Google App Engine自定义域名无法使用：DNS记录未找到求助

核心问题梳理 #

• 在Cloudflare托管DNS的主域名zen.co.uk下配置App Engine子域名时，Google托管SSL检测提示无法找到DNS记录
• Cloudflare提示同一子域名下无法同时配置A/AAAA与CNAME记录，疑问该限制是否合理
• 访问子域名时出现TLS握手失败

问题解答与排查步骤 #

1. Cloudflare的A/AAAA与CNAME共存限制是否合理？ #

合理。这是DNS协议的基础规范：同一域名（包括子域名）下不能同时存在CNAME记录和其他类型的记录（A/AAAA/NS/MX等）。CNAME记录会将域名完全指向另一个域名，与其他记录类型互斥，因此Cloudflare的提示符合DNS规则。

2. Google检测不到DNS记录的原因及解决方法 #

关键排查点：Cloudflare代理状态

Cloudflare的橙色云朵图标代表开启了反向代理，此时域名解析会指向Cloudflare的节点而非Google App Engine的目标地址，导致Google的DNS验证无法直接获取正确解析结果。

• 操作：在Cloudflare DNS记录中，将子域名对应的记录设置为DNS Only（灰色云朵），确保解析直接指向Google提供的IP或CNAME目标。

验证DNS解析有效性

使用本地命令工具确认解析结果是否正确：

• 若采用A+AAAA记录配置：

  # 验证IPv4解析
  dig googlecloud.xxxxxxxxxx.com A
  # 验证IPv6解析
  dig googlecloud.xxxxxxxxxx.com AAAA
  

  确认返回的IP为Google App Engine官方提供的地址（IPv4通常为216.239.32.21/216.239.34.21等，IPv6为2001:4860:4802:32::15/2001:4860:4802:34::15等）。

• 若采用CNAME记录配置：

  dig googlecloud.xxxxxxxxxx.com CNAME
  

  确认返回值为ghs.googlehosted.com（App Engine标准CNAME目标）。

等待DNS生效

DNS记录修改后存在全球缓存周期，通常需要5-30分钟（极端情况可能数小时），等待缓存过期后再触发Google的SSL检测。

检查App Engine配置

确认Google Cloud Console中已正确添加该子域名，并绑定到对应的App Engine服务/版本，无配置遗漏。

3. TLS握手失败的解决方法 #

• 等待Google SSL证书部署：DNS配置验证通过后，Google需要15-30分钟生成并部署SSL证书，在此期间访问会出现握手失败，耐心等待即可。
• 确认Cloudflare SSL/TLS设置：暂时将Cloudflare的SSL/TLS模式设置为Off，避免与Google托管的SSL冲突，待证书生效后可根据需求调整为**Full (Strict)**模式。

内容的提问来源于stack exchange，提问作者Phil Legg