Cómo alojar un sitio web con Caddy en Ubuntu 18.04

El autor seleccionó la Free and Open Source Fund para recibir una donación como parte del programa Write for DOnations.

Introducción

Caddy es un servidor web diseñado con la simplicidad y la seguridad que provienen de varias funciones útiles para alojar sitios web. Por ejemplo, puede obtener y administrar automáticamente certificados de seguridad de la capa de transporte (TSL) de Let´s Encrypt para habilitar HTTPS e incluye asistencia para HTTP/2. HTTPS es un sistema para proteger el tráfico entre sus usuarios y su servidor, y se está transformando rápidamente en una expectativa básica de cualquier funcionamiento de sitio web en producción; sin este, Chrome y Firefox advertirán que su sitio web “No es seguro” si los usuarios intentan enviar información de inicio de sesión.

Anteriormente, el método recomendado para instalar Caddy era descargar binarios previamente compilados del sitio web del proyecto Caddy. No obstante, los cambios en la manera en la que funciona la licencia de Caddy implican que ya no tendrá permitido usar estos binarios previamente compilados con fines comerciales, a menos que pague un cargo de licencia, incluso si solo usa Caddy de manera interna dentro de una empresa. Afortunadamente, el código fuente de Caddy todavía es completamente abierto y puede compilar Caddy por su cuenta para evitar inmiscuirse en problemas de licencias.

A través de este tutorial, compilará Caddy a partir de código fuente y lo utilizará para alojar un sitio web protegido con HTTPS. Esto implica compilarlo, configurarlo mediante Caddyfile e instalar complementos. Con el tiempo, aprenderá a actualizar su instalación cuando se lance una nueva versión.

Requisitos previos

• Un servidor de Ubuntu 18.04 con privilegios root y una cuenta secundaria no root. Puede establecerlos siguiendo nuestra Guía inicial de configuración del servidor para Ubuntu 18.04. Para este tutorial, el usuario no root es sammy.
• Un nombre de dominio registrado por completo. Para este tutorial, se utilizará your_domain en todo momento. Puede adquirir un nombre de dominio en Namecheap, obtener uno gratuito en Freenom o utilizar un registrador de dominios que elija.
• Un registro DNS con your_domain orientado a la dirección IP pública de su servidor. Puede utilizar esta introducción al DNS de DigitalOcean para obtener más información sobre cómo agregarlos.
• La cadena de herramientas del lenguaje Go instalada en su servidor. Siga nuestra guía Cómo instalar Go y configurar un entorno de programación local en Ubuntu 18.04 para configurar Go. No es necesario que cree proyectos de ejemplo.
• Un token de acceso personal (clave de API) con permisos de lectura y escritura para su cuenta de DigitalOcean. Visite Cómo crear un token de acceso personal para crear uno.

Paso 1: Compilar Caddy

En este paso, compilará Caddy a partir de código fuente con la posibilidad de agregar complementos después, todo ello sin cambiar el código fuente de Caddy.

Para este tutorial, almacenará el código fuente en ~/caddy. Para crear ese directorio, ejecute el siguiente comando:

mkdir ~/caddy

Diríjase a este:

cd ~/caddy

Guardará el código fuente para ejecutar y personalizar Caddy en un archivo llamado caddy.go. Créelo usando el siguiente comando:

nano caddy.go

Añada las siguientes líneas:

package main

import (
	"github.com/caddyserver/caddy/caddy/caddymain"
)

func main() {
	// caddymain.EnableTelemetry = false
	caddymain.Run()
}

Este código importa Caddy directamente desde Github (por medio de Git) y lo inicia desde la función de entrada main. Si desea habilitar telemetría, quite el comentario de la línea caddymain.EnableTelemetry y fije el valor en true. Cuando termine, guarde y cierre el archivo.

Para que caddy.go pueda usar las dependencias importadas, deberá inicializarlo como un módulo:

go mod init caddy

Output
go: creating new go.mod: module caddy

En este punto, estará listo para compilar la versión básica de Caddy a partir del código de fuente anterior ejecutando lo siguiente:

go install

Habrá muchos resultados en los que se detallarán las bibliotecas de Go que descargó como dependencias necesarias para compilar. El ejecutable que surja se almacenará en $GOPATH/bin​​​​​​, como se explica en los requisitos previos.

Al finalizar, intente ejecutar Caddy:

caddy

Visualizará un resultado similar al siguiente:

Output
Activating privacy features... done.

Serving HTTP on port 2015
http://:2015

WARNING: File descriptor limit 1024 is too low for production servers. At least 8192 is recommended. Fix with `ulimit -n 8192`.

Esto significa que Caddy se inició de forma correcta y está disponible en el puerto 2015. Réstele importancia al mensaje de advertencia, porque ese límite se ajustará en los siguientes pasos sin intervención por su parte. Para salir, presione CTRL + C.

Ya compiló y ejecutó Caddy. En el paso siguiente, instalará Caddy como servicio para que se inicie automáticamente con el arranque y luego ajuste la configuración de propiedad y los permisos para garantizar la seguridad del servidor.

Paso 2: Instalar Caddy

Ahora que verificó que puede compilar y ejecutar Caddy, es momento de configurar un servicio systemd para que Caddy se pueda abrir automáticamente durante el inicio del sistema. Si desea comprender mejor systemd, consulte nuestro tutorial Aspectos básicos de systemd.

Para comenzar, traslade el binario de Caddy a /usr/local/bin, la ubicación estándar para binarios que no están administrados por el administrador de paquetes de Ubuntu y no son claves para el funcionamiento del sistema:

sudo mv $GOPATH/bin/caddy /usr/local/bin/

Luego, cambie la propiedad del binario de Caddy al usuario root:

sudo chown root:root /usr/local/bin/caddy

Esto evitará que otras cuentas modifiquen el ejecutable. No obstante, aunque el usuario root sea el propietario de Caddy, se recomienda ejecutarlo solo con otras cuentas que no sean root presentes en el sistema. Esto garantiza que, en caso de que Caddy (u otro programa) quede comprometido, el atacante no pueda modificar el binario ni ejecutar comandos como root.

A continuación, fije los permisos del binario en 755. Esto otorgará permisos root completos de lectura, escritura y ejecución para el archivo; mientras tanto, otros usuarios solo podrán leerlo y ejecutarlo.

sudo chmod 755 /usr/local/bin/caddy

Debido a que el proceso de Caddy no se ejecutará como root, Linux evitará que se vincule a los puertos 80 y 443 (los puertos estándares para HTTP y HTTPS, respectivamente), ya que estas son operaciones con privilegios. Para que su dominio pueda acceder a Caddy fácilmente, este último debe vincularse con uno de estos puertos, según el protocolo. De lo contrario, deberá agregar un número de puerto específico a la URL de dominio en el navegador para ver el contenido que tendrá.

Pare permitir que Caddy se vincule a puertos bajos sin ejecutarse como root, ejecute el siguiente comando:

sudo setcap 'cap_net_bind_service=+ep' /usr/local/bin/caddy

La utilidad setcap establece capacidades de archivos. En este comando, asigna la capacidad CAP_NET_BIND_SERVICE al binario Caddy, que permite que un ejecutable se vincule a un puerto menor que el 1024.

Con esto, habrá finalizado la configuración del binario de Caddy y estará listo para comenzar a escribir la configuración de Caddy. Cree un directorio en el que almacenará los archivos de configuración de Caddy ejecutando el siguiente comando:

sudo mkdir /etc/caddy

Luego, establezca el usuario y los permisos de grupo correctos para él:

sudo chown -R root:www-data /etc/caddy

Configurar el usuario como root y el grupo como www-data garantiza que Caddy haya leído y escrito el acceso a la carpeta (por medio del grupo www-data) y que solo la cuenta del superusuario tenga los mismos derechos de lectura y modificación. www-data es el usuario y grupo predeterminados para los servidores web en Ubuntu.

Más adelante, habilitará el aprovisionamiento automático de certificados TLS desde Let´s Encrypt. Para ello, prepare un directorio para almacenar cualquier certificado TLS que Caddy obtendrá y otórguele las mismas reglas de propiedad que las del directorio /etc/caddy:

sudo mkdir /etc/ssl/caddy
sudo chown -R root:www-data /etc/ssl/caddy

Debe ser posible para Caddy escribir certificados en este directorio y leer desde este para cifrar solicitudes. Por este motivo, modifique los permisos para el directorio /etc/ssl/caddy, de modo que solo sea accesible mediante root y www-data:

sudo chmod 0770 /etc/ssl/caddy

A continuación, cree un directorio para almacenar los archivos que Caddy alojará:

sudo mkdir /var/www

Luego, defina el propietario del directorio y agrúpelo en www-data:

sudo chown www-data:www-data /var/www

Caddy lee la configuración desde un archivo denominado Caddyfile, almacenado en /etc/caddy. Cree el archivo en un disco. Para ello, ejecute lo siguiente:

sudo touch /etc/caddy/Caddyfile

Para instalar el servicio Caddy, descargue el archivo de la unidad systemd del repositorio de Github de Caddy a /etc/systemd/system. Para ello, ejecute lo siguiente:

sudo sh -c 'curl https://raw.githubusercontent.com/caddyserver/caddy/master/dist/init/linux-systemd/caddy.service > /etc/systemd/system/caddy.service'

Modifique los permisos del archivo de servicio para que solo pueda modificarlo su propietario, root:

sudo chmod 644 /etc/systemd/system/caddy.service

Luego vuelva a cargar systemd para detectar el servicio de Caddy:

sudo systemctl daemon-reload

Para verificar si systemd detectó el servicio de Caddy, ejecute systemctl status:

sudo systemctl status caddy

Verá un resultado similar a lo siguiente:

Output
● caddy.service - Caddy HTTP/2 web server
   Loaded: loaded (/etc/systemd/system/caddy.service; disabled; vendor preset: e
   Active: inactive (dead)
     Docs: https://caddyserver.com/docs

Si ve este mismo resultado, significa que systemd detectó correctamente el servicio nuevo.

Como parte del requisito previo de configuración inicial del servidor, habilitó ufw, Uncomplicated Firewall, y permitió conexiones SSH. Para que Caddy provea el tráfico de HTTP y HTTPS del servidor, deberá permitirlos en ufw; para ello, ejecute el siguiente comando:

sudo ufw allow proto tcp from any to any port 80,443

El resultado será lo siguiente:

Output
Rule added
Rule added (v6)

Utilice ufw status para verificar si sus cambios funcionaron:

sudo ufw status

Verá el siguiente resultado:

Output
Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
80,443/tcp                 ALLOW       Anywhere
OpenSSH (v6)               ALLOW       Anywhere (v6)
80,443/tcp (v6)            ALLOW       Anywhere (v6)

De esta manera, finalizó su instalación de Caddy. Sin embargo, no está configurado para presentar nada. En el siguiente paso, configurará Caddy para acceder a archivos desde el directorio /var/www.

Paso 3: Configurar Caddy

En esta sección, escribirá la configuración básica de Caddy para acceder a archivos estáticos de su servidor.

Para empezar, cree un archivo HTML básico en /var/www, llamado index.html:

sudo nano /var/www/index.html

Añada las siguientes líneas:

<!DOCTYPE html>
<html>
<head>
  <title>Hello from Caddy!</title>
</head>
<body>
  <h1 style="font-family: sans-serif">This page is being served via Caddy</h1>
</body>
</html>

Cuando se observe en un navegador web, este archivo mostrará un encabezado con el texto This page is being served via Caddy. Guarde y cierre el archivo.

Abra el archivo de configuración Caddyfile que creó anteriormente para editarlo:

sudo nano /etc/caddy/Caddyfile

Añada las siguientes líneas:

:80 {
  root /var/www
  gzip
}

Esta es una configuración de Caddy básica y establece que el puerto 80 de su servidor debe proporcionarse con los archivos de /var/www y debe comprimirse mediante gzip para reducir los tiempos de carga de la página por parte del cliente.

En la mayoría de los casos, Caddy le permite personalizar más las directivas de configuración. Por ejemplo, puede limitar la compresión de gzip solo a archivos HTML y PHP y fijar el nivel de compresión en 6 (siendo 1 el más bajo y 9 el más alto) ampliando la directiva con llaves e indicando las subdirectivas abajo:

:80 {
  root /var/www
  gzip {
      ext .html .htm .php
      level 6
  }
}

Cuando termine, guarde y cierre el archivo.

Caddy tiene muchas directivas diferentes para muchos casos de uso. Por ejemplo, la directiva fastcgi podría ser útil para habilitar PHP. La directiva markdown se podría usar para convertir automáticamente archivos Markdown a HTML antes de presentarlos, lo cual sería útil para crear un simple blog.

Para probar si todo funciona correctamente, inicie el servicio Caddy:

sudo systemctl start caddy

A continuación, ejecute systemctl status​​​ para buscar información sobre el estado del servicio Caddy:

sudo systemctl status caddy

Observará lo siguiente:

Output
● caddy.service - Caddy HTTP/2 web server
   Loaded: loaded (/etc/systemd/system/caddy.service; disabled; vendor preset: enabled)
   Active: active (running) since Thu 2020-03-12 11:17:49 UTC; 11s ago
     Docs: https://caddyserver.com/docs
 Main PID: 3893 (caddy)
    Tasks: 7 (limit: 1152)
   CGroup: /system.slice/caddy.service
           └─3893 /usr/local/bin/caddy -log stdout -log-timestamps=false -agree=true -conf=/etc/caddy/Caddyfile -root=/var/tmp

Mar 12 11:17:49 caddy-article-update systemd[1]: Started Caddy HTTP/2 web server.
Mar 12 11:17:49 caddy-article-update caddy[3893]: [INFO] Caddy version: v1.0.5
Mar 12 11:17:49 caddy-article-update caddy[3893]: Activating privacy features... done.
Mar 12 11:17:49 caddy-article-update caddy[3893]: Serving HTTP on port 80
Mar 12 11:17:49 caddy-article-update caddy[3893]: http://
Mar 12 11:17:49 caddy-article-update caddy[3893]: [INFO] Serving http://
Mar 12 11:17:49 caddy-article-update caddy[3893]: [INFO][cache:0xc00007a7d0] Started certificate maintenance routine
Mar 12 11:17:49 caddy-article-update caddy[3893]: [WARNING] Sending telemetry (attempt 1): Post "https://telemetry.caddyserver.com/v1/update/6a8159c4-3427-42
Mar 12 11:17:57 caddy-article-update caddy[3893]: [WARNING] Sending telemetry (attempt 2): Post "https://telemetry.caddyserver.com/v1/update/6a8159c4-3427-42
...

Ahora podrá dirigirse el IP de su servidor en un navegador web. En la página web de muestra, se observará lo siguiente:

Con esto, habrá configurado Caddy para acceder a archivos estáticos desde su servidor. En el siguiente paso, ampliará la funcionalidad de Caddy usando complementos.

Paso 4: Usar complementos

Los complementos ofrecen una alternativa para cambiar y ampliar el comportamiento de Caddy. Por lo general, ofrecen más directivas de configuración para que las aplique, según su caso de uso. En esta sección, agregará y usará complementos instalando el complemento minify, que elimina los espacios en blanco que están de más y organiza el código que se enviará al cliente, además de reducir la superficie y los tiempos de carga.

El repositorio de GitHub del complemento minify es hacdias/caddy-minify.

Diríjase al directorio con el código fuente que creó en el paso uno:

cd ~/caddy

Para agregar un complemento a Caddy, deberá importarlo en el archivo caddy.go que usó para compilar Caddy. Abra caddy.go​​​ para editarlo:

nano caddy.go

Importe el complemento minify; para ello, agregue la línea resaltada, como se observa:

package main

import (
	"github.com/caddyserver/caddy/caddy/caddymain"

	_ "github.com/hacdias/caddy-minify"
)

func main() {
	// caddymain.EnableTelemetry = false
	caddymain.Run()
}

Guarde y cierre el archivo.

Es posible que algunos complementos requieran algunas modificaciones simples. Asegúrese de leer la documentación de los que instale. Puede encontrar una lista de complementos populares en el panel izquierdo de la documentación de Caddy, dentro de la sección Plugins.

Cada vez que agregue una configuración nueva, deberá volver a compilar Caddy. Esto se debe a que Go es un lenguaje de programación compilado; es decir, el código fuente se transforma en código máquina antes de la ejecución. Su cambio en la declaración de importación alteró el código fuente, pero no afectará el binario hasta que esté compilado.

Use el comando go install para compilar Caddy:

go install

Al finalizar, mueva el binario generado a /usr/local/bin y configure permisos para el binario como lo hizo anteriormente. Debe realizar estos pasos cada vez que recopile Caddy para garantizar su funcionalidad y seguridad:

sudo mv $GOPATH/bin/caddy /usr/local/bin/
sudo chown root:root /usr/local/bin/caddy
sudo chmod 755 /usr/local/bin/caddy
sudo setcap 'cap_net_bind_service=+ep' /usr/local/bin/caddy

Para comenzar a usar el complemento minify, deberá agregar la directiva minify a Caddyfile. Ábralo​​​ para editarlo:

sudo nano /etc/caddy/Caddyfile

Para habilitar el complemento, agregue la siguiente línea al bloque de configuración:

:80 {
  root /var/www
  gzip
  minify
}

Ahora, reinicie el servidor utilizando systemctl:

sudo systemctl restart caddy

Caddy se encuentra en ejecución y minificará cualquier archivo que contenga, incluso el archivo index.html que creó anteriormente. Puede ver funcionar la minificación si busca el contenido de su dominio mediante curl:

curl http://your_domain

Verá el siguiente resultado: Observe que todos los espacios en blanco innecesarios se eliminarán, lo cual mostrará que el complemento minify funciona.

Output
<!doctype html><title>Hello from Caddy!</title><h1 style=font-family:sans-serif>This page is being served via Caddy</h1>

En este paso, aprendió ampliar Caddy con complementos. A continuación, habilitará HTTPS instalando el complemento tls.dns.digitalocean.

Paso 5: Habilitar TLS automático con Let’s Encrypt

En esta sección, habilitará el aprovisionamiento y la renovación automáticos de certificados de Let’s Encrypt usando registros TXT DNS para la verificación.

Para realizar la verificación mediante los registros TXT DNS, instalará un complemento para interactuar con la API de DigitalOcean, llamado tls.dns.digitalocean. El procedimiento de instalación es casi idéntico al que usó para instalar el complemento minify en el paso anterior. Por empezar, abra caddy.go:

nano caddy.go

Agregue el repositorio del complemento a las importaciones:

package main

import (
	"github.com/caddyserver/caddy/caddy/caddymain"

	_ "github.com/hacdias/caddy-minify"

	_ "github.com/caddyserver/dnsproviders/digitalocean"
)

func main() {
	// caddymain.EnableTelemetry = false
	caddymain.Run()
}

Para compilarlo, ejecute lo siguiente:

go install

Asegúrese de detener Caddy a través de systemctl, luego termine de instalar el complemento copiando el binario de Caddy recién compilado y nuevamente configure la propiedad y los permisos:

sudo systemctl stop caddy
sudo mv $GOPATH/bin/caddy /usr/local/bin/
sudo chown root:root /usr/local/bin/caddy
sudo chmod 755 /usr/local/bin/caddy
sudo setcap 'cap_net_bind_service=+ep' /usr/local/bin/caddy

A continuación, configure Caddy para trabajar con la API de DigitalOcean y configurar registros DNS. Caddy debe acceder a este token como variable de entorno para configurar el DNS de DigitalOcean, de modo que editará su archivo de unidad systemd.

sudo nano /etc/systemd/system/caddy.service

Busque la línea que comienza con Environment= en la sección [Service]. Esta línea define las variables de entorno que se deben pasar al proceso de Caddy. Agregue un espacio al final de esta línea y luego agregue una variable DO_AUTH_TOKEN seguida del token que recién generó:

[Service]
Restart=on-abnormal

; User and group the process will run as.
User=www-data
Group=www-data

; Letsencrypt-issued certificates will be written to this directory.
Environment=CADDYPATH=/etc/ssl/caddy DO_AUTH_TOKEN=your_token_here

Guarde y cierre este archivo, y luego vuelva a cargar el demonio systemd como lo hizo anteriormente para asegurarse de que se haya actualizado la configuración:

sudo systemctl daemon-reload

Ejecute systemctl status para verificar que las modificaciones de la configuración sean correctas:

sudo systemctl status caddy

El resultado debería tener el siguiente aspecto:

Output
● caddy.service - Caddy HTTP/2 web server
   Loaded: loaded (/etc/systemd/system/caddy.service; disabled; vendor preset: enabled)
   Active: inactive (dead)
     Docs: https://caddyserver.com/docs
...

Deberá realizar algunas modificaciones simples a Caddyfile. Por ello, ábralo para editarlo:

sudo nano /etc/caddy/Caddyfile

Agregue las líneas resaltadas a Caddyfile; asegúrese de sustituir your_domain por su dominio (en lugar de solo el puerto :80) y agregar un comentario en gzip:

your_domain {
  root /var/www
  #gzip
  minify
  tls {
      dns digitalocean
  }
}

Usar un dominio en vez de solo un puerto para el nombre de host hará que Caddy presente solicitudes en HTTPS. La directiva tls configura el comportamiento de Caddy cuando se utiliza TLS y la subdirectiva dns especifica que Caddy debe usar el sistema DNS-01 en vez de HTTP-01.

Con esto, su sitio web estará listo para implementarse. Inicie Caddy con systemctl y luego habilítelo para que se ejecute en el arranque:

sudo systemctl start caddy
sudo systemctl enable caddy

Si busca su dominio, automáticamente accederá a HTTPS y se observará el mismo mensaje.

De esta manera, finalizó y protegió la instalación de Caddy. Podrá seguir personalizándolo según el uso requerido.

Si desea actualizar Caddy cuando haya una versión nueva, deberá actualizar el archivo go.mod (almacenado en el mismo directorio) que se verá de la siguiente manera:

module caddy

go 1.14

require (
        github.com/caddyserver/caddy v1.0.5
        github.com/caddyserver/dnsproviders v0.4.0
        github.com/hacdias/caddy-minify v1.0.2
)

La parte resaltada es la versión de Caddy que usa. Cuando se lance una versión nueva en Github (ver la página de etiquetas de lanzamientos), podrá reemplazar la actual de go.mod por esta y compilar Caddy conforme a los dos primeros pasos. Puede hacer lo mismo para todos los complementos importados.

Conclusión

Ahora cuenta con Caddy instalado y configurado en su servidor, el cual presenta páginas estáticas en el dominio deseado, con protección a través de certificados TLS de Let´s Encrypt.

Un buen paso siguiente sería encontrar la manera de que lo notifiquen cuando se lancen versiones nuevas de Caddy. Por ejemplo, podría usar las fuentes de Atom para lanzamientos de Caddy o un servicio especializado como dependencies.io.

Puede consultar la documentación de Caddy si desea más información o si desea configurar Caddy.