Como soluciono problemas de resolução de registros CNAME com zonas hospedadas privadas e configurações entre contas no AWS Route53?

Resolução

Configure o registro em log de consultas ao DNS em sua nuvem privada virtual (VPC) e na zona hospedada. Identifique problemas de resolução de registros CNAME e, em seguida, execute as seguintes ações com base nos problemas encontrados em seus logs.

Os destinos CNAME não são compatíveis com IPv6

Quando um registro CNAME aponta para um recurso sem endereços IPv6 configurados, as consultas DNS para registros AAAA retornam uma resposta CNAME sem um endereço IPv6. Para resolver esse problema, escolha uma das seguintes soluções com base na sua configuração.

Observação: é uma prática recomendada testar suas alterações em um ambiente que não seja de produção antes de aplicá-las à produção.

Application Load Balancers

Atualize o tipo de endereço IP do seu Application Load Balancer para usar endereços IPv4 e IPv6.

Distribuições do Amazon CloudFront

Crie um registro AAAA na sua zona hospedada. Em seguida, adicione os endereços IPv6 da sua distribuição ao registro AAAA.

Os registros CNAME não são resolvidos em zonas hospedadas privadas

Se seus registros CNAME não forem resolvidos em uma zona hospedada privada, execute as seguintes ações:

• Verifique se você configurou corretamente o registro CNAME na sua zona hospedada privada. Verifique se o registro aponta para o nome de domínio ou alias correto e se o registro não contém sufixos ou prefixos extras.
• Confirme se as configurações do resolvedor de DNS no AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) encaminham as consultas para os endpoints corretos do Route 53 Resolver.
• Verifique se as regras do grupo de segurança da VPC permitem o tráfego DNS de entrada do AWS Managed Microsoft AD para os endpoints do Route 53 Resolver. Em seguida, verifique se suas regras permitem o tráfego DNS de saída dos endpoints do Route 53 Resolver para o seu Active Directory gerenciado.

Se você continuar enfrentando o problema, crie uma nova zona hospedada privada e redefina as configurações de DNS no seu AD gerenciado. Teste a resolução do DNS para verificar se você resolveu o problema.

O CNAME não é resolvido em todas as contas

Se seu registro CNAME apontar para um recurso da AWS e retornar um erro "NXDOMAIN" para contas específicas da AWS, execute as seguintes ações:

• Verifique se você compartilhou a regra do Resolvedor do domínio com suas contas ativas e não ativas. Para mais informações, consulte Para ver o status de compartilhamento e compartilhar regras com outra conta da AWS em Compartilhamento de grupos de regras do Firewall DNS do Route 53 Resolver entre contas da AWS.
• Verifique as zonas hospedadas privadas nas contas não ativas para ver se há domínios, subdomínios e domínios raiz que se sobrepõem. Por exemplo, o domínio p-southeast-1.amazonaws.com, o subdomínio efs.ap-southeast-1.amazonaws.com e o domínio raiz amazonaws.com se sobrepõem.
• Resolva o valor de CNAME em relação aos endereços IP de destino em sua regra do Resolver e, em seguida, compare o comportamento com o resolvedor DNS de VPC padrão.

A propagação do DNS é lenta ou falha

Atrasos ou falhas na propagação do DNS podem ocorrer quando você adiciona ou modifica registros CNAME no Route 53. Se seus servidores de nomes retornarem respostas "SERVFAIL", solucione os atrasos na propagação do DNS.

Verifique se há registros com o mesmo nome do seu registro CNAME novo ou modificado. Se existir um registro com o mesmo nome, diminua o valor de TTL (Time to Live) do registro. Para mais informações, consulte Trabalhar com registros.

Use uma das seguintes ferramentas de solução de problemas de DNS para rastrear a resolução do DNS e identificar servidores de nomes com falha:

• O comando dig.
• DNSViz no site da DNSViz.
• Dig web interface online DNS lookup tool (ferramenta de busca de DNS online da Dig web interface) no site da Dig web interface.

Se o problema afetar somente resolvedores de DNS específicos, entre em contato com seu registrador de domínio para obter ajuda.

O CNAME não é resolvido por causa do Firewall do DNS

Se a lista de permissões do Firewall do DNS do Route 53 Resolver não contiver os valores de CNAME em sua VPC, seus registros CNAME falharão na resolução. Verifique se a lista de permissões do Firewall de DNS contém o registro CNAME para o qual seus domínios apontam. Se estiver faltando, adicione-o à lista.

Observação: depois de atualizar o grupo de regras, aguarde alguns minutos para que as alterações se propaguem.

Para mais informações, consulte Como o Firewall DNS do Route 53 Resolver funciona.

Solucionar e resolver outros problemas relacionados ao DNS

Se você tiver falhas de DNS parciais ou intermitentes, consulte Como o DNS funciona e como soluciono falhas parciais ou intermitentes de DNS?

Verifique o status de integridade dos seus endpoints do Route 53 Resolver. Se sua verificação de integridade falhar, consulte Como posso solucionar problemas de verificação integridade insalubre do Route 53? Verifique a conectividade de rede entre o resolvedor de DNS e os endpoints. Certifique-se de que as portas necessárias estejam abertas em seus grupos de segurança e na lista de controle de acesso à rede (ACL da rede). Para mais informações, consulte Como soluciono problemas de resolução de DNS com os endpoints do Route 53 Resolver?

Se o problema estiver relacionado a um recurso ou instância específicos, verifique se as configurações da interface de rede, as regras do grupo de segurança e as configurações de DNS da instância estão corretas.

Informações relacionadas

Resolver consultas de DNS entre VPCs e sua rede

Considerações ao trabalhar com uma zona hospedada privada