View a markdown version of this page

使用 Route 53 全球解析器诊断 DNS 连接问题 - Amazon Route 53
客户端设备无法解析域间歇性解析失败出人意料的公开决议

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 Route 53 全球解析器诊断 DNS 连接问题

Route 53 Global Resolver 提供可靠的 DNS 解析，但由于配置、身份验证或网络问题，偶尔会出现连接问题。当客户端设备无法使用 Route 53 Global Resolver 解析域名时，请使用这些系统的方法来识别和解决连接问题。

客户端设备无法解析域

请按照以下步骤诊断解析故障：

  1. 验证查询到达全球解析器

    • 检查 DNS 查询日志中是否有来自受影响的客户端设备 IP 地址的查询

    • 确认客户端设备配置了正确的任播 IP 地址

    • 测试从客户端设备到任播 IP 的网络连接

  2. 检查客户端设备身份验证

    • 验证客户端设备是否已通过正确的 DNS 视图进行身份验证

    • 检查客户端设备的 IP 地址或 CIDR 块的访问源规则

    • 确认访问令牌有效且未过期（适用于基于令牌的身份验证）

  3. 查看防火墙规则

    • 检查防火墙规则是否阻止了查询

    • 查看规则优先级，并确保允许规则的优先级高于屏蔽规则

    • 验证防火墙失效打开行为设置

  4. 确认 DNS 查看关联

    • 验证内部域的私有托管区域关联

    • 检查关联的私有托管区域中是否存在 DNS 记录

    • 确保查询中的域名与区域名称完全匹配

间歇性解析失败

对于零星的 DNS 解析问题，请调查以下潜在原因：

身份验证问题

  • 检查访问令牌的到期时间和续订模式

  • 查看身份验证日志中是否有失败的身份验证尝试

  • 验证客户端设备时钟同步以进行令牌验证

网络连接

  • 监控网络路径变化或路由问题

  • 检查防火墙或 NAT 设备配置是否有更改

  • 验证到最近区域的一致任播路由

服务运行状况

  • 查看 AWS 服务运行状况控制面板中是否有 Route 53 全球解析器问题

  • 查看错误率峰值的 CloudWatch 指标

  • 监控私有托管区域关联状态

出人意料的公开决议

当查询解析到公有 DNS 而不是私有托管区域时：

  1. 验证私有托管区域配置

    • 确认私有托管区域包含预期的 DNS 记录

    • 检查记录名称是否与查询的域名完全匹配

    • 验证记录类型是否与查询类型（A、AAAA、CNAME 等）相匹配

  2. 检查 DNS 查看关联

    • 验证私有托管区域是否与正确的 DNS 视图相关联

    • 确认客户端设备已通过 DNS 视图进行身份验证

    • 在控制台中检查关联状态

  3. 查看防火墙规则

    • 检查是否存在可能阻止私有区域查询的防火墙规则

    • 验证规则评估顺序和优先级

    • 查看 DNS 查询日志以了解防火墙操作