Comment dépanner et résoudre les problèmes de résolution d’enregistrements CNAME liés aux zones hébergées privées et aux configurations intercomptes dans AWS Route53 ?

Résolution

Configurez la journalisation des requêtes DNS dans votre cloud privé virtuel (VPC) et dans la zone hébergée. Identifiez les problèmes de résolution des enregistrements CNAME, puis effectuez les opérations suivantes en fonction des problèmes détectés dans vos journaux.

Les cibles CNAME ne prennent pas en charge IPv6

Lorsqu'un enregistrement CNAME pointe vers une ressource sans adresses IPv6 configurées, les requêtes DNS relatives aux enregistrements AAAA renvoient une réponse CNAME sans adresse IPv6. Pour résoudre ce problème, choisissez l'une des solutions suivantes en fonction de votre configuration.

Remarque : Il est recommandé de tester vos modifications dans un environnement hors production avant de les appliquer à la production.

Application Load Balancers

Mettez à jour le type d'adresse IP de votre Application Load Balancer pour utiliser à la fois des adresses IPv4 et IPv6.

Distributions Amazon CloudFront

Créez un enregistrement AAAA dans votre zone hébergée. Puis, aoutez Les adresses IPv6 de votre distribution à l'enregistrement AAAA.

Les enregistrements CNAME ne sont pas résolus dans les zones hébergées privées

Si vos enregistrements CNAME ne sont pas résolus dans une zone hébergée privée, procédez comme suit :

• Vérifiez que vous avez correctement configuré l'enregistrement CNAME dans votre zone privée hébergée. Assurez-vous que l'enregistrement pointe vers le nom de domaine ou l'alias correct et qu'il ne contient aucun suffixe ou préfixe supplémentaire.
• Vérifiez que les paramètres du résolveur DNS dans AWS Directory Service pour Microsoft Active Directory (AWS Managed Microsoft AD) transmettent les requêtes aux points de terminaison appropriés de Route 53 Resolver.
• Vérifiez que les règles de votre groupe de sécurité VPC autorisent le trafic DNS entrant depuis AWS Managed Microsoft AD vers les points de terminaison de Route 53 Resolver. Puis, vérifiez que vos règles autorisent le trafic DNS sortant depuis les points de terminaison de Route 53 Resolver vers votre Active Directory géré.

Si le problème persiste, créez une nouvelle zone privée hébergée et reconfigurez les paramètres DNS dans votre AD géré. Testez la résolution DNS pour vérifier que vous avez résolu le problème.

Le CNAME ne se résout pas entre les comptes

Si votre enregistrement CNAME pointe vers une ressource AWS et renvoie une erreur "NXDOMAIN" pour des comptes AWS spécifiques, effectuez les actions suivantes :

• Vérifiez que vous avez partagé la règle de résolution du domaine avec vos comptes actifs et non actifs. Pour plus d'informations, consultez la section Pour afficher le statut de partage et partager les règles avec un autre compte AWS de la rubrique Partager les groupes de règles du pare-feu DNS de Route 53 Resolver entre les comptes AWS.
• Vérifiez les zones hébergées privées dans les comptes non fonctionnels pour détecter les domaines, les sous-domaines et les domaines racine qui se chevauchent. Par exemple, le domaine p-southeast-1.amazonaws.com, le sous-domaine efs.ap-southeast-1.amazonaws.com et le domaine racine amazonaws.com se chevauchent.
• Résolvez la valeur CNAME par rapport aux adresses IP cibles dans votre règle de résolution, puis comparez le comportement avec le résolveur DNS du VPC par défaut.

La propagation du DNS est lente ou échoue

Des retards ou des échecs de propagation DNS peuvent survenir lorsque vous ajoutez ou modifiez des enregistrements CNAME dans Route 53. Si vos serveurs de noms renvoient des réponses "SERVFAIL", corrigez les retards de propagation DNS.

Vérifiez si des enregistrements existants portent le même nom que votre enregistrement CNAME nouveau ou modifié. Si un enregistrement du même nom existe, réduisez la valeur TTL (durée de vie) de l'enregistrement. Pour en savoir plus, consultez la section Utilisation d’enregistrements.

Utilisez l'un des outils de résolution de problèmes DNS suivants pour suivre la résolution DNS et identifier les serveurs de noms défaillants :

• La commande dig.
• DNSViz sur le site Web de DNSViz.
• L'outil de recherche DNS en ligne de l'interface Web Dig sur le site Web de l'interface Web Dig.

Si le problème ne concerne que des résolveurs DNS spécifiques, contactez votre bureau d'enregistrement de domaines pour obtenir de l'aide.

Le CNAME ne se résout pas à cause du pare-feu DNS

Si la liste d'autorisation du pare-feu DNS de Route 53 Resolver ne contient pas les valeurs CNAME de votre VPC, cela signifie que vos enregistrements CNAME ne sont pas résolus. Vérifiez que la liste d'autorisation du pare-feu DNS contient l'enregistrement CNAME vers lequel pointent vos domaines. Si ce dernier est manquant, ajoutez-le à la liste.

Remarque : Après avoir mis à jour le groupe de règles, attendez quelques minutes jusqu’à ce que les modifications se propagent.

Pour plus d'informations, consultez la section Comment fonctionne le pare-feu DNS de Route 53 Resolver.

Résoudre les problèmes liés au DNS et les résoudre

Si vous rencontrez des échecs DNS partiels ou intermittents, consultez la section Comment fonctionne le DNS et comment résoudre les échecs DNS partiels ou intermittents ?

Vérifiez l'état de vos points de terminaison Route 53 Resolver. Si votre surveillance d’état échoue, consultez la section Comment puis-je résoudre les problèmes liés aux surveillances de l’état de Route 53 non saines ?Vérifiez la connectivité réseau entre le résolveur DNS et les points de terminaison. Assurez-vous que les ports nécessaires sont ouverts dans vos groupes de sécurité et votre liste de contrôle d'accès au réseau (ACL réseau). Pour plus d’informations, consultez la section Comment puis-je résoudre les problèmes de résolution DNS liés aux points de terminaison de Route 53 Resolver ?

Si votre problème concerne une ressource ou une instance spécifique, vérifiez que les paramètres de l'interface réseau, les règles du groupe de sécurité et les paramètres DNS de l'instance sont corrects.

Informations connexes

Résolution des requêtes DNS entre les VPC et votre réseau

Considérations relatives à l'utilisation d'une zone hébergée privée