Reverse Proxy Setup + SSL Self-Sign (Root CA + Wildcard)

DEV Community · Fega Suseno · 2026-07-10 개발(SW)

Pada postingan ini saya akan membahas bagaimana membangun Reverse Proxy Nginx dengan SSL Internal (Self-Signed PKI) tanpa menggunakan domain publik maupun IP publik.

Studi kasus ini cocok untuk:

Rumah Sakit
Kantor
Sekolah
Lab
Infrastruktur Internal
Homelab

Target akhirnya adalah semua aplikasi internal dapat diakses menggunakan HTTPS tanpa muncul peringatan (“Not Secure”) di browser.

Topologi

                     Client
                        │
                        ▼
         Technitium DNS (10.10.10.75)
                        │
        ┌───────────────┴───────────────┐
        │                               │
 app.domainku.internal          portal.domainku.internal
        │                               │
        └───────────────┬───────────────┘
                        ▼
        Nginx Reverse Proxy (10.10.10.79)
                 HTTPS (Wildcard SSL)
                        │
            ┌───────────┴───────────┐
            ▼                       ▼
      App Server               Portal Server
      10.10.10.1               10.10.10.2

Enter fullscreen mode Exit fullscreen mode

Target:
Browser Secure -> tanpa warning.

Kenapa Tidak Menggunakan Let’s Encrypt?

Karena pada studi kasus ini:

Tidak memiliki IP Publik
Tidak memiliki Domain Publik
Semua server berada di jaringan internal

Sehingga solusi terbaik adalah membuat Certificate Authority (CA) sendiri.

Konsep PKI Sederhana

Banyak orang langsung membuat sertifikat seperti ini:

Server Certificate
      │
Signed by
      │
Server itu sendiri

Enter fullscreen mode Exit fullscreen mode

Metode tersebut disebut Self-Signed Certificate. Masalahnya browser tidak akan mempercayainya. Metode yang akan kita gunakan adalah:

Root CA
    │
    └───────────────┐
                    ▼
          Wildcard Certificate
                    │
                    ▼
                 Nginx

Enter fullscreen mode Exit fullscreen mode

Browser hanya perlu percaya kepada Root CA, kemudian seluruh sertifikat yang diterbitkan Root CA tersebut akan dianggap valid.

Tahap 1 — Membuat Root CA

Apa itu Root CA?

Root CA adalah induk kepercayaan.

Browser tidak perlu percaya langsung kepada website.

Browser cukup percaya kepada:

Domainku Internal Root CA

Enter fullscreen mode Exit fullscreen mode

Kemudian seluruh sertifikat yang diterbitkan Root CA tersebut akan dipercaya.

Membuat Folder PKI

sudo mkdir -p /root/pki
cd /root/pki

Enter fullscreen mode Exit fullscreen mode

Membuat Private Key Root CA

openssl genrsa -out ca.key 4096

Enter fullscreen mode Exit fullscreen mode

Hasil:

ca.key

Enter fullscreen mode Exit fullscreen mode

⚠️ PENTING

File ca.key adalah aset paling penting.

Jangan dibagikan.

Jangan dihapus.

Backup dengan aman.

Membuat Sertifikat Root CA

openssl req \
-x509 \
-new \
-key ca.key \
-sha256 \
-days 3650 \
-out ca.crt

Enter fullscreen mode Exit fullscreen mode

Keterangan:

Parameter Penjelasan -x509 Membuat Certificate Authority -days 3650 Berlaku selama 10 tahun

Contoh isian:

Country Name: ID
State: Jawa Barat
Locality: Cirebon
Organization: Domainku Internal
Common Name: Domainku Internal Root CA

Enter fullscreen mode Exit fullscreen mode

Hasil:

ca.crt

Enter fullscreen mode Exit fullscreen mode

Sekarang kita memiliki:

ca.key
ca.crt

Enter fullscreen mode Exit fullscreen mode

Tahap 2 — Membuat Wildcard Certificate

Tujuan kita adalah membuat satu sertifikat untuk seluruh subdomain.

*.domainku.internal

Enter fullscreen mode Exit fullscreen mode

Sehingga dapat digunakan untuk:

app.domainku.internal
portal.domainku.internal
grafana.domainku.internal
git.domainku.internal
monitoring.domainku.internal

Enter fullscreen mode Exit fullscreen mode

Membuat Private Key

openssl genrsa -out wildcard.key 4096

Enter fullscreen mode Exit fullscreen mode

Hasil:

wildcard.key

Enter fullscreen mode Exit fullscreen mode

Membuat File CSR

nano wildcard.cnf

Enter fullscreen mode Exit fullscreen mode

Isi:

[req]
default_bits = 4096
prompt = no
default_md = sha256
distinguished_name = dn
req_extensions = req_ext

[dn]
C=ID
ST=Jawa Barat
L=Cirebon
O=Domainku Internal
CN=*.domainku.internal

[req_ext]
subjectAltName=@alt_names

[alt_names]
DNS.1=*.domainku.internal
DNS.2=domainku.internal

Enter fullscreen mode Exit fullscreen mode

Generate CSR

openssl req \
-new \
-key wildcard.key \
-out wildcard.csr \
-config wildcard.cnf

Enter fullscreen mode Exit fullscreen mode

CSR (Certificate Signing Request) adalah permintaan kepada Root CA untuk menerbitkan sertifikat.

Tahap 3 — Menandatangani Wildcard

Buat file:

nano v3.ext

Enter fullscreen mode Exit fullscreen mode

Isi:

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage=digitalSignature,keyEncipherment
extendedKeyUsage=serverAuth
subjectAltName=@alt_names

[alt_names]
DNS.1=*.domainku.internal
DNS.2=domainku.internal

Enter fullscreen mode Exit fullscreen mode

Sign menggunakan Root CA:

openssl x509 \
-req \
-in wildcard.csr \
-CA ca.crt \
-CAkey ca.key \
-CAcreateserial \
-out wildcard.crt \
-days 1825 \
-sha256 \
-extfile v3.ext

Enter fullscreen mode Exit fullscreen mode

Keterangan:

1825 hari = 5 tahun

Enter fullscreen mode Exit fullscreen mode

Sekarang kita memiliki:

wildcard.crt
wildcard.key

Enter fullscreen mode Exit fullscreen mode

Hubungannya menjadi:

ca.crt
      │
      ▼
menandatangani
      │
      ▼
wildcard.crt

Enter fullscreen mode Exit fullscreen mode

Tahap 4 — Membuat Full Chain

Gabungkan sertifikat:

cat wildcard.crt ca.crt > fullchain.crt

Enter fullscreen mode Exit fullscreen mode

Hasil:

fullchain.crt

Enter fullscreen mode Exit fullscreen mode

Tahap 5 — Install ke Nginx

sudo mkdir -p /etc/nginx/ssl

Enter fullscreen mode Exit fullscreen mode

Copy file:

sudo cp wildcard.key /etc/nginx/ssl/
sudo cp fullchain.crt /etc/nginx/ssl/

Enter fullscreen mode Exit fullscreen mode

Atur permission:

sudo chown root:root /etc/nginx/ssl/*
sudo chmod 600 /etc/nginx/ssl/wildcard.key
sudo chmod 644 /etc/nginx/ssl/fullchain.crt

Enter fullscreen mode Exit fullscreen mode

Tahap 6 — Konfigurasi Reverse Proxy

app.domainku.internal

server {
    listen 443 ssl http2;
    server_name app.domainku.internal;

    ssl_certificate     /etc/nginx/ssl/fullchain.crt;
    ssl_certificate_key /etc/nginx/ssl/wildcard.key;

    location / {
        proxy_pass http://10.10.10.1;

        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Proto https;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

Enter fullscreen mode Exit fullscreen mode

portal.domainku.internal

server {
    listen 443 ssl http2;
    server_name portal.domainku.internal;

    ssl_certificate     /etc/nginx/ssl/fullchain.crt;
    ssl_certificate_key /etc/nginx/ssl/wildcard.key;

    location / {
        proxy_pass http://10.10.10.2;

        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Proto https;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

Enter fullscreen mode Exit fullscreen mode

Aktifkan site:

sudo ln -s /etc/nginx/sites-available/app /etc/nginx/sites-enabled/
sudo ln -s /etc/nginx/sites-available/portal /etc/nginx/sites-enabled/

Enter fullscreen mode Exit fullscreen mode

Test konfigurasi:

sudo nginx -t

Enter fullscreen mode Exit fullscreen mode

Reload:

sudo systemctl reload nginx

Enter fullscreen mode Exit fullscreen mode

Tahap 7 — Konfigurasi DNS

Pada Technitium DNS buat record:

app        A     10.10.10.79
portal     A     10.10.10.79

Enter fullscreen mode Exit fullscreen mode

Sehingga:

app.domainku.internal
→ 10.10.10.79

portal.domainku.internal
→ 10.10.10.79

Enter fullscreen mode Exit fullscreen mode

Tahap 8 — Agar Browser Percaya

Langkah ini hanya dilakukan sekali untuk setiap komputer client.

Windows

Jalankan:

certlm.msc

Enter fullscreen mode Exit fullscreen mode

Masuk ke:

Trusted Root Certification Authorities

Enter fullscreen mode Exit fullscreen mode

Klik:

Import

Enter fullscreen mode Exit fullscreen mode

Pilih:

ca.crt

Enter fullscreen mode Exit fullscreen mode

Selesai.

Ubuntu / Debian

sudo cp ca.crt /usr/local/share/ca-certificates/domainku-root-ca.crt
sudo update-ca-certificates

Enter fullscreen mode Exit fullscreen mode

Arch Linux

sudo cp ca.crt /etc/ca-certificates/trust-source/anchors/domainku-root-ca.crt
sudo trust extract-compat

Enter fullscreen mode Exit fullscreen mode

Tahap 9 — Verifikasi

Buka:

https://app.domainku.internal

Enter fullscreen mode Exit fullscreen mode

atau

https://portal.domainku.internal

Enter fullscreen mode Exit fullscreen mode

Browser akan melakukan proses berikut:

Website
      │
mengirim wildcard certificate
      │
      ▼
Ditandatangani oleh Root CA
      │
      ▼
Browser mempercayai Root CA
      │
      ▼
🔒 Secure

Enter fullscreen mode Exit fullscreen mode

Cara Melihat Masa Berlaku Sertifikat

Wildcard

openssl x509 -in wildcard.crt -noout -dates

Enter fullscreen mode Exit fullscreen mode

Output:

notBefore=...
notAfter=...

Enter fullscreen mode Exit fullscreen mode

Root CA

openssl x509 -in ca.crt -noout -dates

Enter fullscreen mode Exit fullscreen mode

Perpanjangan Sertifikat

Misalnya:

Root CA
2026 → 2036

Wildcard
2026 → 2031

Enter fullscreen mode Exit fullscreen mode

Pada tahun 2031:

Root CA masih berlaku.
Yang diperpanjang hanya Wildcard Certificate.

Generate CSR baru, sign kembali menggunakan ca.key, lalu ganti file:

fullchain.crt
wildcard.key

Enter fullscreen mode Exit fullscreen mode

Reload Nginx:

sudo systemctl reload nginx

Enter fullscreen mode Exit fullscreen mode

Client tidak perlu import ulang Root CA selama Root CA yang digunakan masih sama.

Backup yang Wajib

Simpan dengan aman:

/root/pki/ca.key
/root/pki/ca.crt

Enter fullscreen mode Exit fullscreen mode

Backup minimal di:

Flashdisk offline
NAS
Password Manager yang mendukung attachment file

Jika ca.key hilang, Anda tidak dapat menerbitkan atau memperpanjang sertifikat menggunakan Root CA tersebut.

Kesimpulan

Dengan metode Root CA + Wildcard Certificate, kita mendapatkan beberapa keuntungan:

Tidak membutuhkan domain publik.
Tidak membutuhkan IP publik.
HTTPS valid tanpa warning setelah Root CA dipercaya.
Satu sertifikat wildcard dapat digunakan untuk banyak subdomain.
Renewal cukup dilakukan pada wildcard certificate tanpa perlu mengubah konfigurasi di sisi client selama Root CA masih berlaku.

Metode ini sangat cocok untuk infrastruktur internal seperti rumah sakit, perusahaan, laboratorium, sekolah, maupun homelab yang seluruh layanannya berada di jaringan privat.

원문에서 계속 ↗

추출 본문 · 출처: dev.to · https://dev.to/seno21/reverse-proxy-setup-ssl-self-sign-root-ca-wildcard-59k6

Reverse Proxy Setup + SSL Self-Sign (Root CA + Wildcard)

Topologi

Kenapa Tidak Menggunakan Let’s Encrypt?

Konsep PKI Sederhana

Tahap 1 — Membuat Root CA

Apa itu Root CA?

Membuat Folder PKI

Membuat Private Key Root CA

Membuat Sertifikat Root CA

Tahap 2 — Membuat Wildcard Certificate

Membuat Private Key

Membuat File CSR

Generate CSR

Tahap 3 — Menandatangani Wildcard

Tahap 4 — Membuat Full Chain

Tahap 5 — Install ke Nginx

Tahap 6 — Konfigurasi Reverse Proxy

app.domainku.internal

portal.domainku.internal

Tahap 7 — Konfigurasi DNS

Tahap 8 — Agar Browser Percaya

Windows

Ubuntu / Debian

Arch Linux

Tahap 9 — Verifikasi

Cara Melihat Masa Berlaku Sertifikat

Wildcard

Root CA

Perpanjangan Sertifikat

Backup yang Wajib

Kesimpulan

코멘트

답글 남기기 응답 취소

더 많은 게시물

에피소드 1: “세상에 나타난 작은 점”