Repozytorium Terraform AWS Provider odnotowało obsługę Route 53 Resolved IP Validation w wersji v6.71.0 wydanej 28 października 2026 r. AWS uruchomił tę funkcję dla AWS Network Firewall 21 października. Walidacja sprawdza, czy Route 53 Resolver zwrócił adres IP celu połączenia w powiązanej VPC. Sama kontrola adresu nie potwierdza jednak, że należy on do konkretnej domeny.
Dla administratora oznacza to dwie osobne decyzje: jaki ruch obejmie kontrola adresu oraz które reguły będą dopasowywać konkretne domeny. Pomylenie pominiętego pola SourceIPRanges z pustą listą zmienia zakres walidacji zasadniczo.
Co sprawdza walidacja IP
Na poziomie polityki AWS Network Firewall sprawdza pierwszy pakiet nowego połączenia i porównuje docelowy adres IP z adresami zwróconymi przez Route 53 Resolver w VPC powiązanej z wybraną grupą reguł DNS Firewall. Grupa ta określa, z których VPC pochodzą uwzględniane odpowiedzi DNS.
Zgodność adresu oznacza, że został on rozwiązany dla jakiejś domeny. Jeśli polityka ma dopasować konkretną nazwę, potrzebna jest dodatkowo reguła stateful, czyli reguła analizująca ruch i dopasowująca rozwiązaną domenę. Różne nazwy domen mogą prowadzić pod ten sam adres IP, dlatego sama kontrola adresu nie identyfikuje jednoznacznie domeny.
Zakres źródeł i wyjątki
Pole SourceIPRanges określa adresy źródłowe objęte walidacją. Jego pominięcie i jawne podanie pustej listy mają różne skutki:
Ustawienie SourceIPRanges | Zakres walidacji | Maksymalna liczba wpisów |
| Pole pominięte | Zakresy VPC firewalla i dodatkowych VPC dołączonych do firewalla | 100 |
| Jawnie pusta lista | Żadne adresy źródłowe nie są walidowane | 100 |
| Lista adresów lub zakresów CIDR | Wskazane adresy IPv4 lub IPv6 oraz zakresy CIDR | 100 |
Pusta lista nie oznacza więc domyślnego zakresu. Interfejs API pozwala podać maksymalnie 100 adresów IPv4 lub IPv6 albo zakresów CIDR w SourceIPRanges. Pole BypassDestinationValidationIPRanges może zawierać do 100 adresów lub zakresów CIDR wyłączonych z kontroli na poziomie polityki. Taki wyjątek nie wyłącza niezależnego dopasowania przez reguły stateful dla rozwiązanych domen.
Przykład domeny dla SFTP
AWS pokazuje regułę stateful dopasowującą files.partner.example.com dla SFTP przez TCP na porcie 22. Ustawienie walidacji musi być włączone w tej samej polityce firewalla, zanim użyje się reguł opartych na rozwiązanych domenach.
Przy połączeniu TLS reguła dla rozwiązanej domeny dopasowuje docelowy adres IP. Jeśli ma też sprawdzać nazwę SNI, czyli nazwę domeny podawaną podczas nawiązywania połączenia TLS, trzeba dodać do tej samej reguły dokładny warunek SNI. AWS przedstawia przykład reguły dla api.partner.example.com na porcie 443.
Działania polityki i wygaśnięcie odpowiedzi DNS
Gdy kontrola adresu nie przejdzie, polityka może wykonać jedno z trzech działań. ALERT oznacza połączenie w dziennikach przepływu, jeśli włączono logowanie, ale go nie blokuje. DROP po cichu blokuje ruch. REJECT blokuje połączenie i wysyła reset TCP; ruch inny niż TCP zostaje odrzucony.
Dla istniejących przepływów, których adres przestał być obecny w pamięci podręcznej rozwiązanych IP, dostępne są działania CONTINUE, DROP i REJECT. AWS zaleca rozpoczęcie od trybu ALERT, obserwowanie przepływów i pozostawienie klientom około 24 godzin na odświeżenie pamięci podręcznej DNS przed egzekwowaniem blokad.
Pole route53_resolved_ip w dzienniku przepływu przyjmuje wartość true, gdy Route 53 Resolver zwrócił docelowy adres, oraz false, gdy go nie zwrócił. AWS wskazuje też metryki CloudWatch DnsUnresolvedFlows dla nieudanych kontroli i DnsAzUnavailableFlows dla przepływów z nieobsługiwanej strefy dostępności.
Warunki wdrożenia i obsługa w Terraform
W rozproszonym wdrożeniu klient musi łączyć się z punktem końcowym firewalla w swojej własnej strefie dostępności. AWS opisuje też wdrożenie scentralizowane z firewallem natywnie dołączonym do AWS Transit Gateway. Połączenia kierowane do punktu końcowego w innej strefie dostępności nie przechodzą tej kontroli.
Walidacja obejmuje odpowiedzi Route 53 Resolver. AWS zaleca kontrolowanie innych ścieżek DNS, w tym DNS over HTTPS (DoH) i DNS over TLS (DoT), jeśli mają nie omijać tej kontroli.
Obsługa znalazła się w Terraform AWS Provider v6.71.0, wydanym 28 października 2026 r. Sama funkcja nie wiąże się z dodatkową opłatą w komercyjnych regionach AWS, w których dostępne są jednocześnie AWS Network Firewall i Route 53 Resolver DNS Firewall. Regiony AWS GovCloud (US) i Chiny są wyłączone z tej dostępności; po dodaniu reguł do DNS Firewall obowiązują standardowe opłaty za tę usługę.
