Nginx 리버스 프록시 + HTTPS 완전 설정 튜토리얼 — Let's Encrypt 자동 갱신까지

Nginx 설치 (Ubuntu 22.04)
# 패키지 목록 업데이트 및 Nginx 설치
sudo apt update
sudo apt install -y nginx

# 서비스 시작 및 부팅 자동 시작 등록
sudo systemctl start nginx
sudo systemctl enable nginx

# 상태 확인
sudo systemctl status nginx

# 방화벽 허용 (ufw 사용 시)
sudo ufw allow 'Nginx Full'
sudo ufw status

/etc/nginx/sites-available/yourdomain.com
server {
    listen 80;
    listen [::]:80;
    server_name yourdomain.com www.yourdomain.com;

    # 클라이언트 요청 바디 최대 크기 (파일 업로드 있을 경우 조정)
    client_max_body_size 20M;

    location / {
        proxy_pass http://localhost:3000;

        # 원본 요청 정보를 백엔드에 전달
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # WebSocket 지원 (Next.js HMR, Socket.io 등)
        proxy_http_version 1.1;
        proxy_set_header Upgrade    $http_upgrade;
        proxy_set_header Connection "upgrade";

        # 타임아웃 설정
        proxy_connect_timeout 60s;
        proxy_send_timeout    60s;
        proxy_read_timeout    60s;
    }

    # 정적 파일 직접 서빙 (선택 사항)
    location /static/ {
        alias /var/www/yourdomain/static/;
        expires 30d;
        add_header Cache-Control "public, immutable";
    }
}

설정 활성화 및 Nginx 재시작
# sites-enabled에 심볼릭 링크 생성
sudo ln -s /etc/nginx/sites-available/yourdomain.com /etc/nginx/sites-enabled/

# 기본 설정 비활성화 (필요 시)
sudo rm /etc/nginx/sites-enabled/default

# 문법 검사
sudo nginx -t

# 설정 반영 (무중단)
sudo systemctl reload nginx

Certbot 설치 및 SSL 인증서 발급
# Certbot과 Nginx 플러그인 설치
sudo apt install -y certbot python3-certbot-nginx

# SSL 인증서 발급 (Nginx 플러그인 사용)
# --nginx: Nginx 설정 자동 수정
# -d: 도메인 지정 (여러 개 지정 가능)
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

# 이메일 입력 후 약관 동의 → 인증서 발급 완료
# 인증서 경로:
# /etc/letsencrypt/live/yourdomain.com/fullchain.pem
# /etc/letsencrypt/live/yourdomain.com/privkey.pem

HTTPS 완성 설정 (/etc/nginx/sites-available/yourdomain.com)
# HTTP → HTTPS 리다이렉트
server {
    listen 80;
    listen [::]:80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

# HTTPS 메인 설정
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name yourdomain.com www.yourdomain.com;

    # SSL 인증서 경로 (Certbot이 자동 설정)
    ssl_certificate     /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    # 권장 TLS 설정 (Certbot이 생성하는 파일)
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    # 보안 헤더
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options           "SAMEORIGIN"                          always;
    add_header X-Content-Type-Options    "nosniff"                             always;
    add_header Referrer-Policy           "strict-origin-when-cross-origin"     always;

    client_max_body_size 20M;

    location / {
        proxy_pass http://localhost:3000;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_http_version 1.1;
        proxy_set_header Upgrade    $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_connect_timeout 60s;
        proxy_send_timeout    60s;
        proxy_read_timeout    60s;
    }
}

자동 갱신 확인 및 테스트
# systemd 타이머 확인 (Ubuntu 22.04 기본)
sudo systemctl status certbot.timer
sudo systemctl list-timers | grep certbot

# 자동 갱신 드라이런 테스트 (실제 갱신 없이 시뮬레이션)
sudo certbot renew --dry-run

# 수동 갱신 (필요 시)
sudo certbot renew

# 갱신 후 Nginx 재시작 (hooks 활용)
# /etc/letsencrypt/renewal-hooks/deploy/ 에 스크립트 추가
cat << 'EOF' | sudo tee /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
#!/bin/bash
systemctl reload nginx
EOF
sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

여러 백엔드를 서브도메인으로 분리하는 설정
# /etc/nginx/sites-available/api.yourdomain.com
server {
    listen 443 ssl http2;
    server_name api.yourdomain.com;

    ssl_certificate     /etc/letsencrypt/live/api.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/api.yourdomain.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    add_header Strict-Transport-Security "max-age=31536000" always;

    location / {
        proxy_pass http://localhost:8000;   # Python FastAPI, Go 서버 등
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

server {
    listen 80;
    server_name api.yourdomain.com;
    return 301 https://$host$request_uri;
}

# 인증서 발급 (여러 서브도메인 동시 가능)
# sudo certbot --nginx -d api.yourdomain.com