Let's Encrypt 진단 — certbot이 실패하는 이유

HTTP-01 챌린지는 언제나 80번 포트에서 시작하기 때문입니다. 인증 기관은 사이트가 그 뒤에 무엇을 하든 상관없이 먼저 그곳으로 접속하며, 80번을 버리는 방화벽은 챌린지 자체를 불가능하게 만듭니다. 80번을 HTTPS로 리다이렉트하는 것은 괜찮습니다. CA가 리다이렉트를 따라가고 그때 인증서를 검사하지 않기 때문입니다. 포트를 닫는 것은 다릅니다. 정말로 열 수 없다면 DNS-01이 대안입니다.

맞습니다. 발급 전에는 챌린지 파일이 없으므로, 제대로 설정된 서버라면 404를 돌려주는 것이 정상입니다. 중요한 것은 요청이 웹 서버까지 닿았다는 사실입니다. 검증 중에 certbot이 그 경로에 실제 토큰을 놓아 두면 CA가 그것을 찾습니다. 연결 실패나 403은 요청이 아예 도달하지 못했다는 뜻이고, 그것이 진짜 문제입니다.

어떤 인증 기관이 당신의 도메인에 발급할 수 있는지 지정하는 DNS 레코드입니다. 인증 기관은 반드시 이를 확인하고, 목록에 없으면 거부해야 합니다. 이전 업체의 설정 마법사, 호스팅 패널, 또는 상위 도메인에서 물려받아 생기는 경우가 많습니다. example.com 의 레코드가 www.example.com 에도 적용되므로 «저는 만든 적 없어요» 가 틀린 경우가 잦습니다.

간접적으로 도움이 되며, 바로 그것이 요점입니다. Let's Encrypt는 도메인당 주간 발급 횟수를 제한하는데, 그 한도를 소진시키는 것은 반복되는 실패 시도입니다. certbot을 다시 돌리기 전에 전제 조건을 확인하면, 애초에 실패할 수밖에 없던 시도로 할당량을 태우지 않게 됩니다.

아니고, 앞으로도 그러지 않습니다. ACME 작업을 수행하지 않고, 어떤 키도 보관하지 않으며, 어떤 인증 기관과도 통신하지 않습니다 — 바깥에서 당신의 도메인을 관찰할 뿐입니다. 발급은 개인 키가 있고 갱신을 자동화할 수 있는 당신의 서버에서 이루어져야 하며, 그것은 웹 페이지가 제공할 수 없는 일입니다.