Il repository del Terraform AWS Provider indica che la versione v6.71.0, rilasciata il 28 ottobre 2026, include il supporto a Route 53 Resolved IP Validation per AWS Network Firewall. La funzione, lanciata da AWS il 21 ottobre 2026, controlla se l’indirizzo IP di destinazione di una nuova connessione è stato restituito da Route 53 Resolver in una VPC associata al gruppo DNS Firewall scelto.
Il controllo verifica la presenza dell’indirizzo tra quelli risolti, non che appartenga a un dominio specifico. Per filtrare il traffico in base a un nome preciso serve anche una regola stateful basata sul dominio, cioè una regola che valuta il flusso di rete.
Che cosa verifica davvero la validazione IP
Route 53 Resolver inserisce gli indirizzi restituiti in una cache degli IP risolti. Quando inizia una nuova connessione, AWS Network Firewall controlla il primo pacchetto prima di applicare le regole stateful. Il risultato positivo indica che Route 53 Resolver ha associato quell’IP a un dominio in una VPC collegata al gruppo DNS Firewall selezionato; non identifica da solo quale dominio abbia risolto. Nomi diversi possono inoltre condividere lo stesso indirizzo IP.
Per associare il traffico a un nome specifico, la policy deve avere abilitata la funzione e includere una regola stateful basata sul dominio. AWS descrive esempi per protocolli non web, tra cui SFTP su TCP porta 22: la regola può abbinare il traffico a files.partner.example.com. È un modo per applicare filtri per dominio anche quando il protocollo non trasporta il nome nel collegamento, come accade con SFTP.
Intervalli sorgente ed eccezioni di destinazione
Il campo SourceIPRanges determina quali indirizzi sorgente sottoporre alla convalida. Ometterlo e impostarlo come lista vuota producono risultati diversi:
Impostazione di SourceIPRanges | Effetto sulla convalida |
| Campo omesso | Usa gli intervalli della VPC del firewall e delle VPC aggiuntive collegate al firewall. |
| Lista vuota | Non convalida alcun indirizzo sorgente. |
| Lista compilata | Convalida gli indirizzi o gli intervalli CIDR specificati. |
L’API consente fino a 100 indirizzi IPv4 o IPv6, oppure intervalli CIDR, in SourceIPRanges. Il campo BypassDestinationValidationIPRanges accetta a sua volta fino a 100 indirizzi o intervalli e li esenta dal controllo della policy. L’esenzione non salta le regole stateful basate sul dominio: queste continuano a valutare il traffico verso gli indirizzi inclusi nel bypass. Inoltre, una regola stateful di tipo pass non scavalca un esito negativo del controllo della policy, che viene eseguito prima.
Le azioni in caso di mancata convalida
Per gli IP che non superano il controllo, la policy offre tre azioni: ALERT, DROP e REJECT. ALERT non blocca la connessione; DROP la blocca senza risposta; REJECT blocca il traffico TCP e invia un reset, mentre il traffico non TCP viene scartato.
Per i flussi già attivi quando un indirizzo esce dalla cache DNS, l’eccezione di scadenza può essere CONTINUE, DROP o REJECT. AWS consiglia di iniziare con ALERT, osservare i flussi e lasciare ai client circa 24 ore per aggiornare le cache DNS prima di applicare un blocco. È una finestra operativa suggerita, non una garanzia sui tempi di aggiornamento.
AWS indica il campo route53_resolved_ip nei flow log: true segnala che Route 53 Resolver ha restituito l’IP di destinazione, false che non l’ha fatto. Le metriche CloudWatch DnsUnresolvedFlows e DnsAzUnavailableFlows conteggiano rispettivamente i controlli non riusciti e i flussi provenienti da una Availability Zone non supportata. In modalità ALERT, la sola impostazione di convalida non genera una voce nell’alert log: la registrazione dipende dall’azione della regola o da quella predefinita. Per registrare il traffico consentito da una regola pass, AWS indica l’uso della parola chiave alert;.
Regole TLS, SNI e distribuzione del firewall
Per TLS, una regola basata sul dominio risolto verifica l’indirizzo IP di destinazione. Se la policy deve controllare anche il nome presentato nella connessione, chiamato SNI (Server Name Indication), deve aggiungere alla stessa regola una condizione SNI esatta. AWS descrive, per esempio, una regola per api.partner.example.com sulla porta 443.
Nei deployment distribuiti, i client devono raggiungere un endpoint firewall nella propria Availability Zone. AWS indica anche i firewall collegati nativamente a Transit Gateway come configurazione centralizzata supportata. Il controllo si basa sulle risposte di Route 53 Resolver; AWS raccomanda di gestire l’accesso agli altri resolver, compresi DNS over HTTPS e DNS over TLS, se quei percorsi non devono aggirare la policy.
AWS dichiara che la funzione non comporta un costo aggiuntivo nelle regioni commerciali in cui sono disponibili sia AWS Network Firewall sia Route 53 Resolver DNS Firewall. Un gruppo di regole DNS Firewall vuoto non comporta costi DNS Firewall; aggiungendo regole si applica la tariffazione standard del servizio.
Il repository del Terraform AWS Provider colloca il supporto alla funzione nella versione v6.71.0, datata 28 ottobre 2026.
