운영 웹서버(csv.wise.ai.kr) 구축 및 개발→운영 자동 배포 연결

웹 티어(211.37.173.197 / Rocky 8):
- csv.wise.ai.kr nginx vhost + Let's Encrypt SSL
- WAS는 SSH 터널(arko-was-tunnel.service)로 연결 — 개발서버가 NAT 뒤라
  8088이 포워딩되지 않고 Tomcat도 127.0.0.1 바인딩이기 때문이다.
  키는 WAS에서 restrict,permitopen="127.0.0.1:8088" 로 묶어 셸 접근 불가.
- 정적 리소스는 운영 웹이 직접 서빙하고 없으면 @was 폴백 — 전환 중에도 깨지지 않는다.

파이프라인:
  git push -> 개발 WAS 배포 -> 개발 헬스체크 -> 운영 웹 정적 배포 -> 운영 검증
개발 헬스체크를 통과한 뒤에만 운영으로 넘어간다.
접속 방향은 개발->운영(개발서버는 NAT 뒤라 역방향 접속이 불가능하다).

.gitea/workflows/deploy-dev.yml

@@ -8,7 +8,11 @@
 #
 #   [개발자 PC]  bash deploy/dev/build-and-upload.sh    → 빌드 + WAR 업로드
 #   [개발자 PC]  git push origin master                 → 이 워크플로 자동 실행
-#   [서버]       ROOT 재전개 + 환경설정 주입 + 재기동 + 헬스체크(+실패 시 롤백)
+#   [개발서버]   ROOT 재전개 + 환경설정 주입 + 재기동 + 헬스체크(+실패 시 롤백)
+#   [개발→운영]  개발 헬스체크 통과 시 운영 웹(211.37.173.197)으로 정적 리소스 배포
+#
+# 접속 방향이 개발 → 운영인 이유: 개발서버는 NAT 뒤라 외부에서 먼저 접속할 수 없고,
+# 운영 웹서버는 공인망에 SSH(9271)가 열려 있어 개발서버에서 나갈 수 있다.
 #
 # ※ Gitea 1.22.3 기준으로 작성했다. 이 버전은 workflow_dispatch(수동 실행 버튼)와
 #   inputs 컨텍스트를 지원하지 않는다 — 넣으면 워크플로 자체가 목록에 뜨지 않는다.
@@ -34,7 +38,8 @@ concurrency:
 env:
   APP_HOME: /opt/arko-dev
   INCOMING_WAR: /opt/arko-dev/incoming/arko.war
-  SITE_URL: https://csv.zioinfo.co.kr/
+  SITE_URL: https://csv.zioinfo.co.kr/          # 개발 웹 (개발서버 nginx)
+  PROD_SITE_URL: https://csv.wise.ai.kr/        # 운영 웹 (211.37.173.197)
 
 jobs:
   deploy:
@@ -71,7 +76,7 @@ jobs:
           set -e
           bash "$APP_HOME/bin/arko-dev-deploy.sh" "$INCOMING_WAR"
 
-      - name: 결과 확인
+      - name: 개발 결과 확인
         run: |
           set -e
           CODE=000
@@ -86,6 +91,23 @@ jobs:
           echo "$SITE_URL → HTTP $EXT"
 
           case "$CODE" in
-            200|302) echo "배포 정상" ;;
+            200|302) echo "개발 배포 정상" ;;
             *) echo "::error::Tomcat 응답 없음 (HTTP $CODE)"; exit 1 ;;
           esac
+
+      # 개발 헬스체크를 통과한 뒤에만 운영 웹으로 넘어간다.
+      # 개발이 깨진 산출물을 운영 웹에 밀어 넣지 않기 위한 순서다.
+      - name: 운영 웹서버 배포
+        run: |
+          set -e
+          bash "$APP_HOME/bin/arko-prodweb-deploy.sh"
+
+      - name: 운영 결과 확인
+        run: |
+          set -e
+          CODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 30 "$PROD_SITE_URL" || echo 000)
+          echo "$PROD_SITE_URL → HTTP $CODE"
+          case "$CODE" in
+            200|302) echo "운영 웹 배포 정상" ;;
+            *) echo "::error::운영 웹 응답 없음 (HTTP $CODE) — 터널(arko-was-tunnel) 상태를 확인할 것"; exit 1 ;;
+          esac

deploy/web/01-web-server-setup.sh

@@ -1,84 +1,80 @@
 #!/usr/bin/env bash
-# csv.wise.ai.kr 웹 티어 구축 — 웹서버에서 실행
+# csv.wise.ai.kr 웹 티어 구축 — 웹서버(utimsurpai.cafe24.com / 211.37.173.197)에서 실행
 #
-#   사용법: bash 01-web-server-setup.sh [WAS주소]
+#   사용법: bash 01-web-server-setup.sh
-#           WAS주소 기본값 101.79.17.164:8088 (같은 사설망이면 10.0.1.6:8088 로 주면 된다)
-#
-# 이 서버는 nginx만 올린다. WAS(Tomcat)와 DB(MariaDB)는 개발서버(101.79.17.164)를 그대로 쓴다.
 #   멱등: 다시 실행해도 안전하다.
+#
+# 이 서버는 nginx만 담당한다. WAS(Tomcat)와 DB(MariaDB)는 개발서버(101.79.17.164)를 그대로 쓴다.
+#
+# 선행 조건:
+#   1) /root/.ssh/id_arko_tunnel 키가 있고, 그 공개키가 WAS의 authorized_keys에
+#      restrict,permitopen="127.0.0.1:8088" 로 등록되어 있을 것
+#      (WAS에서 deploy/web/03-was-tunnel-key.sh 실행)
+#   2) csv.wise.ai.kr A/CNAME 레코드가 이 서버를 가리킬 것
 set -euo pipefail
 
-WAS_ADDR=${1:-101.79.17.164:8088}
 DOMAIN=csv.wise.ai.kr
+WAS_HOST=101.79.17.164
+KEY=/root/.ssh/id_arko_tunnel
 SRC_DIR=$(cd "$(dirname "$0")" && pwd)
 
 log() { echo -e "\n[$(date +'%F %T')] === $* ==="; }
 
-# ----------------------------------------------------------- 1. nginx 설치
+# ------------------------------------------------------- 1. 사전 확인
-log "1. nginx 확인"
+log "1. 사전 확인"
-if command -v nginx > /dev/null; then
+command -v nginx > /dev/null || { echo "nginx가 없다"; exit 1; }
-  nginx -v 2>&1
+nginx -v 2>&1
-else
+[ -f "$KEY" ] || { echo "터널 키가 없다: $KEY"; exit 1; }
-  echo "nginx 설치"
+echo "터널 키 확인"
-  apt-get update -qq
-  apt-get install -y nginx
-fi
 
-# sites-enabled 구조가 없는 배포판(예: RHEL 계열)이면 만들어 준다
+# --------------------------------------------------------- 2. 터널
-mkdir -p /etc/nginx/sites-available /etc/nginx/sites-enabled
+log "2. WAS 터널 서비스"
-if ! grep -q "sites-enabled" /etc/nginx/nginx.conf; then
+install -m 644 "$SRC_DIR/arko-was-tunnel.service" /etc/systemd/system/arko-was-tunnel.service
-  echo "경고: nginx.conf 가 sites-enabled 를 include 하지 않는다. 수동 확인 필요."
+systemctl daemon-reload
-fi
+systemctl enable arko-was-tunnel
+systemctl restart arko-was-tunnel
 
-# ------------------------------------------------- 2. WAS 도달 여부 확인
+for i in $(seq 1 20); do
-log "2. WAS 도달 확인 ($WAS_ADDR)"
+  ss -lnt 2>/dev/null | grep -q "127.0.0.1:8088" && break
-CODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 15 -H "Host: $DOMAIN" "http://$WAS_ADDR/" || echo 000)
+  sleep 1
-echo "http://$WAS_ADDR/ → HTTP $CODE"
+done
-if [ "$CODE" = "000" ]; then
+
-  cat <<EOF
+if ! ss -lnt 2>/dev/null | grep -q "127.0.0.1:8088"; then
-중단: WAS에 도달할 수 없다.
+  echo "터널이 열리지 않았다"
-  - WAS서버(101.79.17.164)에서 deploy/web/02-was-expose.sh <이 웹서버IP> 를 먼저 실행할 것
+  systemctl status arko-was-tunnel --no-pager | tail -15
-    (Tomcat 바인딩 확대 + 방화벽에서 이 서버 IP만 8088 허용)
-  - 같은 사설망이면 WAS주소를 10.0.1.6:8088 로 주고 다시 실행할 것
-EOF
   exit 1
 fi
+echo "터널 개통: 127.0.0.1:8088 → $WAS_HOST"
 
-# --------------------------------------------------------- 3. vhost 배치
+CODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 20 -H "Host: $DOMAIN" http://127.0.0.1:8088/ || echo 000)
-log "3. nginx 가상호스트 등록"
+echo "WAS 응답 → HTTP $CODE"
-install -m 644 "$SRC_DIR/$DOMAIN.conf" "/etc/nginx/sites-available/$DOMAIN.conf"
+[ "$CODE" = "200" ] || [ "$CODE" = "302" ] || { echo "WAS가 정상 응답하지 않는다"; exit 1; }
 
-# upstream 주소를 인자 값으로 교체
+# --------------------------------------------------------- 3. nginx
-sed -i "s|server 101.79.17.164:8088;|server $WAS_ADDR;|" "/etc/nginx/sites-available/$DOMAIN.conf"
+log "3. nginx 가상호스트"
-grep -n "server .*:8088;" "/etc/nginx/sites-available/$DOMAIN.conf"
+# 이 서버는 sites-enabled 없이 conf.d 만 include 한다
-
+install -m 644 "$SRC_DIR/$DOMAIN.conf" "/etc/nginx/conf.d/$DOMAIN.conf"
-ln -sfn "/etc/nginx/sites-available/$DOMAIN.conf" "/etc/nginx/sites-enabled/$DOMAIN.conf"
 
 if nginx -t; then
   systemctl reload nginx
   echo "nginx 반영 완료"
 else
-  rm -f "/etc/nginx/sites-enabled/$DOMAIN.conf"
+  rm -f "/etc/nginx/conf.d/$DOMAIN.conf"
-  echo "nginx 설정 오류 → 링크 제거하고 중단"
+  echo "nginx 설정 오류 → 제거하고 중단"
   exit 1
 fi
 
-# ------------------------------------------------------------- 4. 확인
-log "4. 프록시 확인"
 CODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 30 -H "Host: $DOMAIN" http://127.0.0.1/ || echo 000)
 echo "nginx 경유 → HTTP $CODE"
 curl -s --max-time 30 -H "Host: $DOMAIN" http://127.0.0.1/ | grep -oiE "<title>[^<]*</title>" | head -1
 
-# --------------------------------------------------------------- 5. SSL
+# ----------------------------------------------------------- 4. SSL
-log "5. SSL"
+log "4. SSL"
 if [ -d "/etc/letsencrypt/live/$DOMAIN" ]; then
-  echo "인증서 이미 존재"
+  echo "인증서 이미 존재 — 건너뜀"
 else
-  cat <<EOF
+  certbot --nginx -d "$DOMAIN" --non-interactive --agree-tos --redirect
-  DNS A 레코드($DOMAIN → 이 서버 IP)가 등록된 뒤에 실행할 것:
-      certbot --nginx -d $DOMAIN --non-interactive --agree-tos --redirect
-  certbot 미설치 시: apt-get install -y certbot python3-certbot-nginx
-EOF
 fi
 
 log "완료"
+echo "확인: https://$DOMAIN/"

deploy/web/03-was-tunnel-key.sh

@@ -0,0 +1,41 @@
+#!/usr/bin/env bash
+# WAS서버(zio-server / 101.79.17.164)에서 실행 — 웹서버의 터널 전용 공개키를 등록한다.
+#
+#   사용법: bash 03-was-tunnel-key.sh '<웹서버 공개키 한 줄>'
+#
+# WAS는 NAT 뒤에 있고 8088은 포워딩되지 않는다. 그래서 웹서버가 WAS로 SSH 터널을 열어
+# 자기 쪽 127.0.0.1:8088 을 WAS의 127.0.0.1:8088 에 연결한다.
+#
+# 이 키는 터널 외에는 아무것도 못 하도록 묶는다:
+#   restrict          모든 기능 비활성(셸/PTY/에이전트/X11 전부 차단)
+#   port-forwarding   그 중 포트 포워딩만 다시 허용
+#   permitopen        열 수 있는 대상을 127.0.0.1:8088 하나로 제한
+# 즉 이 키가 유출되어도 WAS에서 할 수 있는 일은 arko Tomcat 접속뿐이다.
+set -euo pipefail
+
+PUBKEY=${1:-}
+[ -n "$PUBKEY" ] || { echo "사용법: $0 '<공개키>'"; exit 1; }
+echo "$PUBKEY" | grep -q "^ssh-" || { echo "공개키 형식이 아니다"; exit 1; }
+
+AK=/root/.ssh/authorized_keys
+TS=$(date +%Y%m%d_%H%M%S)
+RESTRICT='restrict,port-forwarding,permitopen="127.0.0.1:8088"'
+
+mkdir -p /root/.ssh
+chmod 700 /root/.ssh
+touch "$AK"
+cp -f "$AK" "$AK.bak_$TS"
+echo "백업: $AK.bak_$TS"
+
+KEY_BODY=$(echo "$PUBKEY" | awk '{print $2}')
+if grep -q "$KEY_BODY" "$AK"; then
+  echo "이미 등록된 키 — 건너뜀"
+else
+  echo "$RESTRICT $PUBKEY" >> "$AK"
+  echo "등록 완료"
+fi
+chmod 600 "$AK"
+
+echo
+echo "=== 현재 authorized_keys (키 본문은 생략) ==="
+awk '{ printf "%-70s ... %s\n", substr($0,1,70), $NF }' "$AK"

deploy/web/04-prod-web-deploy.sh

@@ -0,0 +1,76 @@
+#!/usr/bin/env bash
+# 개발서버(zio-server)에서 실행 — 운영 웹서버로 정적 리소스를 배포한다.
+#
+#   설치 위치: /opt/arko-dev/bin/arko-prodweb-deploy.sh
+#   호출 주체: Gitea Actions(.gitea/workflows/deploy-dev.yml) 마지막 단계, 또는 수동
+#
+# 흐름:  git push → CI → 개발 WAS 배포 → (헬스체크 통과) → 이 스크립트 → 운영 웹 반영
+#
+# 방향이 개발 → 운영이다. 운영 웹서버(211.37.173.197)는 NAT 밖 공인망에 있고
+# SSH 9271이 열려 있어 개발서버에서 바로 접속할 수 있다.
+# 반대로 개발서버는 NAT 뒤라 운영에서 먼저 접속할 수 없다.
+#
+# 배포 대상은 방금 개발 WAS에 전개된 ROOT의 정적 리소스다.
+# WAR를 다시 풀지 않고 실제 서비스 중인 파일을 그대로 복사하므로
+# 개발과 운영 웹이 항상 같은 산출물을 바라본다.
+set -euo pipefail
+
+PROD_HOST=211.37.173.197
+PROD_PORT=9271
+PROD_USER=root
+KEY=/root/.ssh/id_arko_prodweb
+SRC_ROOT=/opt/arko-dev/tomcat/webapps/ROOT
+DEST=/var/www/csv.wise.ai.kr/static
+SITE=https://csv.wise.ai.kr/
+DIRS="images css js fonts new"
+
+log() { echo "[$(date +'%F %T')] $*"; }
+die() { echo "[$(date +'%F %T')] ERROR: $*"; exit 1; }
+
+SSH_OPTS="-p $PROD_PORT -i $KEY -o IdentitiesOnly=yes -o StrictHostKeyChecking=accept-new -o ConnectTimeout=20 -o BatchMode=yes"
+
+# ------------------------------------------------------------ 1. 사전 확인
+[ -f "$KEY" ] || die "배포 키가 없다: $KEY"
+[ -d "$SRC_ROOT" ] || die "전개된 ROOT가 없다: $SRC_ROOT (개발 배포가 선행되어야 한다)"
+
+log "운영 웹서버 접속 확인 ($PROD_HOST:$PROD_PORT)"
+ssh $SSH_OPTS "$PROD_USER@$PROD_HOST" "test -d $DEST" \
+  || die "접속 또는 대상 디렉토리 확인 실패 — 운영 웹에서 05-prodweb-prepare.sh 를 먼저 실행할 것"
+
+# ------------------------------------------------------------ 2. 동기화
+# --delete 는 쓰지 않는다. 운영 웹에만 있는 파일(수동 배치분)을 지워버릴 수 있고,
+# 정적 리소스는 누적되어도 문제가 없다. 대신 크기·시각이 다른 것만 전송한다.
+TOTAL=0
+for d in $DIRS; do
+  if [ ! -d "$SRC_ROOT/$d" ]; then
+    log "건너뜀(원본 없음): $d"
+    continue
+  fi
+  SIZE=$(du -sh "$SRC_ROOT/$d" | cut -f1)
+  log "동기화: $d ($SIZE)"
+  OUT=$(rsync -az --stats --human-readable \
+        -e "ssh $SSH_OPTS" \
+        "$SRC_ROOT/$d/" "$PROD_USER@$PROD_HOST:$DEST/$d/" 2>&1) || die "rsync 실패: $d"
+  N=$(echo "$OUT" | grep -oE "Number of regular files transferred: [0-9,]+" | grep -oE "[0-9,]+$" | tr -d ',')
+  N=${N:-0}
+  TOTAL=$((TOTAL + N))
+  log "  전송 $N 개"
+done
+log "총 전송 파일 수: $TOTAL"
+
+# ------------------------------------------------------------ 3. 검증
+log "운영 웹 확인"
+CODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 30 "$SITE" || echo 000)
+log "$SITE → HTTP $CODE"
+[ "$CODE" = "200" ] || [ "$CODE" = "302" ] || die "운영 웹이 정상 응답하지 않는다 (HTTP $CODE)"
+
+# 정적 파일이 실제로 운영 웹에서 나오는지 표본 확인.
+# X-Cache 헤더가 없으므로 nginx access_log 대신 응답 코드로만 판단한다.
+SAMPLE=$(find "$SRC_ROOT/images" -maxdepth 2 -type f \( -name "*.png" -o -name "*.jpg" -o -name "*.gif" \) 2>/dev/null | head -1)
+if [ -n "$SAMPLE" ]; then
+  REL=${SAMPLE#$SRC_ROOT}
+  SCODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 20 "https://csv.wise.ai.kr$REL" || echo 000)
+  log "표본 정적 파일 $REL → HTTP $SCODE"
+fi
+
+log "운영 웹 배포 완료"

deploy/web/05-prodweb-prepare.sh

@@ -0,0 +1,115 @@
+#!/usr/bin/env bash
+# 운영 웹서버(utimsurpai.cafe24.com / 211.37.173.197)에서 실행 — 자동 배포 수신 준비.
+#
+#   사용법: bash 05-prodweb-prepare.sh '<개발서버 공개키 한 줄>'
+#
+# 하는 일:
+#   1) 개발서버(101.79.17.164) 배포 키 등록 — 출발지 IP 고정 + 셸 부가기능 차단
+#   2) 정적 리소스 디렉토리 생성 (/var/www/csv.wise.ai.kr/static)
+#   3) nginx vhost의 정적 경로를 "로컬 파일 우선, 없으면 WAS 프록시"로 전환
+#
+# 3)이 핵심이다. 이렇게 해야 배포가 의미를 갖는다 —
+# 정적 파일을 운영 웹서버가 직접 서빙하므로 WAS 왕복과 SSH 터널 트래픽이 줄고,
+# 아직 배포되지 않은 파일은 @was 폴백으로 그대로 나가서 전환 중에도 깨지지 않는다.
+set -euo pipefail
+
+PUBKEY=${1:-}
+[ -n "$PUBKEY" ] || { echo "사용법: $0 '<공개키>'"; exit 1; }
+echo "$PUBKEY" | grep -q "^ssh-" || { echo "공개키 형식이 아니다"; exit 1; }
+
+DEV_IP=101.79.17.164
+DOMAIN=csv.wise.ai.kr
+STATIC_ROOT=/var/www/$DOMAIN/static
+VHOST=/etc/nginx/conf.d/$DOMAIN.conf
+TS=$(date +%Y%m%d_%H%M%S)
+
+# ------------------------------------------------------------ 1. 키 등록
+echo "=== 1. 배포 키 등록 ==="
+AK=/root/.ssh/authorized_keys
+mkdir -p /root/.ssh && chmod 700 /root/.ssh && touch "$AK"
+cp -f "$AK" "$AK.bak_$TS"
+
+# rsync를 써야 하므로 restrict(명령 실행 전면 차단)는 쓸 수 없다.
+# 대신 출발지 IP를 개발서버로 고정하고 부가 기능은 모두 끈다.
+OPTS="from=\"$DEV_IP\",no-agent-forwarding,no-port-forwarding,no-x11-forwarding,no-pty"
+KEY_BODY=$(echo "$PUBKEY" | awk '{print $2}')
+if grep -q "$KEY_BODY" "$AK"; then
+  echo "이미 등록됨 — 건너뜀"
+else
+  echo "$OPTS $PUBKEY" >> "$AK"
+  echo "등록 완료 (출발지 $DEV_IP 로 제한)"
+fi
+chmod 600 "$AK"
+
+# -------------------------------------------------- 2. 정적 디렉토리
+echo
+echo "=== 2. 정적 리소스 디렉토리 ==="
+mkdir -p "$STATIC_ROOT"
+chown -R nginx:nginx "/var/www/$DOMAIN" 2>/dev/null || chown -R root:root "/var/www/$DOMAIN"
+ls -ld "$STATIC_ROOT"
+
+# ------------------------------------------------------ 3. vhost 전환
+echo
+echo "=== 3. nginx 정적 경로 전환 ==="
+cp -f "$VHOST" "$VHOST.bak_$TS"
+echo "백업: $VHOST.bak_$TS"
+
+if grep -q "location @was" "$VHOST"; then
+  echo "이미 전환됨 — 건너뜀"
+else
+  # 기존 정적 location 블록(프록시)을 로컬 우선 + 폴백 구조로 교체한다.
+  python3 - "$VHOST" "$STATIC_ROOT" <<'PY'
+import re, sys
+path, static_root = sys.argv[1], sys.argv[2]
+src = open(path, encoding='utf-8').read()
+
+old = re.search(
+    r'\n[ \t]*# ?정적[^\n]*\n[ \t]*location ~\* \^/\(images\|css\|js\|fonts\|new\)/ \{.*?\n[ \t]*\}\n',
+    src, re.S)
+if not old:
+    old = re.search(r'\n[ \t]*location ~\* \^/\(images\|css\|js\|fonts\|new\)/ \{.*?\n[ \t]*\}\n', src, re.S)
+if not old:
+    print("정적 location 블록을 찾지 못했다 — 수동 확인 필요")
+    sys.exit(1)
+
+new = f'''
+    # 정적 리소스: 운영 웹서버가 직접 서빙하고, 없으면 WAS로 폴백한다.
+    # 배포(rsync)로 채워지는 경로 — 아직 없는 파일도 @was 덕분에 깨지지 않는다.
+    location ~* ^/(images|css|js|fonts|new)/ {{
+        root {static_root};
+        try_files $uri @was;
+        expires 10m;
+        add_header Cache-Control "public, max-age=600";
+        access_log off;
+    }}
+
+    # 정적 폴백 — 아직 배포되지 않은 파일은 개발 WAS에서 가져온다
+    location @was {{
+        proxy_pass         http://127.0.0.1:8088;
+        proxy_http_version 1.1;
+        proxy_set_header   Host              $host;
+        proxy_set_header   X-Real-IP         $remote_addr;
+        proxy_set_header   X-Forwarded-For   $proxy_add_x_forwarded_for;
+        proxy_set_header   X-Forwarded-Proto $scheme;
+        proxy_read_timeout 300s;
+    }}
+'''
+open(path, 'w', encoding='utf-8').write(src[:old.start()] + new + src[old.end():])
+print("정적 경로 전환 완료")
+PY
+fi
+
+echo
+echo "=== nginx 검증 ==="
+if nginx -t; then
+  systemctl reload nginx
+  echo "반영 완료"
+else
+  cp -f "$VHOST.bak_$TS" "$VHOST"
+  echo "설정 오류 → 백업 복구하고 중단"
+  exit 1
+fi
+
+echo
+echo "=== 확인 ==="
+curl -s -o /dev/null -w "https://$DOMAIN/ → %{http_code}\n" --max-time 30 "https://$DOMAIN/"

deploy/web/arko-was-tunnel.service

@@ -0,0 +1,40 @@
+# arko WAS 터널 — 웹서버(utimsurpai.cafe24.com)에서 개발서버 Tomcat으로
+# 설치 위치: /etc/systemd/system/arko-was-tunnel.service
+#
+# 왜 터널인가:
+#   WAS(101.79.17.164)는 NAT 뒤에 있고 8088은 포워딩되지 않는다(22/80/443만 열림).
+#   Tomcat도 127.0.0.1에만 바인딩되어 있다. 포트를 공개로 여는 대신,
+#   웹서버가 아웃바운드 SSH로 터널을 열어 자기 쪽 127.0.0.1:8088 을 WAS의 Tomcat에 잇는다.
+#   - NAT 변경 불필요, 구간 암호화, Tomcat이 인터넷에 직접 노출되지 않음
+#   - 같은 서버의 uiws-tunnel(5432)과 동일한 방식
+#
+# 키는 WAS의 authorized_keys에서 restrict,permitopen="127.0.0.1:8088" 로 묶여 있어
+# 셸 접근은 불가능하고 이 포트 외에는 열 수 없다.
+[Unit]
+Description=SSH tunnel to arko DEV WAS (101.79.17.164:8088)
+After=network-online.target
+Wants=network-online.target
+Before=nginx.service
+
+[Service]
+Type=simple
+ExecStart=/usr/bin/ssh -N -T \
+    -o ExitOnForwardFailure=yes \
+    -o ServerAliveInterval=30 \
+    -o ServerAliveCountMax=3 \
+    -o StrictHostKeyChecking=accept-new \
+    -o UserKnownHostsFile=/root/.ssh/known_hosts \
+    -o IdentitiesOnly=yes \
+    -i /root/.ssh/id_arko_tunnel \
+    -L 127.0.0.1:8088:127.0.0.1:8088 \
+    root@101.79.17.164
+
+# 끊기면 계속 재연결한다 — 개발서버가 재부팅되는 일이 잦다(2026-07-29 하루 두 번)
+Restart=always
+RestartSec=10
+
+User=root
+Group=root
+
+[Install]
+WantedBy=multi-user.target

deploy/web/csv.wise.ai.kr.conf

@@ -1,22 +1,12 @@
-# csv.wise.ai.kr — arko_renual 웹 티어 (별도 웹서버에 설치)
+# csv.wise.ai.kr — arko_renual 웹 티어 (utimsurpai.cafe24.com / 211.37.173.197)
 #
-# 구성:  브라우저 → [웹서버] nginx 443 → [WAS서버 101.79.17.164] Tomcat 8088
+# 구성:  브라우저 → nginx 443 → [SSH 터널] 127.0.0.1:8088 → WAS(101.79.17.164) Tomcat
-#        DB는 WAS서버의 MariaDB(csv)를 그대로 사용한다. 웹서버는 DB에 접근하지 않는다.
+#        DB는 WAS서버의 MariaDB(csv)를 그대로 쓴다. 이 서버는 DB에 접근하지 않는다.
 #
-# 설치 위치: /etc/nginx/sites-available/csv.wise.ai.kr.conf
+# 설치 위치: /etc/nginx/conf.d/csv.wise.ai.kr.conf   (이 서버는 sites-enabled를 쓰지 않는다)
-#            → /etc/nginx/sites-enabled/ 에 심볼릭 링크
 #
-# 선행 조건:
+# 127.0.0.1:8088 은 arko-was-tunnel.service 가 만들어 준다.
-#   1) csv.wise.ai.kr A 레코드 → 이 웹서버 IP (현재 미등록)
+# 터널이 죽으면 502가 나므로 장애 시 `systemctl status arko-was-tunnel` 부터 확인할 것.
-#   2) WAS서버에서 8088을 이 웹서버 IP에만 개방 (deploy/web/02-was-expose.sh)
-#   3) HTTP로 먼저 올린 뒤 certbot --nginx 가 SSL 블록을 주입
-
-# WAS 백엔드 — 설치 시 실제 도달 가능한 주소로 바꿀 것
-#   같은 사설망이면 10.0.1.6:8088, 공인망 경유면 101.79.17.164:8088
-upstream arko_was {
-    server 101.79.17.164:8088;
-    keepalive 16;
-}
 
 server {
     server_name csv.wise.ai.kr;
@@ -24,16 +14,15 @@ server {
     # 자원봉사 활동사진·첨부파일 업로드가 있어 기본 1m로는 부족하다
     client_max_body_size 100m;
 
-    # 개발서버이므로 검색엔진 색인 차단
+    # 개발 환경이므로 검색엔진 색인 차단
     add_header X-Robots-Tag "noindex, nofollow" always;
 
     access_log /var/log/nginx/csv.wise.ai.kr.access.log;
     error_log  /var/log/nginx/csv.wise.ai.kr.error.log;
 
     location / {
-        proxy_pass         http://arko_was;
+        proxy_pass         http://127.0.0.1:8088;
         proxy_http_version 1.1;
-        proxy_set_header   Connection "";
 
         # Host를 그대로 넘겨야 WAS가 csv.wise.ai.kr 기준으로 링크를 만든다
         proxy_set_header   Host              $host;
@@ -53,11 +42,10 @@ server {
         proxy_buffers      8 16k;
     }
 
-    # 정적 리소스 — 웹서버에서 짧게 캐시 (WAS 왕복을 줄인다)
+    # 정적 리소스는 브라우저 캐시만 짧게 준다(개발 환경이라 길게 잡지 않음)
     location ~* ^/(images|css|js|fonts|new)/ {
-        proxy_pass       http://arko_was;
+        proxy_pass       http://127.0.0.1:8088;
         proxy_set_header Host $host;
-        proxy_cache_valid 200 10m;
         expires 10m;
         add_header Cache-Control "public, max-age=600";
     }