ארגונים שמסננים תעבורה יוצאת לפי שמות מתחם נתקלים בבעיה מוכרת: חומת האש רואה בסופו של דבר כתובת IP, אבל לא תמיד יכולה להוכיח שהכתובת אכן התקבלה מפתרון DNS שביצע הלקוח. AWS הציגה את Route 53 Resolved IP Validation for AWS Network Firewall, יכולת שמחברת בין נתוני הפתרון של Route 53 Resolver לבין אכיפת המדיניות ב-Network Firewall.
לפי AWS, היכולת הושקה ב-21 באוקטובר 2026 והוצגה בפירוט ב-27 באוקטובר. היא זמינה ללא תשלום נוסף באזורים המסחריים שבהם שני השירותים פועלים, למעט אזורי GovCloud וסין.
מה משתנה בפועל
עד היום, סינון מבוסס שם מתחם היה טבעי בעיקר בתעבורת Web, שבה אפשר לבדוק Host או SNI. בפרוטוקולים כמו SSH, SFTP או חיבורים למסדי נתונים, המידע הזה לרוב אינו מופיע בשכבת היישום. המנגנון החדש מאפשר ל-Network Firewall לבדוק אם כתובת ה-IP שאליה נפתח החיבור נמצאת במטמון הכתובות ש-Route 53 Resolver פתר עבור שם מתחם שאושר במדיניות.
המשמעות היא שניתן להחיל מדיניות מבוססת דומיין גם על תעבורה שאינה HTTP, בלי להפעיל פענוח TLS. בנוסף, הבדיקה מצמצמת תרחיש שבו לקוח מציג SNI מותר אך מנסה להתחבר לכתובת IP שלא התקבלה מפתרון DNS תקין.
שלושת החלקים שצריך להגדיר
- DNS Firewall rule group: קבוצת כללים שמגדירה אילו שמות מתחם רשאים להיפתר.
- מצב אכיפה במדיניות חומת האש: אפשר לבחור Alert, Drop או Reject לתעבורה שלא עברה אימות.
- Resolved-domain rules: כללים הקושרים בין שמות המתחם המאושרים לבין כתובות ה-IP שנפתרו בפועל.
AWS ממליצה להתחיל במצב Alert. כך אפשר לראות אילו חיבורים היו נחסמים לפני שמפעילים אכיפה מלאה. החברה מציינת שכדאי להמתין כ-24 שעות, משום שמטמוני DNS בצד הלקוח עלולים לכלול תשובות שהתקבלו לפני הפעלת המנגנון.
מה עדיין דורש תשומת לב
חיבורים לכתובות IP קשיחות, ללא שאילתת DNS, אינם יכולים להופיע במטמון הפתרון. אם הארגון זקוק להם, יש להגדיר טווחי עקיפה מתאימים ולא להניח שהמנגנון יזהה אותם אוטומטית. גם שימוש ב-DNS חיצוני במקום Route 53 Resolver עלול לשבור את שרשרת האימות.
לכן, לפני מעבר ל-Drop או Reject, מומלץ למפות יישומים שמבצעים חיבור ישיר ל-IP, שירותים עם TTL קצר במיוחד, ותהליכים שמשתמשים ב-resolver שאינו מנוהל על ידי הארגון. לאחר מכן אפשר להפוך את ההתראות למדיניות אכיפה מדורגת.
למי זה שימושי
היכולת מתאימה במיוחד לסביבות שבהן רוצים לצמצם יציאה לאינטרנט לפי רשימת דומיינים מותרת, אך התעבורה כוללת גם כלי ניהול, העברת קבצים, מסדי נתונים ושירותי API שאינם חושפים מידע שימושי בשכבת ה-Web. היא גם מוסיפה אות אימות נוסף למדיניות egress, בלי להסתמך רק על כתובות IP שמשתנות תכופות.
מקור: AWS Security Blog — Introducing Route 53 Resolved IP Validation for AWS Network Firewall, פורסם ב-27 באוקטובר 2026.
תמונה: Sergei Starostin / Pexels. רישיון Pexels מתיר שימוש חופשי באתר, בקמפיינים שיווקיים וברשתות חברתיות; הקרדיט נשמר לצורך שקיפות.
