使用网络防火墙解决了 IP 验证问题

和 AWS Network Firewall 解决了 IP 验证问题，您可以通过直接连接到 IP 地址来检测和阻止试图绕过基于域的过滤的连接。标准网络防火墙域规则与客户端断言的主机名相匹配。示例包括 TLS 服务器名称指示 (SNI) 和 HTTP Host 标题。如果客户设置了 Host 允许的域的标头但连接到无关的 IP 地址，解析后的 IP 验证会检测到不匹配的情况。

当连接到达防火墙时，网络防火墙会检查 Route 53 VPC 解析器是否返回了任何域的连接目标 IP 地址。您还可以添加网络防火墙规则，检查 VPC 解析器是否返回了连接目标域的目标 IP 地址。网络防火墙仅检查与您指定的解析器 DNS 防火墙规则组关联的 VPC 的分辨率。

由于已解析的 IP 验证不依赖应用层标头，因此您还可以对没有域名的流量（例如 HTTP 和 HTTPS 以外的协议）应用基于域的过滤。

要开始使用，请参阅 已解决中的 IP 验证问题 AWS Network Firewall 在 网络防火墙开发者指南。

在有或没有 DNS 防火墙规则的情况下使用已解析的 IP 验证

DNS 防火墙规则筛选出站 DNS 查询，而解析的 IP 验证则作用于您的 VPC 在这些查询解析后建立的连接。您可以在有或没有 DNS 防火墙规则的情况下使用已解析的 IP 验证。

没有 DNS 防火墙规则

要在没有 DNS 防火墙域筛选的情况下使用已解析的 IP 验证，请将不包含规则的规则组与防火墙检查流量的 VPC 关联起来。DNS 防火墙不会筛选任何查询，但已解析的 IP 验证仍然有效。

使用 DNS 防火墙规则

当您向规则组添加规则时，DNS 防火墙筛选和已解析的 IP 验证将作为两个独立的保护层运行。如果规则阻止 DNS 查询，VPC 解析器将永远不会为该查询返回 IP 地址。因此，网络防火墙不允许基于它的连接。如果规则仅对查询发出警报，则查询仍能解析并且连接可以通过验证。

没有规则且仅用于已解析的 IP 验证的规则组不会产生 DNS 防火墙费用。向规则组添加规则后，将适用标准 DNS 防火墙定价。