Route 53 Resolverへのクエリがタイムアウトするケースについて

カスタマーサクセス部の北中です。
EC2からRoute 53 Resolverへのクエリがタイムアウトしてしまい、名前解決が失敗した事象に出会ったので、検証/調査したことを備忘録として記載します。
同じような事象で困っている方の参考になれば幸いです。

(補足)本ブログではケース①～③の3パターン記載していますが、今回私がハマったのはケース③のみでした。

ケース①：スロットリングが原因

以下のAWSの記事を見ると、Route 53 Resolverは1秒当たり1024パケットを超過した場合、超過したトラフィックを全て拒否する制限があるようでした。

Amazon が提供する DNS サーバーは、Elastic Network Interface ごとに 1 秒あたり 1024 パケットの制限を適用します。Amazon が提供する DNS サーバーは、この制限を超えたトラフィックをすべて拒否します。

参考：VPC DNS スロットリングが原因で、Amazon が提供する DNS サーバーへの DNS クエリが失敗しているかどうかを確認するにはどうすればよいですか？

「1秒当たり1024パケットを超過した場合」なので、かなりの頻度でクエリが行われる環境でないと該当しなさそうですね。
この制限は緩和することができないように見受けられるため、もし該当する場合はDNSキャッシュなどを利用し、クエリの頻度を抑える必要があります。

ケース②：VPCのDNS設定で「DNS解決」が無効になっている

VPCにはDNS関連設定として「DNSホスト名」と「DNS解決」がありますが、「DNS解決」が無効になっている場合、クエリがタイムアウトします。
参考：VPC 内の DNS 属性

「DNS解決」を無効した状態で名前解決を実行

「DNS解決」はデフォルトで有効になっているためこのケースが該当する可能性は低いと思いますが、操作ミスなどで無効になっている可能性なども考えられるので、切り分けとして確認しておきましょう。

ケース③：Route53 Resolver Outbound EndpointからDNSサーバへの通信が失敗している

今回こちらのケースに該当していたのですが、オンプレ側のDNSサーバを用いた名前解決を可能とするためにRoute53 Resolver Outbound Endpointを使用しているケースにおいて、Route53 Resolver Outbound EndpointからDNSサーバへの通信が失敗している場合もクエリがタイムアウトで失敗します。

事象の再現

以下に再現した環境の構成図を記載します。

まずはRoute53 Resolver Outbound EndpointとDNSサーバ間の通信が正常に完了している状態で名前解決を行ってみます。

正常に名前解決が行われました。

次にDNSサーバのセキュリティグループでRoute53 Resolver Outbound Endpointからの通信を許可しない状態で名前解決を行います。
(キャッシュによる回答が行われないようにwww2.test.comに対して名前解決を行っています。)

クエリがタイムアウトで失敗していることが読み取れます。

ケース③の再現環境ではDNSサーバのセキュリティグループで通信を遮断しましたが、Route53 Resolver Outbound Endpoint側のセキュリティグループ(※)やルーティングなどが適切に設定されていない場合でも同様の事象が発生するため、様々な観点での切り分けを行う必要があります。
(私はメッセージ的にクライアントからRoute 53 Resolverへの接続がうまくいっていないように思ってしまい、原因を突き止めるまでに時間を要してしまいました。。。)

※Route53 Resolver Outbound Endpoint側のセキュリティグループでは、アウトバウンドルールで DNS クエリに使用するポートでアクセスを許可する必要があります。