Почему Amazon CloudFront не подгружает контент с сервера-источника?

Question

[bulletproofstone]

Развернул дистрибув CloudFront. Настроил, указал в качестве origin внешний сервер по домену asdfgtyu2.xyz.
Но при переходе по амазоновской ссылке d1bm861velymm0.cloudfront.net с конкретным путём выдает ошибку 502.

Например, на сервере-источнике есть картинка https://asdfgtyu2.xyz/pl_pl/femaleviewv1/bentolit/...
Ссылка на картинку в AWS https://d1bm861velymm0.cloudfront.net/pl_pl/female...
Появляется ошибка "CloudFront wasn't able to connect to the origin. We can't connect to the server for this app or website at this time. " При открытии той же ссылки http, ошибка 404 Not Found.

Насколько понимаю, CloudFront работает по такому же принципу, как и Azure CDN. Какой путь указываю в ссылке, по такому же пути проходит CDN на сервере-источнике и забирает файлы. По крайней мере, в Azure всё так и работало. То есть не обязательно привязывать свой домен, можно использовать поддомен AWS, в моём случае d1bm861velymm0.

Этот же домен используется как источник в Azure, таких проблем нет.
Настройки CloudFront: https://yadi.sk/i/pHBB-8Yqf0kFGQ https://yadi.sk/i/sRaKDWeEziZ85w https://yadi.sk/i/GOxIZ8ANZ84ODg

В справке AWS есть статья по такой ошибке https://docs.aws.amazon.com/AmazonCloudFront/lates...
Но не нашёл ничего, что бы объясняло проблему. С SSL вроде всё в порядке, используется Let's Encsrypt, в Azure не было с этим проблем. Ссылки не открываются и без https. С DNS проблем тоже нет. Порты стандартные.

Подскажите, пожалуйста, как сделать, чтобы всё заработало.

Comments

[Евгений Хлебников]

я бы покопался в сторону оптимизации настройки tls : отключить 1.0,1.1 и добавить в конфигурации 1.2 правильные шифры. mozilla observatory для вашего домена говорит что конфигурация неоптимальна, https://observatory.mozilla.org/analyze/asdfgtyu2....
Впрочем, я проверил глазами список поддерживаемых cloudfront-ом шифров и тех, которые отдает ваш сервер - совпадения есть, может быть cloudfront каким-то образом выбирает не тот который нужен.
В остальном действительно не углядел ошибок в конфигурации

[Иван Шумов]

Что в конфигурации Behaviors?

[bulletproofstone]

Иван Шумов, https://yadi.sk/i/uwHuHCEKXO8X_w https://yadi.sk/i/YOFdJb5Sr-0PhA https://yadi.sk/i/noF3NiMiSO1alQ

[bulletproofstone]

Евгений, спасибо за совет. Попробовал Origin Protocol Policy - HTTP Only, чтобы исключить проблемы с сертификатом. На всякий случай отключил SSL на домене (пробовал и с включенным Let's Enscrypt) - результат один, всё равно не работает.

[bulletproofstone]

Посмотрел accesslog, в логах запросов нет. FirewallD отключен. В iptables нет запретов, при его отключении ничего не меняется.

[bulletproofstone]

С HTTP only ошибка 404 d1bm861velymm0.cloudfront.net/ava_author.jpg

[Иван Шумов]

bulletproofstone, origin указан один, а в вопросе другой, cache полиси настраивать дорого как все заработало - дикость (убрать политики для начала).

[bulletproofstone]

Иван Шумов, помогло убрать Origin Request Policy. Спасибо! С выбранным Cache Policy "Managed-CachingOptimized" тоже всё работает.

При создании указывал origin asdfgtyu2.xyz Он и остался https://yadi.sk/i/bUPt6TiJUj_YQg Custom-asdfgtyu2.xyz - это origin id. В Behaviors "Origin or Origin Group" нельзя выбрать другой.

Answer 1

[Иван Шумов]

Как итог - помогло убрать Origin Request Policy. Делаем выводы - не конфигурируете то что не является обязательными настройками при проверке новых для вас технологий. За вас уже подумали чтобы оно в принципе работало, а дополнительно сконфигурировать софт/сервис вы еще всегда успеете