IP-Validierung mit Network Firewall behoben

Mit AWS Network Firewall Mit der aufgelösten IP-Validierung können Sie Verbindungen erkennen und blockieren, die versuchen, die domänenbasierte Filterung zu umgehen, indem Sie sich direkt mit einer IP-Adresse verbinden. Eine Standard-Netzwerkfirewall-Domänenregel entspricht dem Hostnamen, den ein Client angibt. Beispiele hierfür sind die TLS Server Name Indication (SNI) und die HTTP Host Kopfzeile. Wenn ein Kunde eine festlegt Host Header für eine zulässige Domain, aber eine Verbindung zu einer anderen IP-Adresse herstellt, erkennt die aufgelöste IP-Überprüfung die Nichtübereinstimmung.

Wenn eine Verbindung die Firewall erreicht, überprüft die Network Firewall, ob der Route 53 VPC Resolver die Ziel-IP-Adresse der Verbindung für eine beliebige Domain zurückgegeben hat. Sie können auch Netzwerk-Firewall-Regeln hinzufügen, die überprüfen, ob der VPC-Resolver die Ziel-IP-Adresse für die Domäne zurückgegeben hat, auf die die Verbindung abzielt. Die Netzwerk-Firewall überprüft die Auflösungen nur für die VPCs, die der von Ihnen angegebenen Resolver-DNS-Firewall-Regelgruppe zugeordnet sind.

Da die aufgelöste IP-Validierung nicht auf einem Header auf Anwendungsebene basiert, können Sie auch domänenbasierte Filterung auf Datenverkehr anwenden, der keinen Domänennamen hat, z. B. andere Protokolle als HTTP und HTTPS.

Informationen zu den ersten Schritten finden Sie unter Behoben: IP-Validierung in AWS Network Firewall in der Entwicklerhandbuch für Netzwerk-Firewalls.

Verwendung der aufgelösten IP-Validierung mit und ohne DNS-Firewallregeln

Die DNS-Firewallregeln filtern ausgehende DNS-Abfragen, wohingegen die aufgelöste IP-Validierung auf die Verbindungen wirkt, die Ihre VPCs nach der Auflösung dieser Abfragen herstellen. Sie können die aufgelöste IP-Validierung mit oder ohne DNS-Firewallregeln verwenden.

Ohne DNS-Firewallregeln

Um die aufgelöste IP-Validierung ohne DNS-Firewall-Domänenfilterung zu verwenden, ordnen Sie den VPCs, deren Datenverkehr die Firewall überprüft, eine Regelgruppe zu, die keine Regeln enthält. Die DNS-Firewall filtert keine Abfragen, aber die aufgelöste IP-Validierung funktioniert trotzdem.

Mit DNS-Firewallregeln

Wenn Sie der Regelgruppe Regeln hinzufügen, funktionieren die DNS-Firewall-Filterung und die Überprüfung aufgelöster IP-Adressen als zwei unabhängige Schutzebenen. Wenn eine Regel eine DNS-Abfrage blockiert, gibt der VPC-Resolver niemals eine IP-Adresse für diese Abfrage zurück. Daher erlaubt die Network Firewall keine darauf basierenden Verbindungen. Wenn eine Regel nur bei einer Abfrage eine Warnung ausgibt, wird die Abfrage trotzdem aufgelöst und die Verbindung kann die Überprüfung bestehen.

Für eine Regelgruppe ohne Regeln, die Sie nur für die Validierung gelöster IP-Adressen verwenden, fallen keine Gebühren für die DNS-Firewall an. Die Standardpreise für die DNS-Firewall fallen an, nachdem Sie der Regelgruppe Regeln hinzugefügt haben.