Se resolvió la validación de IP con Network Firewall

Con AWS Network Firewall la validación de IP resuelta, puede detectar y bloquear las conexiones que intentan eludir el filtrado basado en el dominio mediante la conexión directa a una dirección IP. Una regla de dominio estándar de Network Firewall coincide con el nombre de host que afirma un cliente. Algunos ejemplos son la indicación del nombre del servidor TLS (SNI) y el HTTP Host encabezado. Si un cliente establece un Host el encabezado de un dominio permitido pero se conecta a una dirección IP no relacionada, la validación de IP resuelta detecta la falta de coincidencia.

Cuando una conexión llega al firewall, Network Firewall comprueba si el solucionador de VPC de Route 53 devolvió la dirección IP de destino de la conexión para algún dominio. También puede añadir reglas de firewall de red para comprobar si el solucionador de VPC devolvió la dirección IP de destino del dominio al que se dirige la conexión. Network Firewall comprueba las resoluciones solo de las VPC que están asociadas al grupo de reglas del firewall DNS de Resolver que especifiques.

Como la validación de las IP resueltas no se basa en un encabezado de capa de aplicación, también puede aplicar filtros basados en el dominio al tráfico que no tiene nombre de dominio, como los protocolos distintos de HTTP y HTTPS.

Para empezar, consulta Se resolvió la validación de IP en AWS Network Firewall en el Guía para desarrolladores de Network Firewall.

Uso de la validación de IP resuelta con y sin reglas de firewall de DNS

Las reglas del firewall de DNS filtran las consultas de DNS salientes, mientras que la validación de IP resuelta actúa sobre las conexiones que establecen las VPC una vez resueltas esas consultas. Puede utilizar la validación de IP resuelta con o sin reglas de firewall de DNS.

Sin reglas de firewall de DNS

Para utilizar la validación de direcciones IP resueltas sin filtrar los dominios del firewall de DNS, asocie un grupo de reglas que no contenga reglas a las VPC cuyo tráfico inspecciona el firewall. El firewall de DNS no filtra ninguna consulta, pero la validación de IP resuelta sigue funcionando.

Con las reglas de DNS Firewall

Al agregar reglas al grupo de reglas, el filtrado del firewall de DNS y la validación de IP resuelta funcionan como dos capas de protección independientes. Si una regla bloquea una consulta de DNS, el solucionador de VPC nunca devuelve una dirección IP para esa consulta. Como resultado, Network Firewall no permite conexiones basadas en ella. Si una regla solo alerta sobre una consulta, la consulta aún se resuelve y la conexión puede pasar la validación.

Un grupo de reglas sin reglas que se utilice únicamente para la validación de direcciones IP resueltas no incurrirá en gastos de firewall de DNS. Los precios estándar del firewall DNS se aplican después de agregar reglas al grupo de reglas.