TLS SNI / ALPN ROUTING
암호화 연결을
이름에 따라 분기.
TLS 연결의 SNI 또는 ALPN 정보를 살펴 여러 TLS 백엔드 중 알맞은 대상으로 전달하는 구성입니다.
TLS SNI / ALPN ROUTING
ROUTE PREVIEW
사용자 기기
Client
TLS · SNI / ALPN
연결 중계
TLS 백엔드
SSlh / Nginx
도메인별 TLS 서버, 인증서와 SSLH 또는 Nginx 분기 설정이 필요합니다.
PACKET FLOW
DEPLOYMENT & OPERATIONS
05 IMPLEMENTATION STEPS
TLS · SNI 분기 설치·연동 가이드
TLS/SNI 라우팅은 클라이언트가 TLS 시작 시 제공하는 서버 이름이나 ALPN 값을 이용해 적합한 TLS 백엔드로 연결합니다. 이 방식은 TLS를 반드시 복호화하거나 인증서를 대신 발급한다는 뜻은 아닙니다.
시작 전 준비사항
- 호스트 이름별 TLS 백엔드와 정상 인증서
- sslh 버전의 SNI/ALPN 프로브 및 라우트 규칙
- 모든 도메인의 DNS와 TLS 종료 위치에 대한 담당자
설치 및 연결 순서
-
호스트 이름 목록화
공유 IP/포트를 사용할 도메인과 각각의 백엔드 주소·포트를 목록으로 만듭니다. 지원할 TLS 버전, SNI가 없는 클라이언트 처리, 기본 백엔드 정책을 먼저 합의합니다.
-
백엔드 직접 검증
각 웹 또는 TLS 서비스에 직접 접속해 올바른 인증서, 호스트 이름, ALPN 응답 및 앱 콘텐츠가 제공되는지 확인합니다. TLS 종료가 백엔드인지 프런트인지 책임 경계를 문서화합니다.
-
분기 규칙 구성
sslh의 설치 버전이 제공하는 SNI/ALPN 프로브와 설정 문법에 맞춰 도메인별 목적지를 등록합니다. 알 수 없는 SNI와 잘못된 핸드셰이크의 안전한 기본 동작을 지정하고 규칙 순서를 시험합니다.
-
DNS·인증서 연결
각 도메인을 공개 프런트 주소로 연결하고 TLS 인증서가 실제로 종료되는 서버에서 자동 갱신되게 구성합니다. 프록시가 TLS를 통과만 시킨다면 인증서와 HTTPS 리다이렉트는 백엔드에서 처리해야 합니다.
-
다중 도메인 시험
각 도메인으로 TLS 연결을 시도하고 반환된 인증서, 앱, ALPN 및 백엔드 로그를 확인합니다. SNI 없는 클라이언트와 오타 도메인은 의도한 기본 동작으로 안전하게 실패하는지 테스트합니다.
운영 전 확인 목록
- 각 SNI가 올바른 백엔드와 인증서를 선택하는가
- ALPN이 설정된 애플리케이션과 협상되는가
- 미등록·SNI 없는 요청이 예상된 기본 경로로 처리되는가