Nginx & Caddy 완전 정복 3편 — Nginx 중급: location 매칭, 리버스 프록시, 로드 밸런싱, HTTPS

server {
    listen 80 default_server;
    listen 443 ssl default_server;
    server_name _;
    ssl_reject_handshake on;   # 1.19.4+: 인증서 없이 TLS 핸드셰이크 거부
    return 444;                # Nginx 전용: 응답 없이 연결 종료
}

1. "=" 정확 일치가 있으면 → 즉시 선택, 종료
2. 모든 접두사 location 중 "가장 긴 일치"를 찾아 기억
   2-1. 그것이 "^~"면 → 즉시 선택, 종료
3. 정규식 location을 "파일에 적힌 순서대로" 검사
   3-1. 처음 일치하는 것 → 선택, 종료
4. 정규식이 하나도 안 맞으면 → 2단계에서 기억한 접두사 location 선택

location = / {              # A
}
location / {                # B
}
location /documents/ {      # C
}
location ^~ /images/ {      # D
}
location ~* \.(gif|jpg|png)$ {  # E
}

server {
    listen 80;
    server_name app.example.com;
 
    location / {
        proxy_pass http://127.0.0.1:3000;
    }
}

# (1) URI 없음 → 원래 요청 URI를 그대로 전달
location /api/ {
    proxy_pass http://backend;
}
# /api/users → http://backend/api/users
 
# (2) URI 있음 (슬래시 하나라도) → location에 매칭된 부분을 그 URI로 "치환"
location /api/ {
    proxy_pass http://backend/;
}
# /api/users → http://backend/users
 
location /api/ {
    proxy_pass http://backend/v2/;
}
# /api/users → http://backend/v2/users

location / {
    proxy_pass http://127.0.0.1:3000;
 
    proxy_set_header Host              $host;
    proxy_set_header X-Real-IP         $remote_addr;
    proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host  $host;
}

# /etc/nginx/snippets/proxy-headers.conf
proxy_set_header Host              $host;
proxy_set_header X-Real-IP         $remote_addr;
proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

location / {
    proxy_pass http://127.0.0.1:3000;
    include snippets/proxy-headers.conf;
}

proxy_connect_timeout 5s;     # 백엔드 연결 수립 대기 (기본 60s)
proxy_send_timeout    60s;    # 백엔드로 보내는 중 두 write 사이 간격
proxy_read_timeout    60s;    # 백엔드 응답 두 read 사이 간격 (기본 60s)
 
proxy_buffering on;           # 기본 on: 응답을 버퍼에 받아두고 클라이언트에 전송

http {
    map $http_upgrade $connection_upgrade {
        default upgrade;
        ''      close;
    }
 
    server {
        location /ws/ {
            proxy_pass http://127.0.0.1:4000;
            proxy_http_version 1.1;
            proxy_set_header Upgrade    $http_upgrade;
            proxy_set_header Connection $connection_upgrade;
            proxy_set_header Host       $host;
            proxy_read_timeout 1h;   # 유휴 연결이 60초 만에 끊기지 않도록
        }
    }
}

upstream app_servers {
    least_conn;                                  # 알고리즘 (생략 시 round-robin)
 
    server 10.0.0.11:3000 weight=3;              # 가중치
    server 10.0.0.12:3000 max_fails=3 fail_timeout=30s;
    server 10.0.0.13:3000 backup;                # 나머지가 모두 죽었을 때만 사용
    server 10.0.0.14:3000 down;                  # 일시적으로 제외
 
    keepalive 32;                                # 업스트림 커넥션 재사용
}
 
server {
    listen 80;
    location / {
        proxy_pass http://app_servers;
        proxy_http_version 1.1;
        proxy_set_header Connection "";          # keepalive를 위해 필수
        include snippets/proxy-headers.conf;
    }
}

proxy_next_upstream error timeout http_502 http_503;
proxy_next_upstream_tries 2;

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.com -d www.example.com

sudo certbot renew --dry-run   # 갱신 테스트
systemctl list-timers | grep certbot

load_module modules/ngx_http_acme_module.so;   # main 컨텍스트
 
http {
    resolver 1.1.1.1:53 ipv6=off;               # ACME 서버 이름 해석용
 
    acme_issuer letsencrypt {
        uri         https://acme-v02.api.letsencrypt.org/directory;
        contact     admin@example.com;
        state_path  /var/lib/nginx/acme-letsencrypt;
        accept_terms_of_service;
    }
 
    acme_shared_zone zone=ngx_acme_shared:1M;
 
    server {
        listen 443 ssl;
        server_name example.com;
 
        acme_certificate letsencrypt;
        ssl_certificate       $acme_certificate;
        ssl_certificate_key   $acme_certificate_key;
        ssl_certificate_cache max=2;
 
        location / { proxy_pass http://127.0.0.1:3000; }
    }
 
    server {
        listen 80;   # HTTP-01 챌린지 응답을 위해 80 포트 필요
        server_name example.com;
        location / { return 301 https://$host$request_uri; }
    }
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;                                    # 1.25.1+ 문법
    server_name example.com;
 
    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
 
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers off;               # TLS 1.3 시대에는 클라이언트 선택 존중
 
    ssl_session_cache   shared:SSL:10m;          # 세션 재개로 핸드셰이크 비용 절감
    ssl_session_timeout 1d;
    ssl_session_tickets off;
 
    add_header Strict-Transport-Security "max-age=63072000" always;
}
 
server {
    listen 80;
    listen [::]:80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 quic reuseport;   # UDP 443 (reuseport는 포트당 한 번만)
    listen 443 ssl;              # TCP 443 (HTTP/1.1, HTTP/2)
    http2 on;
 
    add_header Alt-Svc 'h3=":443"; ma=86400';   # 브라우저에 HTTP/3 존재 알림
    # ...
}

# 단순 리다이렉트는 rewrite보다 return이 명확하고 빠르다
location /old-blog/ {
    return 301 /blog/;
}
 
# 패턴 기반 경로 변환
rewrite ^/users/(\d+)$ /profile?id=$1 last;