Der Terraform AWS Provider unterstützt Route 53 Resolved IP Validation seit Version 6.71.0, die am 28. Oktober 2026 erschien. AWS hatte die Funktion für AWS Network Firewall bereits am 21. Oktober gestartet. Sie prüft, ob Route 53 Resolver die Ziel-IP-Adresse in einer verknüpften VPC zurückgegeben hat. Für den Abgleich mit einer bestimmten Domain braucht es zusätzlich eine zustandsbehaftete Regel.
Das ist wichtig, wenn ein Netzwerkteam Firewall-Regeln als Code verwaltet oder Verbindungen anhand von Domains steuern möchte, auch bei Protokollen ohne Domainnamen im Verbindungsaufbau.
Was die IP-Prüfung tatsächlich bestätigt
Die Richtlinienprüfung kontrolliert beim ersten Paket einer neuen Verbindung, ob Route 53 Resolver die Ziel-IP in einer VPC zurückgegeben hat, die mit der ausgewählten DNS-Firewall-Regelgruppe verknüpft ist. Ein Treffer bestätigt die Auflösung für irgendeine Domain. Er weist nicht nach, dass die IP zu einer bestimmten erlaubten Domain gehört.
Für diesen gezielten Abgleich sind zustandsbehaftete Regeln mit einem aufgelösten Domainnamen nötig. Die Prüfung auf Richtlinienebene läuft vor diesen Regeln. Eine zustandsbehaftete Pass-Regel hebt deshalb eine fehlgeschlagene IP-Prüfung nicht auf.
Quellbereiche und Ausnahmen richtig konfigurieren
SourceIPRanges legt fest, für welche Quelladressen die Prüfung gilt. Das Feld auszulassen und es als leere Liste zu übergeben hat unterschiedliche Folgen:
Einstellung für SourceIPRanges | Wirkung | Maximale Einträge |
| Feld ausgelassen | Prüfung gilt für die CIDR-Bereiche der Firewall-VPC und zusätzlich angebundener VPCs. | 100 |
| Leere Liste | Es werden keine Quelladressen geprüft. | 100 |
| Liste mit Adressen oder CIDR-Bereichen | Prüfung gilt für die angegebenen IPv4- oder IPv6-Adressen und Bereiche. | 100 |
Eine ausdrücklich leere Liste kann die Prüfung also auf null Quelladressen begrenzen. Für BypassDestinationValidationIPRanges sind ebenfalls höchstens 100 IPv4- oder IPv6-Adressen beziehungsweise CIDR-Bereiche vorgesehen. Diese Ausnahmen umgehen nur die IP-Prüfung auf Richtlinienebene. Zustandsbehaftete Regeln mit aufgelösten Domains prüfen den Verkehr weiterhin.
Alert, Drop und Reject
Bei fehlgeschlagener Validierung kann die Richtlinie ALERT, DROP oder REJECT ausführen. ALERT blockiert die Verbindung nicht; bei aktiviertem Flow-Logging wird sie markiert. DROP verwirft sie still. REJECT blockiert TCP-Verbindungen mit einem TCP-Reset. Bei anderen Protokollen wird der Verkehr verworfen.
Für laufende Verbindungen, deren DNS-Auflösung aus dem Cache abläuft, lässt sich eine eigene Ausnahme wählen: CONTINUE, DROP oder REJECT. AWS zufolge hält Network Firewall eine Auflösung länger als die TTL des DNS-Eintrags im Cache.
AWS empfiehlt, die Richtlinie zunächst mit ALERT zu betreiben und die Verbindungen zu beobachten, während Clients ihre DNS-Caches aktualisieren. Als Orientierung nennt AWS etwa 24 Stunden bis zur Durchsetzung. Das ist eine Betriebsempfehlung, keine garantierte Aktualisierungsdauer.
Domainregeln für SFTP und TLS
AWS zeigt eine zustandsbehaftete Domainregel für SFTP zu files.partner.example.com über TCP-Port 22. So lässt sich Domainfilterung auch für einen Verkehrstyp einsetzen, der beim Verbindungsaufbau keinen Domainnamen überträgt.
Für TLS zeigt AWS eine Regel zu api.partner.example.com auf Port 443. Die aufgelöste Domainregel prüft dabei die Zieladresse. Soll zusätzlich der im TLS-Verbindungsaufbau angegebene Name passen, muss die Regel eine genaue SNI-Bedingung enthalten. SNI steht für Server Name Indication, den vom Client übermittelten Servernamen.
Die Funktion wertet Antworten von Route 53 Resolver aus. AWS empfiehlt deshalb, DNS-Verbindungen zu anderen Resolvern einschließlich DNS over HTTPS und DNS over TLS zu unterbinden, wenn solche Wege die Prüfung nicht umgehen sollen.
Bei verteilten Bereitstellungen müssen Clients den Firewall-Endpunkt in ihrer eigenen Availability Zone erreichen. AWS nennt außerdem zentralisierte Bereitstellungen mit einer nativ an ein Transit Gateway angebundenen Firewall als unterstütztes Modell.
AWS erhebt für Route 53 Resolved IP Validation selbst keine zusätzlichen Gebühren in kommerziellen AWS-Regionen, in denen AWS Network Firewall und Route 53 Resolver DNS Firewall verfügbar sind. AWS GovCloud (US) und die Regionen China sind ausgenommen. Eine DNS-Firewall-Regelgruppe ohne Regeln verursacht keine DNS-Firewall-Gebühren; sobald Regeln hinzukommen, gelten die regulären Preise für DNS Firewall.
