Le dépôt de Terraform AWS Provider indique que la version v6.71.0, publiée le 28 octobre 2026, prend en charge Route 53 Resolved IP Validation pour AWS Network Firewall. Cette fonction vérifie si l’adresse IP de destination d’une nouvelle connexion a été renvoyée par Route 53 Resolver dans un VPC associé au groupe de règles DNS sélectionné. AWS avait lancé la fonction le 21 octobre 2026.
Ce que vérifie la validation d’adresse IP
Le contrôle au niveau de la politique confirme qu’une adresse IP a été résolue pour un nom de domaine dans l’un des VPC associés. Il ne vérifie pas, à lui seul, que cette adresse correspond à un domaine précis : plusieurs noms peuvent partager la même IP.
Pour cibler un domaine, la politique doit aussi utiliser une règle stateful, c’est-à-dire une règle qui examine les flux réseau, fondée sur le domaine résolu. AWS documente la cible AWS_ROUTE_53_RESOLVED_DOMAIN et le mot-clé Suricata aws_route_53_resolved_domain. Le paramètre de validation doit être activé dans la même politique avant l’ajout de ces règles. Comme le contrôle de politique intervient en premier, une règle stateful Pass ne laisse pas passer une connexion dont l’IP échoue à cette vérification.
Portée des plages source et des exceptions
Le champ SourceIPRanges détermine quelles adresses source sont soumises à la validation. L’omettre et lui donner une liste vide produisent des résultats opposés.
Réglage de SourceIPRanges | Portée de la validation |
| Champ omis | Les plages de la VPC du pare-feu et des VPC supplémentaires attachés à celui-ci. |
| Liste vide | Aucune adresse source n’est validée. |
| Liste renseignée | Les adresses ou plages CIDR indiquées. |
Une liste SourceIPRanges peut contenir jusqu’à 100 adresses IPv4 ou IPv6, ou plages CIDR. BypassDestinationValidationIPRanges permet également jusqu’à 100 entrées : elles exemptent les IP de destination du contrôle au niveau de la politique. Les règles stateful fondées sur les domaines continuent toutefois d’évaluer ces connexions. Une destination saisie directement sous forme d’adresse IP échoue à la validation de politique si elle ne figure pas dans cette liste d’exception.
Le groupe de règles DNS Firewall associé détermine quelles réponses de Route 53 Resolver sont prises en compte. Une politique ne peut avoir qu’une association gérée de ce type; son remplacement s’effectue de manière asynchrone.
Choisir l’action et gérer l’expiration DNS
En cas d’échec, ALERT consigne la connexion dans les journaux de flux si cette journalisation est activée, sans la bloquer. DROP bloque silencieusement la connexion. REJECT la bloque et envoie une réinitialisation TCP pour le trafic TCP; le trafic non TCP est abandonné.
Pour les flux déjà ouverts dont l’adresse cesse d’être présente dans le cache après l’expiration de sa résolution DNS, la politique peut choisir CONTINUE, DROP ou REJECT. AWS indique que le cache conserve une résolution au-delà de la durée de vie (TTL) de l’enregistrement DNS. L’option affichée dans la console est Continue.
AWS recommande de commencer en mode ALERT et d’observer les flux pendant que les clients actualisent leur cache DNS. Son conseil est de prévoir environ 24 heures avant d’appliquer le blocage. Le champ de journalisation route53_resolved_ip indique true si Route 53 Resolver a renvoyé l’IP de destination, et false dans le cas contraire. CloudWatch fournit aussi les métriques DnsUnresolvedFlows et DnsAzUnavailableFlows.
Les règles de domaine fonctionnent aussi pour SFTP et TLS
AWS illustre une règle de domaine résolu pour autoriser files.partner.example.com en SFTP sur TCP, port 22. Le nom de domaine peut ainsi guider le filtrage d’un protocole qui ne transporte pas lui-même ce nom dans la connexion.
Pour TLS, l’exemple d’AWS cible api.partner.example.com sur le port 443. La règle par domaine résolu vérifie l’adresse IP de destination. Si le nom présenté pendant la négociation TLS, appelé SNI, doit également correspondre, il faut ajouter une condition exacte sur ce nom dans la même règle.
Le routage compte aussi : dans un déploiement distribué, chaque client doit joindre un point de terminaison situé dans sa propre zone de disponibilité. Une connexion envoyée vers un point de terminaison d’une autre zone échoue à cette validation. AWS décrit également un déploiement centralisé avec un pare-feu attaché nativement à AWS Transit Gateway.
Enfin, la validation porte sur les réponses de Route 53 Resolver. Elle ne bloque pas à elle seule les requêtes DNS envoyées à d’autres résolveurs, notamment par DNS over HTTPS (DoH) ou DNS over TLS (DoT). AWS recommande de contrôler ces chemins si le réseau doit empêcher leur contournement.
