Route 53 Resolved IP Validation: AWS Network Firewall agora filtra tráfego por nome de domínio

O problema que essa novidade resolve

A maioria das cargas de trabalho na nuvem se conecta a destinos pelo nome de domínio — mas um firewall só consegue agir sobre o que enxerga no tráfego. Para conexões HTTP e HTTPS, o AWS Network Firewall conseguia fazer a correspondência pelo nome que o cliente colocava na requisição. Mas protocolos como SSH e SFTP (Protocolo de Transferência de Arquivos SSH) não carregam o nome do domínio na conexão: o cliente usa o nome apenas para a consulta DNS e depois conecta diretamente ao endereço IP retornado.

Isso criava um problema prático: regras de firewall para esses protocolos precisavam usar endereços IP, que mudam com o tempo. Além disso, o Network Firewall não tinha visibilidade sobre as respostas que o resolvedor DNS estava retornando — essa integração simplesmente não existia.

O que a AWS anunciou

Em 21 de outubro de 2026, a AWS lançou o Route 53 Resolved IP Validation para o AWS Network Firewall, sem custo adicional. Com esse recurso, o Amazon Route 53 Resolver passa a compartilhar os endereços IP que retorna para cada nome de domínio com o Network Firewall. A partir daí, o firewall verifica cada nova conexão de saída contra esse cache de IPs resolvidos.

Na prática, isso abre duas possibilidades importantes:

• Filtrar tráfego não-web (como SFTP, SSH, MySQL) por nome de domínio, sem precisar manter listas de IP
• Prevenir manipulação de SNI (Indicação de Nome do Servidor) em tráfego TLS sem precisar habilitar inspeção TLS

Como o recurso funciona

O Amazon Route 53 Resolver responde consultas DNS de recursos dentro da sua Nuvem Privada Virtual (VPC) e está disponível por padrão em toda VPC. Com esse novo recurso, ele mantém um cache de IPs resolvidos com os endereços retornados para cada domínio. Quando uma nova conexão de saída é iniciada, o Network Firewall verifica o endereço de destino contra esse cache.

O fluxo funciona assim: a carga de trabalho consulta o Route 53 Resolver pelo domínio desejado. O DNS Firewall verifica a consulta primeiro — pode bloquear ou alertar; um grupo de regras vazio deixa passar. O Resolver responde com o IP e registra a resposta no cache. Quando a conexão TCP/SFTP chega ao endpoint do Network Firewall, a política verifica o primeiro pacote: se o endereço está no cache, a conexão segue para a inspeção com estado (stateful). A regra stateful libera a conexão porque o Route 53 Resolver retornou aquele endereço para o domínio configurado.

O recurso é composto por três partes:

• Grupo de regras do Amazon Route 53 Resolver DNS Firewall — Define o escopo. As respostas retornadas em toda VPC associada a esse grupo vão para o cache de IPs resolvidos. O grupo pode estar vazio; adicionando regras, ele também filtra as próprias consultas DNS.
• Configuração da política do Network Firewall — No primeiro pacote de cada nova conexão, antes das regras stateful rodarem, o firewall verifica se o Route 53 Resolver retornou aquele endereço de destino para algum domínio. Se não retornou, aplica a ação configurada: Alert (alertar), Drop (descartar) ou Reject (rejeitar com reset TCP).
• Regras de domínio resolvido — Nos grupos de regras stateful, essas regras fazem a correspondência de uma conexão pelo nome de domínio para o qual o endereço de destino foi resolvido. Funcionam com qualquer protocolo.

Um detalhe importante: a verificação é por endereço. Quando qualquer cliente em uma VPC associada consulta um nome, os endereços retornados ficam válidos para todos os clientes no escopo da mesma Zona de Disponibilidade. Conexões para endereços IP fixos (hardcoded) falham na verificação — esses endereços precisam ser adicionados aos Bypass destination validation IP ranges antes de aplicar enforcement. Para mais detalhes, consulte a documentação de Resolved IP validation no AWS Network Firewall.

Pré-requisitos

• DNS via Amazon Route 53 Resolver — o firewall só consegue verificar respostas que o Resolver retornou. Consultas que chegam ao Resolver via endpoints ou regras de encaminhamento também contam.
• Um grupo de regras do Route 53 Resolver DNS Firewall associado às VPCs cujas respostas DNS o Network Firewall deve verificar.
• A configuração da política deve ser ativada antes de adicionar regras de domínio resolvido — regras que usam o filtro de domínio (keyword aws_route_53_resolved_domain) precisam que o Route 53 Resolved IP Validation esteja ativo na mesma política.
• Modelo de implantação suportado — funciona com implantações distribuídas (múltiplos endpoints de firewall, onde clientes atingem um endpoint na sua própria Zona de Disponibilidade) e com implantações centralizadas onde o firewall está conectado nativamente ao AWS Transit Gateway. Se o roteamento enviar um cliente para um endpoint em outra Zona de Disponibilidade, as conexões falham na verificação. Para migrar uma implantação centralizada para um firewall com conexão nativa ao Transit Gateway, veja o guia Why and how to migrate to a Transit Gateway attached AWS Network Firewall.

Como ativar em modo de alerta

A recomendação da AWS é começar sempre em modo de alerta, porque os clientes mantêm respostas DNS em cache. O Network Firewall reconhece apenas as respostas que o Route 53 Resolver retornar depois que o grupo de regras do DNS Firewall for associado à VPC e selecionado na política. Um cliente que ainda usa uma resposta em cache vai falhar na verificação até renovar a consulta DNS. O modo de alerta permite observar isso sem bloquear nada. Aguarde cerca de 24 horas em modo de alerta para que os clientes renovem seus caches.

Os passos são:

1. Crie um grupo de regras do DNS Firewall (pode estar vazio) e associe-o às VPCs desejadas. Veja como em Criando um grupo de regras e regras. Se já tiver um grupo, certifique-se de que está associado apenas às VPCs corretas.
2. No console da Amazon Virtual Private Cloud (Amazon VPC), em Network Firewall, acesse as políticas de firewall e escolha a política que seu firewall usa.
3. Na aba de inspeção de tráfego, na seção Route 53 Resolved IP Validation, clique em Editar e selecione Enable Route 53 Resolved IP validation.
4. Para Action, escolha Alert.
5. Para DNS Firewall rule group, selecione o grupo criado no passo 1.
6. Para DNS expiry exception policy, escolha o que acontece com uma conexão aberta quando sua entrada expira do cache: Continue mantém a conexão, Drop encerra silenciosamente, Reject encerra com reset TCP. A AWS recomenda Continue para não interromper sessões longas, como transferências de arquivos.
7. Em source IP ranges, liste os clientes a verificar. Se não configurar, o firewall verifica clientes na VPC do firewall e em VPCs adicionais anexadas a ele. Se seus clientes estão em outras VPCs (como VPCs spoke que enviam tráfego para um firewall no Transit Gateway), insira os intervalos CIDR delas.
8. Adicione destinos permitidos por IP aos Bypass destination validation IP ranges.
9. Salve.

Em modo de alerta, o Network Firewall não bloqueia conexões que falham na verificação. Ele registra o resultado nos flow logs, no campo route53_resolved_ip de cada conexão: true significa que o Resolver retornou aquele endereço para um domínio; false significa que não retornou — e que o enforcement bloquearia a conexão. A métrica DnsUnresolvedFlows no Amazon CloudWatch conta as conexões que falham na verificação. Antes de mudar para Drop ou Reject, confira se as conexões que falham são as esperadas e se os destinos permitidos por IP estão nos bypass ranges. Para as métricas e campos de log a monitorar, veja Monitoring and troubleshooting resolved IP validation.

Caso de uso 1: Filtrar tráfego não-web por nome de domínio

Antes desse lançamento, regras do Network Firewall para protocolos que não carregam nome de domínio — como SFTP — precisavam usar endereços IP. Agora é possível liberá-los por nome de domínio.

Exemplo: uma carga de trabalho envia arquivos via SFTP para um parceiro em files.partner.example.com na porta TCP 22, e o parceiro pode mudar os endereços desse nome a qualquer momento. A mesma abordagem funciona para SSH, MySQL e outros protocolos não-web.

Para criar a regra, acesse Network Firewall, escolha Network Firewall rule groups e crie um novo grupo stateful com regra stateful padrão. Adicione uma regra com protocolo TCP, porta de destino 22, filtro de domínio files.partner.example.com e ação Pass. Adicione o grupo à política de firewall.

Se você gerencia regras como código, a regra Suricata equivalente é:

pass tcp any any -> any 22 (alert; msg:"Allow TCP/22 to files.partner.example.com"; aws_route_53_resolved_domain:"files.partner.example.com"; sid:1;)

Quando o parceiro mover o servidor para um novo endereço, a próxima resposta DNS adiciona o novo IP ao cache resolvido. Não há lista de IPs para manter. O cache mantém respostas anteriores por mais tempo que o TTL DNS, então o endereço antigo ainda pode passar por um período.

Caso de uso 2: Prevenir spoofing de SNI sem inspeção TLS

No spoofing de SNI, um cliente apresenta um nome de domínio permitido na requisição TLS enquanto se conecta a um servidor diferente. Prevenir isso exigia inspeção TLS, que descriptografa o tráfego. O Route 53 Resolved IP Validation previne isso sem inspeção TLS.

Exemplo: uma carga de trabalho chama uma API de parceiro em api.partner.example.com via HTTPS. O tráfego TLS na porta 443 deve chegar apenas aos endereços que o Route 53 Resolver retornou para esse nome.

Crie uma regra pass em um grupo de regras stateful padrão, com ordem estrita. Adicione uma regra com protocolo TLS, porta de destino 443, filtro de domínio api.partner.example.com e ação Pass. Na política de firewall, use ordem estrita de regras e para as ações padrão stateful escolha Application drop established (server-directed only) e Application alert established (server-directed only). Para entender por que a AWS recomenda essas ações padrão, veja a configuração de política de firewall no guia de melhores práticas de segurança da AWS.

Se você gerencia regras como código, a regra Suricata equivalente é:

pass tls any any -> any 443 (aws_route_53_resolved_domain:"api.partner.example.com"; sid:2;)

A regra pass faz a correspondência pelo endereço de destino, não pelo nome na requisição TLS. O tráfego TLS na porta 443 passa apenas quando o Route 53 Resolver retornou o endereço de destino para api.partner.example.com. Se os endereços do parceiro também servem outros domínios (como atrás de uma CDN), esses nomes também passam.

Para exigir também o nome do parceiro na requisição TLS, adicione uma correspondência exata de SNI à mesma regra: tls.sni; content:"api.partner.example.com"; startswith; endswith; nocase;. Sem startswith e endswith, a correspondência aceita qualquer SNI que contenha o nome.

Boas práticas recomendadas

• Mantenha o DNS no Route 53 Resolver — Bloqueie UDP e TCP de saída na porta 53 para outros resolvedores (incluindo DNS over HTTPS e DNS over TLS) no Network Firewall, para que clientes não contornem a verificação. O Route 53 Resolved IP Validation por si só não faz isso.
• Mantenha regras do DNS Firewall nas VPCs — O Route 53 Resolved IP Validation verifica as conexões que seguem uma consulta DNS, não as consultas em si. O DNS Firewall bloqueia lookups de domínios de ameaças conhecidas com listas gerenciadas pela AWS e detecta dados saindo via consultas DNS (como DNS tunneling).
• Comece pequeno — Adicione filtros de domínio a poucas regras por vez, depois expanda quando os resultados estiverem limpos. Para padrões de allow list de domínio, veja Allow rules and domain allowlisting.
• Ative logging de flow e alert e monitoramento detalhado — Conexões que falham na verificação aparecem nos flow logs (route53_resolved_ip: false) e na métrica DnsUnresolvedFlows, não nos alert logs. Regras pass sem a keyword alert; não geram registros de alert log.

Disponibilidade e preços

O Route 53 Resolved IP Validation está disponível hoje em todas as regiões comerciais da AWS onde o AWS Network Firewall e o Amazon Route 53 Resolver DNS Firewall estão disponíveis (exceto as regiões AWS GovCloud (US) e as regiões da China), sem custo adicional. Veja a lista de regiões em AWS Capabilities by Region.

Um grupo de regras do DNS Firewall sem regras não gera cobranças do DNS Firewall. Os preços padrão do DNS Firewall se aplicam após adicionar regras. Consulte os preços do AWS Network Firewall e do Amazon Route 53.

Como começar

Para começar, ative o recurso em modo de alerta e revise os resultados antes de aplicar enforcement. Para o guia completo, acesse Getting started with resolved IP validation. Para saber mais, visite a página do produto AWS Network Firewall e a documentação do recurso. Em caso de dúvidas, entre em contato com o AWS Support.

Fonte

Introducing Route 53 Resolved IP Validation for AWS Network Firewall (https://aws.amazon.com/blogs/security/introducing-route-53-resolved-ip-validation-for-aws-network-firewall/)