De repository van Terraform AWS Provider vermeldt dat versie v6.71.0, uitgebracht op 28 oktober 2026, ondersteuning bevat voor Route 53 Resolved IP Validation in AWS Network Firewall. AWS lanceerde de functie op 21 oktober 2026. De controle toetst of Route 53 Resolver het bestemmings-IP-adres heeft teruggegeven; voor een match op een specifieke domeinnaam is daarnaast een stateful domeinregel nodig.
Wat de IP-controle precies vaststelt
Bij het eerste pakket van een nieuwe verbinding controleert AWS Network Firewall of het bestemmings-IP voorkomt in de antwoorden van Route 53 Resolver voor een VPC die is gekoppeld aan de gekozen DNS Firewall-regelgroep. Die groep bepaalt welke VPC-antwoorden meetellen. De beleidscontrole stelt vast dat een IP-adres voor een domeinnaam is opgelost, maar identificeert niet zelfstandig één specifieke domeinnaam. Verschillende domeinnamen kunnen hetzelfde IP-adres gebruiken.
Voor een domeinspecifieke match is een stateful regel nodig: een regel die netwerkverkeer inspecteert en aan de hand van een opgeloste domeinnaam matcht. De instelling voor resolved-IP-validatie moet in hetzelfde firewallbeleid zijn ingeschakeld. Deze beleidscontrole vindt plaats vóór de stateful regels, dus een pass-regel heft een mislukte IP-controle niet op.
SourceIPRanges bepaalt welke bronadressen worden gevalideerd
De instelling SourceIPRanges bepaalt voor welke bronadressen de beleidscontrole geldt. Weglaten en expliciet leeg laten hebben verschillende gevolgen.
Instelling van SourceIPRanges | Effect |
| Weggelaten | De controle geldt voor de CIDR-bereiken van de firewall-VPC en extra VPC’s die aan de firewall zijn gekoppeld. |
| Expliciet leeg | Er worden geen bronadressen gevalideerd. |
| Ingevuld | De controle geldt voor de opgegeven IPv4- of IPv6-adressen en CIDR-bereiken. |
De bronlijst accepteert maximaal 100 IPv4- of IPv6-adressen of CIDR-bereiken. BypassDestinationValidationIPRanges kan ook maximaal 100 van zulke vermeldingen bevatten. Een adres in die bypasslijst is vrijgesteld van de beleidscontrole, maar stateful regels op basis van opgeloste domeinen blijven het verkeer beoordelen. Rechtstreeks verbinden met een IP-adres leidt dus tot een mislukte beleidscontrole, tenzij dat adres in de bypasslijst staat.
Acties bij een mislukte controle en verlopen DNS-antwoorden
Bij een mislukte controle kan het beleid ALERT, DROP of REJECT uitvoeren. ALERT markeert een verbinding in de flowlogs als logging is ingeschakeld, zonder haar te blokkeren. DROP blokkeert de verbinding stilzwijgend. REJECT blokkeert TCP-verkeer en stuurt een TCP-reset; niet-TCP-verkeer wordt bij deze actie gedropt.
Voor bestaande verbindingen waarvan het DNS-antwoord uit de cache is verlopen, kan de uitzondering CONTINUE, DROP of REJECT gelden. AWS adviseert om met ALERT te beginnen en ongeveer 24 uur te observeren, zodat clients hun DNS-cache kunnen vernieuwen voordat handhaving wordt ingeschakeld.
In flowlogs geeft het veld route53_resolved_ip aan of Route 53 Resolver het bestemmings-IP heeft teruggegeven. De CloudWatch-metrics DnsUnresolvedFlows en DnsAzUnavailableFlows tellen respectievelijk mislukte controles en verbindingen vanuit een niet-ondersteunde Availability Zone. De instelling voor IP-validatie maakt op zichzelf geen alertlogregel aan; daarvoor is een alertactie op de regel of de standaardactie nodig.
Domeinregels voor SFTP en TLS
AWS beschrijft een SFTP-regel die verkeer naar files.partner.example.com op TCP-poort 22 aan de opgeloste domeinnaam koppelt. Zo kan een domeinregel ook verkeer behandelen dat geen domeinnaam in de verbinding meestuurt, zoals SFTP. De instelling voor resolved-IP-validatie moet daarvoor in hetzelfde firewallbeleid zijn ingeschakeld.
In AWS’ TLS-voorbeeld koppelt een regel api.partner.example.com aan het bestemmings-IP op poort 443. De regel controleert daarmee het adres. Als ook de naam in de TLS-verbinding moet overeenkomen, is een exacte SNI-voorwaarde nodig. SNI, oftewel Server Name Indication, is de domeinnaam die een client bij het opzetten van een TLS-verbinding meestuurt.
Bij een gedistribueerde implementatie moeten clients verbinding maken met een firewallendpoint in hun eigen Availability Zone. Verkeer naar een endpoint in een andere Availability Zone faalt de controle. AWS beschrijft ook een gecentraliseerde implementatie met een firewall die rechtstreeks aan AWS Transit Gateway is gekoppeld. De functie controleert antwoorden van Route 53 Resolver; AWS adviseert daarom DNS-verkeer naar andere resolvers, waaronder DNS over HTTPS en DNS over TLS, te blokkeren als die routes de controle niet mogen omzeilen.
AWS vermeldt dat de functie zelf geen extra kosten heeft in commerciële AWS Regions waar zowel AWS Network Firewall als Route 53 Resolver DNS Firewall beschikbaar zijn. AWS GovCloud (US) en de China Regions vallen buiten die beschikbaarheid. Voor een DNS Firewall-regelgroep zonder regels gelden geen DNS Firewall-kosten; zodra er regels zijn toegevoegd, gelden de gebruikelijke tarieven voor DNS Firewall.
