[질문] pfSense ssl 인증서 사용법

denmarkCow   
   조회 4966   추천 0    

안녕하세요

저번에 리버스 프록시로 질문 한번 올렸었는데 진행하다가 https 인증서 관련 궁금한게 생겨서 질문하고 싶습니다.

우선 저는 네트워크 분야에 경험이 없는 완전뉴비임을 감안해주시면 감사하겠습니다.

제가 리버스 프록시 구성에 pfSense + HAProxy 를 사용하고 있습니다만, pfSense 에 보시면 인증서를 별도로 등록할 수 있는 기능이 있습니다.

자체적인 Cert. Manager 를 사용하실 수 도 있고 ACME 패키지를 다운 받아서 사용할 수 도 있는것으로 알고있습니다.

저같은 경우는 ACME 패키지에 LetsEncrypt 를 CA로 사용하고 있습니다.


궁금한 부분은 이 과정으로 특정 주소에 인증서를 발급받아서 어디에 어떻게 사용하는 건가요??

pfSense 그 자체에 대한 인증서는 이해하지만 

예를들어 pfSense에 gitlab.domain.com 이라는 주소를 가진 서버가 연결되있다고 가정하겠습니다.

그럼 ACME 패키지를 이용해서 gitlab.domain.com 주소에 대한 인증서를 발급받을 수 있습니다.

그런데 이렇게 인증서를 발급받아도 받은 인증서는 pfSense에만 저장되고 실질적으로 제 gitlab.domain.com에 적용하려면

직접 서버에 인증서를 넣어줘야 되는것 같았습니다.

하지만 이러면 보통 인증서가 90일마다 갱신되는데 갱신 될 마다 제가 스크립트를 쓰든 직접하든 저 주소를 가진 서버에 인증서를 다시 등록해야 한다는 건가요?

이런방식이면 너무 번거로워서 혹시 실제로도 저렇게 사용하는지가 궁금했습니다.

아니면 제가 인증서에 대해서 완전히 잘못 알고 있는걸까요..

전문가분들의 인증서 처리 방법이 궁금합니다.


다시한번 미리 답변 감사드립니다.
상석하대 2019-12
Acme 패키지에 Cron Entry 기능이 있습니다.
설정해 놓으면 Cron 실행으로 매일 한번 인증서 유효 날짜를 체크합니다.
이에 따라서 인증서 유효 기간이 1개월 가량 남으면 자동으로 다시 갱신합니다.
패키지에 갱신 스크립트가 들어 있습니다.
그다지 신경 쓸 필요는 없습니다.
     
denmarkCow 2019-12
네 맞습니다
저도 ACME에서 크론 활성화도 해놓았구요
다만, pfSense에서 확인되는 인증서는 pfSense에만 저장되어 있는것 같습니다.
단순히 pfSense에서만 가지고 있는게 아니라  연결된 서버에서도 인증서를 가지고 있어야 https가 정상적으로 연결되는게 아닌가요?
만약 그렇다면 개별 서버로 인증서를 복사하고 등록하는 절차가 필요하다는 것인데 이를 자동화하는 방법이 있는지가 궁금합니다.
          
상석하대 2019-12
'연결된 서버'라는 게 pfSense 기기에 https로 접속하는 클라이언트입니까?
          
상석하대 2019-12
pfSense에서 생성한 자체서명 인증서라면 모를까  Let's Encrypt에 발급 받은 인증서라면 클라이언트는 알아서 갱신합니다.
공인기관의 인증서라서 자체 서명 인증서처럼 익스포트하여 클라이언트에 설치할 필요는 없습니다.
               
denmarkCow 2019-12
음 제가 워낙에 몰라서 어떻게 설명을 드려야 할지를 모르겠습니다 ㅠㅠ
우선 간단한 구조는 아래처럼 되있습니다.

외부망 ---> pfSense (domain.com) ---> GitLab 서버 (gitlab.domain.com)
                                      ---> 나머지 웹 서버들... (서브도메인.domain.com)

요런 구조에서 예를들어 'A' 라는 사용자가 외부망을 통해 GitLab 이라는 웹 페이지에 접속하려하면
인증서가 없어 https 로 접근하지 못하는 상황입니다.
pfSense에서는 당연히 ACME 로 gitlab.domain.com 에 대한 인증서는 받아놓은 상태이구요
                    
상석하대 2019-12
GitLab 서버에 인증서를 설치해야 합니다.
gitlab.domain.com의 Let's Encrypt 인증서가 자동으로 갱신되도록 하는 방법은 많이 있습니다.
안에 있는 서버들 각각이 TCP 80번 또는 443포트로 외부에 서비스하려면 pfSense에서 웹서비스에 대한 Reverse proxy를 구성해야 합니다.
인증서를 pfSense에 두고 서버들은 80번으로 구성하는 방법도 있겠으나 모두 SSL을 적용도 가능합니다.
만약 안에 있는 서버들이 각 포트들을 달리하여 외부에 서비스하는 거라면 Reverse proxy는 굳이 안해도 됩니다.
각 서버에 인증서를 설치하고 pfSense에서 포워딩만 설정합니다.
개별 서버나 pfSense에 각각 필요한 인증서를 설치하고 갱신되도록 해야 하는 경우입니다.
                         
denmarkCow 2019-12
포트포워딩은 해봤는데 주소뒤에 매번 포트번호 기억하는게 어려워서 간단하게 서브도메인으로 구분하려고 합니다
HAProxy 이용해서 리버스 프록시 구성을 해보려고 하는데 이게 또 잘 되고 있지가 않아서 ㅠㅠ
아무튼 중요한건 pfSense 뒤에 있는 개별 서버에도 인증서를 발급받고 갱신하기 위한 절차가 필요하다는게 핵심이 맞을까요?

답변감사합니다
                         
상석하대 2019-12
각각 다 인증서를 설치하겠다면 그렇게 해야 합니다.
한편,  Reverse proxy애 설정된 서버까지 SSL 통신을 해야 되느냐는 한번 생각해 봐야 합니다.
외부에 노출되는 부분에서는 필요하다라도 프록시의 노드들 까지 그래야 할 필요가 있는지 입니다.
pfSense에 인증서를 두고  Reverse proxy에서 웹서버들은 TCP 80번 포트를 사용해도 되지 말입니다.
denmarkCow 2019-12
아 그럼 단순히 pfSense에 리버스프록시가 구성되있구 그 프록시에 인증서를 등록해두면 프록시 뒤의 서버들은 별도의 인증서를 가지고 있을 필요가 없다는 말씀이시군요
한번 그렇게 구성해보겠습니다
답변 너무 감사드립니다
로그인 하시면 댓글을 남길 수 있습니다


네트웍
쓰기
제목Page 54/105
2019-12   11526   1 비누귀신
2019-12   4627   1 센치
2019-12   4451   1 희망의나래
2019-12   11977   1 yootopia
2019-12   4773   1 스톤콜드
2019-12   4015   1 학이v
2019-12   22218   1 빅너굴맨
2019-12   6319   1  레몬트리7
2019-12   4576   1 마피유
2019-12   4967   1 denmarkCow
2019-12   5335   1  레몬트리7
2019-12   6335   1 denmarkCow
2019-12   4170   1  레몬트리7
2019-12   7384   1 yootopia
2019-12   3783   1 Stiff
2019-12   3570   1 에이스김
2019-12   6381   1 짱짱맨123
2019-12   3241   1 안녕12
2019-12   4847   1  MikroTik이진
2019-12   4301   1 dionys
목록
쓰기