# 기존에 설치된 certbot이 있다면 제거합니다.
sudo apt-get remove certbot

# snapd를 최신 버전으로 업데이트하고 certbot을 설치합니다.
sudo snap install --classic certbot

# certbot 명령을 바로 사용할 수 있도록 심볼릭 링크를 생성합니다.
sudo ln -s /snap/bin/certbot /usr/bin/certbot

# --nginx 플러그인을 사용하고, -d 옵션으로 필요한 모든 도메인을 나열합니다.
sudo certbot --nginx -d your-domain.com -d test1.your-domain.com -d test2.your-domain.com -d test3.your-domain.com

# 실제 갱신을 하지는 않고, 갱신 프로세스가 정상적으로 동작하는지 시뮬레이션합니다.
sudo certbot renew --dry-run

# 각 서브도메인이 사용할 내부 애플리케이션의 포트를 미리 정의해두면 관리가 편합니다.
# test1.your-domain.com -> localhost:3001
# test2.your-domain.com -> localhost:3002
# test3.your-domain.com -> localhost:3003

# ==============================================================
# 메인 도메인(your-domain.com) 서버 블록
# ==============================================================
server {
    server_name your-domain.com; # 이 서버 블록이 처리할 도메인 이름입니다.

    # 여기에 메인 도메인에 대한 설정을 추가합니다.
    # 예를 들어, 정적 웹사이트를 제공한다면 root 와 index 지시자를 사용합니다.
    root /var/www/main; # 메인 웹사이트 파일이 위치한 경로
    index index.html index.htm;

    listen 443 ssl; # 443 포트에서 SSL 통신을 리스닝합니다.
    # 아래 두 줄은 Certbot이 자동으로 추가해주는 SSL 인증서 경로입니다. 건드리지 마세요.
    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem; # 발급받은 인증서 전체 체인
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem; # 개인 키

    # Certbot이 권장하는 SSL 관련 보안 설정을 포함합니다.
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
}

# ==============================================================
# 서브도메인 1 (test1.your-domain.com) 리버스 프록시 서버 블록
# ==============================================================
server {
    server_name test1.your-domain.com; # 이 서버 블록은 test1 서브도메인을 처리합니다.

    location / {
        # 이 경로로 들어온 모든 요청을 아래 주소로 전달(프록시)합니다.
        # http://localhost:3001 은 내부에서 실행 중인 첫 번째 애플리케이션을 의미합니다.
        proxy_pass http://localhost:3001;

        # 프록시 관련 중요 헤더 설정입니다.
        # 실제 클라이언트의 IP 주소를 백엔드 서버로 전달합니다.
        proxy_set_header X-Real-IP $remote_addr;
        # 프록시 서버를 거쳤다는 것을 알려주고, 거쳐온 프록시 서버들의 IP를 기록합니다.
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # 웹소켓(WebSocket) 같은 연결을 위해 Upgrade 와 Connection 헤더를 설정합니다.
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        # 호스트 헤더를 설정하여 백엔드 서버가 올바른 도메인 요청으로 인지하게 합니다.
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
    }

    listen 443 ssl; # 443 포트에서 SSL 통신을 리스닝합니다.
    # 메인 도메인과 동일한 인증서를 사용합니다. Certbot이 모든 도메인을 묶어 하나의 인증서를 발급했기 때문입니다.
    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
}

# ==============================================================
# 서브도메인 2 (test2.your-domain.com) 리버스 프록시 서버 블록
# ==============================================================
server {
    server_name test2.your-domain.com; # 이 서버 블록은 test2 서브도메인을 처리합니다.

    location / {
        # 요청을 내부 포트 3002번으로 전달합니다.
        proxy_pass http://localhost:3002;
        # 헤더 설정은 위와 동일하게 적용합니다.
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
    }

    # SSL 설정도 동일하게 적용합니다.
    listen 443 ssl;
    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
}

# ==============================================================
# 서브도메인 3 (test3.your-domain.com) 리버스 프록시 서버 블록
# ==============================================================
server {
    server_name test3.your-domain.com; # 이 서버 블록은 test3 서브도메인을 처리합니다.

    location / {
        # 요청을 내부 포트 3003번으로 전달합니다.
        proxy_pass http://localhost:3003;
        # 헤더 설정은 위와 동일하게 적용합니다.
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
    }

    # SSL 설정도 동일하게 적용합니다.
    listen 443 ssl;
    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
}

# ==============================================================
# HTTP(80) 요청을 HTTPS로 리디렉션하는 서버 블록
# Certbot이 보통 자동으로 생성해줍니다.
# ==============================================================
server {
    listen 80;
    # 여기에 명시된 모든 도메인에 대한 HTTP(80) 요청을 처리합니다.
    server_name your-domain.com test1.your-domain.com test2.your-domain.com test3.your-domain.com;
    # $host 변수는 요청된 도메인 이름을 그대로 사용하며, $request_uri는 도메인 뒤의 경로를 의미합니다.
    # 301 리디렉션(영구 이동)을 통해 모든 HTTP 요청을 HTTPS로 보냅니다.
    return 301 https://$host$request_uri;
}

# Nginx 설정 파일에 문법 오류가 없는지 확인합니다.
sudo nginx -t

# 오류가 없다면 Nginx 서비스를 재시작하여 설정을 적용합니다.
sudo systemctl restart nginx

# 자격 증명 파일을 저장할 디렉터리를 만들고 권한을 설정합니다.
sudo mkdir -p /root/.secrets/certbot
sudo chmod 0700 /root/.secrets/certbot

# 설정 파일을 만들고 내용을 작성합니다.
sudo nano /root/.secrets/certbot/cloudflare.ini

# Cloudflare API token used by Certbot
dns_cloudflare_api_token = "여기에_복사한_API_토큰을_붙여넣으세요"

# 파일 권한을 엄격하게 설정하여 보안을 강화합니다.
sudo chmod 0600 /root/.secrets/certbot/cloudflare.ini

sudo apt update
sudo apt install python3-certbot-dns-cloudflare -y

sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /root/.secrets/certbot/cloudflare.ini \
  -d your-domain.com \
  -d '*.your-domain.com'