[Infra Ops] Let's Encrypt 인증서 발급과 Nginx SSL 설정

브라우저 내장 루트 CA
    └── 중간 CA (Let's Encrypt R11 등)
            └── 서버 인증서 (your-domain.com)

# 이 설정이 왜 있는지 이제 납득이 됩니다
ssl_session_cache shared:SSL:10m;   # 워커 공유 캐시 10MB
ssl_session_timeout 10m;            # 캐시 유지 시간

# /etc/nginx/sites-available/yourdomain.com

# 1. HTTP → HTTPS 리다이렉트
server {
    listen 80;
    listen [::]:80;
    server_name yourdomain.com www.yourdomain.com;

    # 301 영구 리다이렉트 — SEO와 브라우저 캐시 모두 HTTPS로 기억
    return 301 https://$host$request_uri;
}

# 2. HTTPS 메인 블록
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name yourdomain.com www.yourdomain.com;

    # 인증서 파일 경로
    ssl_certificate     /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    # 권장 TLS 버전 (1.2, 1.3만 허용 — 1.0, 1.1은 취약)
    ssl_protocols TLSv1.2 TLSv1.3;

    # 강력한 암호화 스위트만 허용
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;  # TLS 1.3에서는 off 권장

    # 세션 캐시 — 재연결 시 핸드셰이크 생략
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # HSTS — 브라우저가 이 도메인은 항상 HTTPS로 접근하도록 기억
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 기타 보안 헤더
    add_header X-Content-Type-Options nosniff always;
    add_header X-Frame-Options DENY always;

    root /var/www/yourdomain.com;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

# systemd timer 등록 여부 확인
sudo systemctl status certbot.timer
# certbot.timer - Run certbot twice daily
#   Active: active (waiting)
#   Trigger: Wed 2025-01-15 12:00:00 UTC

# 직접 갱신 테스트 (실제로 갱신하지 않고 시뮬레이션만)
sudo certbot renew --dry-run

# crontab 편집
sudo crontab -e

# 매일 새벽 2시 30분, 오후 2시 30분 두 번 실행
# certbot은 만료 30일 이내일 때만 실제 갱신 수행
30 2,14 * * * certbot renew --quiet --post-hook "systemctl reload nginx"

# --quiet: 성공 시 출력 없음 (메일 스팸 방지)
# --post-hook: 갱신이 실제로 일어났을 때만 nginx reload