【AWS】ELBに対してHTTPS通信ができない

###前提・実現したいこと
■環境
Google Chrome
AWS Linux
■事象
前提として、お名前.comでドメイン取得し、Route53にドメインを移管するところまでは、できています。
下記の参考サイトに以下の手順を行った後、HTTPS通信ができませんでした。
・手順
AWSのACM（AWS Certificate Manager）機能を使用して、SSL証明書を発行しました。
その後、発行したSSL証明書をELBに設定しました。その後、Route53を使ってAレコードに
ELBの情報を設定しました。
その後、https通信でURLに飛ぶことができませんでした。
その時ブラウザに下記のメッセージが表示されます。
「ERR_CONNECTION_REFUSED」
ドメイン名の所を名前解決していないDNS名だと、下記のメッセージが表示されます。
「この接続ではプライバシーが保護されません」

・参考サイト
http://qiita.com/Dr_ASA/items/80bc0054e8be74571a61

お忙しい中申し訳ありませんが、皆様どうぞよろしくお願いいたします。

行動規範の内容に同意します

回答3件

以下、確認ポイントを記載します。
1.Route 53へのドメイン移管が完了とありますが、対象ドメインのNSレコードは間違いなくRoute 53になっていますか？
digコマンドを実行し、ANSWER SECTIONが次のようなレコードを返すことを確認してください。

$ dig example.com NS
;; ANSWER SECTION:
example.com.	60	IN	NS	ns-XXXX.awsdns-XX.org.
example.com.	60	IN	NS	ns-XXXX.awsdns-XX.co.uk.
example.com.	60	IN	NS	ns-XXX.awsdns-XX.com.
example.com.	60	IN	NS	ns-XXX.awsdns-XX.net.

2.Route 53にELBのDNS名が登録されていますか？
digコマンドを実行し、ANSWER SECTIONが次のようなレコードを返すことを確認してください。

$ dig www.example.com
;; ANSWER SECTION:
www.ondokanshi.com.	60	IN	CNAME	www-XXXXXXXXXX.ap-northeast-1.elb.amazonaws.com.
www-XXXXXXXXXX.ap-northeast-1.elb.amazonaws.com. 60 IN A XX.XX.XX.XX
www-XXXXXXXXXX.ap-northeast-1.elb.amazonaws.com. 60 IN A XX.XX.XX.XX

3.ELBのSecurity GroupにHTTPSを0.0.0.0/0から接続できるようにしていますか？

セキュリティグループ名の確認
$ aws elb describe-load-balancers --load-balancer-names ロードバランサ名 | jq -r '.LoadBalancerDescriptions[]|.SourceSecurityGroup.GroupName'
XXXXXXXX

ポート443/tcpのCidrIpの確認
$ aws ec2 describe-security-groups --group-names XXXXXXXX | jq -r '.SecurityGroups[].IpPermissions[]|select(.IpProtocol == "tcp" and .FromPort == 443 and .ToPort == 443)|.IpRanges[].CidrIp'
0.0.0.0/0

投稿2017/01/18 06:40

moonphase

総合スコア6621

santa507

2017/01/23 06:10 編集

コメントありがとうございます。ご返事が遅れてしまい申し訳ありません。確認ポイント１を実行したところ、期待通りの動きになりませんでした。 ■期待値 ns-1248.awsdns-28.org. ns-5.awsdns-00.com. ns-704.awsdns-24.net. ns-1880.awsdns-43.co.uk. ■現状 03.dnsv.jp. 04.dnsv.jp. 01.dnsv.jp. 02.dnsv.jp. 上記のことからRoute53のドメイン移管ができていないかを考えています。

moonphase

2017/01/23 08:03

*.dnsv.jpはonamae.comのネームサーバですね。ドメイン移管とネームサーバは別の問題です。 onamae.comにログインし、「ドメイン設定」に進んでください。その中に、「ネームサーバーの設定」の「ネームサーバーの変更」を押します。「ネームサーバーの変更」画面で、ドメイン名のチェック欄にチェックを入れ、「他のネームサーバーを利用」を選択し、Route 53のHosted ZoneのNSレコードにある4つのFQDNを設定してください。

santa507

2017/01/23 09:54

返信ありがとうございます。お名前.comのネームサーバの設定をしました。その後、確認ポイントを実施すると下記の結果になりました。現在、おかげさまでhttpsで通信はできているのですが、保護されない通信とブラウザで表記されています。 ■確認ポイント１の結果 ns-1880.awsdns-43.co.uk. ns-5.awsdns-00.com. ns-704.awsdns-24.net. ns-1248.awsdns-28.org. ■確認ポイント２の結果 [ドメイン名] 60 IN A 54.249.88.129 [ドメイン名] 60 IN A 54.249.86.69 ■確認ポイント３（セキュリティグループ名の確認）以下のエラーメッセージ発生 You must specify a region. You can also configure your region by running "aws configure". ■確認ポイント３（ポート443/tcpのCidrIpの確認）以下のエラーメッセージ発生 You must specify a region. You can also configure your region by running "aws configure".

行動規範の内容に同意します

ERR_CONNECTION_REFUSED

ICMPで拒否応答が返ってきている場合に出るエラーで、以下のようなケースが考えられます。

ポート番号が間違っている
ファイアウォール系で接続拒否されている
サービスが起動していない
間違ったIPアドレス（ただし、活きているサーバがいる）に接続している

ポート番号（443でしょうか？）を確認し、AWSのセキュリティグループ設定や途中のファイアウォールで拒否されていないか確認してください。

解決しない場合、 wireshark などでパケットキャプチャをとり、ブラウザの接続先やICMP応答をチェックする手順になります（リダイレクトで別のサーバにつなぎにいっていてそっちで出ている場合などもあります）。

投稿2017/01/14 01:15

mit0223

総合スコア3401

santa507

2017/01/23 06:12

コメントありがとうございます。ご返事が遅れてしまい申し訳ありません。セキュリティグループは確認したところ、0.0.0.0/0でしたので拒否されていないと考えられます。現在、Route53のドメイン移管が正しく行われていないことで発生している障害かどうかを調査しております。

行動規範の内容に同意します

「ERR_CONNECTION_REFUSED」は ELB とは別の IPアドレスに接続しようとしたのではないでしょうか。

AレコードにELBの情報を設定しました。

とは、ELB の IPアドレス(可変)をそのまま設定したのではなく、Route 53 のエイリアス機能を使って ELB の DNS名を登録していますよね？
もし、そうであれば、dig, nslookup コマンドなどで、ドメイン名を名前解決したものと、ELB の DNS名を名前解決したものとで同じ結果(IPアドレス)となっているか確認ください。

投稿2017/01/13 15:55