apple-app-site-association 访问突然故障

[xring]

RT ，我们一直在生产测试环境中使用同一个配置。

通过 https://app-site-association.cdn-apple.com/a/v1/ourdomain.com

也是可以正常工作的，从 17 号开始，陆续出现上面的地址提示 Not Found ，然后在响应头里出现：

< apple-failure-details: {"cause":"context deadline exceeded (Client.Timeout exceeded while awaiting headers)"}
< apple-failure-reason: SWCERR00301 Timeout

而 https://ourdomain.com/app-site-association 是一直可以正常响应的。

诡异的是，两位同事打开梯子，上面的 URL （ https://app-site-association.cdn-apple.com/a/v1/ourdomain.com ）可以拿到正常的内容，而断开梯子则提示 Not Found 。而另外两位同事打开梯子也是提示 Not Found 。

有没有遇到过类似问题的大佬们啊，求指点。

[xring]

更新：

试了 法国、澳大利亚、美国、日志、新加坡等地的梯子节点，走了不同的 CDN 线路，只有 jptyo5-vp-vst-007.ts.apple.com (acdn/84.14362), http/1.1 jptyo5-vp-vfe-014.ts.apple.com (acdn/84.14362) 这条是异常的，而亚洲地区访问的都是这个 CDN 。

[xring]

更新：

服务器在阿里云，深圳地区。

目前看，阿里云深圳不可用：
- 复杂网络环境，SLB + K8S 不可用
- 裸 ECS + Nginx 不可用
- 新建帐号 新建网络组 安全组 等 裸 ECS + Nginx 仍不可用

北京地区，可以使用。

目前使用了个很丑的方案临时解决：
- 对域名使用境内/境外不同解析
- 境外解析至北京可用区
- 北京可用区 Nginx 正向代理至深圳可用区。

强制刷新 Apple 的 CDN 节点，请求压根没有进深圳地区的 网关/Nginx 。

所以，问题到底在哪里...

[kbjwdh]

一样的问题 u, 你们解了没

[xring]

@kbjwdh 目前仍然是使用上面提到的很丑的解决方案。

[kbjwdh]

感觉是苹果的 cdn 节点出问题了...我们没法换.域名啊
@xring

[xring]

@kbjwdh 我们的做法是域名做两个解析：
境内解析到 IP1 （原来的 IP1 不动，深圳可用区），境外解析到 IP2 （北京可用区）。

现已知 Apple CDN 东京节点访问阿里云深圳可用区不可达，但是访问北京可用区可达。且 Apple 的 AASA Bot IP 为境外 IP ，则 AASA Bot 会访问 IP2 获取 apple-app-site-association ，此时在 IP2 所在服务器用 Nginx 将请求正向代理到 IP1 。

即用阿里云北京可用区做了一层代理。