AWSのターゲットグループに追加したインスタンスがunhealthyになる

ご覧いただきありがとうございます。
AWSで作成したインスタンスをロードバランサーに登録して、
webブラウザからドメイン名を利用してアクセスできるよう環境構築を進めています。

以下のように設定を行いましたが
ターゲットグループのヘルスチェックが通らず、原因を調査しています。
https://teratail.com/questions/aylsxqo9yjiyd9
過去の質問を参考に再構築しましたが結果が変わりません。
他に確認が必要な箇所はどこになるでしょうか？

インスタンスのセキュリティグループ

ロードバランサーのセキュリティグループ

ロードバランサーのリスナー

ターゲットグループのヘルスチェック

プライベートなIPアドレスでインスタンスの80番ポートが開いていることは
確認済みです

[root@webukatu-web1 logs]# nmap 172.16.3.11

Starting Nmap 6.40 ( http://nmap.org ) at 2022-06-29 22:57 JST
Nmap scan report for 172.16.3.11
Host is up (0.0000050s latency).
Not shown: 997 closed ports
PORT    STATE SERVICE
22/tcp  open  ssh
80/tcp  open  http
111/tcp open  rpcbind

パブリックなIPアドレスではアクセスが届きませんでした

Starting Nmap 6.40 ( http://nmap.org ) at 2022-06-29 23:05 JST
Note: Host seems down. If it is really up, but blocking our ping probes, try -Pn
Nmap done: 1 IP address (0 hosts up) scanned in 3.06 seconds

インスタンスのapacheのエラーログには404も403も出力されていませんでした

/etc/httpd/logs/error_log

[Sun Jun 26 03:46:01.713047 2022] [lbmethod_heartbeat:notice] [pid 880] AH02282: No slotmem from mod_heartmonitor
[Sun Jun 26 03:46:01.820512 2022] [mpm_prefork:notice] [pid 880] AH00163: Apache/2.4.6 (CentOS) configured -- resuming normal operations
[Sun Jun 26 03:46:01.820528 2022] [core:notice] [pid 880] AH00094: Command line: '/usr/sbin/httpd -D FOREGROUND'

行動規範の内容に同意します

回答1件

ベストアンサー

サーバー側のApacheもしくはNginxのアクセスログやエラーログを確認してみてください。おそらくレスポンスコード200を返せてないのだと思います。403ならパーミッションを調整する、404になってるのならなんでもいいのでindex.htmlを置いてみたりドキュメントルートを変更してたり、などの対応を行い200を返すようにすればunhealthyからhelthyになると思います。

そもそもアクセスが届いてないのであれば、セキュリティーポリシーで80番ポートが塞がってる可能性があります。

投稿2022/06/29 13:09

AbeTakashi

総合スコア4537

ttpk

2022/06/29 14:08 編集

早速の回答をありがとうございますプライベートなIPアドレスではインスタンスの80番ポートが開いていることは確認できましたがパブリックなIPアドレスでは通信できなかったので質問に追記しました

ttpk

2022/06/29 14:27

インスタンスのapacheのアクセスログには何も出力されておらず、エラーログには403も404も出ていませんでした

mike2mike4

2022/06/29 14:51

リスナーが443ポートになってるようにみえますが

AbeTakashi

2022/06/29 16:58

ロードバランサーのリスナーはたぶん443でいいと思います。ヘルスチェックを含めてロードバランサーからEC2インスタンスへの接続はローカルIPで80番ポートを使うのですが、そのローカルIP&80番ポートからの接続をセキュリティグループで開ける必要があるはずですが、その辺の設定はできてますでしょうか？（図を見た感じIPv6の443しか開いてないように見えますけど・・・）ロードバランサーをEC2インスタンスに繋げたら、ロードバランサーからEC2に1分間に2回くらい80番ポートへのアクセスがあるはずです。

yu_1985

2022/06/30 07:54

補足をすると、 - リスナーが443なのはロードバランサーがどのポートをListenしているかという話なので、ロードバランサー配下のEC2インスタンスに対するヘルスチェックには関係ありません。 - Apacheのアクセスログに何も出てないとすると、一番よくあるのはロードバランサーからEC2インスタンスへの接続が弾かれてしまっていることです。インスタンスのセキュリティグループと書いてあるスクショにはセキュリティグループではなくALBのリスナー設定が貼られているので、インスタンスのセキュリティグループのスクショを貼り直してください。おそらくはそこの設定不足が原因です。 - ALBのセキュリティグループは443のIPv6しか許可していないので、ヘルスチェックと関係なしにIPv6を使えない場合ALBに対するアクセスができなくなる可能性があります。

ttpk

2022/06/30 13:01

コメントをありがとうございますインスタンスのセキュリティグループの設定を貼り直しました

AbeTakashi

2022/06/30 13:08

やはり80番が開いてるのはIPv6だけですよね？ IPv4を開けないとダメかと思いますが。

ttpk

2022/06/30 13:17

インスタンスのセキュリティグループの80番ポートのルールを一旦削除し、IPv4に変更しました

ttpk

2022/06/30 13:18

ロードバランサーのセキュリティーグループに80番ポートとマイIPを追加しました