Fiche

DNS Firewall

Image : un contrôleur assis à côté de l'annuaire, avec une liste de noms autorisés.

Le Route 53 Resolver DNS Firewall filtre les questions posées à l'annuaire d'un VPC. Il bloque la fuite de données cachées dans des noms (<données>.pirate.com).

Comment il lit ses règles

De la plus petite priorité à la plus grande.
Dès qu'une règle correspond : il s'arrête et applique son action (ALLOW, BLOCK ou ALERT).
Aucune règle ne correspond : la question passe normalement.

Le modèle « liste blanche »

Priorité	Liste	Action
100	les seuls noms nécessaires	ALLOW
200	`"*."` (tous les noms)	BLOCK, réponse NXDOMAIN

Sans la règle 200, la liste blanche ne bloque rien (règle 3).

Réglages à connaître

S'attache à un VPC entier, pas à un subnet. Pour filtrer une seule partie, il faut un VPC séparé.
Fail closed / fail open : si le firewall ne répond pas, bloquer (par défaut, la sécurité d'abord) ou laisser passer (la disponibilité d'abord).
Redirections : un nom peut répondre par un autre nom (CNAME). Par défaut, chaque nom de la chaîne est vérifié. TRUST_REDIRECTION_DOMAIN fait confiance à la suite de la chaîne (utile pour S3).
Mutation protection : empêche de modifier ou de retirer l'association par accident.
Noms écrits avec un point final (s3.<région>.amazonaws.com.), comme AWS les stocke.

Signaux d'alarme dans un diff

La règle finale « bloque tout » supprimée.
firewall_fail_open = "ENABLED".
Un joker trop large ajouté à la liste blanche.
Un nouveau service ajouté sans son nom dans la liste : il ne marchera pas.

En Terraform : aws_route53_resolver_firewall_domain_list, _rule_group, _rule, _rule_group_association et aws_route53_resolver_firewall_config.

Sources : AWS : How DNS Firewall works, AWS : rule settings, AWS : fail open / fail closed.