无法从 ecs-agent 访问 AWS ECS VPC 终端节点

Question

在使用 ECS 和 ECR 的 AWS 端点部署 ECS 集群时。 ecs-agent 无法访问https://ecs.ap-southeast-1.amazonaws.com。我没有针对此环境的 Internet 网关、nat 网关或任何代理设置。

为了调试问题，我正在登录 ECS 主机。发往https://vpce****/ecs.ap-southeast-1.amazonaws.com 的 curl 命令有效，因为它直接解析为 ECS 端点的网络接口。

但是，通用 url https://ecs.ap-southeast-1.amazonaws.com 无法解析任何内容。 我已验证此端点已启用私有 DNS。

这是我对上述情况的发现。

路由正确且端点设置正确，因为我能够使用 vpce 端点进行解析

在端点上启用了私有 DNS 选项并在 vpc 上启用了 dns 解析）但我在路由 53 中没有看到为 amazonaws.com 创建的托管区域。这是创建并显示给用户帐户还是内部管理的东西由 AWS 提供？

请告诉我一些关于如何调试这种情况的指示。

Answer 1

问题在于我的 VPC 使用自定义 DHCP 选项集。这意味着我的 VPC 的主 DNS 指向未配置转发规则来解析私有端点的本地 DNS 服务器。 这种情况的解决方案是在路由 53 中创建一个入站解析器，并在您的本地 DNS 服务器上设置一个条件转发规则，以将这些请求转发到入站解析器，然后该解析器应该能够获取私有 ENI。