Convalida IP risolta con Network Firewall

Con AWS Network Firewall una validazione IP risolta, è possibile rilevare e bloccare le connessioni che tentano di aggirare il filtro basato sul dominio connettendosi direttamente a un indirizzo IP. Una regola di dominio Network Firewall standard corrisponde al nome host affermato da un client. Gli esempi includono l'indicazione del nome del server TLS (SNI) e il protocollo HTTP Host intestazione. Se un cliente imposta un Host intestazione per un dominio consentito ma si connette a un indirizzo IP non correlato, la convalida IP risolta rileva la mancata corrispondenza.

Quando una connessione raggiunge il firewall, Network Firewall verifica se il Route 53 VPC Resolver ha restituito l'indirizzo IP di destinazione della connessione per qualsiasi dominio. È inoltre possibile aggiungere regole Network Firewall che controllano se il VPC Resolver ha restituito l'indirizzo IP di destinazione per il dominio a cui è destinata la connessione. Network Firewall controlla le risoluzioni solo per i VPC associati al gruppo di regole Resolver DNS Firewall specificato.

Poiché la convalida IP risolta non si basa su un'intestazione a livello di applicazione, puoi anche applicare un filtro basato sul dominio al traffico che non ha un nome di dominio, ad esempio protocolli diversi da HTTP e HTTPS.

Per iniziare, consulta Convalida IP risolta in AWS Network Firewall nel Guida per gli sviluppatori di Network Firewall.

Utilizzo della convalida IP risolta con e senza regole DNS Firewall

Le regole del firewall DNS filtrano le query DNS in uscita, mentre la convalida IP risolta agisce sulle connessioni effettuate dai VPC dopo la risoluzione di tali query. È possibile utilizzare la convalida IP risolta con o senza le regole del firewall DNS.

Senza regole DNS Firewall

Per utilizzare la convalida IP risolta senza il filtro del dominio DNS Firewall, associa un gruppo di regole che non contiene regole ai VPC il cui traffico viene ispezionato dal firewall. Il firewall DNS non filtra alcuna richiesta, ma la convalida IP risolta funziona comunque.

Con regole DNS Firewall

Quando si aggiungono regole al gruppo di regole, il filtro DNS Firewall e la convalida IP risolta funzionano come due livelli di protezione indipendenti. Se una regola blocca una query DNS, il Resolver VPC non restituisce mai un indirizzo IP per quella query. Di conseguenza, Network Firewall non consente connessioni basate su di esso. Se una regola invia solo avvisi su una query, la query viene comunque risolta e la connessione può superare la convalida.

Un gruppo di regole senza regole utilizzato solo per la convalida IP risolta non comporta costi per il firewall DNS. I prezzi standard del firewall DNS si applicano dopo l'aggiunta di regole al gruppo di regole.