문서
릴레이 엄격 검증
기본적으로 공유 서버는 릴레이로 가는 업스트림 연결을 암호화하지만 상대방이 누구인지는 검증하지 않습니다. 브라우저가 자체 서명 인증서를 수락하는 것과 같은 ‘첫 사용 시 신뢰’ 자세입니다. Relay TLS 엄격 검증은 이를 바꿉니다. 공유 서버가 제공된 루트 CA로 릴레이 인증서를 검사하고, 체인·유효성·호스트 이름이 모두 통과하지 않으면 연결을 거부합니다. 이로써 릴레이 링크에 대한 중간자 공격은 사실상 불가능해지며, 대가는 수동 절차 하나, 즉 공유 서버에 릴레이의 루트 CA를 전달하는 것입니다. 이전 페이지인 ‘클라이언트 엄격 검증’과 같은 생각을 공유 서버의 업스트림 릴레이 링크에 적용한 것입니다.
설정 위치
엄격 검증은 공유 서버, 즉 Relay Address가 릴레이를 가리키는 머신에서 구성합니다. 해당 웹 UI에서 Server 섹션을 열면 Relay Secret Key 아래에 현재 On / Off 상태를 보여 주는 Relay TLS 엄격 검증 행이 있습니다. 펼치면 다음이 나타납니다.
업스트림 Relay 루트 CA— 릴레이의 루트 CA 공개 인증서(PEM)를 입력하는 여러 줄 필드.Off/On토글 — PEM이 유효한 인증서로 구문 분석되어야만On을 선택할 수 있습니다.
릴레이 설정은 편집 도중 저장되지 않습니다. 값을 확인하고 Apply를 누르세요. 저장하면 새 설정으로 업스트림 릴레이에 즉시 다시 연결됩니다.
루트 CA를 공유 서버로 가져오기
두 가지 방법이 있으며, 출처는 같습니다(릴레이 자체의 웹 UI).
- 공유 문자열 붙여넣기 — 릴레이 서버의 웹 UI에서
QR code를 클릭합니다. 공유 문자열에는 주소와 키와 함께 릴레이의 루트 CA가 내장되어 있어, 공유 서버의Relay Address필드에 붙여넣으면 CA 필드도 자동으로 채워집니다(‘릴레이’의 ‘설정 가이드’ 참조). 엄격 모드는 사용자가 CA를 확인하고 직접 켜기 전까지 꺼져 있습니다. - 복사 & 붙여넣기 — 릴레이의
인증서 및 TLS페이지에서루트 CA 복사를 누르고 PEM을업스트림 Relay 루트 CA필드에 붙여넣습니다.
CA는 모든 공유 서버에서 동일하며 인증서 갱신으로도 바뀌지 않습니다. 릴레이당 한 번 설정하면 됩니다.
CA를 신뢰하기 전에 진짜를 받았는지 확인하세요. 릴레이의 인증서 및 TLS 페이지에 루트 CA의 SHA-256 지문이 표시됩니다. 이를 붙여넣으려는 PEM과 대조하세요. 일치하지 않으면 엄격 검증을 활성화하지 말고 신뢰할 수 있는 경로로 CA를 다시 받으세요.
엄격 모드가 검사하는 항목
토글이 On이면 업스트림 RelayPrimary 연결은 다음 조건을 충족하는 인증서를 제시해야 합니다.
- 구성된 루트 CA로 체인이 이어질 것 — 공용 시스템 루트를 포함해 다른 어떤 CA가 서명한 인증서도 거부됩니다.
- 유효 기간 내일 것 — 만료되었거나 아직 유효하지 않은 인증서는 거부됩니다.
- 접속하는
Relay Address의 호스트 이름과 일치하는 SAN을 가질 것 — 다른 이름으로 발급된 인증서는 거부됩니다.
한 가지 제약: 검증되는 것은 업스트림 릴레이 연결뿐입니다. Terminal 및 요청 콜백 연결은 기존 인증서 정책을 유지합니다.
검사 중 하나라도 실패하면 연결이 거부되고 백그라운드에서 간격을 늘려가며 재시도됩니다. 검사를 통과하거나 엄격 모드를 다시 끄기 전까지 공유 서버는 릴레이를 통해 접근할 수 없습니다.
자주 있는 실패
엄격한 TLS 검증에는 루트 CA PEM이 필요함— 토글이 켜져 있는데 CA 필드가 비어 있습니다. 먼저 PEM을 붙여넣으세요.SAN 불일치— 접속에 사용하는 이름 또는 IP가 릴레이 인증서에 없습니다. 릴레이의인증서 및 TLS페이지에서 추가하고(「도메인 및 SAN 관리」 페이지 참조) 재발급하세요.인증서 만료 또는 미유효— 릴레이 시계가 틀렸거나 리프 인증서 갱신에 실패했습니다. 릴레이에서 인증서 상태를 확인하세요.구성된 CA로 서명되지 않음— 필드의 CA가 다른 릴레이의 것이거나 연결이 가로채이고 있습니다. 계속하기 전에 지문을 대조하세요.