안녕하세요
저번에 리버스 프록시로 질문 한번 올렸었는데 진행하다가 https 인증서 관련 궁금한게 생겨서 질문하고 싶습니다.
우선 저는 네트워크 분야에 경험이 없는 완전뉴비임을 감안해주시면 감사하겠습니다.
제가 리버스 프록시 구성에 pfSense + HAProxy 를 사용하고 있습니다만, pfSense 에 보시면 인증서를 별도로 등록할 수 있는 기능이 있습니다.
자체적인 Cert. Manager 를 사용하실 수 도 있고 ACME 패키지를 다운 받아서 사용할 수 도 있는것으로 알고있습니다.
저같은 경우는 ACME 패키지에 LetsEncrypt 를 CA로 사용하고 있습니다.
궁금한 부분은 이 과정으로 특정 주소에 인증서를 발급받아서 어디에 어떻게 사용하는 건가요??
pfSense 그 자체에 대한 인증서는 이해하지만
예를들어 pfSense에 gitlab.domain.com 이라는 주소를 가진 서버가 연결되있다고 가정하겠습니다.
그럼 ACME 패키지를 이용해서 gitlab.domain.com 주소에 대한 인증서를 발급받을 수 있습니다.
그런데 이렇게 인증서를 발급받아도 받은 인증서는 pfSense에만 저장되고 실질적으로 제 gitlab.domain.com에 적용하려면
직접 서버에 인증서를 넣어줘야 되는것 같았습니다.
하지만 이러면 보통 인증서가 90일마다 갱신되는데 갱신 될 마다 제가 스크립트를 쓰든 직접하든 저 주소를 가진 서버에 인증서를 다시 등록해야 한다는 건가요?
이런방식이면 너무 번거로워서 혹시 실제로도 저렇게 사용하는지가 궁금했습니다.
아니면 제가 인증서에 대해서 완전히 잘못 알고 있는걸까요..
전문가분들의 인증서 처리 방법이 궁금합니다.
다시한번 미리 답변 감사드립니다.
설정해 놓으면 Cron 실행으로 매일 한번 인증서 유효 날짜를 체크합니다.
이에 따라서 인증서 유효 기간이 1개월 가량 남으면 자동으로 다시 갱신합니다.
패키지에 갱신 스크립트가 들어 있습니다.
그다지 신경 쓸 필요는 없습니다.
저도 ACME에서 크론 활성화도 해놓았구요
다만, pfSense에서 확인되는 인증서는 pfSense에만 저장되어 있는것 같습니다.
단순히 pfSense에서만 가지고 있는게 아니라 연결된 서버에서도 인증서를 가지고 있어야 https가 정상적으로 연결되는게 아닌가요?
만약 그렇다면 개별 서버로 인증서를 복사하고 등록하는 절차가 필요하다는 것인데 이를 자동화하는 방법이 있는지가 궁금합니다.
공인기관의 인증서라서 자체 서명 인증서처럼 익스포트하여 클라이언트에 설치할 필요는 없습니다.
우선 간단한 구조는 아래처럼 되있습니다.
외부망 ---> pfSense (domain.com) ---> GitLab 서버 (gitlab.domain.com)
---> 나머지 웹 서버들... (서브도메인.domain.com)
요런 구조에서 예를들어 'A' 라는 사용자가 외부망을 통해 GitLab 이라는 웹 페이지에 접속하려하면
인증서가 없어 https 로 접근하지 못하는 상황입니다.
pfSense에서는 당연히 ACME 로 gitlab.domain.com 에 대한 인증서는 받아놓은 상태이구요
gitlab.domain.com의 Let's Encrypt 인증서가 자동으로 갱신되도록 하는 방법은 많이 있습니다.
안에 있는 서버들 각각이 TCP 80번 또는 443포트로 외부에 서비스하려면 pfSense에서 웹서비스에 대한 Reverse proxy를 구성해야 합니다.
인증서를 pfSense에 두고 서버들은 80번으로 구성하는 방법도 있겠으나 모두 SSL을 적용도 가능합니다.
만약 안에 있는 서버들이 각 포트들을 달리하여 외부에 서비스하는 거라면 Reverse proxy는 굳이 안해도 됩니다.
각 서버에 인증서를 설치하고 pfSense에서 포워딩만 설정합니다.
개별 서버나 pfSense에 각각 필요한 인증서를 설치하고 갱신되도록 해야 하는 경우입니다.
HAProxy 이용해서 리버스 프록시 구성을 해보려고 하는데 이게 또 잘 되고 있지가 않아서 ㅠㅠ
아무튼 중요한건 pfSense 뒤에 있는 개별 서버에도 인증서를 발급받고 갱신하기 위한 절차가 필요하다는게 핵심이 맞을까요?
답변감사합니다
한편, Reverse proxy애 설정된 서버까지 SSL 통신을 해야 되느냐는 한번 생각해 봐야 합니다.
외부에 노출되는 부분에서는 필요하다라도 프록시의 노드들 까지 그래야 할 필요가 있는지 입니다.
pfSense에 인증서를 두고 Reverse proxy에서 웹서버들은 TCP 80번 포트를 사용해도 되지 말입니다.
한번 그렇게 구성해보겠습니다
답변 너무 감사드립니다