Cloudflare 리버스 프록시 설정 방법: 단계별 가이드

Cloudflare 리버스 프록시는 자체 웹 서버 앞에 위치합니다. DNS 레코드를 Proxied로 설정하면 방문자 요청은 먼저 Cloudflare의 엣지 네트워크에 도달하고, Cloudflare가 이를 오리진으로 전달합니다. 이 튜토리얼에서는 프록시된 DNS 레코드와 SSL/TLS 모드부터 캐싱, 오리진 규칙, curl을 이용한 테스트, 흔히 발생하는 522 및 525 오류까지, 호스팅하는 사이트에서 Cloudflare를 리버스 프록시로 설정하는 정확한 단계를 안내합니다.

일반적인 개념과 포워드 프록시와의 차이는 리버스 프록시와 포워드 프록시 해설을 참조하십시오. 여기서는 범위를 좁혀 Cloudflare 고유의 내용만 다룹니다.

DataImpulse는 195개 국가에서 9천만 개가 넘는 레지덴셜 프록시(residential proxy), 모바일 프록시, 데이터센터 프록시 IP 주소를 제공하는 윤리적인 프록시 제공업체입니다. GB당 1달러부터 시작하는 종량제 모델을 사용하며 트래픽은 만료되지 않습니다. 웹 스크래핑, 광고 검증, 가격 모니터링, 시장 조사, 다중 계정 관리에 사용됩니다.

시작하기 전에 무엇이 필요합니까?

도메인, Cloudflare 계정, 그리고 이미 사이트를 제공하고 있는 공용 IP의 웹 서버가 필요합니다. 리버스 프록시는 클라이언트 요청을 받아 하나 이상의 백엔드 오리진 서버로 전달하는 서버이며, 도메인이 Cloudflare 네임서버를 사용하면 Cloudflare가 엣지에서 그 역할을 수행합니다.

설정을 진행하려면 먼저 다음 항목을 준비하십시오.

• 활성 오리진: HTTP 또는 HTTPS를 통해 공용 IP 주소(예: 203.0.113.10)에서 접속할 수 있는 사이트입니다.
• Cloudflare 네임서버: 사이트를 추가할 때 Cloudflare가 할당하는 두 네임서버를 도메인 등록기관에서 가리켜야 합니다.
• 오리진의 TLS 인증서: 보안 SSL 모드를 사용할 수 있도록 유효한 인증서(Let’s Encrypt 또는 무료 Cloudflare Origin Certificate)가 필요합니다.

트래픽 흐름을 떠올려 보면 도움이 됩니다. Cloudflare 리버스 프록시 요청 경로는 DNS -> 엣지 -> 캐시 -> WAF -> 오리진의 5단계 모델입니다. 요청은 Cloudflare 엣지 IP로 확인되고, 검사된 뒤 캐시에서 제공될 수도 있으며, Web Application Firewall을 통과한 후에야 오리진에 도달합니다. 요청이 어느 단계에 있는지 알면 이후의 모든 수정이 명확해집니다.

Cloudflare 리버스 프록시를 단계별로 설정하려면 어떻게 해야 합니까?

사이트를 Cloudflare에 추가하고 DNS 레코드를 Proxied로 전환한 다음 엄격한 SSL 모드를 선택하십시오. DNS 레코드의 주황색 구름은 해당 호스트 이름에서 Cloudflare를 리버스 프록시로 전환하는 스위치입니다. 회색 구름은 DNS 전용을 의미하며 엣지를 완전히 우회합니다.

DNS를 오리진으로 지정하고 주황색 구름을 활성화하십시오. DNS 탭에서 오리진 IP를 담는 루트 도메인과 www용 A(또는 AAAA) 레코드를 만들고, 프록시 상태를 Proxied로 설정하십시오.

Type   Name   Content        Proxy status
A      @      203.0.113.10   Proxied (orange cloud)
A      www    203.0.113.10   Proxied (orange cloud)

SSL/TLS 암호화 모드를 선택하십시오. SSL/TLS에서 이 모드는 Cloudflare가 오리진과 통신하는 방식을 제어합니다. 오리진에 유효한 인증서가 있다면 항상 Full (strict)를 사용하십시오.

SSL/TLS encryption mode
  Off            no HTTPS, do not use
  Flexible       browser-to-Cloudflare only, origin unencrypted (avoid)
  Full           encrypts to origin, accepts any certificate
  Full (strict)  encrypts to origin, requires a valid certificate

캐시 또는 오리진 규칙을 추가하십시오. 규칙을 사용하면 엣지에서 캐시할 항목이나 오리진에 도달하는 방식을 제어할 수 있습니다. 간단한 Cache Rule은 정적 경로를 캐시 가능으로 표시하여 Cloudflare가 서버에 요청하지 않고 이를 제공하게 합니다.

# Rules > Caching > Create rule
When incoming requests match:
  (http.request.uri.path contains "/static/")
Then:
  Cache eligibility = Eligible for cache
  Edge TTL = 1 day

Origin Rules는 Cloudflare가 연결하는 호스트 헤더나 포트를 재정의할 수 있어, 백엔드가 비표준 포트에서 수신 대기할 때 유용합니다. 이를 저장하면 Cloudflare는 오리진 앞에서 리버스 프록시로 작동합니다.

리버스 프록시가 작동하는지 어떻게 확인합니까?

도메인에 요청을 보내 응답이 Cloudflare를 통해 반환되는지 확인하십시오. 가장 빠른 검사는 curl을 이용한 HEAD 요청이며, Cloudflare가 추가하는 server 및 cf-ray 헤더를 찾으면 됩니다.

curl -I https://example.com

# Expected headers when proxied:
#   server: cloudflare
#   cf-ray: 8a1b2c3d4e5f6789-FRA
#   cf-cache-status: HIT | MISS | DYNAMIC

server: cloudflare와 cf-ray 값이 보이면 트래픽이 엣지를 통과하고 있습니다. cf-cache-status가 HIT이면 캐시 규칙이 오리진이 아니라 Cloudflare에서 콘텐츠를 제공하고 있음을 확인할 수 있습니다. DNS가 원본 오리진이 아닌 엣지 IP로 확인되는지 보려면 dig example.com +short를 실행하고, 반환된 주소가 203.0.113.10이 아닌 Cloudflare 범위인지 확인하십시오.

522 및 525 오류는 어떻게 해결합니까?

대부분의 Cloudflare 리버스 프록시 장애는 오리진 측에서 발생하며 요청 경로의 특정 단계에 대응합니다. Cloudflare 브랜드 페이지가 표시되는 5xx 오류는 엣지가 오리진 단계에 도달했지만 오리진이 올바르게 응답하지 않았음을 뜻합니다.

• 오류 522(연결 시간 초과): Cloudflare가 오리진에 TCP 연결을 열지 못했습니다. 방화벽이 Cloudflare IP 범위를 허용하는지, 웹 서버가 실행 중인지, DNS 레코드에 올바른 오리진 IP가 있는지 확인하십시오.
• 오류 525(SSL 핸드셰이크 실패): 오리진이 TLS 핸드셰이크를 거부했습니다. 보통 Full (strict)가 설정되었지만 오리진 인증서가 없거나 만료되었거나 자체 서명된 경우입니다. 유효한 인증서 또는 Cloudflare Origin 인증서를 설치하십시오.
• 리디렉션 루프: HTTPS를 강제하는 서버에서 Flexible SSL 모드를 사용하면 무한 루프가 발생합니다. Full 또는 Full (strict)로 전환하십시오.

요청 경로는 DNS -> 엣지 -> 캐시 -> WAF -> 오리진이므로, 522 또는 525는 언제나 마지막 홉을 가리킵니다. 따라서 오리진과 그 인증서부터 디버깅을 시작하십시오.

어떤 프록시 유형이 실제 작업에 적합합니까?

소유한 서버를 보호하고 가속하려면 Cloudflare 리버스 프록시를 사용하고, 다양한 IP에서 아웃바운드 요청을 보내야 한다면 포워드 프록시를 사용하십시오. 이 둘은 반대 방향의 도구이며, 혼동하는 것이 이 주제의 독자가 가장 흔히 하는 실수입니다.

리버스 프록시는 서버 앞에 위치하여 인터넷에 서버를 대신해 나타납니다. 포워드 프록시는 클라이언트 앞에 위치하여 더 넓은 인터넷에 클라이언트를 대신해 나타납니다. 아래 비교표는 이 방향을 분명히 보여 줍니다.

여기에는 이 연결의 근거가 되는 솔직한 설명이 있습니다. Cloudflare 리버스 프록시는 사이트 앞에 위치하므로 아웃바운드 요청이 다양한 IP에서 온 것처럼 보이게 할 수 없습니다. 데이터 수집, 현지화 테스트 실행 또는 여러 위치에서의 광고 검증이 목적이라면 다른 도구인 포워드 프록시가 필요합니다. 이를 위해 DataImpulse는 195개 국가에서 로테이팅 레지덴셜 프록시와 데이터센터 프록시를 제공합니다. Cloudflare는 DataImpulse 제품이 아니며, 두 서비스는 서로 반대되는 문제를 해결합니다.

다음 의사 결정표를 사용하십시오.

• 다음 경우 Cloudflare 리버스 프록시를 사용하십시오. 웹사이트 또는 API를 호스팅하며 캐싱, TLS, DDoS 보호 및 숨겨진 오리진 IP가 필요할 때입니다.
• 실제로 포워드 프록시가 필요한 경우: 차단되지 않고 스크래핑하기에서 다루듯이 스크래핑, 가격 모니터링 또는 광고 검증을 위해 다양한 IP에서 아웃바운드 요청을 발행해야 할 때입니다.
• 다음 경우 Cloudflare 리버스 프록시를 피하십시오. 리버스 프록시는 요청자가 아니라 대상지를 보호하므로, 자체 아웃바운드 트래픽의 익명성이 목표일 때입니다.

제한 사항과 위험은 무엇입니까?

Cloudflare 리버스 프록시는 소유한 사이트를 보호하는 데 강력하지만 범용 네트워킹 도구는 아닙니다. 이에 의존하기 전에 이러한 제한 사항을 이해하십시오.

• 아웃바운드 트래픽을 익명화하지 않습니다. 리버스 프록시는 방문자로부터 오리진을 숨길 뿐, 제3자로부터 요청을 숨기지는 않습니다.
• 노출된 오리진 IP는 효과를 무력화합니다. 공격자가 이전 DNS 레코드나 이메일 헤더를 통해 원본 오리진 IP를 알아내면 엣지를 우회할 수 있습니다. 오리진 방화벽은 Cloudflare 범위로 제한해 두십시오.
• Flexible SSL은 안전하지 않습니다. Cloudflare와 오리진 사이 구간이 암호화되지 않으므로 Full (strict)를 권장합니다.
• 캐시 정확성: 지나치게 광범위한 캐시 규칙은 오래되었거나 비공개인 콘텐츠를 제공할 수 있습니다. 규칙의 범위를 정적 경로로 한정하십시오.

DataImpulse는 윤리적인 프록시 제공업체로, 고정 ISP 프록시를 판매하지 않으며 관리형 스크래핑 API나 무료 웹 프록시 서비스도 아닙니다. 프록시 용어가 처음이라면 도구를 선택하기 전에 웹 프록시란 무엇인가 가이드에서 기본 사항을 확인하십시오.

자주 묻는 질문

관련 가이드

• NGINX 리버스 프록시
• Docker 리버스 프록시
• NGINX 포워드 프록시

리버스 프록시 대신 아웃바운드 IP가 필요하십니까?

자체 사이트 보호가 아니라 여러 위치에서 데이터를 수집하거나 결과를 검증하는 작업이라면 포워드 프록시가 적합한 도구입니다. DataImpulse는 195개 국가에서 종량제 및 만료되지 않는 트래픽을 포함하여 GB당 1달러부터 로테이팅 레지덴셜 프록시를 제공합니다. 시작하려면 계정 만들기를 선택하십시오.