如何识别和解决来自 Route 53 的不需要的运行状况检查？

概述

当您将运行状况检查与某端点关联时，Amazon Route 53 会向该端点 IP 地址发送运行状况检查请求。这些运行状况检查验证端点 IP 地址是否按预期运行。如果指定了不正确的 IP 地址，或者在必要时未更新或删除运行状况检查，则可能会出现问题。

解决方法

确定不需要的请求的来源

1.    使用 Route 53 IP 地址范围查找不需要的请求的源 IP 地址。有关详细信息，请参阅 Route 53 服务器的 IP 地址范围中的 ROUTE53_HEALTHCHECKS。

2.    检查应用程序服务器日志，确定 Route 53 运行状况检查服务器是否发送了请求。当执行运行状况检查时，Route 53 运行状况检查会设置以下 HTTP 标头：

"Amazon-Route53-Health-Check-Service (ref <reference ID/ b5996862-d894-4595-88da-7940808e9665>; report http://amzn.to/1vsZADi)"

应用程序负载均衡器访问日志示例：

http 2020-05-12T14:14:25.000265Z app/myapplicationloadbalancer 54.241.32.97:49816 10.0.3.64:80 -1 -1 -1 502 - 241 288 "GET http:// <ALB DNS NAME>:80/ HTTP/1.1" "Amazon-Route53-Health-Check-Service (ref b5996862-d894-4595-88da-7940808e9665; report http://amzn.to/1vsZADi)" - - arn:aws:elasticloadbalancing:us-east-1:<account ID>:targetgroup/mytargetgroup

Microsoft Internet Information Services (IIS) 访问日志示例：

Amazon+Route+53+Health+Check+Service;+ref:b5996862-d894-4595-88da-7940808e9665;+report+http://amzn.to/1vsZADi

Apache 访问日志示例：

54.228.16.1 - - [time] "GET / HTTP/1.1" 403 3839 "-" "Amazon Route 53 Health Check Service; ref:47d9bc51-39d6-4cd9-9a7f-4c981c5db165; report http://amzn.to/1vsZADi"

NGINX 访问日志示例：

NGINX access log entry: 54.232.40.80 - - [time] "GET / HTTP/1.1" 200 3770 "-" "Amazon Route 53 Health Check Service; ref:2e44063d-3b85-47c3-801e-6748cd542386; report http://amzn.to/1vsZADi" "-"

删除或阻止不需要的请求来源

1.    从应用程序服务日志复制运行状况检查 ID。

2.    如果 AWS 账户可以进行运行状况检查，请更新运行状况检查以监控预期的 IP 地址或域名。或者，如果不再需要，请删除运行状况检查。

如果 AWS 账户无法进行运行状况检查，请阻止运行状况检查的 IP 地址。要阻止 IP 地址，请使用防火墙规则、安全组或网络访问控制列表 (NACL)。

重要事项： 要举报可疑的 Route 53 运行状况检查滥用，请参阅停止不需要的 Amazon Route 53 运行状况检查。

相关信息

如何停止发送到我的应用程序的 Route 53 运行状况检查请求？