Bài viết này do AI tạo ra, tổng hợp từ thông báo chính thức.
AWS Network Firewall bổ sung Route 53 Resolved IP Validation. Tính năng giúp firewall đối chiếu IP đích của kết nối với kết quả DNS Route 53 Resolver, giảm một điểm yếu quen thuộc của rule lọc theo domain: hostname hợp lệ nhưng kết nối bị chuyển sang IP không tương ứng.
Firewall thường cần cho phép SaaS hoặc API theo tên miền thay vì danh sách IP thay đổi liên tục. Nhưng DNS và kết nối TCP là hai bước riêng: nếu chỉ tin hostname, policy có thể bị lách khi bản ghi DNS đổi hoặc client bị dẫn tới IP ngoài dự kiến. Validation thêm một lớp kiểm tra mối liên hệ domain–IP.
AWS mô tả khả năng dùng IP do Route 53 Resolver phân giải để xác thực đích kết nối cho policy. Điều này gắn policy DNS-aware với traffic inspection, thay vì duy trì allowlist IP thủ công. Đội vận hành vẫn phải bảo đảm workload sử dụng luồng DNS được thiết kế cho kiểm soát này.
Kiểm tra cache DNS, split-horizon DNS, IPv4/IPv6, CDN, failover và ứng dụng hard-code IP. Xem log firewall cùng DNS query log để phân biệt lỗi rule với lỗi resolution. Không coi tính năng này là thay thế cho TLS inspection, IAM, security group hoặc kiểm soát egress theo kiến trúc zero trust.
Bắt đầu bằng policy quan sát hoặc nhóm workload nhỏ. Lập danh sách domain phụ thuộc, đo tỷ lệ deny bất thường và chuẩn bị rollback. Các dịch vụ dùng nhiều hostname phụ, redirect hay CDN cần được mô hình hóa đủ, nếu không validation có thể làm gián đoạn traffic hợp lệ.
Đây là nâng cấp đáng chú ý vì chuyển kiểm soát domain từ lớp khai báo sang kiểm chứng đích thực tế. Nó giảm khoảng cách giữa DNS policy và packet flow, nhưng hiệu quả phụ thuộc DNS architecture sạch và telemetry đầy đủ. Với cloud egress phức tạp, lợi ích lớn nhất là giảm rule IP thủ công và tăng khả năng điều tra.
