Nginx 리버스 프록시와 Let's Encrypt로 안전한 HTTPS 웹 서버 구축 가이드

Nginx 리버스 프록시와 Let's Encrypt를 활용해 HTTPS 웹 서버를 구축하는 실전 가이드입니다. 보안 강화와 효율적인 서버 운영 노하우를 공유합니다.

안녕하세요! 개발 서버를 운영하거나 사이드 프로젝트를 배포하다 보면, 보안과 성능이라는 두 마리 토끼를 잡아야 하는 순간이 찾아옵니다. 특히 사용자 데이터의 중요성이 커지면서, HTTPS는 이제 선택이 아닌 필수가 되었죠. 하지만 HTTPS를 적용하는 과정이 생각보다 복잡하고 비용이 많이 들 것이라는 선입견 때문에 망설이는 분들이 많습니다.

제가 직접 서버를 운영하며 겪었던 시행착오와 노하우를 바탕으로, Nginx 리버스 프록시와 Let's Encrypt를 활용하여 무료로 HTTPS 웹 서버를 구축하는 방법을 상세하게 공유해 드리려 합니다. 이 글을 통해 여러분도 안전하고 효율적인 웹 서비스를 구축하는 데 자신감을 얻으시길 바랍니다. 실제로 적용해 본 결과, 초기 설정만 잘 해두면 유지보수도 매우 편리했습니다.

📑 목차

• 왜 Nginx 리버스 프록시와 HTTPS가 필요할까요?
• 1. Nginx 리버스 프록시의 힘: 유연성과 성능
• 2. HTTPS, 이제는 선택이 아닌 필수
• Nginx 설치 및 기본 설정
• 1. Nginx 설치하기
• 2. 방화벽 설정 (UFW)
• 3. Nginx 리버스 프록시 기본 설정
• Let's Encrypt로 무료 HTTPS 인증서 발급받기
• 1. Certbot 설치
• 2. Nginx 웹루트 방식으로 인증서 발급
• 3. 자동 갱신 설정 확인
• Nginx에 HTTPS와 리버스 프록시 설정 적용하기
• 실제 운영 환경에서의 팁과 고려사항
• 1. Nginx 로깅 설정
• 2. 보안 헤더 추가
• 3. 대용량 파일 업로드 처리
• 마무리하며: 안전하고 효율적인 웹 서비스의 시작

Image by kevinandthepup on Pixabay

왜 Nginx 리버스 프록시와 HTTPS가 필요할까요?

먼저, 우리가 왜 굳이 Nginx 리버스 프록시를 사용해야 하는지, 그리고 HTTPS가 왜 필수적인지 짚고 넘어가겠습니다. 처음에는 단순하게 웹 서버를 띄우는 것만 생각했지만, 운영을 하다 보니 이 두 가지 요소가 얼마나 중요한지 뼈저리게 느꼈습니다.

1. Nginx 리버스 프록시의 힘: 유연성과 성능

리버스 프록시(Reverse Proxy)는 클라이언트와 웹 서버 사이에 위치하여 클라이언트의 요청을 받아 실제 웹 서버로 전달하고, 서버의 응답을 클라이언트에게 다시 전달하는 역할을 합니다. 제가 직접 운영해 보니, 특히 여러 애플리케이션(예: Node.js, Python Flask, Java Spring 등)을 하나의 도메인 아래에서 서비스해야 할 때 Nginx 리버스 프록시는 빛을 발했습니다.

예를 들어, example.com/api는 Node.js 서버로, example.com/blog는 워드프레스 서버로 연결하는 식으로 유연하게 트래픽을 분산할 수 있습니다. 또한, Nginx는 정적 파일 서빙에 매우 강력하여, 애플리케이션 서버의 부담을 줄이고 응답 속도를 향상시키는 데 기여합니다. 제가 경험한 바로는, Nginx를 통해 정적 파일을 서빙했을 때 애플리케이션 서버의 CPU 사용률이 절반 가까이 줄어드는 것을 확인할 수 있었습니다.

특징	리버스 프록시 사용 시 이점
로드 밸런싱	여러 백엔드 서버로 트래픽을 분산하여 서버 부하를 줄이고 가용성을 높입니다.
보안 강화	백엔드 서버의 IP 주소를 숨기고, 외부 공격으로부터 서버를 보호하는 1차 방어선 역할을 합니다.
캐싱	자주 요청되는 콘텐츠를 캐싱하여 백엔드 서버의 부하를 줄이고 응답 속도를 향상시킵니다.
SSL/TLS 오프로딩	HTTPS 암복호화 작업을 리버스 프록시에서 처리하여 백엔드 서버의 자원 소모를 줄입니다.
URL 재작성/라우팅	하나의 도메인으로 여러 백엔드 서비스를 효율적으로 관리하고 제공할 수 있습니다.

2. HTTPS, 이제는 선택이 아닌 필수

HTTPS(Hypertext Transfer Protocol Secure)는 HTTP에 SSL/TLS 프로토콜을 결합하여 데이터 암호화, 데이터 무결성, 서버 인증 기능을 제공합니다. 제가 처음 서비스를 배포했을 때 HTTP로 시작했다가, 브라우저에서 '안전하지 않음' 경고가 뜨는 것을 보고 바로 HTTPS 전환을 결심했습니다. 단순히 보안 문제뿐만 아니라, SEO(검색 엔진 최적화) 측면에서도 HTTPS는 긍정적인 영향을 미칩니다.

• 데이터 암호화: 클라이언트와 서버 간의 통신 내용을 암호화하여 중간에서 데이터를 가로채더라도 내용을 알 수 없게 만듭니다.
• 데이터 무결성: 전송 중 데이터가 위변조되지 않았음을 보장합니다.
• 서버 인증: 접속하는 서버가 위조된 서버가 아닌, 신뢰할 수 있는 진짜 서버임을 증명합니다.

이러한 이유들로 인해, 모든 웹 서비스에 HTTPS 적용은 필수적인 요소가 되었습니다.

Nginx 설치 및 기본 설정

이제 본격적으로 Nginx를 설치하고 리버스 프록시를 위한 기본 설정을 진행해 보겠습니다. 저는 Ubuntu 환경을 기준으로 설명합니다.

1. Nginx 설치하기

대부분의 리눅스 배포판에서 Nginx는 패키지 관리자를 통해 쉽게 설치할 수 있습니다.

sudo apt update
sudo apt install nginx

설치 후에는 Nginx 서비스가 잘 실행되고 있는지 확인합니다.

sudo systemctl status nginx

active (running) 메시지가 보인다면 성공입니다. 웹 브라우저에서 서버의 IP 주소로 접속했을 때 Nginx의 기본 환영 페이지가 보인다면 더욱 확실합니다.

2. 방화벽 설정 (UFW)

Nginx가 외부에서 접근할 수 있도록 방화벽 설정을 해줘야 합니다. Ubuntu에서는 UFW (Uncomplicated Firewall)를 많이 사용합니다.

sudo ufw allow 'Nginx HTTP'   # HTTP (80번 포트) 허용
sudo ufw allow 'Nginx HTTPS'  # HTTPS (443번 포트) 허용 (나중에 Let's Encrypt 사용 시 필요)
sudo ufw allow 'Nginx Full'   # HTTP와 HTTPS 모두 허용
sudo ufw enable               # 방화벽 활성화
sudo ufw status               # 방화벽 상태 확인

Nginx Full을 허용하면 HTTP와 HTTPS 포트가 모두 열립니다. 저는 항상 Nginx Full을 선택해두고 시작합니다.

3. Nginx 리버스 프록시 기본 설정

Nginx의 설정 파일은 /etc/nginx/sites-available/ 디렉토리에 위치하며, /etc/nginx/sites-enabled/ 디렉토리와 심볼릭 링크로 연결하여 활성화합니다. 저는 default 파일을 수정하기보다는 새로운 파일을 생성하는 것을 선호합니다. 예를 들어, my-app.conf 파일을 생성해 보겠습니다.

sudo nano /etc/nginx/sites-available/my-app.conf

파일 내용은 다음과 같이 작성할 수 있습니다. your_domain.com 부분은 실제 도메인으로, your_backend_ip:port는 백엔드 애플리케이션의 IP 주소와 포트로 변경해야 합니다.

server {
    listen 80;
    listen [::]:80;

    server_name your_domain.com www.your_domain.com; # 도메인 설정

    location / {
        proxy_pass http://localhost:3000; # 백엔드 애플리케이션 주소 (예: Node.js 3000번 포트)
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # 정적 파일 서빙 예시 (선택 사항)
    # location /static/ {
    #     alias /var/www/my-app/static/;
    #     expires 30d;
    #     add_header Cache-Control "public, no-transform";
    # }
}

여기서 proxy_pass는 클라이언트의 요청을 전달할 백엔드 서버의 주소를 지정합니다. proxy_set_header 지시어들은 실제 클라이언트의 IP 주소와 프로토콜 정보 등을 백엔드 서버로 전달하기 위한 중요한 설정입니다. 이 설정을 하지 않으면 백엔드 서버에서 클라이언트의 실제 IP를 알 수 없게 됩니다.

설정 파일을 저장한 후, 활성화를 위해 심볼릭 링크를 생성하고 Nginx 설정을 테스트합니다.

sudo ln -s /etc/nginx/sites-available/my-app.conf /etc/nginx/sites-enabled/
sudo nginx -t             # 설정 파일 문법 검사
sudo systemctl reload nginx # Nginx 재시작

nginx -t 명령으로 syntax is ok, test is successful 메시지가 나오면 성공입니다. 이제 http://your_domain.com으로 접속하면 백엔드 애플리케이션으로 연결되는 것을 확인할 수 있습니다.

Let's Encrypt로 무료 HTTPS 인증서 발급받기

HTTPS를 적용하려면 SSL/TLS 인증서가 필요합니다. 과거에는 인증서 발급에 비용이 들고 절차가 복잡했지만, Let's Encrypt 덕분에 이제는 누구나 무료로 쉽게 인증서를 발급받고 갱신할 수 있게 되었습니다. 저도 처음에는 유료 인증서를 고려했다가 Let's Encrypt를 알게 된 후부터는 항상 이것만 사용하고 있습니다.

1. Certbot 설치

Let's Encrypt 인증서 발급 및 갱신을 자동화해주는 도구인 Certbot을 설치합니다. Nginx와 함께 사용하기 편리한 플러그인을 포함하여 설치하는 것이 좋습니다.

sudo snap install core
sudo snap refresh core
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

snap 대신 apt로 설치할 수도 있습니다. 저는 snap 버전이 더 안정적이라고 느껴서 이 방법을 선호합니다.

2. Nginx 웹루트 방식으로 인증서 발급

Certbot은 여러 방식으로 도메인 소유권을 검증하고 인증서를 발급할 수 있습니다. Nginx가 이미 80번 포트를 사용하고 있으므로, Nginx 플러그인을 사용하는 것이 가장 편리합니다. 이 플러그인은 Nginx 설정을 자동으로 수정하여 인증서 발급을 처리하고, HTTPS 설정을 추가해 줍니다.

sudo certbot --nginx -d your_domain.com -d www.your_domain.com

이 명령을 실행하면 몇 가지 질문에 답해야 합니다.

• 이메일 주소 입력 (갱신 알림 및 보안 연락용)
• 서비스 약관 동의
• IP 주소 공유 여부 (선택 사항)
• HTTP 트래픽을 HTTPS로 리다이렉트할지 여부 (저는 항상 2: Redirect를 선택합니다. HTTP로 들어오는 요청을 자동으로 HTTPS로 전환해 주기 때문에 편리합니다.)

모든 과정이 성공적으로 완료되면, Congratulations! 메시지와 함께 인증서가 발급되었다는 알림이 뜹니다. Certbot이 Nginx 설정 파일에 SSL 관련 설정을 자동으로 추가해 주었을 것입니다. 발급된 인증서는 /etc/letsencrypt/live/your_domain.com/ 경로에 저장됩니다.

3. 자동 갱신 설정 확인

Let's Encrypt 인증서는 90일 동안 유효합니다. 하지만 Certbot은 설치 시 자동 갱신 스케줄을 시스템에 등록해 줍니다. 일반적으로 cron이나 systemd timer를 통해 매일 또는 주기적으로 갱신을 시도합니다. 제가 직접 확인해 본 결과, 별다른 조치 없이도 인증서가 만료되기 전에 자동으로 갱신되어 서비스가 중단될 염려가 없었습니다.

자동 갱신이 제대로 작동하는지 테스트해볼 수 있습니다.

sudo certbot renew --dry-run

이 명령이 에러 없이 실행된다면, 자동 갱신도 문제없이 작동할 것입니다.

Image by kareni on Pixabay

Nginx에 HTTPS와 리버스 프록시 설정 적용하기

Certbot이 Nginx 설정을 자동으로 수정해 주었지만, 어떤 부분이 어떻게 변경되었는지 이해하는 것은 중요합니다. /etc/nginx/sites-available/my-app.conf 파일을 다시 열어보면 다음과 같은 내용이 추가되었을 것입니다.

server {
    listen 80;
    listen [::]:80;

    server_name your_domain.com www.your_domain.com;

    # Certbot이 추가한 리다이렉션 설정
    return 301 https://$host$request_uri; 
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name your_domain.com www.your_domain.com;

    ssl_certificate /etc/letsencrypt/live/your_domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your_domain.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    location / {
        proxy_pass http://localhost:3000; # 백엔드 애플리케이션 주소
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # 정적 파일 서빙 예시 (선택 사항)
    # location /static/ {
    #     alias /var/www/my-app/static/;
    #     expires 30d;
    #     add_header Cache-Control "public, no-transform";
    # }
}

주요 변경 사항은 다음과 같습니다.

• 80번 포트 서버 블록: 기존 HTTP 요청을 HTTPS (443번 포트)로 301 리다이렉션하도록 설정되었습니다. 이는 검색 엔진 최적화에도 좋고, 사용자들이 항상 보안 연결을 사용하도록 강제하는 효과가 있습니다.
• 443번 포트 서버 블록: listen 443 ssl; 지시어로 HTTPS 연결을 처리합니다.
• SSL 인증서 경로: ssl_certificate와 ssl_certificate_key 지시어를 통해 Let's Encrypt에서 발급받은 인증서와 개인 키 파일의 경로가 지정됩니다.
• SSL 설정 포함: include /etc/letsencrypt/options-ssl-nginx.conf; 및 ssl_dhparam은 Let's Encrypt에서 권장하는 강력한 SSL 보안 설정을 불러옵니다. 이 부분은 직접 수정하기보다는 Certbot이 제공하는 기본값을 사용하는 것이 일반적입니다.

이 상태에서 Nginx 설정을 다시 테스트하고 재시작하면, https://your_domain.com으로 접속했을 때 백엔드 애플리케이션이 안전하게 제공되는 것을 확인할 수 있습니다. 브라우저 주소창에 자물쇠 아이콘이 표시될 것입니다. 제가 직접 이 과정을 여러 번 거치면서 느낀 점은, Certbot이 대부분의 복잡한 설정을 자동으로 처리해주기 때문에 개발자는 핵심 로직에 집중할 수 있다는 점이었습니다.

Image by bavarian_web_solutions on Pixabay

실제 운영 환경에서의 팁과 고려사항

지금까지 기본적인 Nginx 리버스 프록시와 Let's Encrypt를 이용한 HTTPS 구축 방법을 다루었습니다. 실제 운영 환경에서는 몇 가지 더 고려해야 할 사항들이 있습니다.

1. Nginx 로깅 설정

문제 해결과 트래픽 분석을 위해 Nginx의 접근 로그(access log)와 에러 로그(error log)를 잘 관리하는 것이 중요합니다. 기본적으로 /var/log/nginx/access.log와 /var/log/nginx/error.log에 기록되지만, 특정 가상 호스트(server 블록)에 대해 별도의 로그를 설정할 수도 있습니다.

server {
    # ... 기존 설정 ...

    access_log /var/log/nginx/my-app_access.log;
    error_log /var/log/nginx/my-app_error.log;

    # ... 나머지 설정 ...
}

제가 운영하는 서비스의 경우, 로그를 주기적으로 분석하여 비정상적인 접근이나 에러 패턴을 파악하고 있습니다. 이를 통해 서비스의 안정성을 높이는 데 큰 도움이 되었습니다.

2. 보안 헤더 추가

웹 애플리케이션의 보안을 더욱 강화하기 위해 Nginx에 보안 관련 HTTP 헤더를 추가하는 것을 권장합니다. 이는 XSS(Cross-Site Scripting), 클릭재킹(Clickjacking) 등의 공격을 완화하는 데 효과적입니다.

server {
    # ... 기존 설정 ...

    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-Content-Type-Options "nosniff";
    add_header X-XSS-Protection "1; mode=block";
    add_header Referrer-Policy "no-referrer-when-downgrade";
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # ... 나머지 설정 ...
}

• X-Frame-Options: SAMEORIGIN: 웹사이트를 다른 사이트의 프레임 안에 포함시키는 것을 방지합니다.
• X-Content-Type-Options: nosniff: 브라우저가 MIME 타입 스니핑을 하지 않도록 강제합니다.
• X-XSS-Protection: 1; mode=block: XSS 공격을 탐지하면 페이지 로드를 중지시킵니다.
• Referrer-Policy: 리퍼러(referrer) 정보의 전송 방식을 제어합니다.
• Strict-Transport-Security (HSTS): 브라우저가 해당 도메인에 접속할 때 무조건 HTTPS만 사용하도록 강제합니다. 매우 중요한 보안 헤더입니다.

이 헤더들을 추가하고 나서 웹 보안 스캐너로 점수를 확인했을 때, 확실히 보안 등급이 올라가는 것을 경험했습니다. 최소한 HSTS는 꼭 적용하는 것을 추천합니다.

3. 대용량 파일 업로드 처리

백엔드 애플리케이션이 대용량 파일을 업로드 처리해야 하는 경우, Nginx의 client_max_body_size 설정을 조정해야 할 수 있습니다. 기본값은 1MB로 설정되어 있어, 그 이상의 파일은 에러를 발생시킬 수 있습니다.

server {
    # ... 기존 설정 ...

    client_max_body_size 100M; # 최대 100MB 파일 업로드 허용

    location / {
        # ... proxy_pass 설정 ...
    }
}

이 설정은 http 블록에 전역으로 적용하거나, 특정 server 또는 location 블록에만 적용할 수 있습니다. 저는 주로 특정 파일 업로드 경로에만 필요한 만큼 설정하여 다른 서비스에 영향을 주지 않도록 합니다.

마무리하며: 안전하고 효율적인 웹 서비스의 시작

지금까지 Nginx 리버스 프록시와 Let's Encrypt를 활용하여 안전한 HTTPS 웹 서버를 구축하는 과정을 상세하게 살펴보았습니다. 제가 직접 이 과정을 반복하며 얻은 결론은 다음과 같습니다.

• Nginx 리버스 프록시는 서버 구조의 유연성, 성능 최적화, 그리고 보안 강화에 있어 핵심적인 역할을 합니다.
• Let's Encrypt 덕분에 HTTPS 적용이 더 이상 어렵거나 비용이 드는 작업이 아니게 되었습니다. 무료임에도 강력한 보안을 제공하며, Certbot을 통해 자동화된 갱신까지 가능합니다.
• 초기 설정에 약간의 시간과 노력이 필요하지만, 한 번 구축해두면 서비스의 안정성과 신뢰도를 크게 향상시킬 수 있습니다.

제가 이 가이드를 작성하면서, 처음 Nginx와 Let's Encrypt를 접했을 때의 막막함이 떠올랐습니다. 하지만 단계별로 차근차근 따라 해보니 생각보다 어렵지 않았고, 실제로 안정적인 서비스를 운영하는 데 큰 도움이 되었습니다. 이 글이 여러분의 개발 여정에 작은 도움이 되었기를 바랍니다.

혹시 이 가이드를 따라 해 보시면서 궁금한 점이나 어려웠던 부분이 있다면 언제든지 댓글로 남겨주세요. 함께 고민하고 해결해 나갈 수 있기를 기대합니다!

📌 함께 읽으면 좋은 글

• [튜토리얼] Next.js 개발 환경 구축: TypeScript, Tailwind CSS, Prettier, ESLint 통합 템플릿 설정 가이드
• [튜토리얼] WebSocket 실시간 채팅 애플리케이션 구축: 개념부터 구현까지 완벽 가이드
• [보안] 클라우드 및 컨테이너 환경 애플리케이션 시크릿 관리: 안전한 접근 제어와 자동화 전략

이 글이 도움이 되셨다면 공감(♥)과 댓글로 응원해 주세요!
궁금한 점이나 다루었으면 하는 주제가 있다면 댓글로 남겨주세요.