Network Firewall을 사용한 IP 검증 해결

AWS Network Firewall 확인된 IP 검증을 사용하면 IP 주소에 직접 연결하여 도메인 기반 필터링을 우회하려는 연결을 감지하고 차단할 수 있습니다. 표준 Network Firewall 도메인 규칙은 클라이언트가 어설션하는 호스트 이름과 일치합니다. 예를 들어 TLS Server Name Indication(SNI)과 HTTP Host 헤더가 있습니다. 클라이언트가 허용된 도메인에 대한 Host 헤더를 설정하지만 관련 없는 IP 주소에 연결하면 확인된 IP 검증에서 불일치를 감지합니다.

연결이 방화벽에 도달하면 Network Firewall은 Route 53 VPC Resolver가 도메인에 대한 연결의 대상 IP 주소를 반환했는지 확인합니다. VPC Resolver가 연결 대상이 되는 도메인의 대상 IP 주소를 반환했는지 확인하는 Network Firewall 규칙을 추가할 수도 있습니다. Network Firewall은 지정한 Resolver DNS 방화벽 규칙 그룹과 연결된 VPCs에 대한 확인만 확인합니다.

확인된 IP 검증은 애플리케이션 계층 헤더에 의존하지 않으므로 HTTP 및 HTTPS 이외의 프로토콜과 같이 도메인 이름이 없는 트래픽에 도메인 기반 필터링을 적용할 수도 있습니다.

시작하려면 Network Firewall 개발자 안내서의 에서 확인된 IP 검증 AWS Network Firewall을 참조하세요.

DNS 방화벽 규칙과 함께 또는 DNS 방화벽 규칙 없이 확인된 IP 검증 사용

DNS 방화벽 규칙은 아웃바운드 DNS 쿼리를 필터링하는 반면, 확인된 IP 검증은 해당 쿼리가 해결된 후 VPCs가 수행하는 연결에 적용됩니다. DNS 방화벽 규칙과 함께 또는 DNS 방화벽 규칙 없이 확인된 IP 검증을 사용할 수 있습니다.

DNS 방화벽 규칙 없음

DNS 방화벽 도메인 필터링 없이 확인된 IP 검증을 사용하려면 규칙이 없는 규칙 그룹을 방화벽이 검사하는 트래픽VPCs와 연결합니다. DNS 방화벽은 쿼리를 필터링하지 않지만 확인된 IP 검증은 여전히 작동합니다.

DNS 방화벽 규칙 사용

규칙 그룹에 규칙을 추가하면 DNS 방화벽 필터링 및 확인된 IP 검증이 두 개의 독립적인 보호 계층으로 작동합니다. 규칙이 DNS 쿼리를 차단하면 VPC Resolver는 해당 쿼리에 대한 IP 주소를 반환하지 않습니다. 따라서 Network Firewall은 이를 기반으로 하는 연결을 허용하지 않습니다. 규칙이 쿼리에 대해서만 경고하는 경우 쿼리는 여전히 해결되고 연결은 검증을 통과할 수 있습니다.

확인된 IP 검증에만 사용하는 규칙이 없는 규칙 그룹에는 DNS 방화벽 요금이 발생하지 않습니다. 규칙 그룹에 규칙을 추가하면 표준 DNS 방화벽 요금이 적용됩니다.