AWSのACM＋ELBでSSL化したが、該当サイトにアクセスできなくなった

Question

発生している問題

AWSで構築したWebサイトのSSL化を行うために、
ACMで証明書の取得とELBでロードバランサーの作成を行い、SSL化は完了したのですが、
該当のサイトにアクセスしようとすると、アクセスできたり、できなかったりと、不安定な接続になってしまいました。

接続できるときは、httpsで接続でき、サイト自体も正常に動くのですが、
接続できないときは「DNS_PROBE_FINISHED_NXDOMAIN」というエラーがでて、「domeinname.jp のサーバーの IP アドレスが見つかりませんでした。」と書いてありました。

ネームサーバの設定が違うのか、ELBの設定が違うのか、AWSやサーバーの知識が浅く判断できません。

なにか考えうる問題などありましたらご教授いただけると嬉しいです。

エラーメッセージ

DNS_PROBE_FINISHED_NXDOMAIN

ロードバランサー

Route53のレコード

Certificate Managerの証明書とCNAME情報

ELBのDNS名をレコードに登録する画面
「Create Record Set」がなくなっているので、かわりに「レコードを作成」を押します

デフォルトの左上を選択

「シンプルなレコードを定義」を選択

最後にELBのDNS名をレコードに登録するための設定画面ですが、ここの使い方がわかりません。

ホストゾーン
Route53

ロードバランサー

Answer 1

書いてあるとおりドメインからIPが見つからないときのエラーです。
DNSにはどのように設定していますか？

Comments

[takato.work]

DNSは何もしていないです。
ドメインはお名前ドットコムで取得しているのですが、これをRoute53で管理するようにしないとだめということでしょうか？

[yu_1985]

いえ、そうではなくて現状の設定を知りたいのですが…。

[takato.work]

ネームサーバーの設定のところを見れば良いのでしょうか...
現在は、Route53でお名前ドットコムのドメインでホストゾーンを作成し、そこででてきたnsから始まる値を設定しています。
知識が乏しく、見当外れのことを言っていたら申し訳ありません。

[yu_1985]

ですから、具体的な設定内容を見たいのですが…。
もちろん、隠すべきところは隠してください。

その書き方だと、そもそもレコードとしてELBのエンドポイントを登録してないのでは？

[yu_1985]

Route53でやったほうが楽ですが、必須ではありません。念の為。

[takato.work]

お名前ドットコムのネームサーバーには
ns-00.awsdns-00.com.
ns--0000.awsdns-00.org.
ns-000.awsdns-00.net.
ns-000.awsdns-00.co.uk.
このような内容を設定しています。

最初は、Route53を使っておらず、単にACMで発行した証明書に書いてあったCNAMEをDNSレコードに追加していました。
ただ、説明にも書いたとおりそれだとエラーが出たりでなかったりと、おかしな状態でしたので、Route53を使ってやってみました。

https://qiita.com/yujiro0102/items/8a58fa92b861edd14547
参考にしたのはこの記事ですが、
「6.Route53にロードバランサを追加」ができずに止まっています。

それ以外は参考資料のて通り進んでいるはずですが、現状サイトは全く表示されなくなってしましました。

どのような情報を書けば良いのかわからず、本当にお手数おかけして申し訳ないですが、記入例のようなものを示していただくことは可能でしょうか？

[takato.work]

レコードとしてELBのエンドポイントを登録というのがよくわかりません。

ロードバランサの作成は終わっておりますが、その中の設定のことでしょうか？

[yu_1985]

ELBのエンドポイントをレコードに登録していないのならアクセスできないのは当然です。
ドメインとELBのエンドポイントを紐付ける情報がないので。
むしろ、なぜアクセスできるときがあるのかがよくわからないです。

Route53であればエイリアスレコードで登録できますが、それ以外のDNSだとCNAMEレコードでELBのDNS名をレコード登録する必要があります。
コンソールを見ればELBのDNS名はわかるので、それをお名前ドットコムのDNSのCNAMEレコードに登録してください。
https://qiita.com/sadayuki-matsuno/items/4c371ba984d9b22b3737#%E3%81%8A%E5%90%8D%E5%89%8Dcom%E3%81%AE%E8%A8%AD%E5%AE%9A-1

> Route53を使ってやってみました。
ちょっと現状がよくわかりません。
Route53とお名前ドットコム両方にゾーンがあるということですか？
結局現状はRoute53だけ？

いずれにせよ、ELBのDNS名をレコードに登録してないので、ドメインでアクセスしてもELBに辿り着くすべがない状態です。レコード追加してください。
Route53であればエイリアスで楽に設定できます。
https://www.nedia.ne.jp/blog/2019/05/14/14118
コンソールの見た目はちょこちょこ変わってますがやることはほぼ同じです
ACMの設定のためのレコードはアクセスには関係なく、証明書の検証のためのものです。

[yu_1985]

アクセスできることがあるのは、もしかしてお名前ドットコムの方になにか設定してるんですかね？

[takato.work]

>ちょっと現状がよくわかりません。
現状は全くアクセスできなくなっています。
Route53のネームサーバーに設定してからは完全にアクセスできなくなっています。

yu_1985様がおっしゃるとおり、ELBのDNS名をレコードに登録してないことが原因かと思うのですが、この登録で立ち止まってしまっています。
写真を貼り付けますので、どのように設定すれば良いのかご教授いただけないでしょうか？

[takato.work]

> Route53であればエイリアスレコードで登録できますが、それ以外のDNSだとCNAMEレコードでELBのDNS名をレコード登録する必要があります。
コンソールを見ればELBのDNS名はわかるので、それをお名前ドットコムのDNSのCNAMEレコードに登録してください。

こちらについてですが、現在でもお名前ドットコムのDNSに、ACMで取得したCNAMEの値を入力していますが、それとは別にお名前ドットコムのDNSのCNAMEレコードに登録するということでしょうか？

また、登録する際に値（value）はどうしますか？

[yu_1985]

もう少しコンソールのセレクトボックスの値を確認するなりしてみて欲しいところなのですが…。
>Route53のネームサーバーに設定してからは完全にアクセスできなくなっています

設定が足りないので正しい挙動です。
ルーティング先に「Application Load BalancerとClassic Load Balancerへのエイリアス」があるのでそれを選択してください。
それを選択したらリージョンとロードバランサーのエンドポイントが自動でボックス内に出てくるのでそれを選択して登録してください。
レコード名は、サブドメインを使用しないのであれば何も入力しないままでOKです。

> ACMで取得したCNAMEの値

これは関係ありませんのでそのままにしてください。
設定が両方に分散してるのがちょっと気にはなりますが…。
気になったのはRoute53のほうとは別にお名前ドットコムのほうに何か別の設定を入れてないか、ということです。
全体的にですが、情報が細切れすぎるので自分の方でフィルタをかけすぎずに設定内容をそのまま貼ってくれたほうがわかりやすいです。

[takato.work]

度々申し訳ありません。本当に助かっております。ありがとうございます。

> ルーティング先に「Application Load BalancerとClassic Load Balancerへのエイリアス」があるのでそれを選択してください。
それを選択したらリージョンとロードバランサーのエンドポイントが自動でボックス内に出てくるのでそれを選択して登録してください。
レコード名は、サブドメインを使用しないのであれば何も入力しないままでOKです。

設定できました！
サイトにアクセスしたところ、
「503 Service Temporarily Unavailable」
というエラーがでました。
調べたところ、リソース不足とのことですが、膨大なアクセスがあるわけではないと思うのでどこか設定ミスが有るのでしょうか？

>ACMで取得したCNAMEの値は、証明書を有効にするために必要でした

>全体的にですが、情報が細切れすぎるので自分の方でフィルタをかけすぎずに設定内容をそのまま貼ってくれたほうがわかりやすいです。

申し訳ないです、、
あとどこの情報を乗せるべきなのでしょうか

[takato.work]

> Route53のほうとは別にお名前ドットコムのほうに何か別の設定を入れてないか

こちらについて、お名前ドットコムの設定は、SSL証明書の有効化に必要だったCNAMEの設定とRoute53に接続するためのDNSの設定以外は何もしていないです。

[takato.work]

追記です。
Route53のホストゾーンとロードパランサーのホースとゾーンの値が違っていました。
これは本来同じになっていないといけないものなのでしょうか？
ELBの設定が違うということでしょうか？

[yu_1985]

> 調べたところ、リソース不足とのこと

いえ、これだけじゃ原因はわかりません。
500番台のエラーはサーバ側のエラーですが、少なくともALBまでは到達できてるのでALB〜サーバのどこかの設定に問題がある可能性が高いです。
問題としては別のものになりますね。
質問としても分けるべきでしょう。

> あとどこの情報を乗せるべきなのでしょうか

今回はもうこれ以上ないです。
例えば「何もしていない」と文字だけで書かれても「どの状態から何もしていないのか」がわかりませんし、余計なコミュニケーションが発生します。
実際にどう設定しているのかを載せたほうが遥かに早いです。
「何もしていない」と言っていても実際にはそうではなかった例はたくさん見ています。

> こちらについて、お名前ドットコムの設定は、SSL証明書の有効化に必要だったCNAMEの設定とRoute53に接続するためのDNSの設定以外は何もしていないです。

それであれば特に使う必要がないので、証明書の検証用のレコードをRoute53に移して以後はRoute53のみで管理したほうがAWSのサービスとの連携が楽なのでそうすることをお勧めします。

[takato.work]

わかりました。
ありがとうございました。
最後に、
＞追記です。
Route53のホストゾーンとロードパランサーのホースとゾーンの値が違っていました。
これは本来同じになっていないといけないものなのでしょうか？
ELBの設定が違うということでしょうか？

こちらだけ、お答えいただけませんでしょうか？

[yu_1985]

> Route53のホストゾーンとロードパランサーのホースとゾーンの値が違っていました。
これは本来同じになっていないといけないものなのでしょうか？

ちょっとよくわかりません。
Route53のホストゾーン
ロードバランサーのホストゾーン
とはそれぞれ何を指してますか？
特に「ロードバランサーのホストゾーン」が何を指してるのかがわかりません。
ゾーンとはDNSサーバが管理する範囲のことを指すのですが…。

両者のドメインが違うという意味なら、それは当然です。

[takato.work]

添付画像の２つです。

[yu_1985]

ELBのDNS名を管理しているのはAWSで、あなたがRoute53で作成したホストゾーンではないのでそこが違うのは自然でしょう。

Route53の画像の方はあなたが作ったホストゾーンのIDです。
こちらはAWSの方の仕様を読み解く必要がありますが、ELBに書いてあるのはAWSが内側でELBのDNS名を管理しているホストゾーンのIDかと思います。
自分が作ったホストゾーンでエイリアスの設定をすると、エイリアスレコードには合わせてELBに書いてあるホストゾーンのIDが入ります。
Route53のコンソールは最近新しくなって、ちょっと新しくなったコンソールでは確認できなかったのですが、古いコンソールでは確認できます。
あと多分CLIで値を引っ張ってきても確認できますね。

[takato.work]

わかりました。
僕の質問が悪い分、回答が難しかったかと思いますが、最後まで丁寧に解説して頂きありがとうございました。