Come si mette la GUI di Proxmox dietro un reverse proxy?

La GUI di Proxmox vive sulla 8006 in HTTPS con certificato self-signed. Metterla dietro un reverse proxy dà un nome pulito e un certificato vero – i due dettagli che fregano tutti:

• servono i WebSocket: senza upgrade, la GUI si apre ma la console noVNC resta nera. In Caddy reverse_proxy li gestisce da solo; in Nginx vanno gli header Upgrade/Connection espliciti
• l'upstream parla HTTPS con certificato self-signed: il proxy deve accettarlo (tls_insecure_skip_verify verso l'upstream in Caddy, proxy_ssl_verify off in Nginx) – è traffico interno, il certificato vero sta sul proxy

In alternativa, Proxmox sa usare direttamente certificati ACME (nodo → Certificates), niente proxy per il solo TLS.

La parte che conta davvero: la 8006 non va mai esposta a internet, nemmeno dietro proxy con WAF – è la porta del regno. Accesso da fuori = VPN o overlay, sempre. E la gestione remota senza GUI esiste già: proxxx parla con l'API via SSH/REST, MFA sull'account root comunque attiva.