O Terraform AWS Provider passou a oferecer suporte à validação de IP resolvido do AWS Network Firewall na versão v6.71.0, lançada em 28 de outubro de 2026. O recurso da AWS, lançado em 21 de outubro, verifica se o Route 53 Resolver retornou o IP de destino de uma conexão nova; para conferir um domínio específico, é necessária também uma regra stateful baseada em domínio.
O que a validação de IP realmente verifica
A validação no nível da política confirma que o IP de destino foi retornado pelo Route 53 Resolver em uma VPC associada ao grupo de regras do DNS Firewall escolhido. Isso associa o endereço a uma resposta DNS, mas não identifica, por si só, qual domínio originou essa resposta. Domínios diferentes podem compartilhar o mesmo IP.
Para filtrar por um domínio específico, a política também precisa de uma regra stateful, ou seja, uma regra que avalia o tráfego com estado da conexão. O AWS Network Firewall oferece alvos e palavras-chave de domínio resolvido, como AWS_ROUTE_53_RESOLVED_DOMAIN e aws_route_53_resolved_domain. A opção de validação precisa estar habilitada na mesma política.
Essa combinação permite aplicar regras de domínio a protocolos que não levam o nome do domínio na conexão. No exemplo da AWS, uma regra permite SFTP para files.partner.example.com pela porta TCP 22.
As faixas de origem determinam quais endereços entram na verificação
O campo SourceIPRanges define quais endereços de origem serão verificados. Omitir o campo não equivale a enviar uma lista vazia:
Configuração de SourceIPRanges | Efeito |
| Campo omitido | A validação abrange as faixas CIDR da VPC do firewall e as de VPCs adicionais conectadas ao firewall. |
| Lista vazia | Nenhum endereço de origem é validado. |
| Lista preenchida | A validação se aplica aos endereços IPv4 ou IPv6 e às faixas CIDR informadas. |
A lista aceita até 100 endereços ou faixas CIDR. O campo BypassDestinationValidationIPRanges também aceita até 100 endereços ou faixas e isenta esses destinos da verificação no nível da política. Regras stateful de domínio resolvido continuam avaliando o tráfego para esses destinos.
A associação ao grupo de regras do Route 53 Resolver DNS Firewall define quais respostas DNS, em quais VPCs, contam para a validação. Cada política pode ter uma associação gerenciada desse tipo; a substituição é assíncrona.
Alert, Drop, Reject e respostas DNS expiradas
Quando o IP de destino não consta entre os endereços resolvidos, a política pode usar ALERT, DROP ou REJECT. ALERT não bloqueia a conexão; com o registro de fluxo habilitado, marca o fluxo nos logs. DROP bloqueia sem resposta. REJECT bloqueia e envia um reset TCP para conexões TCP; tráfego que não usa TCP é descartado.
Para fluxos existentes cuja resolução DNS expirou, a política oferece CONTINUE, DROP e REJECT. A AWS recomenda começar em modo de alerta, observar os fluxos e dar cerca de 24 horas para que os clientes atualizem os caches DNS antes de aplicar bloqueios.
O campo route53_resolved_ip nos logs de fluxo indica true quando o Route 53 Resolver retornou o IP de destino e false quando não retornou. As métricas do CloudWatch incluem DnsUnresolvedFlows, para verificações sem resolução correspondente, e DnsAzUnavailableFlows, para fluxos de uma zona de disponibilidade sem suporte.
Regras por domínio para SFTP e TLS
A regra de SFTP da AWS seleciona o filtro por domínio para files.partner.example.com e usa TCP. O exemplo mostra como a regra pode corresponder a tráfego SFTP pelo domínio, embora esse nome não faça parte da conexão como faria em uma solicitação web.
No exemplo TLS, a regra de domínio verifica o endereço IP de destino. Se a política também exigir que o nome apresentado pelo cliente corresponda ao domínio esperado, é preciso acrescentar à mesma regra uma condição exata de SNI. SNI, ou indicação de nome do servidor, é o campo TLS que informa o nome solicitado na conexão. A AWS descreve essa combinação como uma forma de tratar alguns cenários de falsificação de SNI sem inspecionar o tráfego TLS.
Implantação, caminhos DNS e custos
Em uma implantação distribuída, cada cliente precisa alcançar um endpoint do firewall na própria zona de disponibilidade. Se o tráfego for direcionado a um endpoint de outra zona, as conexões falharão na validação. A AWS também documenta implantações centralizadas com um firewall conectado nativamente ao AWS Transit Gateway.
A checagem usa respostas do Route 53 Resolver. Para impedir que consultas contornem essa verificação, a AWS recomenda controlar o acesso a outros resolvedores, inclusive DNS sobre HTTPS (DoH) e DNS sobre TLS (DoT).
A AWS informa que o recurso não tem cobrança adicional nas regiões comerciais em que AWS Network Firewall e Route 53 Resolver DNS Firewall estão disponíveis. AWS GovCloud (EUA) e as regiões da China estão excluídas. Um grupo de regras do DNS Firewall sem regras não gera cobrança do DNS Firewall; depois que regras são adicionadas, aplicam-se as tarifas padrão desse serviço.
