인증서 설치

Let's Encrypt 인증서 설치

개요

Let's Encrypt란 무료로 SSL/TLS 인증서를 발급해주는 비영리 인증 기관(CA)이다. Certbot 도구를 사용하면 명령어 몇 줄로 인증서 발급과 Nginx 자동 설정까지 한 번에 처리할 수 있다.

앞선 실습에서 국룰.com을 내 서버에 연결했어요. 그런데 지금은 http://국룰.com (HTTP)으로만 접속할 수 있어요.

인증서를 설치하면 https://국룰.com (HTTPS)으로 접속할 수 있고, 브라우저에 자물쇠 가 생겨요!

HTTPS가 필요한 이유:

•

 데이터 암호화 (로그인 정보, 개인정보 보호)

•

 SEO 점수 향상 (구글이 HTTPS 사이트를 우선 노출)

•

 브라우저 주소창 자물쇠  (신뢰도 상승)

•

 HTTP/2 사용 가능 (성능 향상)

인증서 발급 전체 흐름

sequenceDiagram
    participant Certbot as 🤖 Certbot
    participant LE as 🏛️ Let's Encrypt CA
    participant Nginx as 🖥️ Nginx 서버

    Certbot->>LE: 국룰.com 인증서 발급 요청
    LE-->>Certbot: 도메인 소유 증명 챌린지 발급
    Certbot->>Nginx: /.well-known/acme-challenge/ 에 파일 배치
    LE->>Nginx: 챌린지 파일 확인 (도메인 소유 검증)
    LE-->>Certbot: 검증 완료! 인증서 발급
    Certbot->>Nginx: Nginx 설정 자동 수정 (HTTPS 블록 추가)
    Note over Nginx: 443 포트로 HTTPS 서비스 시작
Mermaid
복사

Certbot 설치 방법 비교

방법	명령어	추천 여부
snap (권장)	snap install --classic certbot	최신 버전 유지
apt (Ubuntu)	apt install certbot python3-certbot-nginx	간단
pip	pip install certbot	수동 관리 필요

1단계: Certbot 설치

# 1. snap으로 certbot 설치 (Ubuntu 20.04 이상 권장)
sudo snap install --classic certbot

# 2. certbot 명령어 PATH 등록
sudo ln -s /snap/bin/certbot /usr/bin/certbot

# 3. 설치 확인
certbot --version
# 결과 예시: certbot 2.x.x
Bash
복사

2단계: 방화벽 포트 443 열기

HTTPS는 443 포트를 사용해요. 앞선 실습에서 80 포트는 열었으니, 443도 추가로 열어줘야 해요!

# 443 포트 허용
sudo ufw allow 443/tcp
sudo ufw reload

# 확인
sudo ufw status
# 결과 예시
# 80/tcp    ALLOW
# 443/tcp   ALLOW   ← 추가됨
Bash
복사

3단계: 인증서 발급

Certbot에는 여러 발급 모드가 있어요.

graph TD
    A["certbot 실행"] --> B{"Nginx 설정<br/>자동 수정 여부"}
    B -->|"자동 수정 OK"| C["certbot --nginx<br/>(nginx 플러그인)"]
    B -->|"수동으로 설정"| D["certbot certonly<br/>(인증서만 발급)"]

    C --> E["✅ 발급 + Nginx 설정 자동 완료"]
    D --> F["인증서 발급 후<br/>Nginx 수동 설정"]

    style E fill:#90EE90
Mermaid
복사

방법 A: Nginx 플러그인 (자동 설정, 초보자 추천)

sudo certbot --nginx -d 국룰.com -d www.국룰.com
Bash
복사

실행하면 아래 질문이 나와요:

Enter email address (used for urgent renewal and security notices)
(Enter 'c' to cancel): your@email.com   ← 이메일 입력

Please read the Terms of Service at ...
(A)gree/(C)ancel: A   ← 동의

Would you be willing to share your email address with the EFF?
(Y)es/(N)o: N   ← 선택

Please choose whether or not to redirect HTTP traffic to HTTPS:
1: No redirect
2: Redirect - Make all requests redirect to secure HTTPS access   ← 2 선택 (HTTP→HTTPS 자동 리다이렉트)
Select the appropriate number [1-2]: 2
Plain Text
복사

완료 메시지:

Congratulations! You have successfully enabled HTTPS on <https://국룰.com>
Plain Text
복사

방법 B: certonly (인증서만 발급)

sudo certbot certonly --webroot \\
  -w /var/www/krules \\
  -d 국룰.com \\
  -d www.국룰.com
Bash
복사

4단계: 발급된 인증서 확인

# 인증서 목록 확인
sudo certbot certificates

# 결과 예시
# Found the following certs:
#   Certificate Name: 국룰.com
#     Domains: 국룰.com www.국룰.com
#     Expiry Date: 2026-07-21 (VALID: 89 days)
#     Certificate Path: /etc/letsencrypt/live/국룰.com/fullchain.pem
#     Private Key Path: /etc/letsencrypt/live/국룰.com/privkey.pem
Bash
복사

인증서 파일 구조

/etc/letsencrypt/live/국룰.com/
├── fullchain.pem   ← 인증서 (서버 인증서 + 체인 인증서)
├── privkey.pem     ← 개인키 (절대 외부 노출 금지!)
├── cert.pem        ← 서버 인증서만
└── chain.pem       ← 체인 인증서만
Plain Text
복사

파일	역할	Nginx 설정
fullchain.pem	인증서 전체 체인	ssl_certificate
privkey.pem	개인 키	ssl_certificate_key

5단계: Nginx 설정 확인 (certonly 사용 시 수동 설정)

certbot --nginx를 사용했다면 자동 설정이 완료돼요. certonly를 사용했다면 Nginx 설정을 직접 수정해야 해요.

sudo nano /etc/nginx/conf.d/krules.conf
Bash
복사

# ============================================
# HTTP → HTTPS 리다이렉트
# ============================================
server {
    listen 80;
    server_name 국룰.com www.국룰.com;

    return 301 https://$server_name$request_uri;
}

# ============================================
# HTTPS 서버
# ============================================
server {
    listen 443 ssl http2;
    server_name 국룰.com www.국룰.com;

    # 인증서 경로
    ssl_certificate     /etc/letsencrypt/live/국룰.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/국룰.com/privkey.pem;

    # SSL 보안 설정
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;

    # 사이트 루트
    root /var/www/krules;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }

    # 정적 파일 캐싱
    location ~* \\.(jpg|jpeg|png|gif|ico|css|js|woff|woff2|svg)$ {
        expires 30d;
        add_header Cache-Control "public, no-transform";
    }

    # 로그
    access_log /var/log/nginx/krules_access.log;
    error_log  /var/log/nginx/krules_error.log warn;
}
Plain Text
복사

# 설정 테스트 후 적용
sudo nginx -t
sudo systemctl reload nginx
Bash
복사

6단계: 자동 갱신 설정

Let's Encrypt 인증서 유효기간은 90일이에요. 만료 전에 자동으로 갱신되도록 설정해야 해요!

graph LR
    A["⏰ cron/systemd timer<br/>하루 2번 실행"] --> B["certbot renew 명령 실행"]
    B --> C{"만료 30일 이내?"}
    C -->|"Yes"| D["인증서 자동 갱신"]
    C -->|"No"| E["갱신 불필요, 건너뜀"]
    D --> F["Nginx 자동 리로드"]

    style D fill:#90EE90
    style E fill:#E0E0E0
Mermaid
복사

Certbot 자동 갱신 확인

# snap으로 설치했다면 자동 타이머가 이미 등록돼 있어요!
systemctl status snap.certbot.renew.timer

# 결과 예시
# ● snap.certbot.renew.timer
#      Active: active (waiting)  ← 정상!
Bash
복사

자동 갱신 테스트 (실제 갱신 없이 테스트만)

sudo certbot renew --dry-run

# 결과 예시
# Congratulations, all simulated renewals succeeded:
#   /etc/letsencrypt/live/국룰.com/fullchain.pem (success)
Bash
복사

cron으로 수동 등록 (snap 타이머가 없는 경우)

sudo crontab -e

# 아래 줄 추가 (매일 새벽 3시에 갱신 시도)
0 3 * * * certbot renew --quiet && systemctl reload nginx
Bash
복사

실습: 국룰.com HTTPS 적용

flowchart TD
    A["📋 실습 시작<br/>(HTTP 연결 완료 상태)"] --> B["1. snap certbot 설치"]
    B --> C["2. ufw allow 443"]
    C --> D["3. certbot --nginx<br/>-d 국룰.com -d www.국룰.com"]
    D --> E{"발급 성공?"}
    E -->|"No"| F["오류 확인<br/>(DNS, 방화벽 점검)"]
    E -->|"Yes"| G["4. nginx -t 확인"]
    F --> D
    G --> H["5. systemctl reload nginx"]
    H --> I["6. 브라우저에서<br/><https://국룰.com> 접속"]
    I --> J["7. certbot renew --dry-run<br/>자동 갱신 테스트"]
    J --> K["✅ HTTPS 완료! 🔒"]

    style K fill:#90EE90
    style F fill:#FFB366
Mermaid
복사

실습 환경

항목	값
도메인	국룰.com, www.국룰.com
사이트 루트	/var/www/krules
인증서 경로	/etc/letsencrypt/live/국룰.com/
HTTP 포트	80 (443으로 리다이렉트)
HTTPS 포트	443

트러블슈팅

증상	원인	해결
Challenge failed for domain	DNS가 아직 서버를 향하지 않음	nslookup 국룰.com으로 IP 확인
Connection refused	방화벽 443 포트 미개방	ufw allow 443
Too many certificates already issued	단기간 너무 많이 발급	1주일 후 재시도 (주 5회 제한)
인증서 갱신 실패	포트 80이 막혀있음	갱신 시 80 포트 필요
ssl_certificate 오류	파일 경로 오타	ls /etc/letsencrypt/live/ 확인

체크리스트

certbot --version 으로 설치 확인?

방화벽 443 포트 열림? (ufw status)

certbot --nginx -d 국룰.com -d www.국룰.com 발급 성공?

이메일 입력 및 약관 동의 완료?

HTTP → HTTPS 리다이렉트 선택 (옵션 2)?

/etc/letsencrypt/live/국룰.com/ 디렉토리 존재?

nginx -t 통과?

systemctl reload nginx 완료?

브라우저에서 https://국룰.com 자물쇠  확인?

certbot renew --dry-run 성공?

자동 갱신 타이머 활성화 확인? (systemctl status snap.certbot.renew.timer)

실습

# ============================================================
# Let's Encrypt 인증서 설치 실습
# 도메인: 국룰.com / 사이트 루트: /var/www/krules
# ============================================================

# [1] certbot 설치
sudo apt update
sudo apt install -y certbot python3-certbot-nginx

# 설치 확인
certbot --version

# ============================================================

# [2] 방화벽 443 포트 열기
sudo ufw allow 443/tcp
sudo ufw reload
sudo ufw status

# ============================================================

# [3] 인증서 발급 (Nginx 설정 자동 수정)
#   - 이메일 입력 → A(동의) → N(뉴스레터) → 2(HTTP→HTTPS 리다이렉트)
sudo certbot --nginx -d 국룰.com -d www.국룰.com

# ============================================================

# [4] 발급된 인증서 확인
sudo certbot certificates
# 결과에서 아래 항목 확인:
#   Domains: 국룰.com www.국룰.com
#   Expiry Date: (89일 이상)
#   Certificate Path: /etc/letsencrypt/live/국룰.com/fullchain.pem

# ============================================================

# [5] Nginx 설정 테스트 및 적용
sudo nginx -t
sudo systemctl reload nginx

# ============================================================

# [6] 자동 갱신 cron 등록 확인 (apt 설치 시 자동 등록됨)
cat /etc/cron.d/certbot

# 자동 갱신 시뮬레이션 테스트
sudo certbot renew --dry-run
# "all simulated renewals succeeded" 메시지가 나오면 성공!

# ============================================================

# [7] 최종 확인 — 브라우저에서 https://국룰.com 접속 후
#   주소창 자물쇠 🔒 확인!
curl -I https://국룰.com
# HTTP/2 200 이 나오면 HTTPS 정상 동작!
Bash
복사

핵심 정리

Let's Encrypt = 무료 SSL 인증서. 90일 유효, 자동 갱신 가능

Certbot = Let's Encrypt 인증서를 쉽게 발급·관리하는 공식 도구

발급 명령 = certbot --nginx -d 도메인 한 줄로 발급 + Nginx 설정 자동 완료

인증서 파일 = fullchain.pem (인증서) + privkey.pem (개인키)

자동 갱신 = snap 설치 시 타이머 자동 등록. --dry-run으로 테스트

HTTP → HTTPS 리다이렉트 = return 301 https://... 또는 Certbot이 자동 설정