Nginx 리버스 프록시 템플릿

Mon, 01 Dec 2025 09:00:00 +0900

Nginx 리버스 프록시 템플릿

HTTPS 리다이렉트 / SSL Termination / PHP-FPM / Java WAS 공통 패턴 정리

아래 상황에 대한 Nginx 설정 정리
- HTTP → HTTPS 리다이렉트
- SSL termination + WAS 프록시
- PHP-FPM 앞단의 Nginx (fastcgi)
- Java Tomcat 앞단의 Nginx (proxy_pass)
- LB를 통해 거쳐오는 실제 클라이언트 IP 식별
- 로그 포맷 / gzip / timeout 등 공통 설정

1. Nginx 전체 구성 개요

HTTPS 리다이렉트나 SSL Termination 설정은 별도 server블럭으로 분리

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log;
pid /run/nginx.pid;

include /usr/share/nginx/modules/*.conf;

events {
 worker_connections 4096;
}

http {
 # 공통 설정 (X-Forwarded-For, 로그, gzip, timeout 등)
 # HTTPS 리다이렉트 + SSL 서버 블록
 # PHP-FPM 서버
 # Java Tomcat 서버 
}

2. HTTPS 리다이렉트

80 포트 HTTP로 들어온 요청을 443 포트 HTTPS로 리다이렉션

1
2
3
4
5
6
7


server {
 listen 80;
 server_name <도메인>;

 # 모든 HTTP 요청을 HTTPS로 강제 이동
 return 301 https://$host$request_uri;
}

3. HTTPS 서버 + SSL Termination + WAS 프록시

SSL Termination 수행

클라이언트가 HTTPS로 접속 → 인증서 로드 후 TLS 핸드셰이크 → Nginx가 복호화된 HTTP를 WAS로 전달

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34


server {
 listen 443 ssl http2;
 server_name <도메인>;

 ssl_certificate /etc/nginx/ssl/<crt 파일>;
 ssl_certificate_key /etc/nginx/ssl/<key 파일>;

 ssl_protocols TLSv1.2 TLSv1.3;
 ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
 ssl_prefer_server_ciphers on;

 location / {
 # WAS로는 HTTP로 프록시 (Termination 이후)
 proxy_pass http://<WAS 서버 IP>:<포트>;

 # LB를 통해 트래픽이 들어올 경우 LB 정보가 아닌 실제 클라이언트 정보를 수신하도록 설정
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Port $server_port;

 proxy_http_version 1.1;
 proxy_set_header Connection "";

 # 버퍼/타임아웃 (앱에 맞게 조정)
 proxy_buffers 8 16k;
 proxy_buffer_size 32k;
 proxy_connect_timeout 300;
 proxy_send_timeout 600;
 proxy_read_timeout 600;
 send_timeout 600;
 }
}

4. HTTP 블록 공통 설정

Real IP / 로그 / gzip / timeout / buffer 등

모든 server 블록이 공유할 설정
set_real_ip_from / real_ip_header
- LB 뒤에서 실제 클라이언트 IP 로그 복원, 안 하면 전부 LB IP로 찍힘
timeout / buffer는 서비스에 맞춰서 조정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42


http {
 include /etc/nginx/mime.types;
 default_type application/octet-stream;

 # LB를 통해 트래픽이 들어올 경우 LB 정보가 아닌 실제 클라이언트 정보를 수신하도록 설정
 set_real_ip_from <LB IP 대역>/24;
 real_ip_header X-Forwarded-For;
 real_ip_recursive on;

 # 로그 포맷
 log_format main '$remote_addr - $remote_user [$time_local] "$request" '
 '$status $body_bytes_sent "$http_referer" '
 '"$http_user_agent" "$http_x_forwarded_for" "$request_time"';

 access_log /var/log/nginx/access.log main;

 # gzip 압축
 gzip on;
 gzip_vary on;
 gzip_proxied any;
 gzip_comp_level 6;
 gzip_types text/plain text/css text/xml text/javascript
 application/json application/javascript application/xml+rss
 application/rss+xml font/truetype font/opentype
 application/vnd.ms-fontobject image/svg+xml;
 gzip_min_length 1000;

 # 버퍼/타임아웃 (앱에 맞게 조정)
 keepalive_timeout 15;
 keepalive_requests 200;

 send_timeout 30s;
 client_body_timeout 30s;
 proxy_read_timeout 60s;
 proxy_connect_timeout 5s;
 proxy_send_timeout 60s;

 proxy_buffering on;
 proxy_buffer_size 4k;
 proxy_buffers 8 4k;

}

5. PHP-FPM 앞단 Nginx 패턴

SCRIPT_FILENAME 잘못 설정하면 빈 화면 404 에러 발생
fastcgi_param으로 IP/스킴 안 넘기면 로그인/도메인 등 의존 코드가 꼬임

정적 리소스 캐싱 안걸어두면 모든 js/css 요청이 PHP로 들어가서 부하 증가

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47


server {
 listen 80;
 server_name <도메인>;

 root /home/<프로젝트>/public;
 index index.php index.html;

 # 보안 헤더
 add_header X-UA-Compatible "IE=Edge,chrome=1";
 add_header X-XSS-Protection "1; mode=block";
 add_header X-Frame-Options "SAMEORIGIN";
 add_header X-Content-Type-Options "nosniff";

 # 정적 리소스 캐싱
 location ~* \.(jpg|jpeg|png|gif|css|pdf|js|ico|svg|woff|woff2|ttf|eot|otf|map)$ {
 access_log off;
 log_not_found off;
 try_files $uri =404;
 expires 1M;
 add_header Cache-Control "public";
 }

 charset utf-8;
 error_page 404 /error/404;

 # PHP-FPM FastCGI 연동
 location / {
 include fastcgi_params;

 fastcgi_pass <WAS 서버 IP>:9000;
 fastcgi_index index.php;

 # PHP에서 실제 실행할 스크립트 경로
 fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

 # 버퍼
 fastcgi_buffers 16 16k;
 fastcgi_buffer_size 32k;

 # X-Forwarded 설정
 fastcgi_param X-Real-IP $remote_addr;
 fastcgi_param X-Forwarded-For $proxy_add_x_forwarded_for;
 fastcgi_param X-Forwarded-Proto $scheme;
 fastcgi_param X-Forwarded-Host $host;
 fastcgi_param X-Forwarded-Port $server_port;
 }
}

6. Java Tomcat 앞단 Nginx 패턴

Java WAS는 proxy_pass로 전달하는 구조라 PHP보다 단순하지만 X-Forwarded 헤더가 중요
- Spring Security, OAuth redirect 등

6-1. Upstream 정의

1
2
3
4


upstream was_backend {
 server <WAS 서버 IP>:8080;
 keepalive 200;
}

6-2. server 블록

X-Forwarded-Proto 로 넘기지 않으면 Spring이 redirect URL을 http로 만들어서 https 접속인데 http로 튕기는 현상 발생
Host를 내부 IP로 넘기면 외부 링크/Redirect URI에 내부 IP가 노출됨

/healthz 같은 헬스체크 URL이 없으면 LB가 임의 URL(예: /) 헬스체크하면서 불필요 부하 발생

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


server {
 listen 80;
 server_name <도메인>;

 # --- 헬스체크 엔드포인트 ---
 location = /healthz {
 add_header Content-Type text/plain;
 return 200 'ok';
 }

 # --- 기본 프록시 ---
 location / {
 proxy_pass http://was_backend;

 # 원본 정보 전달
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Port $server_port;

 proxy_http_version 1.1;
 proxy_set_header Connection "";

 # 파일 업로드/다운로드가 크다면 필요에 따라 조정
 # client_max_body_size 50m;
 }
}

Php Nginx on Joonlog

Nginx 리버스 프록시 템플릿

1. Nginx 전체 구성 개요

2. HTTPS 리다이렉트

3. HTTPS 서버 + SSL Termination + WAS 프록시

4. HTTP 블록 공통 설정

5. PHP-FPM 앞단 Nginx 패턴

6. Java Tomcat 앞단 Nginx 패턴

6-1. Upstream 정의

6-2. server 블록