Validação de IP resolvida com o Network Firewall

Com AWS Network Firewall Com a validação de IP resolvida, você pode detectar e bloquear conexões que tentam contornar a filtragem baseada em domínio conectando-se diretamente a um endereço IP. Uma regra de domínio padrão do Network Firewall corresponde ao nome do host que um cliente afirma. Os exemplos incluem a Indicação de Nome de Servidor TLS (SNI) e o HTTP Host cabeçalho. Se um cliente definir um Host cabeçalho para um domínio permitido, mas conectado a um endereço IP não relacionado, a validação de IP resolvida detecta a incompatibilidade.

Quando uma conexão atinge o firewall, o Network Firewall verifica se o VPC Resolver do Route 53 retornou o endereço IP de destino da conexão para qualquer domínio. Você também pode adicionar regras de firewall de rede que verificam se o VPC Resolver retornou o endereço IP de destino para o domínio ao qual a conexão se destina. O Network Firewall verifica as resoluções somente para as VPCs associadas ao grupo de regras Resolver DNS Firewall que você especificar.

Como a validação de IP resolvida não depende de um cabeçalho da camada de aplicativo, você também pode aplicar a filtragem baseada em domínio ao tráfego que não tem nome de domínio, como protocolos diferentes de HTTP e HTTPS.

Para começar, consulte Validação de IP resolvida em AWS Network Firewall na Guia do desenvolvedor de firewall de rede.

Usando validação de IP resolvida com e sem regras de firewall DNS

As regras do DNS Firewall filtram as consultas de DNS de saída, enquanto a validação de IP resolvida atua nas conexões que suas VPCs fazem após a resolução dessas consultas. Você pode usar a validação de IP resolvida com ou sem regras de firewall DNS.

Sem regras de firewall de DNS

Para usar a validação de IP resolvida sem a filtragem de domínio do DNS Firewall, associe um grupo de regras que não contém regras às VPCs cujo tráfego o firewall inspeciona. O DNS Firewall não filtra nenhuma consulta, mas a validação de IP resolvida ainda funciona.

Com as regras do DNS Firewall

Quando você adiciona regras ao grupo de regras, a filtragem do DNS Firewall e a validação resolvida de IP funcionam como duas camadas independentes de proteção. Se uma regra bloquear uma consulta de DNS, o VPC Resolver nunca retornará um endereço IP para essa consulta. Como resultado, o Network Firewall não permite conexões baseadas nele. Se uma regra só alertar sobre uma consulta, a consulta ainda será resolvida e a conexão poderá passar pela validação.

Um grupo de regras sem regras que você usa somente para a validação resolvida de IP não incorre em cobranças de firewall de DNS. O preço padrão do Firewall DNS se aplica depois que você adiciona regras ao grupo de regras.