도메인과 인증서, 뭐가 다른가? : 가비아 + Cloudflare + Let's Encrypt + Kubernetes 실전 연동. 가비아를 사용하면 발생하는 문제점(?)

흔히 도메인과 인증서를 혼동하기 쉽다.

 

가령 가비아 같은 도메인 판매 사이트에서 daramu.co.kr 을 구매했다면, 당신은 daramu.co.kr에 대한 인터넷 주소의 소유권을 가지게 된 것이다. 요컨데 이름에 대한 소유권을 가졌다는 것이다.

 

그리고 인증서는 그 도메인(여기서는 daramu.co.kr)으로 오가는 트래픽이 암호화 되어있고, 서버가 진짜 그 도메인의 주인임을 브라우저에게 증명하는 문서라고 보면 된다.

 

즉, 도메인이 땅문서라고 인증서는 그 땅에 세운 건물이 안전하다는 검사서 비슷하다고 생각해도 좋다.

 

그럼 와일드카드 인증서는 무엇인가?

daramu.co.kr 하나만 사용하면 상관없지만, 목적이나 용도에따라 api.daramu.co.kr, shop.daramu.co.kr 같은 서브도메인으로 URL을 나누어 사용하고 싶어질 수 있다.

 

이때 각 도메인을 별개로 구매해도 되지만, *.daramu.co.kr 하나로 모든 서브도메인을 커버하는 큰 그룹의 인증서를 가지고 있으면 각자 구매하지 않아도 된다.

 

여기서 SSL 인증서는 비용이 발생하지만, Let's Encrypt 같은 SSL/TLS 인증서를 무료로 발급 및 갱신해 주는 비영리 인증 기관(CA)을 사용하겠다면 비용이 발생하지 않는다.

 

[가비아에서 도메인을 사면 무엇이 문제인가?]

사실 문제랄 것은 없다.

다만, 와일드카드로 Let's Encrypt을 사용하면 문제가 된다.

 

Let's Encrypt의 와일드카드 인증서는 DNS-01 Challenge 방식으로만 발급 가능한데, 이 방식의 동작 구조는 다음과 같다.

 

1. "daramu.co.kr"이 진짜 당신 도메인이 맞는지 확인을 위해 DNS에 특정 TXT 레코드를 추가한다.

2. 자동 갱신을 진행할려면 DNS 레코드는 API로 수정을 할 수 있어야 한다( Let's Encrypt 는 인증서 유효기간이 90일이므로, 그때마다 바꿔야한다.)

3. 가비아는 DNS API를 제공하지 않는다.(= 자동화가 불가능하다)

 

[어떻게 해결할 것인가?]

도메인을 가비아에서 구매하였다면, 굳이 DNS API를 제공해주는 다른 도메인 판매 사이트로 바꿀 필요는 없다.

도메인 소유권은 가비아에서 유지하면서, 네임서버만 CloudFlare로 변경하면 된다.

 

CloudFlare는 DNS API를 무료로 제공하기에 cert-manager가 TXT 레코드를 자동으로 추가/삭제하여 유효기간 만료 전에 자동으로 무료 SSL 인증서로 바꿔 끼워준다.

 

DNS API를 사용하기 위한 서비스는 Free 플랜이기에, 비용 걱정은 없다. 물론 Let's Encrypt 또한 무료이다.

이 모든 작업은 도메인 구매를 제외한 추가적인 비용 지출을 줄이기 위한 작업임을 명심해야 한다.

 

비용 지출에 대한 용의가 있다면, 모든 과정을 건너 뛰고 그냥 SSL 인증서를 구매하면 된다.

 

[어떻게 하는가?]

우선 자신이 도메인을 구매한 사이트가 DNS API를 제공하는지를 봐야한다.

가비아는 제공해주지 않기에 CloudFalre로의 연동이 필요하다.

 

가장 먼저 CloudFlare로 로그인(회원가입)을 해준다.

 

회원가입 후 메인 대시보드에 + Add로 Connect a domain 을 선택해 준다.

 

 

다음으로 구매한 도메인(반드시 본인 소유여야 한다.)을 입력하고 다음으로 넘어간다.

 

그럼 DNS 검토 페이지가 나오는데, 가비아에서 새로 구매한 도메인이기에 기존에 등록된 DNS정보가 없다.
지금 당장 할게 없으니 그냥 Continue to activation 으로 진행한다.

 

아래 파란색으로 continue 를 하였다면 두개의 네임서버가 나올 것이다.

이 네임서버를 가비아로 가서, 구매한 도메인의 네임서버로 설정하면 된다.

 

가비아 -> My 가비아 -> 도메인 우측 관리 -> 네임서버

 

여기서 네임서버 설정을 통해 발급된 DNS 주소를 입력하면 된다.

네임서버가 인터넷 세상에 뿌려지기 위해서는 약간의 시간(10분 이상?) 이 소요되니, 네임 서버 변경 후 약간의 시간이 소요된 후에 새로고침하면 정상적으로 등록된걸 볼 수 있을 것이다.

cloudflare 대시보드 화면

 

이제 쿠버네티스가 API를 사용하여 자동으로 인증서 갱신을 시키게 하기 위해, API 토큰을 발급받아야 한다.

 

CloudFlare 의 우측 상단 아이콘 -> Prifile -> API Tokens로 들어간다.

 

여기서 Create Token으로 토큰을 생성한다.

template은 Edit zone DNS로 사용한다.

 

그리고 ZoneResource에서 자신의 DNS주소를 선택한다.

보안을 위해 내 도메인만 수정할 수 있게 조치를 해두는 과정이다.

 

 

그럼 토큰값이 출력되는데, 이 토큰값은 만들 당시 화면말고는 볼 방법이 없으니 꼭 지금 저장해 두어야한다.

 

다음 챕터로 이 토큰을 쿠버네티스에 적용하여 인증하는 방법까지를 진행하겠다.

 

끝