¿Cómo soluciono los problemas con las reglas de Route 53 Resolver con la resolución de DNS en las VPC?

Resolución

Nueva asociación de la regla de Resolver

Si desasocias una regla de Resolver de tu VPC, Resolver ya no reenviará las consultas de DNS a los solucionadores de DNS. Para resolver este problema, vuelve a asociar la regla con la VPC. Para solucionar problemas relacionados con una regla que has compartido, consulta Sharing Resolver rules with other AWS accounts and using shared rules (Uso compartido de las reglas de Resolver con otras cuentas de AWS y uso de las reglas compartidas).

Nota: Únicamente puedes asociar las reglas de Resolver a las VPC de tu cuenta.

Solución de los problemas de resolución de DNS

Haz lo siguiente:

• Comprueba que hayas activado la resolución de DNS y los nombres de host de DNS de tu VPC. Para obtener más información, consulta Ver y actualizar los atributos de DNS de tu VPC.
• Confirma que has asociado el ID de Amazon VPC correcto a la zona alojada privada.
• Comprueba que consultes los registros de recursos desde la misma VPC. Para obtener más información, consulta ¿Cómo registro una consulta en Amazon Route 53?
• Comprueba que hayas configurado correctamente las reglas de reenvío de las zonas alojadas privadas hacia Route 53 Resolver. Consulta Viewing and editing forwarding rules (Visualización y edición de las reglas de reenvío).
• Asegúrate de que los espacios de nombres de los dominios y subdominios de la zona alojada privada no se superpongan.

Solución de problemas con las reglas de Resolver

Haz lo siguiente:

• Confirma que Route 53 Resolver use la regla especificada al evaluar las reglas. Para obtener más información, consulta Values that you specify when you create or edit rules (Valores que se especifican al crear o editar reglas).
• Comprueba si hay reglas de DNS inverso autodefinidas en la VPC e invalídalas.
• Si has activado la resolución de DNS y los nombres de host de DNS en la VPC, confirma que las zonas alojadas privadas asociadas incluyan la zona alojada privada.
• Comprueba si has creado varias reglas con el mismo dominio que has asociado a la VPC. Si aplicas más de una regla, es posible que el dominio no funcione.

Nota: Si la regla de reenvío de Resolver y la zona alojada privada se superponen, la regla de Resolver tiene prioridad.

Solución de problemas con las reglas de reenvío de DNS

Cuando usas reglas de reenvío de DNS para resolver los dominios internos que alojas en servidores DNS de otras cuentas, es posible que recibas el error «connection refused». El error puede producirse incluso cuando las configuraciones del grupo de seguridad y de la lista de control de acceso de la red (ACL de la red) parecen correctas.

Para solucionar este problema, comprueba las configuraciones de enrutamiento y los flujos de tráfico entre la cuenta del punto de enlace de Resolver de salida y la cuenta que aloja el servidor DNS.

En el caso de los puntos de enlace de salida, sigue estos pasos:

• Asegúrate de que la regla de Resolver tenga la IP correcta del servidor DNS local.
• Asegúrate de que el grupo de seguridad de los puntos de enlace de salida permita el tráfico TCP y UDP de salida a las direcciones IP y los puertos del servidor DNS.
• Verifica que las ACL de la red permitan el tráfico TCP y UDP a las direcciones IP o puertos del servidor DNS y a los puertos efímeros (1024-65535).
• Comprueba que la tabla de enrutamiento de la subred de los puntos de enlace de salida contenga una ruta para las direcciones IP del servidor local a través de la conexión de VPN o AWS Direct Connect.

Para obtener más información, consulta Managing outbound endpoints (Administración de los puntos de enlace de salida).

Para probar la conectividad desde una instancia de Amazon Elastic Compute Cloud (Amazon EC2) ubicada en la misma subred que los puntos de enlace de salida, sigue estos pasos:

• Ejecuta los comandos dig o nslookup directamente en la dirección IP del solucionador de DNS local.
• Envía un ping a un host local que permita que el protocolo de control de mensajes de Internet (ICMP) verifique la conexión.

Asegúrate de que el cliente de origen envíe las consultas a AmazonProvidedDNS en lugar de enviarlas directamente al punto de enlace de salida. A continuación, AmazonProvidedDNS reenvía las consultas a través del punto de enlace de salida a las direcciones IP de destino según la configuración de la regla de Resolver. Para obtener más información, consulta Public DNS query logging (Registro de consultas de DNS público).

Al solucionar problemas de respuestas de DNS, utiliza dig o nslookup para realizar consultas directamente en la dirección IP del servidor DNS local. Consulta QUESTION SECTION (SECCIÓN DE PREGUNTAS) para verificar que el nombre, la clase y el tipo de registro sean correctos. Además, comprueba el código de respuesta de NXDOMAIN, que indica que no existe ningún registro, o SERVFAIL, que indica que hay problemas de tiempo de espera o de ruta.

Comprobación de si el perfil de Route 53 Resolver anula la VPC

Cuando asocias una VPC a un perfil de Resolver que tiene la regla predeterminada «.», el perfil tiene prioridad sobre la regla recursiva predeterminada de la VPC. Sin embargo, el estado de asociación de las reglas de Resolver de la VPC no aparece como anulado. Para obtener más información, consulta How Route 53 Resolver endpoint forwards DNS queries from your VPCs to your network (Cómo el punto de enlace de Route 53 Resolver reenvía las consultas de DNS de las VPC a la red).

Resolución del error SERVFAIL para dominios TLD, como .local

Route 53 administra ciertos dominios de nivel superior (TLD), como .local, como dominios locales de enlace. Si intentas resolver dominios que terminan en .local en un sistema de distribución como Ubuntu, es posible que aparezca un error SERVFAIL. Para resolver este problema, reinicia las instancias de la VPC con un nuevo conjunto de opciones del protocolo de configuración dinámica de host (DHCP).

Revisión de los registros de consultas y de los registros de flujo de VPC

Revisa las consultas de DNS y comprueba si hay errores en los registros de consultas de Route 53 Resolver. Además, revisa los registros de flujo de la VPC y captura los paquetes para identificar el tráfico de red bloqueado o anulado.

Información relacionada

¿Cómo configuro un punto de enlace de salida de Route 53 Resolver para resolver los registros DNS alojados en una red remota a partir de los recursos de mi VPC?

¿Cómo configuro un punto de enlace de entrada de Route 53 Resolver para resolver los registros de DNS de mi zona alojada privada desde mi red remota?