시스템 관리_25 Nginx 업스트림 소켓 Permission denied 권한 거부로 인한 502 Bad Gateway 오류 원인 분석 및 해결 가이드

# 1. 클라이언트 요청 테스트 및 502 응답 확인
$ curl -Iv http://example.com/
* Connected to example.com (192.168.1.100) port 80
< HTTP/1.1 502 Bad Gateway
< Server: nginx
# -> 502 응답 발생 확인

# 2. Nginx 에러 로그에서 Permission denied 원인 확인
$ sudo tail -n 20 /var/log/nginx/error.log
# [출력 예시]
# [error] 1512#1512: *1 connect() to unix:/run/php/php8.2-fpm.sock failed (13: Permission denied) while connecting to upstream, client: 203.0.113.10, server: example.com, request: "GET / HTTP/1.1", upstream: "fastcgi://unix:/run/php/php8.2-fpm.sock:", host: "example.com"
# 또는 Gunicorn/uWSGI 연동 시:
# [error] 1512#1512: *2 connect() to unix:/var/run/gunicorn/app.sock failed (13: Permission denied) while connecting to upstream ...

# 3. Nginx 워커 프로세스 실행 계정 확인 (master가 아닌 worker 프로세스 계정 확인 필수)
$ ps -ef | grep -E "nginx: worker" | awk '{print $1}' | head -n 1
www-data

# 4. 소켓 파일 및 상위 경로 전체의 권한 및 소유권 트리 추적 (namei)
$ namei -om /run/php/php8.2-fpm.sock
# f: /run/php/php8.2-fpm.sock
#  drwxr-xr-x root     root     /
#  drwxr-xr-x root     root     run
#  drwxr-xr-x root     root     php
#  srw-rw---- root     root     php8.2-fpm.sock  <-- 소유권이 root:root이며 권한이 660이라 www-data 접근 불가!

# 5. RHEL/CentOS/Rocky 계열 SELinux 거부 감사 로그 확인
$ sudo ausearch -m avc -ts recent | grep nginx
# type=AVC msg=audit(...): avc:  denied  { write } for  pid=1512 comm="nginx" name="app.sock" dev="tmpfs" ino=1234 scontext=system_u:system_r:httpd_t:s0 tcontext=system_u:object_r:var_run_t:s0 tclass=sock_file permissive=0

#!/bin/bash
# check_socket_perm.sh - Diagnose Nginx upstream Unix Domain Socket permission denied issues

SOCKET_PATH=${1:-"/run/php/php8.2-fpm.sock"}

echo "=========================================="
echo " [Nginx 소켓 권한 및 502 원인 진단]"
echo " 대상 소켓 경로: ${SOCKET_PATH}"
echo "=========================================="

# 1. 소켓 파일 실재 여부 및 소켓 타입 확인
if [ ! -e "$SOCKET_PATH" ]; then
    echo "  [오류] 지정한 소켓 파일이 존재하지 않습니다."
    echo "  -> 백엔드 데몬(PHP-FPM, Gunicorn, uWSGI 등)이 실행 중인지 확인하십시오."
    exit 1
fi

if [ ! -S "$SOCKET_PATH" ]; then
    echo "  [주의] 해당 파일은 유닉스 소켓(Socket) 파일이 아닙니다."
fi

# 2. Nginx 워커 프로세스 계정 추출
NGINX_WORKER_USER=$(ps -eo user,cmd | grep "nginx: worker process" | grep -v grep | awk '{print $1}' | head -n 1)

if [ -z "$NGINX_WORKER_USER" ]; then
    echo "  [경고] 실행 중인 Nginx 워커 프로세스를 찾을 수 없습니다."
    NGINX_WORKER_USER="www-data"
fi

echo -e "\n[1] 프로세스 및 소켓 메타데이터:"
echo "  - Nginx 워커 실행 계정: ${NGINX_WORKER_USER}"

SOCK_OWNER=$(stat -c "%U" "$SOCKET_PATH")
SOCK_GROUP=$(stat -c "%G" "$SOCKET_PATH")
SOCK_PERM=$(stat -c "%a" "$SOCKET_PATH")

echo "  - 소켓 파일 소유자    : ${SOCK_OWNER}"
echo "  - 소켓 파일 소유 그룹  : ${SOCK_GROUP}"
echo "  - 소켓 파일 권한 모드  : ${SOCK_PERM}"

# 3. Nginx 워커 계정 권한으로 소켓 쓰기 테스트 시도
echo -e "\n[2] Nginx 계정 접근 권한 시뮬레이션:"
sudo -u "$NGINX_WORKER_USER" test -w "$SOCKET_PATH" 2>/dev/null
if [ $? -eq 0 ]; then
    echo "  [정상] 계정 '${NGINX_WORKER_USER}'가 소켓에 쓰기 접근이 가능합니다."
else
    echo "  [오류] 계정 '${NGINX_WORKER_USER}'는 소켓 파일에 쓰기(Write) 권한이 없습니다!"
    echo "  -> Nginx 에러 로그의 (13: Permission denied) 유발 직접 원인."
fi

# 4. 상위 디렉터리 실행(x) 권한 점검
SOCK_DIR=$(dirname "$SOCKET_PATH")
sudo -u "$NGINX_WORKER_USER" test -x "$SOCK_DIR" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "  [위험] 계정 '${NGINX_WORKER_USER}'가 소켓 상위 디렉터리(${SOCK_DIR})의 실행(x) 탐색 권한이 없습니다."
fi

# 5. SELinux 차단 여부 점검 (활성화된 경우)
echo -e "\n[3] SELinux 상태 점검:"
if command -v getenforce &>/dev/null && [ "$(getenforce)" != "Disabled" ]; then
    SE_STATUS=$(getenforce)
    echo "  - SELinux 모드: ${SE_STATUS}"
    
    RECENT_DENIALS=$(ausearch -m avc -ts recent 2>/dev/null | grep -c "nginx.*sock_file.*denied")
    if [ "$RECENT_DENIALS" -gt 0 ]; then
        echo "  [경고] SELinux에 의한 Nginx 소켓 접근 차단 로그가 감지되었습니다 ($RECENT_DENIALS 건)."
        echo "  -> 조치 가이드: chcon 또는 semanage fcontext로 소켓 컨텍스트를 httpd_var_run_t 등으로 변경해야 합니다."
    else
        echo "  [정상] 최근 SELinux 소켓 차단 이벤트가 없습니다."
    fi
else
    echo "  - SELinux가 비활성화되어 있거나 미설치 환경입니다."
fi

echo -e "\n=========================================="
echo " [진단 완료]"
echo "=========================================="

sudo systemctl restart php8.2-fpm

# systemd 서비스 파일 예시 (/etc/systemd/system/gunicorn.service)
[Service]
User=appuser
Group=www-data
UMask=0007
ExecStart=/usr/local/bin/gunicorn --workers 3 --bind unix:/run/gunicorn/app.sock wsgi:app

# 특정 소켓 경로 영구 컨텍스트 등록
sudo semanage fcontext -a -t httpd_var_run_t "/run/gunicorn(/.*)?"
sudo restorecon -Rv /run/gunicorn