Open Source

캐디, 엔진엑스, 리버스 프록시, 자동 HTTPS | 개인 서버 앞단은 어디에 둘까?

브이피에스 한 대 앞단은 캐디가 줄이 짧다. 도메인만 적으면 렛츠인크립트 인증서를 받고, 엔진엑스는 인증서 파일과 리슨을 직접 적는다. 에스에스엘 모듈은 기본 빌드에 없다. 오픈소스, 개발자, Next.js, 클라우드, 도커, 보안, API, 리버스 프록시 기준으로 한 대 서버만 보고 인그레스 글과 자리를 섞지 않는다. 2026년 8월 문서.

by Lee발행: 2026-08-19

브이피에스 한 대에 넥스트 앱을 두면 앞단은 캐디가 먼저입니다. 도메인만 적으면 443이 열리고, 렛츠인크립트 인증서를 서버가 받습니다. 엔진엑스는 인증서 파일과 리슨 줄을 직접 적습니다. 에스에스엘 모듈은 기본 빌드에 없어서, 배포판 패키지를 쓰는지부터 봅니다. 저는 12개 사이트를 버셀에 두고 공개 앞단은 캐디를 매일 켜지 않습니다. 로컬에서 카카오 콘솔에 주소를 넣을 때는 터널입니다. 클러스터 컨트롤러는 인그레스 종료 글입니다. 여기는 한 대 서버의 리버스 프록시와 인증서 칸만 봅니다.

숫자는 2026년 8월 캐디 자동 HTTPS 문서와 엔진엑스 에스에스엘 모듈 문서 기준입니다.

같은 도메인을 열 때 설정 줄이 갈린다

공개 도메인을 앱 포트로 넘길 때, 캐디는 주소와 리버스 프록시 한 줄이면 됩니다. 엔진엑스는 리슨, 서버 이름, 인증서 경로, 프록시 패스를 따로 적습니다.

캐디(Caddy) 공식 빠른 시작은 백엔드가 9000번을 듣고 있을 때 캐디파일에 도메인과 리버스 프록시만 두면 된다고 적습니다. 호스트 이름을 알면 HTTPS를 기본으로 연다고 되어 있습니다. 엔진엑스(nginx) 에스에스엘 모듈 문서는 리슨에 에스에스엘을 붙이고, 인증서 파일과 비밀키 파일을 지정하라고 적습니다. 이 모듈은 기본 빌드에 없고, 컴파일 때 따로 켜야 합니다. 배포판 패키지는 이미 켜져 있는 경우가 많아서, 직접 빌드할 때만 이 칸이 보입니다.

항목	캐디	엔진엑스
설정	캐디파일. 도메인과 리버스 프록시	서버 블록. 리슨, 인증서, 프록시 패스
HTTPS	호스트를 알면 기본으로 켬	리슨에 에스에스엘, 파일 경로 필수
인증서	렛츠인크립트, 실패하면 제로에스에스엘	서트봇이나 에이씨엠이 셸을 따로 둠
80에서 443	자동 리다이렉트	서버 블록을 하나 더 적음
에스에스엘 모듈	기본에 포함	기본 빌드에 없음. 배포판은 대개 켜짐
라이선스	아파치 2.0	2조 비에스디
잘 맞는 자리	한 대 서버, 도메인 몇 개, 설정 줄이 짧아야 할 때	이미 서버 블록이 많고, 헤더와 버퍼를 칸마다 다르게 줄 때

공식 문구의 최종본은 캐디 자동 HTTPS와 엔진엑스 에스에스엘 모듈입니다. 헤더 칸은 보안 헤더 글과 자리를 나눕니다. 오늘은 앞단 서버만 봅니다.

빠른 갈래 | 도메인 두세 개를 한 대에 두고 인증서 만료를 따로 돌리기 싫으면 캐디부터 엽니다. 이미 엔진엑스 서버 블록이 수십 개면 옮기지 않습니다. 로컬에서 카카오 콘솔에 주소를 넣는 자리는 터널입니다.

인증서를 따로 돌리다 만료되는 자리

엔진엑스 앞단에서 자주 멈추는 날은 앱이 아니라 인증서입니다. 서트봇 타이머가 꺼지거나, 갱신만 되고 리로드가 빠지면 브라우저가 만료를 보여 줍니다.

캐디 문서는 관리하는 인증서를 갱신하고, 기본 80을 443으로 돌린다고 적습니다. 발급처는 렛츠인크립트와 제로에스에스엘입니다. 한쪽이 막히면 다른 쪽으로 넘긴다고 되어 있습니다. 엔진엑스 쪽은 인증서 파일과 키 파일만 가리킵니다. 누가 파일을 갈아끼우고 프로세스를 다시 읽을지는 팀에서 정합니다. 서트봇 엔진엑스 플러그인이 그 일을 대신하는 팀이 많고, 크론이 한 주 멈추면 그 대가가 만료입니다.

실험할 때 캐디는 스테이징 주소를 쓰라고 적습니다. 렛츠인크립트 스테이징은 한도 규칙이 느슨합니다. 운영 주소를 반복해서 두드리면 최대 일주일 막힐 수 있다고 같은 페이지에 있습니다. 엔진엑스에 서트봇을 붙일 때도 스테이징으로 먼저 확인하는 편이 안전합니다.

와일드카드 인증서는 양쪽 모두 디엔에스 검증이 필요합니다. 렛츠인크립트가 그렇게 적습니다. 캐디는 디엔에스 플러그인과 공급자 자격이 있어야 하고, 엔진엑스는 서트봇 디엔에스 플러그인이나 에이씨엠이 셸이 그 칸입니다. 서브도메인을 자주 늘리는 팀이 아니면 이름 하나하나를 받는 쪽이 단순합니다.

캐디와 엔진엑스 앞단 비교표. HTTPS, 인증서, 리다이렉트, 맞는 자리 — 캐디는 호스트만 알면 HTTPS가 기본이다. 엔진엑스는 인증서 파일과 리슨을 직접 적는다

캐디파일을 저장하고 리로드하는 순서

공개 도메인을 앱으로 넘기려면 디엔에스 에이 레코드를 서버로 맞춘 뒤에 캐디를 켭니다. 80과 443이 밖에서 열려 있어야 발급이 됩니다.

공식 빠른 시작은 설정 없이 한 줄 명령도 허용합니다. 프로덕션에서 도메인이 여러 개면 캐디파일을 남기는 편이 낫습니다. 바꾼 뒤에는 리로드입니다. 홈 디렉터리는 쓰기가 되고 디스크가 유지되어야 인증서가 남습니다. 컨테이너를 매번 지우면 발급을 반복합니다.

캐디파일. 공개 도메인을 로컬 3000으로
example.com {
	reverse_proxy 127.0.0.1:3000
}

캐디 공식 빠른 시작. 설정 파일 없이 프록시
caddy reverse-proxy --from example.com --to :3000
caddy reload

리눅스에서 443에 붙으려면 루트이거나, 캐디 바이너리에 넷 바인드 권한을 줍니다. 공식 빠른 시작이 그 두 길을 적습니다. 카페24나 국내 브이피에스 방화벽에서 80, 443을 안 열면 발급이 실패합니다. 클라우드플레어 주황 구름을 켜 둔 채 에이씨엠이 에이치티티피 검증을 쓰면, 검증 패킷이 프록시에 막히는 날이 있습니다. 그때는 디엔에스 검증이거나, 발급 동안만 회색 구름입니다.

로컬만 필요하면 호스트를 로컬호스트로 둡니다. 캐디는 자체 인증 기관으로 서명하고, 처음 한 번은 신뢰 저장소에 루트를 넣으려고 암호를 물을 수 있습니다. 카카오 콘솔처럼 공인 인증서가 필요한 콜백은 이 길이 아닙니다. 그 칸은 터널입니다.

엔진엑스를 유지하는 편이 맞는 팀

이미 서버 블록이 많고, 경로마다 버퍼와 헤더와 업스트림이 다르면 엔진엑스를 유지합니다. 캐디로 옮기는 이득보다 검증 주가 깁니다.

엔진엑스 문서는 워커를 프로세서 수에 맞추고, 연결을 유지하고, 세션 캐시를 워커가 나눠 쓰라고 적습니다. 기본 내장 캐시보다 공유 캐시가 낫다고 같은 페이지에 있습니다. 프로토콜 기본은 1.23.4부터 티엘에스 1.2와 1.3입니다. 인증서 파일에는 리프 다음에 중간 인증서를 이어서 넣습니다. 이 순서를 뒤집으면 일부 브라우저가 체인을 못 만듭니다.

엔진엑스 서버 블록. 인증서 파일과 프록시
server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_session_cache   shared:SSL:10m;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

에이치티티피3는 엔진엑스도 모듈이 있습니다. 2026년 메인라인 공지에는 이 모듈 관련 보안 수정이 여러 번 올라왔습니다. 켜기 전에 쓰는 버전의 보안 공지를 먼저 봅니다. 캐디 전역 옵션 문서는 기본 프로토콜에 에이치1, 에이치2, 에이치3를 같이 둔다고 적습니다. 속도 숫자로 승부를 가르지 않습니다. 벤치 환경이 팀마다 다르고, 앞단 사고는 만료와 리다이렉트와 헤더에서 더 자주 납니다.

라이선스는 둘 다 관대합니다. 캐디는 아파치 2.0, 엔진엑스는 2조 비에스디입니다. 오픈소스 고정을 인프라 코드에서 다루는 칸은 오픈토푸 글입니다. 컨테이너로 앱만 묶는 칸은 도커 멀티스테이지입니다.

공개 인증서가 나오는 순서. 도메인, 80과 443, 에이씨엠이 검증, 리버스 프록시 — 에이 레코드와 80, 443이 열려 있지 않으면 설정을 더 고치지 않는다. 발급 실패의 대부분이 이 칸이다

80과 443이 막히면 발급이 안 된다

공개 인증서는 80이나 443, 또는 디엔에스 티엑스티 중 하나가 열려 있어야 나옵니다. 방화벽만 닫혀 있어도 캐디와 엔진엑스 둘 다 실패합니다.

캐디는 에이치티티피 검증과 티엘에스 에이엘피엔 검증을 기본으로 켭니다. 여러 개가 켜져 있으면 하나를 고르고, 실패하면 다음으로 넘어갑니다. 디엔에스 검증을 켜면 다른 검증은 기본으로 꺼집니다. 집 공유기 뒤에 두고 포트를 못 열면 디엔에스 검증이 유일한 길입니다. 국내 도메인 호스트가 에이피아이를 안 주면 캐디 플러그인을 못 붙입니다. 그때는 엔진엑스와 서트봇도 같은 벽에 막힙니다.

검증	밖에서 열려야 하는 것	막히는 자리
에이치티티피	80	국내 브이피에스 방화벽, 주황 구름
티엘에스 에이엘피엔	443	로드밸런서가 티엘에스를 먼저 끊을 때
디엔에스	티엑스티 기록 권한	호스트 에이피아이 없음, 플러그인 없음

수요에 따라 인증서를 나중에 받는 기능은 캐디가 오래 가지고 있습니다. 핸드셰이크 때 도메인을 처음 보면 그때 발급합니다. 남용을 막으려면 내부 엔드포인트에 물어보게 되어 있습니다. 고객 도메인을 수천 개 받는 호스팅이 아니면 켜지 않습니다. 한 사이트 도메인 두세 개는 설정에 주소를 적는 쪽이 짧습니다.

발급 전 한 줄 | 에이 레코드가 이 서버를 가리키는지, 80과 443이 방화벽에서 열려 있는지, 데이터 폴더가 컨테이너를 지워도 남는지. 세 칸이 아니면 설정을 더 안 고칩니다.

쿠버네티스 앞단은 이 비교가 아니다

클러스터 인그레스 컨트롤러를 고르는 글이 아닙니다. 한 프로세스, 한 설정 파일, 한 대 서버입니다.

인그레스 엔진엑스 프로젝트 종료와 게이트웨이 에이피아이 이전은 인그레스 종료에 있습니다. 컴포즈로 한 호스트를 묶을지, 클러스터로 갈지는 컴포즈와 쿠버네티스입니다. 캐디와 엔진엑스를 파드 앞에 또 두는 팀은 있습니다. 그때도 인증서와 리버스 프록시 칸은 같고, 서비스 디스커버리와 롤링만 다릅니다.

테일스케일 도메인으로 끝나는 이름은 캐디가 직접 관리하지 않습니다. 로컬 테일스케일 데몬에서 인증서를 받습니다. 계정에서 HTTPS를 켜 두어야 하고, 권한 설정이 문서에 있습니다. 사내 메시만 쓸 때 편합니다. 공개 결제 콜백 주소로는 쓰지 않습니다.

한 대 서버에서 고르는 세 갈래

사이드 앱 하나, 이미 엔진엑스가 있는 서버, 고객 도메인이 늘어나는 호스팅. 세 자리는 답이 다릅니다.

자리	먼저 볼 것	자주 가는 갈래
브이피에스 한 대, 앱 하나	도메인, 80, 443, 데이터 폴더	캐디
이미 엔진엑스 서버 블록	서트봇 타이머, 리로드, 체인 파일	엔진엑스 유지
로컬 웹훅만	콘솔이 로컬호스트를 받는지	터널. 캐디 로컬 인증서는 비공인
고객 도메인이 계속 늘어남	남용 방지 엔드포인트, 발급 속도	캐디 온디맨드. 아니면 발급을 따로