Split View: [DevOps] Let's Encrypt와 Certbot 완전 가이드: 무료 TLS 인증서

┌───────────────────────┐
│   Root CA Certificate │  ← 브라우저/OS에 내장된 신뢰 앵커
│  (Self-Signed)        │
└───────────┬───────────┘
            │ 서명
┌───────────▼───────────┐
│ Intermediate CA Cert  │  ← 중간 CA 인증서
│ (Signed by Root CA)   │
└───────────┬───────────┘
            │ 서명
┌───────────▼───────────┐
│  Server Certificate   │  ← 도메인 인증서 (Leaf)
│ (Signed by Inter. CA) │
└───────────────────────┘

┌──────────┐     CSR 생성     ┌──────────────┐
│ 개인키     │ ──────────────> │     CSR      │
│(Private  │                  │(인증서 서명    │
│  Key)    │                  │  요청)        │
└──────────┘                  └──────┬───────┘
     │                               │ CA에 제출
     │                        ┌──────▼───────┐
     │                        │     CA       │
     │                        │  (서명 발급)   │
     │                        └──────┬───────┘
     │                               │
     │                        ┌──────▼───────┐
     └───────── 함께 사용 ─────>│   인증서      │
                              │ (Certificate) │
                              └──────────────┘

┌────────┐                          ┌──────────────┐
│ Certbot│                          │ Let's Encrypt│
│(Client)│                          │   (CA/ACME)  │
└───┬────┘                          └──────┬───────┘
    │  1. Account Registration              │
    │──────────────────────────────────────>│
    │  2. Account Created                   │
    │<──────────────────────────────────────│
    │                                       │
    │  3. Order (domain list)               │
    │──────────────────────────────────────>│
    │  4. Authorizations + Challenges       │
    │<──────────────────────────────────────│
    │                                       │
    │  5. Respond to Challenge              │
    │  (HTTP-01 / DNS-01 / TLS-ALPN-01)    │
    │──────────────────────────────────────>│
    │                                       │
    │  6. Challenge Validated               │
    │<──────────────────────────────────────│
    │                                       │
    │  7. Finalize (send CSR)               │
    │──────────────────────────────────────>│
    │  8. Certificate issued                │
    │<──────────────────────────────────────│

Let's Encrypt → http://yourdomain.com/.well-known/acme-challenge/TOKEN_VALUE

검증 과정:
1. Certbot이 토큰 파일을 웹 서버에 배치
2. Let's Encrypt가 HTTP로 해당 파일에 접근
3. 파일 내용이 기대값과 일치하면 도메인 소유 확인

Let's Encrypt → DNS 조회: _acme-challenge.yourdomain.com TXT

검증 과정:
1. Certbot이 토큰을 계산
2. _acme-challenge.yourdomain.com TXT 레코드에 토큰 값 설정
3. Let's Encrypt가 DNS를 조회하여 값 확인
4. 일치하면 도메인 소유 확인

검증 과정:
1. Let's Encrypt가 포트 443으로 TLS 연결 시도
2. ALPN으로 "acme-tls/1" 프로토콜 협상
3. 서버가 자체 서명 인증서로 응답 (특정 확장 포함)
4. 인증서의 acmeIdentifier 확장값으로 검증

# snap으로 설치 (권장)
sudo snap install core
sudo snap refresh core
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

# EPEL 저장소 활성화
sudo dnf install epel-release
sudo dnf install certbot

# Nginx 플러그인
sudo dnf install python3-certbot-nginx

brew install certbot

docker run -it --rm \
  -v /etc/letsencrypt:/etc/letsencrypt \
  -v /var/lib/letsencrypt:/var/lib/letsencrypt \
  certbot/certbot certonly --help

# 포트 80을 사용하므로 기존 웹 서버 중지 필요
sudo systemctl stop nginx

sudo certbot certonly --standalone \
  -d example.com \
  -d www.example.com \
  --agree-tos \
  --email admin@example.com \
  --non-interactive

# 웹 서버 재시작
sudo systemctl start nginx

server {
    listen 80;
    server_name example.com www.example.com;

    # ACME 챌린지용 디렉토리
    location /.well-known/acme-challenge/ {
        root /var/www/certbot;
    }

    # 나머지 요청은 HTTPS로 리다이렉트
    location / {
        return 301 https://$host$request_uri;
    }
}

# 디렉토리 생성
sudo mkdir -p /var/www/certbot

# Webroot 모드로 인증서 발급
sudo certbot certonly --webroot \
  -w /var/www/certbot \
  -d example.com \
  -d www.example.com \
  --agree-tos \
  --email admin@example.com

sudo certbot --nginx \
  -d example.com \
  -d www.example.com \
  --agree-tos \
  --email admin@example.com

sudo certbot --apache \
  -d example.com \
  -d www.example.com \
  --agree-tos \
  --email admin@example.com

# 플러그인 설치
sudo snap install certbot-dns-cloudflare

# API 토큰 파일 생성
sudo mkdir -p /etc/letsencrypt
cat > /etc/letsencrypt/cloudflare.ini << 'CFEOF'
dns_cloudflare_api_token = YOUR_CLOUDFLARE_API_TOKEN
CFEOF
sudo chmod 600 /etc/letsencrypt/cloudflare.ini

# 와일드카드 인증서 발급
sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini \
  -d "example.com" \
  -d "*.example.com" \
  --agree-tos \
  --email admin@example.com

sudo snap install certbot-dns-route53

# AWS 자격 증명 설정 (IAM Role 또는 환경변수)
sudo certbot certonly \
  --dns-route53 \
  -d "example.com" \
  -d "*.example.com" \
  --agree-tos \
  --email admin@example.com

sudo certbot certonly --manual \
  --preferred-challenges dns \
  -d "example.com" \
  -d "*.example.com" \
  --agree-tos \
  --email admin@example.com

# Certbot이 TXT 레코드 값을 안내하면
# DNS 관리 페이지에서 수동으로 TXT 레코드 추가:
# _acme-challenge.example.com  TXT  "제시된_토큰_값"

# 인증서 파일 경로
ls -la /etc/letsencrypt/live/example.com/

# 파일 구조
/etc/letsencrypt/live/example.com/
  cert.pem       # 서버 인증서 (도메인 인증서만)
  chain.pem      # 중간 CA 인증서 체인
  fullchain.pem  # cert.pem + chain.pem (서버에서 사용)
  privkey.pem    # 개인키

# 실제 파일은 archive 디렉토리에 있고 live는 심볼릭 링크
/etc/letsencrypt/archive/example.com/
  cert1.pem
  chain1.pem
  fullchain1.pem
  privkey1.pem

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
}

# 실제 갱신 없이 테스트만 수행
sudo certbot renew --dry-run

# Timer 상태 확인
sudo systemctl status snap.certbot.renew.timer

# Timer 목록
sudo systemctl list-timers | grep certbot

# /etc/systemd/system/certbot-renew.timer
[Unit]
Description=Certbot renewal timer

[Timer]
OnCalendar=*-*-* 00,12:00:00
RandomizedDelaySec=3600
Persistent=true

[Install]
WantedBy=timers.target

# /etc/systemd/system/certbot-renew.service
[Unit]
Description=Certbot renewal service

[Service]
Type=oneshot
ExecStart=/usr/bin/certbot renew --quiet --deploy-hook "systemctl reload nginx"

sudo systemctl daemon-reload
sudo systemctl enable --now certbot-renew.timer

# crontab -e
# 매일 새벽 2시, 오후 2시에 갱신 시도
0 2,14 * * * certbot renew --quiet --deploy-hook "systemctl reload nginx"

# 갱신 전 훅
sudo mkdir -p /etc/letsencrypt/renewal-hooks/pre
cat > /etc/letsencrypt/renewal-hooks/pre/stop-service.sh << 'HOOKEOF'
#!/bin/bash
# Standalone 모드용: 웹 서버 중지
systemctl stop nginx
HOOKEOF
chmod +x /etc/letsencrypt/renewal-hooks/pre/stop-service.sh

# 갱신 후 훅
sudo mkdir -p /etc/letsencrypt/renewal-hooks/post
cat > /etc/letsencrypt/renewal-hooks/post/start-service.sh << 'HOOKEOF'
#!/bin/bash
# 웹 서버 재시작
systemctl start nginx
HOOKEOF
chmod +x /etc/letsencrypt/renewal-hooks/post/start-service.sh

# 배포 훅 (성공적으로 갱신된 경우에만 실행)
sudo mkdir -p /etc/letsencrypt/renewal-hooks/deploy
cat > /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh << 'HOOKEOF'
#!/bin/bash
systemctl reload nginx
echo "Certificate renewed and nginx reloaded at $(date)" >> /var/log/certbot-deploy.log
HOOKEOF
chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

# 테스트 시에는 Staging 서버 사용 (Rate Limit 훨씬 관대)
sudo certbot certonly --standalone \
  --staging \
  -d example.com \
  --agree-tos \
  --email admin@example.com

# 설치
curl https://get.acme.sh | sh

# 인증서 발급
acme.sh --issue -d example.com -w /var/www/html

# 와일드카드 (DNS API 사용)
acme.sh --issue \
  -d example.com \
  -d "*.example.com" \
  --dns dns_cf \
  --dnssleep 120

# Nginx에 설치
acme.sh --install-cert -d example.com \
  --key-file       /etc/nginx/ssl/example.com.key \
  --fullchain-file /etc/nginx/ssl/example.com.fullchain.pem \
  --reloadcmd     "systemctl reload nginx"

# Caddyfile
example.com {
    root * /var/www/html
    file_server
}
# 이것만으로 Let's Encrypt 인증서 자동 발급 및 갱신!

# 설치
go install github.com/go-acme/lego/v4/cmd/lego@latest

# HTTP 챌린지
lego --email admin@example.com \
  --domains example.com \
  --http \
  run

# DNS 챌린지 (Cloudflare)
CLOUDFLARE_DNS_API_TOKEN=xxx \
lego --email admin@example.com \
  --domains "*.example.com" \
  --dns cloudflare \
  run

# ClusterIssuer 정의
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: admin@example.com
    privateKeySecretRef:
      name: letsencrypt-prod-key
    solvers:
      - http01:
          ingress:
            class: nginx

# Ingress에서 인증서 요청
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app
  annotations:
    cert-manager.io/cluster-issuer: letsencrypt-prod
spec:
  tls:
    - hosts:
        - app.example.com
      secretName: app-tls-secret
  rules:
    - host: app.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: my-app
                port:
                  number: 80

# Certificate 리소스 직접 생성
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: app-certificate
  namespace: default
spec:
  secretName: app-tls-secret
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer
  dnsNames:
    - app.example.com
    - api.example.com
  renewBefore: 720h # 30일 전에 갱신

# HTTP-01 챌린지 파일 접근 확인
curl -v http://yourdomain.com/.well-known/acme-challenge/test

# 방화벽 확인 (포트 80)
sudo ufw status
sudo iptables -L -n | grep 80

# DNS 확인
dig +short yourdomain.com
nslookup yourdomain.com

# 갱신 상태 확인
sudo certbot certificates

# 상세 로그 확인
sudo certbot renew --dry-run -v

# 로그 파일 확인
sudo cat /var/log/letsencrypt/letsencrypt.log

# 인증서 내용 확인
openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -text -noout

# 만료일 확인
openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -enddate -noout

# 원격 서버 인증서 확인
openssl s_client -connect example.com:443 -servername example.com < /dev/null 2>/dev/null | \
  openssl x509 -text -noout

# 인증서 체인 검증
openssl verify -CAfile /etc/letsencrypt/live/example.com/chain.pem \
  /etc/letsencrypt/live/example.com/cert.pem

# 인증서 폐기
sudo certbot revoke --cert-path /etc/letsencrypt/live/example.com/cert.pem

# 인증서 삭제 (파일 정리)
sudo certbot delete --cert-name example.com

# 개인키 권한 확인
ls -la /etc/letsencrypt/live/example.com/privkey.pem
# -rw------- 1 root root ... privkey.pem

# 인증서 투명성 로그 조회
# https://crt.sh/?q=example.com