EC2 Nginx HTTPS 설정하기 (Certbot 사용)

임원재·2024년 11월 25일

CertBot Nginx

항상 프로젝트를 배포하고 마지막에 진행하는 작업은 HTTP 프로토콜을 HTTPS로 변경하는 작업이었다.
항상 이 작업을 할 때마다 복잡한 과정에 대한 이해를 하지 않고 진행하다보니 에러가 생겨도 어디가 원인인지를 찾기가 굉장히 힘들었다.
앞으로도 있을 수많은 HTTPS 설정을 위해 간단하고 쉬운 방식을 정리해 놓으려고 한다.

HTTPS 동작 원리

클라이언트와 서버 간의 통신이 암호화되지 않은 HTTP와 달리, 암호화되어 다른 사람이 해당 내용을 알 수 없도록 한다.
HTTPS는 HTTP 프로토콜에 암호화를 담당하는 SSL/TLS 프로토콜을 추가한 프로토콜이다.
SSL/TLS는 웹사이트의 신뢰성을 보장하는 인증서가 핵심이다.
우리는 Let's Encrypt라는 무료 인증 기관을 통해 인증서를 발급받을 예정이다.
인증서를 발급받는 과정에서 설정과 갱신 과정이 복잡하므로 해당 과정을 자동화하는 Certbot을 사용할 것이다.

HTTPS 적용 과정

1. Certbot & nginx 설치

Nginx, Certbot과 NGINX 플러그인을 설치한다.

Debian 계열

sudo apt update
sudo apt install certbot python3-certbot-nginx
sudo apt install nginx

RPM 계열

sudo yum update
sudo yum install certbot python3-certbot-nginx
sudo yum install nginx

python3-certbot-nginx를 설치함으로써 nginx와 통합하여 SSL/TSL 인증서를 발급, 설치, 구성, 재발급 작업을 자동화한다.

2. Certbot 실행

Certbot의 NGINX 플러그인을 사용하여 인증서를 발급받고 설정을 자동으로 변경합니다.
sudo certbot --nginx

인증서를 적용할 도메인을 입력하라고 한다.
이때 본인의 도메인 뿐만 아니라 서브도메인인 www까지 포함된 총 2개의 도메인을 입력한다.
예) naver.com, www.naver.com

다음과 같이 입력한 도메인에 대한 인증서를 발급받을 수 있다.
필자는 인증서를 발급받은 적이 있으므로 별다른 과정을 거치지 않았지만 이메일 입력, ACME Server 등록 여부, 이메일 수신 여부 등을 선택하는 과정이 존재한다.
이때 ACME Server 등록은 동의를 하고, 이메일 수신 여부는 원하는대로 하면 된다.
인증서(certificate) 발급이 완료되었다고 뜨면, 개발자가 직접 해야하는 과정을 cerbot이 자동으로 수행한다.

ertbot은 발급받은 인증서와 비공개 키를 올바른 위치에 구성한다.

/etc/letsencrypt/live/{domain_name}/ 에 위치하게 된다.

웹 서버 nginx의 설정파일인 /etc/nginx/sites-enabled/default 파일에 자동으로 SSL/TSL부분을 업데이트한다.

server {
        listen 80 default_server;
        listen [::]:80 default_server;

        root /var/www/html;

        # Add index.php to the list if you are using PHP
        index index.html index.htm index.nginx-debian.html;

        server_name _;

        location / {
                proxy_pass http://localhost:8080;
                proxy_set_header X-Real_IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header Host $host;
        }
}

server {
        root /var/www/html;

        # Add index.php to the list if you are using PHP
        index index.html index.htm index.nginx-debian.html;
    server_name persist-blog.site www.persist-blog.site; # managed by Certbot

        location / {
                proxy_pass http://localhost:8080;
                proxy_set_header X-Real_IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header Host $host;
        }

    listen [::]:443 ssl ipv6only=on; # managed by Certbot
    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/persist-blog.site/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/persist-blog.site/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot
}

server {
    if ($host = www.persist-blog.site) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


    if ($host = persist-blog.site) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


        listen 80 ;
        listen [::]:80 ;
    server_name persist-blog.site www.persist-blog.site;
    return 404; # managed by Certbot
}