El Terraform AWS Provider incorporó soporte para Route 53 Resolved IP Validation en la versión v6.71.0, publicada el 28 de octubre de 2026. Esta función de AWS Network Firewall comprueba si Route 53 Resolver devolvió la IP de destino de una conexión nueva en una VPC asociada; para filtrar por un dominio concreto hace falta añadir una regla con estado basada en dominios.
AWS lanzó la función el 21 de octubre de 2026. La compatibilidad del proveedor llegó una semana después, según el repositorio de Terraform AWS Provider.
Qué comprueba la validación de IP
La comprobación a nivel de política verifica si la dirección IP de destino figura entre las respuestas de Route 53 Resolver asociadas al grupo de reglas de DNS Firewall seleccionado. Una respuesta positiva indica que esa IP se resolvió para algún dominio, no que pertenezca de forma exclusiva al dominio que la política pretende permitir.
Para asociar el tráfico a un dominio específico, AWS ofrece reglas con estado basadas en dominios resueltos. La validación de política se ejecuta antes que esas reglas: una regla con acción Pass no permite continuar una conexión que haya fallado la comprobación de IP. Del mismo modo, las distintas denominaciones de dominio pueden compartir una dirección IP, por lo que la comprobación de IP por sí sola no identifica un nombre único.
Cómo cambia el alcance de SourceIPRanges
SourceIPRanges determina qué direcciones de origen se someten a la validación. Omitir el campo y enviar una lista vacía tienen efectos distintos:
Configuración de SourceIPRanges | Efecto |
| Omitido | Se aplica a los rangos CIDR de la VPC del firewall y a las VPC adicionales conectadas al firewall. |
| Lista vacía | No se valida ninguna dirección de origen. |
| Lista con direcciones o rangos | Se valida el tráfico de los orígenes indicados. La lista admite hasta 100 direcciones IPv4 o IPv6, o rangos CIDR. |
BypassDestinationValidationIPRanges permite excluir hasta 100 direcciones IPv4 o IPv6, o rangos CIDR, de la comprobación a nivel de política. La excepción no desactiva las reglas con estado basadas en dominios. Por eso, un destino al que se accede directamente por IP falla la comprobación de política salvo que figure en una excepción, aunque una regla con estado permita el tráfico.
Alert, Drop y Reject: qué ocurre cuando falla la comprobación
La política ofrece tres acciones para las conexiones que no superan la validación. ALERT etiqueta el flujo en los registros de flujo si está activado el registro, pero no bloquea la conexión. DROP la bloquea sin enviar una respuesta. REJECT bloquea el tráfico TCP y envía un restablecimiento de conexión; para tráfico que no es TCP, lo descarta.
La política también define qué hacer con los flujos existentes cuando vence la resolución DNS del destino: CONTINUE, DROP o REJECT. AWS indica que Network Firewall conserva la resolución más tiempo que el TTL del registro DNS. Para empezar a observar el comportamiento sin bloquear conexiones, AWS recomienda activar la validación en modo de alerta y dejar alrededor de 24 horas para que los clientes actualicen sus cachés DNS. Ese plazo es una recomendación operativa.
Los registros también permiten consultar el campo route53_resolved_ip: su valor true indica que Route 53 Resolver devolvió la IP de destino, y false que no lo hizo. AWS identifica además las métricas DnsUnresolvedFlows, para las comprobaciones fallidas, y DnsAzUnavailableFlows, para los flujos procedentes de una zona de disponibilidad no compatible. El modo de alerta no genera por sí mismo una entrada en el registro de alertas; el registro depende de la regla o de la acción predeterminada. Una regla Pass necesita la palabra clave alert; para registrar el tráfico permitido.
SFTP y TLS: reglas de dominio para protocolos distintos
AWS muestra una regla con estado que permite SFTP hacia files.partner.example.com por TCP en el puerto 22. Así, una política puede usar el dominio resuelto para filtrar tráfico que no incluye un nombre de dominio en la conexión, como ocurre con SFTP.
En TLS, la regla de dominio resuelto comprueba la dirección de destino. Si la política también debe exigir que el nombre presentado por el cliente coincida con uno concreto, necesita una condición SNI exacta en la misma regla. SNI, o indicación del nombre de servidor, es el nombre que el cliente incluye al iniciar la conexión TLS.
Condiciones de red y coste
En un despliegue distribuido, cada cliente debe conectarse a un punto de conexión de Network Firewall de su propia zona de disponibilidad. Si el tráfico se dirige a un punto de conexión de otra zona, las conexiones no superan la validación. AWS también contempla como despliegue centralizado compatible un firewall conectado de forma nativa a Transit Gateway.
La función solo comprueba las respuestas de Route 53 Resolver. AWS recomienda controlar el acceso a otros resolutores, incluidos DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT), cuando la organización quiera evitar que el tráfico DNS eluda esa comprobación.
AWS indica que la función no tiene un cargo adicional en las regiones comerciales donde estén disponibles tanto AWS Network Firewall como Route 53 Resolver DNS Firewall. La oferta excluye AWS GovCloud (US) y las regiones de China. Un grupo de reglas de DNS Firewall sin reglas no genera cargos de DNS Firewall; al añadir reglas se aplica la tarifa estándar de ese servicio.
