Como proteger corretamente a comunicação do Proxy Reverso com o servidor real na LAN

Question

Eu tenho o Nginx atuando como gateway e proxy reverso para solicitações com base no nome do host.

No entanto, a comunicação com o servidor real na lan não é garantida.

A conexão permanece criptografada com a seguinte configuração, ou eu deveria também proteger o Apache no servidor web real?

Deve-se notar que a LAN não pode ser totalmente confiável.

server {
        listen 443 ssl;

        ssl_certificate /etc/nginx/ssl/wildcard.xxxx.edu.ar.crt;
        ssl_certificate_key /etc/nginx/ssl/wildcard.xxxx.edu.ar.key;

        server_name
                tracker.yyyy.xxxx.edu.ar;
        location / {
                proxy_pass http://192.168.yy.xx:8080;
                proxy_set_header Host $host;
                proxy_set_header X-Real-IP $remote_addr;
        }
}
server {
        listen  80;
        server_name
                tracker.yyy.xxxx.edu.ar;
        return  301 https://$server_name$request_uri;
}