Come posso correggere i problemi di risoluzione dei record CNAME con zone private ospitate e configurazioni multi-account in AWS Route 53?

Risoluzione

Configura la registrazione delle query DNS nel cloud privato virtuale (VPC) e nella zona ospitata. Identifica i problemi di risoluzione dei record CNAME, quindi intraprendi le seguenti azioni in base ai problemi identificati nei log.

La destinazione CNAME non supporta IPv6

Quando un record CNAME punta verso una risorsa senza indirizzi IPv6 configurati, le query DNS per i record AAAA restituiscono una risposta CNAME senza un indirizzo IPv6. Per ovviare al problema, scegli una delle seguenti soluzioni in base alla configurazione.

Nota: è consigliabile verificare le modifiche in un ambiente non di produzione prima di applicarle alla produzione.

Application Load Balancer

Aggiorna il tipo di indirizzo IP dell'Application Load Balancer per utilizzare sia gli indirizzi IPv4 che gli indirizzi IPv6.

Distribuzioni di Amazon CloudFront

Crea un record AAAA nella zona ospitata. Quindi aggiungi gli indirizzi IPv6 della distribuzione al record AAAA.

I record CNAME non si risolvono nelle zone ospitate private

Se i record CNAME non si risolvono in una zona ospitata privata, intraprendi le seguenti azioni:

• Verifica di aver configurato correttamente il record CNAME nella zona ospitata privata. Assicurati che il record punti verso il nome di dominio o l'alias corretto e che non contenga suffissi o prefissi aggiuntivi.
• Verifica che le impostazioni del risolutore DNS nel Servizio di directory AWS per Microsoft Active Directory (Microsoft AD gestito da AWS) inoltrino le query agli endpoint del risolutore Route 53 corretti.
• Verifica che le regole del gruppo di sicurezza VPC consentano il traffico DNS in entrata da Microsoft AD gestito da AWS agli endpoint del risolutore Route 53. Quindi verifica che le regole consentano il traffico DNS in uscita dagli endpoint del risolutore Route 53 verso l'AD gestito.

Se il problema persiste, crea una nuova zona ospitata privata e riconfigura le impostazioni DNS nell'AD gestito. Verifica la risoluzione DNS per assicurarti di aver risolto il problema.

Il CNAME non si risolve nelle configurazioni multi-account

Se il record CNAME rimanda a una risorsa AWS e restituisce un "NXDOMAIN"errore per account AWS specifici, esegui queste azioni:

• Verifica di aver condiviso la regola del risolutore del dominio con gli account funzionanti e non funzionanti. Per ulteriori informazioni, consulta Per visualizzare lo stato di condivisione e condividere i gruppi di regole con un altro account AWS in Condivisione dei gruppi di regole del firewall DNS del risolutore Route 53 tra account AWS.
• Controlla le zone ospitate private negli account non funzionanti per individuare domini, sottodomini e domini root che si sovrappongono. Ad esempio, il dominio p-southeast-1.amazonaws.com, il sottodominio efs.ap-southeast-1.amazonaws.com e il dominio root amazonaws.com si sovrappongono.
• Risolvi il valore CNAME rispetto agli indirizzi IP di destinazione nella regola del risolutore, quindi confronta il comportamento con il risolutore DNS del VPC predefinito.

La propagazione DNS è lenta o non riesce

Quando aggiungi o modifichi record CNAME in Route 53, possono verificarsi ritardi o errori di propagazione DNS. Se i server dei nomi restituiscono risposte "SERVFAIL", risolvi i problemi relativi ai ritardi di propagazione DNS.

Verifica la presenza di record esistenti con lo stesso nome del record CNAME nuovo o modificato. Se esiste un record con lo stesso nome, riduci il valore TTL (time-to-live) del record. Per ulteriori informazioni, consulta Utilizzo dei record.

Utilizza uno dei seguenti strumenti di risoluzione dei problemi DNS per tracciare la risoluzione DNS e identificare i server dei nomi non funzionanti:

• Comando dig.
• DNSViz sul sito web DNSViz.
• Strumento di ricerca DNS online dell'interfaccia web Dig sul sito web dell'interfaccia web Dig.

Se il problema riguarda solo risolutori DNS specifici, contatta il registrar di domini per ricevere assistenza.

Il CNAME non si risolve a causa del firewall DNS

Se la lista di indirizzi consentiti del firewall DNS del risolutore Route 53 non contiene i valori CNAME del VPC, i record CNAME non vengono risolti. Verifica che la lista di indirizzi consentiti del firewall DNS contenga il record CNAME verso cui puntano i domini. Se manca, aggiungilo alla lista.

Nota: dopo aver aggiornato il gruppo di regole, attendi qualche minuto che le modifiche si propaghino.

Per ulteriori informazioni, consulta Come funziona il Firewall DNS del risolutore Route 53.

Risolvi i problemi e altri errori relativi al DNS

Se si verificano errori DNS parziali o intermittenti, consulta Come funziona il DNS e come faccio a risolvere gli errori DNS parziali o intermittenti?

Controlla lo stato di integrità degli endpoint del risolutore Route 53. Se il controllo dell'integrità non viene superato, consulta Come posso risolvere i problemi relativi ai controlli dell'integrità di Route 53 non superati? Verifica la connettività di rete tra il risolutore DNS e gli endpoint. Assicurati che le porte necessarie siano aperte nei gruppi di sicurezza e nella lista di controllo degli accessi alla rete (ACL). Per ulteriori informazioni, consulta Come posso risolvere i problemi di risoluzione del DNS con gli endpoint del risolutore Route 53?

Se il problema riguarda una risorsa o un'istanza specifica, verifica che le impostazioni dell'interfaccia di rete, le regole del gruppo di sicurezza e le impostazioni DNS dell'istanza siano corrette.

Informazioni correlate

Risoluzione delle query DNS tra i VPC e la rete

Considerazioni sull'utilizzo di una zona ospitata privata