AWS ALB绑定自定义域名后444端口后端服务无法访问求助

云原生阿岚

2026-7-8

问题排查方向

以下是可能导致该问题的几个常见原因，按排查优先级排序：

客户端网络端口限制
多数浏览器、终端防火墙或企业网络会默认拦截非标准HTTPS端口（如444），仅放行标准的443端口。建议切换到不受限的网络环境（比如手机热点）测试自定义域名+444端口的访问，排除本地/企业网络的限制。
后端服务的Host头校验策略
如果后端服务配置了仅允许特定Host头的请求（比如仅认可ALB自身域名），使用自定义域名访问时，请求携带的Host头是自定义域名，会被后端拒绝。可以用curl对比两种访问方式的请求头差异：
```
# 测试ALB域名访问
curl -v https://alb-xxxxxx.elb.us-east-1.amazonaws.com:444/health
# 测试自定义域名访问
curl -v https://your-custom-domain.com:444/health
```
同时查看后端服务日志，确认是否有Host头相关的拒绝记录。
VPC网络ACL双向规则缺失
安全组允许443/444端口只是入站规则，VPC的网络ACL是双向管控的，需要确认出站规则是否允许临时端口（1024-65535）的流量返回。如果网络ACL仅开放了443端口的出站流量，444端口请求的返回包会被阻断，导致自定义域名访问后端失败。
ALB监听器的证书绑定验证
虽然你提到两个监听器使用了同一张ACM证书，但可以再次确认后端监听器的证书选择是否正确——必须是包含自定义域名的证书（检查证书的SAN列表）。少数情况下可能存在配置时的误选，导致后端监听器的证书不匹配自定义域名。
Route53记录类型问题
如果使用的是CNAME记录而非ALB别名（A/AAAA）记录，部分DNS解析服务可能对非标准端口的转发存在隐性限制。尝试将CNAME记录替换为ALB的别名记录后再测试。