本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 使用网络防火墙解决了 IP 验证问题
<a name="resolver-dns-firewall-resolved-ip-validation"></a>

和 AWS Network Firewall 解决了 IP 验证问题，您可以通过直接连接到 IP 地址来检测和阻止试图绕过基于域的过滤的连接。标准网络防火墙域规则与客户端断言的主机名相匹配。示例包括 TLS 服务器名称指示 (SNI) 和 HTTP `Host` 标题。如果客户设置了 `Host` 允许的域的标头但连接到无关的 IP 地址，解析后的 IP 验证会检测到不匹配的情况。

当连接到达防火墙时，网络防火墙会检查 Route 53 VPC 解析器是否返回了任何域的连接目标 IP 地址。您还可以添加网络防火墙规则，检查 VPC 解析器是否返回了连接目标域的目标 IP 地址。网络防火墙仅检查与您指定的解析器 DNS 防火墙规则组关联的 VPC 的分辨率。

由于已解析的 IP 验证不依赖应用层标头，因此您还可以对没有域名的流量（例如 HTTP 和 HTTPS 以外的协议）应用基于域的过滤。

要开始使用，请参阅 [已解决中的 IP 验证问题 AWS Network Firewall](https://docs.aws.amazon.com/network-firewall/latest/developerguide/route53-resolved-ip-validation.html) 在 *网络防火墙开发者指南*。

## 在有或没有 DNS 防火墙规则的情况下使用已解析的 IP 验证
<a name="resolver-dns-firewall-resolved-ip-validation-with-rules"></a>

DNS 防火墙规则筛选出站 DNS 查询，而解析的 IP 验证则作用于您的 VPC 在这些查询解析后建立的连接。您可以在有或没有 DNS 防火墙规则的情况下使用已解析的 IP 验证。

**没有 DNS 防火墙规则**  
要在没有 DNS 防火墙域筛选的情况下使用已解析的 IP 验证，请将不包含规则的规则组与防火墙检查流量的 VPC 关联起来。DNS 防火墙不会筛选任何查询，但已解析的 IP 验证仍然有效。

**使用 DNS 防火墙规则**  
当您向规则组添加规则时，DNS 防火墙筛选和已解析的 IP 验证将作为两个独立的保护层运行。如果规则阻止 DNS 查询，VPC 解析器将永远不会为该查询返回 IP 地址。因此，网络防火墙不允许基于它的连接。如果规则仅对查询发出警报，则查询仍能解析并且连接可以通过验证。

没有规则且仅用于已解析的 IP 验证的规则组不会产生 DNS 防火墙费用。向规则组添加规则后，将适用标准 DNS 防火墙定价。