리눅스 서버에서 Let's Encrypt란 무엇일까요? - 단계별 가이드 (2026년 기준)

리눅스 서버에서 Let's Encrypt를 사용해 보세요. 무료 설치 및 관리를 의미합니다. SSLACME 프로토콜을 사용하는 Let's Encrypt 인증 기관의 TLS 인증서 (일반적으로 Certbot을 통해).

HTTPS, 자동 갱신 및 보안 구성을 지원합니다. Apache, Nginx또한 Ubuntu, Debian, AlmaLinux, Rocky Linux 및 CentOS와 같은 배포판 전반에 걸쳐 리버스 프록시를 지원합니다.

HTTPS를 처음 접하는 경우 , Linux 서버에서 Let's Encrypt를 사용하는 방법을 배우는 것이 사이트를 보호하는 가장 빠르고 비용 효율적인 방법입니다.

Let's Encrypt의 작동 방식, Certbot을 사용하여 인기 있는 배포판에 설치하는 방법, 갱신을 자동화하는 방법, 일반적인 오류를 수정하는 방법 , 그리고 모범 사례에 따른 보안 강화 방법을 이해하게 될 것입니다.

렛츠인크립트(Let's Encrypt)란 무엇이며 어떻게 작동하나요?

Let's Encrypt는 도메인 유효성 검사 (DV) 인증서를 발급하는 무료 자동화 오픈 인증 기관 입니다.

Certbot과 같은 클라이언트는 ACME 프로토콜을 사용하여 도메인 제어권을 증명합니다. (HTTP-01을 통해 또는) DNS-01가지 도전 과제) 도메인에 대한 서명된 TLS 인증서를 발급받습니다. 인증서는 90일 동안 유효하며 자동으로 갱신되도록 설계되었습니다.

사용하게 될 주요 구성 요소는 다음과 같습니다.

• ACME 클라이언트(Certbot): 문제 제기, 발급 및 갱신을 처리합니다.
• 도전 과제 : HTTP-01 (파일이 80번 포트를 통해 제공됨) 또는 DNS-01 (TXT 레코드, 와일드카드 인증서에 필요).
• 웹 서버 통합: Apache Nginx 플러그인은 가상 호스트를 자동으로 구성할 수 있습니다.

이점 및 제한 사항

대부분의 웹사이트가 Let's Encrypt를 선택하는 이유:

• 무료 SSL/ 브라우저 신뢰도가 높은 TLS 인증서.
• 자동화 우선: 원활한 발급 및 자동 갱신.
• Certbot 플러그인을 사용한 빠른 설정 Apache Nginx.
• ECDSA 및 RSA 키, SAN 및 와일드카드 인증서를 지원합니다(via) DNS-01).

다음과 같은 제한 사항을 고려하십시오.

• DV 전용: 조직 검증(OV) 또는 확장 검증(EV)을 받지 않았습니다.
• 유효기간 90일: 자동화는 필수적입니다. 수동 manage그것은 위험합니다.
• 요금 제한: 테스트 중 과도한 요청을 피하고 스테이징 환경을 활용하세요.

Linux 서버에 Let's Encrypt를 설치하기 위한 필수 조건

• 올바른 등록된 도메인 DNS A/AAAA 레코드가 귀하의 서버를 가리키고 있습니다.
• 인터넷에서 접근 가능한 포트: 80(HTTP) 및 443(HTTPS)이 열려 있습니다.
• Linux 서버(Ubuntu/Debian/AlmaLinux/Rocky Linux/CentOS)에 대한 sudo/root 액세스 권한이 필요합니다.
• Apache or Nginx 설치 (또는 역위임장 방식).
• 와일드카드 인증서의 경우: API 자격 증명 DNS 제공자 또는 TXT 레코드를 추가할 수 있는 기능.

널리 사용되는 Linux 배포판에 Certbot 설치하기

우분투 및 데비안(Snap 권장)

Snap을 사용하면 최신 Certbot과 플러그인을 사용할 수 있습니다.

sudo apt update
sudo apt install snapd -y
sudo snap install core
sudo snap refresh core
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

AlmaLinux, Rocky Linux, RHEL, CentOS

필요한 경우 배포 패키지 또는 EPEL을 사용하십시오.

# AlmaLinux/Rocky/RHEL 8/9
sudo dnf install -y epel-release
sudo dnf install -y certbot python3-certbot-nginx python3-certbot-apache

인증서 발급 및 설치 (Apache, Nginx(독립형)

Apache자동 구성

Certbot의 Apache 플러그인은 데이터를 가져오고 구성할 수 있습니다. HTTPS를 사용하고 자동으로 리디렉션하는 경우:

sudo certbot --apache -d example.com -d www.example.com

메시지가 나타나면 HTTP를 HTTPS로 리디렉션하는 옵션을 선택하십시오 .

Nginx자동 구성

실행하기 전에 서버 블록에 올바른 server_name 값이 있는지 확인하십시오.

sudo certbot --nginx -d example.com -d www.example.com

독립형 또는 웹루트(리버스 프록시 또는 사용자 지정 설정용)

웹 서버가 실행 중이지 않으면 독립 실행형 버전을 사용하십시오(80번 포트에 바인딩됨). 먼저 80번 포트를 사용하는 모든 서비스를 중지하십시오.

sudo systemctl stop nginx apache2 httpd
sudo certbot certonly --standalone -d example.com -d www.example.com
sudo systemctl start nginx apache2 httpd

또는 파일이 알려진 경로에서 제공되는 경우 웹루트를 사용하십시오.

sudo certbot certonly --webroot -w /var/www/html -d example.com -d www.example.com

와일드카드 인증서 포함 DNS-01

와일드카드 인증서(예: *.example.com)에는 다음이 필요합니다. DNS-01. 사용 DNS 플러그인(Cloudflare 예시로 보여드린다):

# Ubuntu/Debian (if using APT packages instead of Snap)
sudo apt install -y python3-certbot-dns-cloudflare

# Create credentials file
sudo mkdir -p /root/.secrets
sudo nano /root/.secrets/cloudflare.ini
# Add:
# dns_cloudflare_api_token = <YOUR_TOKEN>

sudo chmod 600 /root/.secrets/cloudflare.ini

# Request wildcard + apex
sudo certbot certonly 
  --dns-cloudflare 
  --dns-cloudflare-credentials /root/.secrets/cloudflare.ini 
  -d example.com -d *.example.com

Certbot에서 출력된 인증서 경로(일반적으로 /etc/letsencrypt/live/example.com/ 아래)를 웹 서버가 가리키도록 설정하십시오.

HTTPS 및 모범 사례 TLS 설정을 활성화하세요

Nginx 예

server {
  listen 80;
  server_name example.com www.example.com;
  return 301 https://$host$request_uri;
}

server {
  listen 443 ssl http2;
  server_name example.com www.example.com;

  ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_prefer_server_ciphers off;
  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

  root /var/www/html;
  index index.html index.php;
}

Apache 예

<VirtualHost *:80>
  ServerName example.com
  ServerAlias www.example.com
  Redirect permanent / https://example.com/
</VirtualHost>

<IfModule mod_ssl.c>
<VirtualHost *:443>
  ServerName example.com
  ServerAlias www.example.com

  SSLEngine on
  SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
  SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
  DocumentRoot /var/www/html
</VirtualHost>
</IfModule>

필수 모듈을 활성화하세요 Apache: ssl, 헤더, 재작성(데비안/우분투에서는 a2enmod ssl 헤더 재작성).

갱신 및 모니터링 자동화

Certbot은 systemd 타이머 또는 cron 작업을 설치하여 약 60~70일 간격으로 인증서를 자동으로 갱신합니다. 설정 후에는 항상 갱신 기능을 테스트하십시오.

sudo certbot renew --dry-run

(Ubuntu/Debian에서 Snap을 사용하는 경우) systemd 타이머를 확인하십시오.

systemctl list-timers | grep certbot

웹 서버 갱신 시 재로드가 필요한 경우 배포 후크를 추가하세요.

sudo certbot renew --deploy-hook "systemctl reload nginx"

Let's Encrypt에서 흔히 발생하는 오류 해결 방법

• 챌린지 실패(HTTP-01 404/403): 확인 DNS 올바른 서버를 가리키고, 80번 포트가 열려 있으며, server_name/webroot가 도메인과 일치합니다.
• 80번 포트가 차단되었습니다: Let's Encrypt는 HTTP-01에 HTTP 프로토콜을 필요로 합니다. 방화벽에서 일시적으로 HTTP를 허용하거나 다른 방법을 사용하세요. DNS- 01.
• 잘못된 vhost: ACME 챌린지 파일은 다른 가상 호스트에서 제공될 수 있습니다. 요청된 도메인의 가상 호스트가 활성화되어 있고 사용 가능한지 확인하십시오.
• 리버스 프록시/CDN 뒤에서: DNS-01 또는 프록시가 /.well-known/acme-challenge를 변경 없이 원본에 전달하도록 합니다.
• SELinux 거부(RHEL 계열): 감사 로그를 검토하고 se를 사용하여 컨텍스트를 조정합니다.manage필요한 경우 /restorecon을 실행하세요.
• 요금 제한: 테스트 중에는 스테이징 서버를 사용하세요(-staging). 그런 다음 테스트가 끝나면 프로덕션 서버로 전환하세요.

고급 사용법: 와일드카드, 멀티 도메인, ECDSA 키

주체 대체 이름 (SAN)

여러 도메인을 하나의 인증서로 요청하여 절차를 간소화하세요. manage멘션 :

sudo certbot --nginx -d example.com -d www.example.com -d blog.example.com

ECDSA 대 RSA

ECDSA 키는 크기가 작고 속도가 빠릅니다. ECDSA를 사용하려면 (대부분의 클라이언트에서 지원됨) 다음과 같이 하세요.

sudo certbot certonly --key-type ecdsa --elliptic-curve secp384r1 --nginx -d example.com

스테이징 및 무중단 테스트

속도 제한에 걸리지 않고 자동화를 테스트하려면 스테이징 환경을 사용하세요.

sudo certbot --nginx --staging -d example.com

보안 및 강화 모범 사례

• HTTP를 HTTPS로 리디렉션하고 엄격한 전송을 위해 HSTS를 활성화합니다.
• TLS 버전은 TLSv1.2 이상으로 제한하고, 가능하면 TLSv1.3을 권장합니다.
• 가능하면 ECDSA 키를 사용하십시오. private keys 루트 사용자만 읽을 수 있습니다.
• 더 빠르고 안전한 인증서 폐지 확인을 위해 OCSP 스테이플링을 활성화하십시오.
• 알림(이메일 로그, 모니터링 후크)을 통해 갱신을 자동화하세요.
• /etc/letsencrypt 디렉토리(인증서, 키, 갱신 설정)를 안전하게 백업하세요.

실제 사례 및 팁

• VPS 단일 사이트: 빠른 설치를 위해 `-nginx` 또는 `-apache` 옵션을 사용하고 자동 갱신 여부를 확인하십시오.
• 여러 앱/도메인: SAN 인증서 또는 사이트당 하나의 인증서를 사용하는 것을 고려하십시오. 가상 호스트별로 인증서 경로를 문서화하십시오.
• 역방향 프록시(예: Nginx (앞쪽, 뒤쪽에 앱): 프록시에서 TLS를 종료합니다. 웹루트를 사용하거나 DNS-01은 발급용입니다.
• 뒤에 Cloudflare: 사용하다 Cloudflare'Full (strict)' 옵션을 선택하고 원본 인증서를 사용하거나 Let's Encrypt를 통해 암호화 권한을 획득하세요. DNS-01은 챌린지 문제를 방지합니다.
• CI/CD 파이프라인: 테스트 배포에는 스테이징 환경을 사용하고, 예상치 못한 문제를 방지하기 위해 동일한 절차를 따라 프로덕션 환경으로 배포하십시오.

자주 묻는 질문(FAQ) - Linux 서버에서 Let's Encrypt 사용