9. 인증서와 주소
인증서는 자동으로 발급되고 자동으로 갱신됩니다.
평소에는 따로 하실 일이 없습니다.
이 장에서는 주소가 열리지 않을 때 어디를 확인해야 하는지와 도메인을 추가하는 방법 을 설명합니다.
처음 주소를 정하는 방법은 → 1장
주소가 안 열릴 때
먼저 1장의 도메인 연결 화면 을 확인하세요.
세 단계 중 어디에서 멈췄는지가 표시되므로, 원인을 파악하는 가장 빠른 방법입니다.
| 증상 | 확인할 곳 |
|---|---|
| 이름이 아예 풀리지 않는다 | DNS 레코드가 제대로 들어갔는지, DNS 전파가 완료됐는지 확인합니다. |
| 이름은 풀리는데 접속되지 않는다 | 직접 서비스라면 포트 포워딩을, 터널이라면 서버가 실행 중인지 확인합니다. |
| 밖에서만 접속되지 않는다 | 공인 IP가 바뀌었을 수 있습니다 → 고급 설정 |
| 인증서 경고가 뜬다 | 아래 인증서 갱신이 실패하는 경우를 확인합니다. |
인증서 갱신이 실패하는 경우
인증서는 주기적으로 다시 발급되며, 처음 발급할 때 사용한 조건이 갱신할 때도 그대로 유지되어야 합니다.
다음 세 가지 문제는 처음에는 정상적으로 보이다가 인증서 갱신 시점에 발견될 수 있습니다.
| 변경한 내용 | 문제가 되는 이유 |
|---|---|
_acme-challenge 레코드를 삭제했다 | 발급할 때뿐 아니라 갱신할 때도 사용됩니다. |
| 공인 IP가 바뀌었는데 DNS가 따라가지 않았다 | 인증기관의 확인 요청이 이전 주소로 전달됩니다. |
| 80 포트가 닫혔다 | http01 방식처럼 80 포트를 사용하는 검증에서는 인증기관이 해당 포트로 확인 요청을 보냅니다. |
만료 경고는 이메일로 옵니다
설치할 때 입력한 알림 이메일로 인증서 만료 전에 안내가 전송됩니다.
이메일을 받았다면 위 세 가지 항목부터 확인하세요.
인증서는 누가 발급하나요?
| 주소 방식 | 인증서 발급 주체 |
|---|---|
| 플랫폼에서 제공하는 주소 | 저희가 인증서를 발급하고 저희 쪽에서 HTTPS를 처리합니다. 서버에는 인증서가 없습니다. |
| 내 도메인 + 터널 | 저희가 인증서를 대신 발급합니다. |
| 내 도메인 + 직접 서비스 | 서버가 직접 인증서를 발급합니다. |
직접 서비스할 때
Cloudflare API 토큰을 등록했는지에 따라 설정 방법이 달라집니다.
| 토큰 있음 | 토큰 없음 | |
|---|---|---|
| DNS 레코드 | 자동으로 등록 | 직접 입력 → 고급 설정 |
| 와일드카드 인증서 | ✅ 한 장으로 여러 주소에 사용 | ❌ 주소마다 개별 발급 |
| 80 포트 | 불필요 | 필수 |
자동 DNS 설정은 Cloudflare만 지원합니다
자동 DNS 설정은 현재 Cloudflare만 지원합니다.
Route 53, Google 등의 다른 DNS 제공업체는 아직 지원하지 않습니다. 도메인이 다른 제공업체에 있다면 토큰 없이 설치한 뒤 DNS 레코드를 직접 입력하세요.
Cloudflare API 토큰에는 Zone:Read와 Zone:DNS:Edit 두 권한이 모두 필요합니다.
플랫폼 제공 주소와 터널은 베타 기간 동안 가용성을 보장하지 않습니다
플랫폼 제공 주소와 터널을 사용하는 경우 접속이 저희 서버를 거칩니다. 아직 이중화가 완료되지 않아 일시적으로 연결이 끊길 수 있습니다.
중요한 서비스라면 내 도메인 + 직접 서비스 구성을 권장합니다.
도메인을 더 붙이려면
Admin → Domains / TLS에서 도메인을 관리합니다. 처음에는 라이선스에 포함된 주소 하나만 등록되어 있습니다.
플랫폼에서 제공하는 주소는 수정하거나 삭제할 수 없습니다. 라이선스에 따라 정해집니다.
등록하기
- zone을 등록합니다.
Base domain과DNS provider를 입력한 뒤Domain zone 추가를 클릭합니다. - 발급자를 만듭니다. 표의 방패 아이콘을 클릭하고 연락처 이메일과 검증 방식을 선택합니다.
와일드카드 *.<도메인>도 함께 등록됩니다.
서비스를 하나 더 추가해도 별도의 인증서 설정 없이 주소를 사용할 수 있는 이유입니다.
검증 방식에 따라 필요한 설정이 달라집니다
http01 | dns01 | |
|---|---|---|
| 필요한 것 | 해당 도메인이 80 포트로 이 클러스터에 도달할 수 있으면 됩니다. | 해당 zone에 DNS 자격 증명을 등록해야 합니다. |
| 토큰 | 필요 없습니다. | Cloudflare API 토큰이 필요합니다. |
| 와일드카드 | ❌ 주소마다 개별 발급 | ✅ 한 장으로 여러 주소에 사용 |
80 포트가 외부에서 접근 가능한 환경이라면 http01만으로 설정할 수 있습니다.
따라서 별도의 API 토큰을 만들 필요가 없습니다.
dns01을 사용할 때
Admin → Credentials → DNS에서 토큰을 등록한 다음, zone의 DNS 자격 항목에서 등록한 자격 증명을 선택해 연결합니다.
토큰은 저장한 후 다시 확인할 수 없습니다.
잃어버린 경우 새 토큰을 발급해 기존 토큰을 교체하세요.
토큰에는 두 가지 권한이 필요합니다
Cloudflare API 토큰에는 Zone:Read와 Zone:DNS:Edit 두 권한이 모두 필요합니다.
TXT 레코드를 생성하기 전에 인증서 발급 대상의 zone을 먼저 조회해야 하기 때문입니다.
쓰기 권한만 부여한 토큰은 등록 단계에서는 정상적으로 보일 수 있지만, 실제 인증서 발급 단계에서 실패합니다.
발급자를 만들기 전에는 인증서가 발급되지 않습니다
zone만 등록하면 Issuer 항목이 빨간색으로 표시되며 "이 사이트에 없는 ClusterIssuer" 라는 메시지가 나타납니다.
방패 아이콘을 클릭해 발급자를 만들면 해당 이름으로 자동 설정됩니다.
처음이라면 staging으로 먼저 테스트하세요
Let's Encrypt에는 인증서 발급 횟수 제한이 있습니다. staging으로 먼저 시험을 활성화하면 실제 발급 한도에 영향을 주지 않고 설정을 확인할 수 있습니다.
단, staging 인증서는 브라우저에서 신뢰하지 않습니다.
설정을 확인한 뒤 staging을 끄고 다시 발급하면 같은 이름으로 실제 인증서를 발급받을 수 있습니다.
자산을 외부에서 접속할 수 있게 하려면
설치한 자산의 상세 화면에서 외부 노출 → 노출 추가를 클릭합니다.
포트는 자동으로 찾아 표시하고, 주소를 비워 두면 사용할 주소도 자동으로 생성됩니다.
주소가 정해지면 인증서도 함께 설정됩니다.
실시간 연결을 사용하는 경우 옵션을 켜세요
연결을 오래 유지합니다 (SSE · WebSocket) 옵션을 켜지 않으면 60초 이상 데이터가 없는 연결이 끊길 수 있습니다.
이 경우 연결이 정상적으로 시작된 뒤 중간에 종료되기 때문에 에러나 로그가 남지 않을 수 있어 원인을 찾기 어렵습니다.
실시간 알림이나 스트리밍 API처럼 연결을 오래 유지해야 하는 서비스라면 이 옵션을 켜세요.
사내에서만 사용할 때
외부에 공개하지 않고 사내에서만 사용하는 구성도 가능합니다. 이 경우 도메인은 필요하지만 공인 IP는 필요하지 않습니다.
단, Cloudflare 토큰이 필요합니다.
공유기나 사내 DNS가 접속을 차단할 수 있습니다
공인 도메인이 사설 IP를 가리키는 응답을 반환하면 일부 공유기나 사내 DNS가 이를 보안 위협으로 판단해 차단할 수 있습니다.
접속이 차단된다면 사내 DNS에 해당 레코드를 직접 등록하는 방법으로 우회할 수 있습니다.