使用 Network Firewall 解決 IP 驗證

透過 AWS Network Firewall 已解析的 IP 驗證，您可以直接連線至 IP 地址，偵測並封鎖嘗試略過網域型篩選的連線。標準 Network Firewall 網域規則符合用戶端宣告的主機名稱。範例包括 TLS 伺服器名稱指示 (SNI) 和 HTTP Host標頭。如果用戶端為允許的網域設定Host標頭，但連線到不相關的 IP 地址，則解析的 IP 驗證會偵測到不相符。

當連線到達防火牆時，Network Firewall 會檢查 Route 53 VPC Resolver 是否傳回任何網域的連線目的地 IP 地址。您也可以新增 Network Firewall 規則，檢查 VPC Resolver 是否傳回連線目標網域的目的地 IP 地址。Network Firewall 只會針對與您指定的解析程式 DNS 防火牆規則群組相關聯的 VPCs 檢查解析。

由於已解析 IP 驗證不依賴應用程式層標頭，因此您也可以將網域型篩選套用至沒有網域名稱的流量，例如 HTTP 和 HTTPS 以外的通訊協定。

若要開始使用，請參閱 Network Firewall 開發人員指南中的在 中解析 IP 驗證 AWS Network Firewall。

使用已解析的 IP 驗證搭配或不搭配 DNS 防火牆規則

DNS 防火牆規則會篩選傳出 DNS 查詢，而解析的 IP 驗證會在這些查詢解析後對 VPCs所做的連線採取行動。您可以使用解析的 IP 驗證搭配或不搭配 DNS 防火牆規則。

沒有 DNS 防火牆規則

若要在沒有 DNS 防火牆網域篩選的情況下使用已解析的 IP 驗證，請將不包含規則的規則群組與防火牆檢查其流量的 VPCs 建立關聯。DNS 防火牆不會篩選任何查詢，但解析的 IP 驗證仍然有效。

使用 DNS 防火牆規則

當您將規則新增至規則群組時，DNS 防火牆篩選和解析的 IP 驗證可做為兩個獨立的保護層。如果規則封鎖 DNS 查詢，VPC Resolver 永遠不會傳回該查詢的 IP 地址。因此，Network Firewall 不允許以連線為基礎的連線。如果規則僅對查詢發出警示，查詢仍會解析，且連線可以通過驗證。

沒有您僅用於已解析 IP 驗證之規則的規則群組不會產生 DNS 防火牆費用。將規則新增至規則群組後，會套用標準 DNS 防火牆定價。