DNS托管于Bluehost时如何在Route 53配置子域名指向ALB并解决403错误

核心问题答疑 #

不需要将Route53的NS记录替换为Bluehost的NS记录，该操作会直接导致子域名解析失效，不符合跨服务商子域名托管的配置逻辑。

可行配置方案 #

方案1：使用Route53托管子域名（适合需要用到Route53其他功能的场景）

• 首先在Route53创建apples.ilovefruits.org的子域名托管区，复制托管区自动生成的4条NS记录值
• 登录Bluehost域名管理后台，进入主域ilovefruits.org的解析配置页，新增4条NS类型记录：主机记录填apples，记录值分别填写刚才复制的4条Route53 NS记录，TTL设置为300即可
• 回到Route53的apples.ilovefruits.org托管区，新增A类型ALIAS记录，目标选择你部署的对应ALB实例，保存后等待1-10分钟解析生效

方案2：直接在Bluehost配置解析（轻量场景首选，无需操作Route53 NS）

如果没有特殊需求要用到Route53的其他功能，可直接用该方案，配置更简单：

• 无需创建Route53子域名托管区，直接在Bluehost主域ilovefruits.org的解析配置页，新增CNAME类型记录：主机记录填apples，记录值填写ALB的公有DNS域名（可在AWS ALB控制台复制），TTL设置为300即可

403 Forbidden错误排查方案 #

该错误和域名解析配置无关，属于ALB或后端服务配置错误，按以下顺序排查：

• 确认ALB 443监听器绑定的SSL证书覆盖了apples.ilovefruits.org，如果使用AWS ACM证书，需确认证书已成功签发且域名列表包含该子域名
• 确认ALB 443监听器的转发规则，主机头为apples.ilovefruits.org的请求被正确转发到处理业务的443端口目标组，没有匹配到其他优先级更高的错误规则
• 确认业务目标组的健康检查状态为正常，EC2实例的安全组已放通ALB所属VPC网段的443端口访问权限
• 确认EC2上部署的业务服务没有配置域名白名单，未拦截apples.ilovefruits.org的访问请求

内容的提问来源于stack exchange，提问作者Dylan