.
# Para un restablecimiento seguro, es mejor generar el hash:
# SELECT ENCODE(SHA256('new_strong_password'::bytea), 'hex');
# Y luego usarlo:
UPDATE guacamole_user SET password_hash = ENCODE(SHA256('new_strong_password'::bytea), 'hex'), password_salt = NULL WHERE username = 'guacadmin';

# Si solo desea restablecerlo a 'guacadmin' para luego cambiarlo:
# UPDATE guacamole_user SET password_hash = 'C634887019799295598BB17F9A906F6F89304F7695D5D1426477546875931D80', password_salt = 'C634887019799295598BB17F9A906F6F89304F7695D5D1426477546875931D80' WHERE username = 'guacadmin';
# (este es el hash para 'guacadmin' con la sal 'guacadmin', que era el predeterminado en la inicialización)

# Salga de psql
\q

# Salga del usuario postgres
exit

# Reinicie Tomcat
sudo systemctl restart tomcat10

Después de esto, podrá iniciar sesión con la nueva contraseña.