풀스택 개발자를 위한 인프라 3강 — 웹서버와 리버스 프록시

클라이언트 ──HTTPS──▶ Nginx(:443) ──HTTP──▶ 앱(127.0.0.1:3000)
                         │
                         ├─ 정적 파일 직접 서빙
                         ├─ TLS 종료
                         ├─ 경로별 라우팅 (/api → 백엔드, / → 프론트)
                         ├─ 로드밸런싱
                         ├─ 압축, 캐시 헤더
                         └─ 요청 크기 제한, 속도 제한

user nginx;
worker_processes auto;          # CPU 코어 수만큼
 
events {
    worker_connections 1024;
}
 
http {                          # HTTP 전역
    include mime.types;
    sendfile on;
 
    server {                    # 가상 호스트 (도메인·포트 단위)
        listen 80;
        server_name example.com;
 
        location / {            # 경로 단위
            ...
        }
    }
}

server {
    listen 80;
    server_name app.example.com;
    root /var/www/app/dist;
    index index.html;
 
    # SPA: 없는 경로는 index.html로 넘겨 클라이언트 라우터가 처리
    location / {
        try_files $uri $uri/ /index.html;
    }
 
    # 해시가 붙은 빌드 산출물은 길게 캐시
    location /assets/ {
        expires 1y;
        add_header Cache-Control "public, immutable";
    }
 
    # index.html은 캐시하지 않음 (배포 즉시 반영)
    location = /index.html {
        add_header Cache-Control "no-cache";
    }
}

upstream app_backend {
    server 127.0.0.1:3000;
    keepalive 32;                      # 앱과의 연결 재사용
}
 
server {
    listen 80;
    server_name api.example.com;
 
    location / {
        proxy_pass http://app_backend;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
 
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

location /api/ {
    proxy_pass http://backend;      # 요청 /api/users → 백엔드 /api/users
}
location /api/ {
    proxy_pass http://backend/;     # 요청 /api/users → 백엔드 /users  (접두사 제거)
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}
 
location /ws/ {
    proxy_pass http://app_backend;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;
    proxy_read_timeout 3600s;       # 기본 60초면 유휴 연결이 끊김
}

sudo dnf install certbot python3-certbot-nginx   # 또는 apt
sudo certbot --nginx -d example.com -d www.example.com
sudo certbot renew --dry-run                      # 자동 갱신 테스트
systemctl list-timers | grep certbot              # 갱신 타이머 확인

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;          # HTTP → HTTPS
}
 
server {
    listen 443 ssl;
    http2 on;                                       # 구버전은 listen 443 ssl http2;
    server_name example.com;
 
    ssl_certificate     /etc/nginx/certs/fullchain.pem;   # 중간 인증서 포함
    ssl_certificate_key /etc/nginx/certs/privkey.pem;     # 권한 600
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_session_cache shared:SSL:10m;
 
    add_header Strict-Transport-Security "max-age=31536000" always;
 
    location / {
        proxy_pass http://app_backend;
        # ...전달 헤더
    }
}

openssl x509 -enddate -noout -in /etc/nginx/certs/fullchain.pem

upstream app_backend {
    least_conn;                                   # 분배 방식
    server 10.0.1.11:3000 max_fails=3 fail_timeout=30s;
    server 10.0.1.12:3000 max_fails=3 fail_timeout=30s;
    server 10.0.1.13:3000 backup;                 # 나머지가 모두 죽었을 때만
    keepalive 32;
}

client_max_body_size 50m;      # 기본 1m → 업로드 시 413
proxy_connect_timeout 5s;
proxy_read_timeout 60s;        # 앱 응답 대기. 초과 시 504
proxy_send_timeout 60s;
 
gzip on;
gzip_types text/css application/javascript application/json image/svg+xml;
gzip_min_length 1024;

server_tokens off;                                # 버전 노출 숨김
 
# 속도 제한: IP당 초당 10요청, 버스트 20
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
server {
    location /api/login {
        limit_req zone=api burst=20 nodelay;
        proxy_pass http://app_backend;
    }
    location ~ /\.(git|env) {                     # 민감 파일 차단
        deny all;
    }
}
 
add_header X-Content-Type-Options nosniff always;
add_header X-Frame-Options DENY always;
 
# 관리자 경로 IP 제한
location /admin/ {
    allow 10.0.0.0/8;
    deny all;
    proxy_pass http://app_backend;
}

sudo nginx -t                    # 문법 검사 (reload 전에 항상)
sudo nginx -T                    # include까지 합친 전체 설정 출력
sudo systemctl reload nginx      # 무중단 설정 반영
tail -f /var/log/nginx/access.log /var/log/nginx/error.log

log_format timed '$remote_addr "$request" $status $body_bytes_sent '
                 'rt=$request_time urt=$upstream_response_time ua="$http_user_agent"';
access_log /var/log/nginx/access.log timed;

# 아래 map 블록은 server가 아니라 http 컨텍스트에 있어야 한다(4절 WebSocket 참고).
# 이것이 없으면 $connection_upgrade가 정의되지 않아 nginx -t가
# unknown "connection_upgrade" variable로 실패한다.
map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}
 
server {
    listen 443 ssl;
    http2 on;
    server_name blog.example.com;
    ssl_certificate     /etc/letsencrypt/live/blog.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/blog.example.com/privkey.pem;
 
    # 빌드 산출물(해시 파일)은 Nginx가 직접 캐시 헤더와 함께 서빙
    location /_next/static/ {
        alias /opt/blog/.next/static/;
        expires 1y;
        add_header Cache-Control "public, immutable";
    }
 
    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }
}