403 状态路由流量通过 AWS CloudFront 到非 AWS 自定义源服务器

Question

我们有一个带有第 3 方注册商的域和一个由第 3 方服务器提供服务的动态网站。我正在尝试通过我们的注册商路由流量，然后通过 AWS CloudFront，然后到我们的自定义源服务器。

最终，我们希望用 AWS WAF 替换我们的第 3 方 WAF，但我首先尝试在添加 WAF 层之前通过 CloudFront 路由流量。

我已经配置：

• 带有备用域名的 CloudFront 分配（我们称之为 aws.example.com）
• 具有相同子域的自定义 SSL 证书 (aws.example.com) 通过 AWS Certificate Manager 设置
• a 使用子域/备用域名设置的 CloudFront 行为 作为源，禁用缓存，HTTP 重定向到 HTTPS
• Route 53 中的托管区域，A 记录映射 子域/备用域名到静态公共 IP 地址 非 AWS 源服务器
• 我们注册商的 CNAME，用于映射子域的域名 “aws”到 CloudFront 分配的分配域名 （例如 xyz123.cloudfront.net）

我期望对 aws.example.com 的调用通过我们的注册商通过 Route 53 路由到 CloudFront 到非 AWS 原始服务器，但我们得到的是 CloudFront 以 403 状态响应，消息页面“由 cloudfront 生成（云端）”。

如果我直接转到 CloudFront 分发的分发域名（例如 xyz123.cloudfront.net），结果是完全一样的。似乎流量在 CloudFront 停止，并且备用域没有通过 Route 53。

我还应该提到，如果 DNS 只是通过我们的注册商路由（通过指向服务器 IP 地址的 A 记录），则可以访问非 AWS 源服务器上的子域。

配置这一切以通过 CloudFront 将流量路由到非 AWS 自定义源服务器的正确方法是什么？