가비아 DNS 쓰는 개발자의 SSL 자동갱신 좌충우돌기 (feat. Postfix + Naver SMTP)

1️⃣ 배경: 왜 메일 알림이 필요했는가?

도메인 인증서(SSL)는 Let’s Encrypt로 무료 발급이 가능하지만,
이번에 Wildcard 방식으로 만들 수밖에 없었다.
특히 *.도메인 형태의 Wildcard 인증서는 DNS TXT 레코드를 직접 등록해야 하기 때문이다.

(💡 보충 설명)
일반 도메인(example.com, www.example.com)은 HTTP-01 인증 방식을 이용해 자동 갱신이 가능하다.
즉, certbot renew를 크론(cron)에 등록해두면,
서버가 자동으로 /.well-known/acme-challenge/ 경로에 임시 인증파일을 만들고
Let’s Encrypt가 HTTP 요청으로 이를 확인해 인증을 갱신한다.

그러나 Wildcard(*.example.com)의 경우,
하위 도메인 전체(aaa.example.com, bbb.example.com 등)에 대한 권한을 증명해야 하기 때문에
HTTP 방식만으로는 “도메인 전체의 소유자임”을 확인할 수 없다.
그래서 Let’s Encrypt는 DNS-01 방식, 즉 “DNS에 TXT 레코드로 인증값을 등록하는 방법”만 허용한다.

---

내가 사용하는 가비아(Gabia) 는 DNS API를 제공하지 않기 때문에,
Certbot이 자동으로 TXT 레코드를 추가할 수 없다.
(이 부분 때문에 가비아를 쓰는 걸 조금 후회 중... 😅
AWS Route 53, Cloudflare, Google Cloud DNS 등은
API를 통해 TXT 레코드를 자동 등록할 수 있어 Wildcard 자동갱신이 가능하다.)

---

즉, 매번 아래 명령을 직접 실행해야 한다 👇

sudo certbot certonly --manual --preferred-challenges dns \
  -d example.com -d '*.example.com'

그리고 DNS TXT 두 개를 수동으로 등록해야 한다.

이 과정 자체는 어렵지 않지만,
👉 인증서 유효기간(90일)을 깜빡하면 사이트가 “보안 연결 실패”로 중단된다.
그래서 만료 30일 전 메일로 자동 알림이 오도록 설정해두었다.

 

---

2️⃣ 환경 요약

항목 내용

OS	Rocky Linux 9
인증서	Let’s Encrypt (Wildcard)
DNS	가비아 (API 미지원)
메일 전송	Postfix + s-nail + Naver SMTP (465 SSL)
알림 스크립트	/root/check-ssl.sh (cron 자동 실행)

---

3️⃣ 메일 발송 실패 이유와 해결

초기엔 s-nail로 메일을 보내려 했지만 실패했습니다.

문제 로그

550 5.7.2 Your email has been blocked because the sender is unauthenticated.

이는 Postfix가 단순 로컬 송신(unauthenticated)이라서
네이버 SMTP 인증이 안 된 상태였기 때문입니다.

✅ 해결 과정 요약

가비아 DNS 환경에서 Let’s Encrypt Wildcard 인증서 만료 알림 메일을 보내기 위해
로컬 서버(Postfix)가 네이버 SMTP 서버를 통해 인증 발송하도록 설정했습니다.

---

1️⃣ Postfix 및 메일 유틸 설치

sudo dnf install -y postfix s-nail
sudo systemctl enable --now postfix

• postfix: 메일 전송(MTA) 서버
• s-nail: 간단한 CLI 메일 발송 도구
• enable --now: 부팅 시 자동 실행 + 즉시 시작

---

2️⃣ SMTP 인증 설정 (/etc/postfix/main.cf)

inet_interfaces = 127.0.0.1
inet_protocols = ipv4
relayhost = [smtp.naver.com]:465

smtp_use_tls = yes
smtp_tls_security_level = encrypt
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_generic_maps = hash:/etc/postfix/generic

📌

• relayhost: 네이버 SMTP 서버 지정
• smtp_sasl_password_maps: 계정/비밀번호 저장 위치
• smtp_generic_maps: 로컬 root 주소를 네이버 메일 주소로 변환

---

3️⃣ SMTP 비밀번호 파일 설정

sudo nano /etc/postfix/sasl_passwd

[smtp.naver.com]:465 example@naver.com:애플리케이션비밀번호

 

sudo postmap /etc/postfix/sasl_passwd
sudo chmod 600 /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db

💡

• 일반 비밀번호는 사용 불가 →
  네이버 2단계 인증 활성화 후 앱 비밀번호를 생성해야 함. (중요!!)
• postmap: Postfix가 읽을 수 있는 해시 DB로 변환.
• chmod 600: 파일 권한 제한(보안 때문에!)

---

4️⃣ 메일 주소 변환 설정

sudo nano /etc/postfix/generic

root@xxx-web-01.example.kr  example@naver.com

sudo postmap /etc/postfix/generic

📌
로컬에서 root@xxx.example.kr 로 발송되는 메일을
외부에서는 example@naver.com 으로 보이게 변환.

---

5️⃣ Postfix 재시작

sudo systemctl restart postfix

---

6️⃣ 테스트 메일 발송

echo "테스트 메일입니다." | s-nail -s "Postfix → Naver OK?" -r example@naver.com example@naver.com

이후 로그 확인 👇

sudo tail -n 50 /var/log/maillog

정상이라면 다음 메시지가 보입니다:

250 2.0.0 OK ... - nsmtp

🎉 SMTP 인증 성공!
이제 서버가 네이버 SMTP를 통해 정상적으로 인증된 메일을 발송할 수 있습니다.

 

이제 테스트 성공했으니 해당 관련해서 크론에서 실행 되도록 스크립트를 만들어 보자!

---

4️⃣ SSL 만료 알림 스크립트

/root/check-ssl.sh

#!/usr/bin/env bash
EMAIL="example@naver.com"
CERT="/etc/letsencrypt/live/example.kr/fullchain.pem"
THRESHOLD=30  # 만료 30일 이하부터 알림

if [[ ! -f "$CERT" ]]; then
  echo "⚠️ 인증서 파일을 찾을 수 없습니다: $CERT" |
  s-nail -s "[SSL 경고] example.kr 인증서 파일 없음" "$EMAIL"
  exit 1
fi

EXPIRE_RAW=$(openssl x509 -in "$CERT" -noout -enddate | cut -d= -f2)
EXPIRE_TS=$(date -d "$EXPIRE_RAW" +%s)
NOW_TS=$(date +%s)
DAYS_LEFT=$(( (EXPIRE_TS - NOW_TS) / 86400 ))

if (( DAYS_LEFT <= THRESHOLD )); then
  SUBJECT="⚠️ example.kr SSL ${DAYS_LEFT}일 후 만료 예정"
  BODY=$(cat <<EOF
도메인: example.kr (*.enhasys.kr)
인증서 경로: $CERT
만료일: $EXPIRE_RAW (D-${DAYS_LEFT})

✅ 조치 방법:
1. 가비아 DNS에 TXT 2개 추가
2. 아래 명령으로 갱신 실행

sudo certbot certonly --manual --preferred-challenges dns \
  -d example.kr -d '*.example.kr'

EOF
)
  echo "$BODY" | s-nail -s "$SUBJECT" "$EMAIL"
fi

---

5️⃣ 크론 설정

crontab -e

0 3 * * * certbot renew --quiet
0 9 * * * /root/check-ssl.sh

• 오전 3시: 자동 갱신 시도 (일반 도메인용) (와일드 카드가 아닌 도메인들은 이렇게 직접 자동 갱신이 되도록 해놨다.)
• 오전 9시: example.kr 만료일 체크 후 메일 발송

---

✅ 결과

• 이제 example.kr 와일드카드 인증서만 수동 갱신하면 됨
• 나머지 도메인(example1.co.kr, example2.co.kr)은 자동 갱신됨
• 만료 30일 전 자동 메일 도착으로 깜빡할 일이 없음

---

📎 결론

• Postfix 설정
• SASL 인증
• 가비아 API 부재 대응
• crontab 자동화
  까지 해야하는 과정이었다.
• (즉 DNS는 꼭 API 있는걸로 사용하시길  @@)