Network Firewall を使用した IP 検証の解決

AWS Network Firewall 解決された IP 検証を使用すると、IP アドレスに直接接続することで、ドメインベースのフィルタリングをバイパスしようとする接続を検出してブロックできます。標準の Network Firewall ドメインルールは、クライアントがアサートするホスト名と一致します。例としては、TLS Server Name Indication (SNI) や HTTP Hostヘッダーなどがあります。クライアントが許可されたドメインのHostヘッダーを設定し、無関係な IP アドレスに接続すると、解決された IP 検証によって不一致が検出されます。

接続がファイアウォールに到達すると、Network Firewall は Route 53 VPC Resolver が任意のドメインの接続の送信先 IP アドレスを返したかどうかを確認します。VPC Resolver が接続先ドメインの送信先 IP アドレスを返したかどうかを確認する Network Firewall ルールを追加することもできます。Network Firewall は、指定した Resolver DNS Firewall ルールグループに関連付けられている VPCs の解決のみをチェックします。

解決された IP 検証はアプリケーションレイヤーヘッダーに依存しないため、HTTP や HTTPS 以外のプロトコルなど、ドメイン名を持たないトラフィックにドメインベースのフィルタリングを適用することもできます。

開始するには、Network Firewall デベロッパーガイドの「 での IP 検証の解決 AWS Network Firewall」を参照してください。

DNS Firewall ルールの有無にかかわらず、解決された IP 検証を使用する

DNS ファイアウォールルールはアウトバウンド DNS クエリをフィルタリングしますが、解決された IP 検証は、それらのクエリが解決された後に VPCs が行う接続で動作します。解決された IP 検証は、DNS Firewall ルールの有無にかかわらず使用できます。

DNS ファイアウォールルールなし

DNS Firewall ドメインフィルタリングなしで解決された IP 検証を使用するには、ルールを含まないルールグループを、ファイアウォールが検査するトラフィックを持つ VPCs に関連付けます。DNS Firewall はクエリをフィルタリングしませんが、解決された IP 検証は引き続き機能します。

DNS Firewall ルールを使用する

ルールグループにルールを追加すると、DNS Firewall フィルタリングと解決された IP 検証は 2 つの独立した保護レイヤーとして機能します。ルールが DNS クエリをブロックする場合、VPC リゾルバーはそのクエリの IP アドレスを返しません。その結果、Network Firewall はそれに基づく接続を許可しません。ルールがクエリに対してのみアラートを送信する場合、クエリは解決され、接続は検証に合格できます。

解決された IP 検証にのみ使用するルールがないルールグループでは、DNS Firewall の料金は発生しません。ルールグループにルールを追加すると、標準の DNS ファイアウォール料金が適用されます。