Comment résoudre les problèmes liés à la résolution d'enregistrements DNS pour ma zone hébergée publique dans Route 53 ?

Solution

Remarque : en cas d'erreurs lors de l'exécution de commandes depuis l'interface de ligne de commande AWS (AWS CLI), vérifiez que vous utilisez la version la plus récente d'AWS CLI.

Vérifiez les problèmes liés à l’état du domaine

1.    Utilisez la commande suivante pour vérifier l'état du domaine :

whois domain_name |grep 'status'

Si l'état du domaine (code Extensible Provisioning Protocol) est « inactive » ou « ServerHold », le domaine ne sera pas résolu.

2.    Si l'état de votre domaine est « inactive » ou « ServerHold », contactez le bureau d'enregistrement du domaine pour vous aider à corriger son état.

Utilisez la commande suivante pour déterminer le bureau d'enregistrement du domaine :

whois domain_name |grep 'Registrar'

Recherchez votre utilitaire Whois préféré (outil de recherche d'enregistrement de domaine) pour les domaines de niveau supérieur (TLD) génériques ou spécifiés par pays.

Vérifiez les problèmes liés au serveur de noms

Vérifiez que le serveur de noms faisant autorité est correctement configuré dans votre bureau d'enregistrement de domaine. Pour trouver les serveurs de noms faisant autorité, vérifiez la valeur dans le jeu d'enregistrements de ressources du serveur de noms (NS) de la zone hébergée publique Route 53.

Utilisez la commande suivante pour vérifier la configuration du serveur de noms de votre bureau d'enregistrement :

whois domain_name |grep 'Name Server'

Par exemple, la sortie de whois example.com |grep 'Name Server' est :

Name Server: NS-1125.AWSDNS-12.ORG
Name Server: NS-1774.AWSDNS-29.CO.UK
Name Server: NS-272.AWSDNS-34.COM
Name Server: NS-985.AWSDNS-59.NET

Si les serveurs de noms de votre zone hébergée publique et la sortie de whois ne correspondent pas, reportez-vous à la section Ajout ou modification de serveurs de noms ou d'enregistrements de type glue.

Vérifiez les problèmes liés au jeu d’enregistrements

Utilisez la commande suivante pour vérifier si vous avez créé l'enregistrement DNS requis dans la zone hébergée dans Route 53 :

dig Domain_name record_type

Par exemple, la sortie de $dig amazon.com A est :

; <<>> DiG 9.10.6 <<>> amazon.com +question
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 29804
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;amazon.com.            IN    A
;; ANSWER SECTION:
amazon.com.        44    IN    A    54.239.28.85
amazon.com.        44    IN    A    205.251.242.103
amazon.com.        44    IN    A    176.32.103.205
;; Query time: 4 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Fri Mar 19 20:28:51 IST 2021
;; MSG SIZE  rcvd: 87

Remarque : le type d’enregistrement est répertorié dans la colonne Type du jeu d’enregistrements de ressources correspondant. Pour plus d'informations, consultez Types d'enregistrements DNS pris en charge.

Vérifiez les problèmes liés à la source

Pour les navigateurs locaux ou les appareils mobiles :

• Videz le cache de votre navigateur, puis essayez d'accéder au domaine.
• Vérifiez si vous demandez le bon domaine. Les navigateurs d’appareils mobiles peuvent ajouter « www » lors de la demande du domaine.

Pour une machine sur site connectée à une ressource Amazon Virtual Private Cloud (Amazon VPC) ou AWS à l'aide du résolveur VPC .2 :

Si vous avez des zones hébergées privées et publiques avec des espaces de noms qui se chevauchent, tels que « example.com » et « accounting.example.com », le résolveur achemine le trafic en fonction de la correspondance la plus spécifique. S’il existe une zone hébergée privée correspondante, mais qu’aucun enregistrement ne correspond au nom de domaine et au type de la demande, le résolveur ne transmet pas la demande à un résolveur DNS public. À la place, il renvoie une erreur NXDOMAIN (domaine inexistant) au client. Si vous avez involontairement créé une zone hébergée privée avec des espaces de noms qui se chevauchent, vous pouvez supprimer la zone hébergée privée.

Vérifiez les problèmes liés à la mise en cache des enregistrements

1.    Utilisez la commande suivante pour vérifier si la valeur d'enregistrement renvoyée par le résolveur DNS correspond à la valeur renvoyée par le serveur de noms faisant autorité. Si le domaine ne résout pas en l'adresse IP attendue, il se peut que le résolveur DNS ait mis en cache la valeur. Videz le cache du navigateur si le domaine résout en une adresse IP inattendue.

dig domain_name record_type @authorative_name_server

Par exemple, la sortie pour $dig amazon.com @NS-1125.AWSDNS-12.ORG est :

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.68.rc1.64.amzn1 <<>> amazon.com @NS-1125.AWSDNS-12.ORG

;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 63711
;; flags: qr aa rd; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;amazon.com.            IN    A

;; ANSWER SECTION:
amazon.com.        60    IN    A    205.251.242.103
amazon.com.        60    IN    A    54.239.28.85
amazon.com.        60    IN    A    176.32.103.205

;; Query time: 2 msec
;; SERVER: 208.78.70.31#53(208.78.70.31)
;; WHEN: Fri Mar 19 15:08:52 2021
;; MSG SIZE  rcvd: 76

2.    Utilisez la commande suivante pour vérifier si vous voyez les mêmes résultats avec le résolveur public. Si le résolveur public renvoie la réponse attendue, le problème réside probablement dans le résolveur DNS de la machine locale.

dig domain @public_resolver_Ip

Par exemple, la sortie pour $dig amazon.com @1.1.1.1 est :

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.68.rc1.64.amzn1 <<>> amazon.com @1.1.1.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 26860
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;amazon.com.            IN    A

;; ANSWER SECTION:
amazon.com.        15    IN    A    205.251.242.103
amazon.com.        15    IN    A    54.239.28.85
amazon.com.        15    IN    A    176.32.103.205

;; Query time: 1 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Fri Mar 19 15:09:41 2021
;; MSG SIZE  rcvd: 76

Vérifiez les problèmes liés à DNSSEC

Vérifiez que vous avez correctement configuré DNSSEC pour votre domaine. Utilisez l'outil d'analyse DNSSEC ou l'utilitaire de votre choix pour déterminer si le domaine rencontre des problèmes liés à DNSSEC.

Évitez le DNSSEC et voyez si vous obtenez les résultats attendus :

dig domain_name +cd

Par exemple, la sortie de $ dig amazon.com +cd est :

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.68.rc1.64.amzn1 <<>> amazon.com +cd
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 55636
;; flags: qr rd ra cd; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;amazon.com.            IN    A

;; ANSWER SECTION:
amazon.com.        29    IN    A    205.251.242.103
amazon.com.        29    IN    A    176.32.103.205
amazon.com.        29    IN    A    54.239.28.85

;; Query time: 2 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Fri Mar 19 15:10:13 2021
;; MSG SIZE  rcvd: 76

---