Validation IP résolue avec Network Firewall

Avec AWS Network Firewall validation IP résolue, vous pouvez détecter et bloquer les connexions qui tentent de contourner le filtrage basé sur le domaine en vous connectant directement à une adresse IP. Une règle de domaine de pare-feu réseau standard correspond au nom d'hôte indiqué par un client. Les exemples incluent l'indication du nom du serveur TLS (SNI) et le protocole HTTP Host en-tête. Si un client définit un Host en-tête pour un domaine autorisé mais se connecte à une adresse IP non liée, la validation IP résolue détecte la non-concordance.

Lorsqu'une connexion atteint le pare-feu, Network Firewall vérifie si le résolveur VPC Route 53 a renvoyé l'adresse IP de destination de la connexion pour n'importe quel domaine. Vous pouvez également ajouter des règles de pare-feu réseau qui vérifient si le résolveur VPC a renvoyé l'adresse IP de destination pour le domaine ciblé par la connexion. Le pare-feu réseau vérifie les résolutions uniquement pour les VPC associés au groupe de règles Resolver DNS Firewall que vous spécifiez.

Étant donné que la validation des adresses IP résolues ne repose pas sur un en-tête de couche application, vous pouvez également appliquer un filtrage basé sur le domaine au trafic qui n'a pas de nom de domaine, tel que des protocoles autres que HTTP et HTTPS.

Pour commencer, consultez Validation IP résolue dans AWS Network Firewall dans le Guide du développeur de Network Firewall.

Utilisation de la validation IP résolue avec et sans règles de pare-feu DNS

Les règles du pare-feu DNS filtrent les requêtes DNS sortantes, tandis que la validation des adresses IP résolues agit sur les connexions que vos VPC établissent une fois ces requêtes résolues. Vous pouvez utiliser la validation IP résolue avec ou sans règles de pare-feu DNS.

Sans règles de pare-feu DNS

Pour utiliser la validation IP résolue sans filtrage de domaine du pare-feu DNS, associez un groupe de règles ne contenant aucune règle aux VPC dont le trafic est inspecté par le pare-feu. Le pare-feu DNS ne filtre aucune requête, mais la validation des adresses IP résolues fonctionne toujours.

Avec les règles du pare-feu DNS

Lorsque vous ajoutez des règles au groupe de règles, le filtrage du pare-feu DNS et la validation des adresses IP résolues fonctionnent comme deux couches de protection indépendantes. Si une règle bloque une requête DNS, le résolveur VPC ne renvoie jamais d'adresse IP pour cette requête. Par conséquent, le pare-feu réseau n'autorise pas les connexions basées sur celui-ci. Si une règle n'alerte que sur une requête, celle-ci est toujours résolue et la connexion peut être validée.

Un groupe de règles dépourvu de règles que vous utilisez uniquement pour la validation des adresses IP résolues n'entraîne pas de frais de pare-feu DNS. La tarification standard du pare-feu DNS s'applique une fois que vous avez ajouté des règles au groupe de règles.