웹사이트 검색

Ubuntu 20.04에서 Let's Encrypt로 Nginx를 보호하는 방법

소개

Let’s Encrypt는 무료 TLS/SSL 인증서를 얻고 설치하여 웹 서버에서 암호화된 HTTPS를 활성화하는 쉬운 방법을 제공하는 인증 기관(CA)입니다. 필요한 단계의 대부분(전부는 아님)을 자동화하려고 시도하는 소프트웨어 클라이언트인 Certbot을 제공하여 프로세스를 단순화합니다. 현재 인증서를 얻고 설치하는 전체 프로세스는 Apache와 Nginx 모두에서 완전히 자동화되어 있습니다.

이 튜토리얼에서는 Certbot을 사용하여 Ubuntu 20.04에서 Nginx용 무료 SSL 인증서를 얻고 인증서가 자동으로 갱신되도록 설정합니다.

이 튜토리얼에서는 기본 파일 대신 별도의 Nginx 서버 구성 파일을 사용합니다. 일반적인 실수를 방지하고 기본 파일을 대체 구성으로 유지하는 데 도움이 되므로 각 도메인에 대해 새 Nginx 서버 블록 파일을 생성하는 것이 좋습니다.

전제 조건

이 자습서를 따르려면 다음이 필요합니다.

  • Ubuntu 20.04 자습서에 대한 이 초기 서버 설정에 따라 하나의 Ubuntu 20.04 서버가 설정되며 여기에는 sudo가 활성화된 루트가 아닌 사용자 및 방화벽이 포함됩니다.\n
  • 등록된 도메인 이름입니다. 이 자습서에서는 전체적으로 example.com을 사용합니다. Freenom에서 도메인 이름을 구입하거나 선택한 도메인 등록 기관을 사용할 수 있습니다.\n
  • 다음 DNS 레코드는 모두 서버에 대해 설정됩니다. DigitalOcean을 사용하는 경우 추가 방법에 대한 자세한 내용은 DNS 설명서를 참조하십시오.\n
    • 서버의 공용 IP 주소를 가리키는 example.com이 있는 A 레코드
    • 서버의 공용 IP 주소를 가리키는 www.example.com이 있는 A 레코드

    Nginx는 도메인의 다음 서버 블록에 의해 설치됩니다. 이 튜토리얼에서는 /etc/nginx/sites-available/example.com을 예로 사용합니다.

    1단계 - Certbot 설치

    SSL 인증서를 얻기 위해 Let’s Encrypt를 사용하는 첫 번째 단계는 서버에 Certbot 소프트웨어를 설치하는 것입니다.

    Certbot을 설치하고 apt가 포함된 Nginx 플러그인을 설치합니다.

    1. sudo apt install certbot python3-certbot-nginx

    이제 Certbot을 사용할 준비가 되었지만 Nginx용 SSL을 자동으로 구성하려면 Nginx의 일부 구성을 확인해야 합니다.

    2단계 - Nginx 구성 확인

    Certbot은 SSL을 자동으로 구성할 수 있도록 Nginx 구성에서 올바른 server 블록을 찾을 수 있어야 합니다. 특히 인증서를 요청한 도메인과 일치하는 server_name 지시문을 찾아 이를 수행합니다.

    Nginx 설치 자습서의 서버 블록 설정 단계를 따랐다면 /etc/nginx/sites-available/example.com 에 도메인에 대한 서버 블록이 있어야 합니다. server_name 지시문이 이미 적절하게 설정되어 있습니다.

    확인하려면 nano 또는 자주 사용하는 텍스트 편집기를 사용하여 도메인의 구성 파일을 엽니다.

    1. sudo nano /etc/nginx/sites-available/example.com

    기존 server_name 줄을 찾습니다. 다음과 같아야 합니다.

    ...
server_name example.com www.example.com;
...

    그렇다면 편집기를 종료하고 다음 단계로 이동하십시오.

    그렇지 않은 경우 일치하도록 업데이트하십시오. 그런 다음 파일을 저장하고 편집기를 종료하고 구성 편집 구문을 확인합니다.

    1. sudo nginx -t

    오류가 발생하면 서버 블록 파일을 다시 열고 오타나 누락된 문자가 있는지 확인하십시오. 구성 파일의 구문이 정확하면 Nginx를 다시 로드하여 새 구성을 로드합니다.

    1. sudo systemctl reload nginx

    Certbot은 이제 올바른 server 블록을 찾아 자동으로 업데이트할 수 있습니다.

    다음으로 HTTPS 트래픽을 허용하도록 방화벽을 업데이트하겠습니다.

    3단계 - 방화벽을 통한 HTTPS 허용

    전제 조건 가이드에서 권장하는 대로 ufw 방화벽을 활성화한 경우 HTTPS 트래픽을 허용하도록 설정을 조정해야 합니다. 운 좋게도 Nginx는 설치 시 ufw로 몇 개의 프로필을 등록합니다.

    다음을 입력하여 현재 설정을 볼 수 있습니다.

    1. sudo ufw status

    아마도 다음과 같을 것입니다. 이는 웹 서버에 HTTP 트래픽만 허용됨을 의미합니다.

    Output
    Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere                  
Nginx HTTP                 ALLOW       Anywhere                  
OpenSSH (v6)               ALLOW       Anywhere (v6)             
Nginx HTTP (v6)            ALLOW       Anywhere (v6)

    HTTPS 트래픽을 추가로 허용하려면 Nginx 전체 프로필을 허용하고 중복 Nginx HTTP 프로필 허용을 삭제합니다.

    1. sudo ufw allow 'Nginx Full'

    2. sudo ufw delete allow 'Nginx HTTP'

    이제 상태는 다음과 같아야 합니다.

    1. sudo ufw status

    

    Output
    Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
Nginx Full                 ALLOW       Anywhere
OpenSSH (v6)               ALLOW       Anywhere (v6)
Nginx Full (v6)            ALLOW       Anywhere (v6)

    다음으로 Certbot을 실행하고 인증서를 가져오겠습니다.

    4단계 - SSL 인증서 받기

    Certbot은 플러그인을 통해 SSL 인증서를 얻는 다양한 방법을 제공합니다. Nginx 플러그인은 필요할 때마다 Nginx를 재구성하고 구성을 다시 로드합니다. 이 플러그인을 사용하려면 다음을 입력하십시오.

    1. sudo certbot --nginx -d example.com -d www.example.com

    이것은 --nginx 플러그인과 함께 certbot을 실행하고 -d를 사용하여 인증서를 유효하게 할 도메인 이름을 지정합니다.

    certbot을 처음 실행하는 경우 이메일 주소를 입력하고 서비스 약관에 동의하라는 메시지가 표시됩니다. 이렇게 하면 certbot이 Let’s Encrypt 서버와 통신한 다음 인증서를 요청하는 도메인을 제어하는지 확인하기 위해 챌린지를 실행합니다.

    성공하면 certbot이 HTTPS 설정 구성 방법을 묻습니다.

    Output
    Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

    원하는 항목을 선택한 다음 ENTER를 누르십시오. 구성이 업데이트되고 Nginx가 다시 로드하여 새 설정을 선택합니다. certbot은 프로세스가 성공했고 인증서가 어디에 저장되었는지 알려주는 메시지로 마무리됩니다.

    Output
    IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/example.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/example.com/privkey.pem
   Your cert will expire on 2020-08-18. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot again
   with the "certonly" option. To non-interactively renew *all* of
   your certificates, run "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

    인증서가 다운로드, 설치 및 로드됩니다. https://를 사용하여 웹사이트를 새로고침하고 브라우저의 보안 표시기를 확인하세요. 일반적으로 자물쇠 아이콘과 함께 사이트가 적절하게 보안되어 있음을 나타내야 합니다. SSL Labs 서버 테스트를 사용하여 서버를 테스트하면 A 등급을 받습니다.

    갱신 프로세스를 테스트하여 마치겠습니다.

    5단계 - Certbot 자동 갱신 확인

    Let’s Encrypt의 인증서는 90일 동안만 유효합니다. 이는 사용자가 인증서 갱신 프로세스를 자동화하도록 권장하기 위한 것입니다. 우리가 설치한 certbot 패키지는 하루에 두 번 실행되고 만료 30일 이내의 모든 인증서를 자동으로 갱신하는 시스템 타이머를 추가하여 이를 처리합니다.

    systemctl을 사용하여 타이머의 상태를 쿼리할 수 있습니다.

    1. sudo systemctl status certbot.timer

    

    Output
    ● certbot.timer - Run certbot twice daily
     Loaded: loaded (/lib/systemd/system/certbot.timer; enabled; vendor preset: enabled)
     Active: active (waiting) since Mon 2020-05-04 20:04:36 UTC; 2 weeks 1 days ago
    Trigger: Thu 2020-05-21 05:22:32 UTC; 9h left
   Triggers: ● certbot.service

    갱신 프로세스를 테스트하려면 certbot을 사용하여 시험 실행을 할 수 있습니다.

    1. sudo certbot renew --dry-run

    오류가 표시되지 않으면 모든 설정이 완료된 것입니다. 필요한 경우 Certbot은 인증서를 갱신하고 Nginx를 다시 로드하여 변경 사항을 적용합니다. 자동 갱신 프로세스가 실패하면 Let’s Encrypt는 지정한 이메일로 메시지를 보내 인증서가 만료될 때 경고합니다.

    결론

    이 자습서에서는 Let’s Encrypt 클라이언트 certbot을 설치하고, 도메인용 SSL 인증서를 다운로드하고, 이러한 인증서를 사용하도록 Nginx를 구성하고, 자동 인증서 갱신을 설정했습니다. Certbot 사용에 대해 추가 질문이 있는 경우 공식 문서에서 시작하는 것이 좋습니다.