本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Route 53 Resolver DNS Firewall 的運作方式
Route 53 Resolver DNS Firewall 可讓您控制對網站的存取，並封鎖VPC透過 Route 53 Resolver 從 傳出的DNS查詢的 DNS層級威脅。使用 DNS Firewall，您可以在與 相關聯的規則群組中定義網域名稱篩選規則VPCs。您可以指定要允許或封鎖的網域名稱清單，也可以自訂所封鎖DNS查詢的回應。您也可以微調網域清單，以允許某些查詢類型，例如 MX 記錄。
DNS 防火牆僅在網域名稱上篩選。它不會將該名稱解析為要封鎖的 IP 地址。此外，DNS防火牆會篩選DNS流量，但不會篩選其他應用程式層通訊協定，例如 HTTPS、FTP、、 SSH TLS等。
Route 53 Resolver DNS Firewall 元件和設定
您可以使用下列中央元件和設定管理DNS防火牆。
- DNS 防火牆規則群組
-
定義用於篩選DNS查詢的已命名、可重複使用的DNS防火牆規則集合。您可以將篩選規則填入規則群組，然後將規則群組與一或多個 建立關聯VPCs。當您將規則群組與 建立關聯時VPC，您可以啟用 的DNS防火牆篩選VPC。然後，當 Resolver 收到具有與其相關聯之規則群組的 VPC DNS查詢時，Resolver 會將查詢傳遞至DNS防火牆進行篩選。
如果您將多個規則群組與單一 建立關聯VPC，您可以透過每個關聯的優先順序設定來指示其處理順序。DNS 防火牆VPC會從上的最低數值優先順序設定來處理 的規則群組。
如需詳細資訊，請參閱DNS 防火牆規則群組和規則。
- DNS 防火牆規則
-
定義DNS防火牆規則群組中DNS查詢的篩選規則。每個規則都會指定一個網域清單，以及要針對網域符合清單中網域規格的DNS查詢採取的動作。您可以允許、封鎖或提醒比對查詢，或清單中網域的查詢類型，例如，您可以封鎖或允許特定網域或網域的 MX 查詢類型。您也可以為封鎖的查詢定義自訂回應。
規則群組中的每個規則都有該群組內唯一的優先順序設定。DNS 防火牆會從上的最低數值優先順序設定來處理規則群組中的規則。
DNS 防火牆規則僅在定義規則群組的內容中存在。您無法重複使用規則，也無法獨立於規則群組參考規則。
如需詳細資訊，請參閱DNS 防火牆規則群組和規則。
- 網域清單
-
定義具名、可重複使用的網域規格集合，用於DNS篩選。規則群組中的每個規則都需要單一網域清單。您可以選擇指定要允許存取的網域、要拒絕存取的網域或兩者的組合。您可以建立自己的網域清單，也可以使用為您 AWS 管理的網域清單。
如需詳細資訊，請參閱Route 53 Resolver DNS Firewall 網域清單。
- 網域重新導向設定
-
網域重新導向設定可讓您設定DNS防火牆規則，以檢查DNS重新導向鏈中的所有網域 （預設）DNAME，例如 CNAME、 等，或僅第一個網域並信任其餘網域。如果您選擇檢查整個DNS重新導向鏈，則必須將後續網域新增至規則ALLOW中設定的網域清單。如果您選擇檢查整個DNS重新導向鏈，則必須將後續網域新增至網域清單，並設定為您希望規則採取的動作，可以是 ALLOW、 BLOCK或 ALERT。
如需詳細資訊，請參閱DNS 防火牆中的規則設定。
- 查詢類型
-
查詢類型設定可讓您設定DNS防火牆規則來篩選特定DNS查詢類型。如果您未選取查詢類型，則規則會套用至所有DNS查詢類型。例如，您可能想要封鎖特定網域的所有查詢類型，但允許 MX 記錄。
如需詳細資訊，請參閱DNS 防火牆中的規則設定。
- DNS 防火牆規則群組與 之間的關聯 VPC
-
VPC 使用DNS防火牆規則群組定義 的保護，並啟用 的解析器DNS防火牆組態VPC。
如果您將多個規則群組與單一 建立關聯VPC，您可以透過關聯中的優先順序設定來指示其處理順序。DNS 防火牆VPC會從上的最低數值優先順序設定來處理 的規則群組。
如需詳細資訊，請參閱為您的 啟用 Route 53 Resolver DNS Firewall 保護 VPC。
- 的解析器DNS防火牆組態 VPC
-
指定 Resolver 應如何處理VPC層級的DNS防火牆保護。每當您有至少一個與 相關聯的DNS防火牆規則群組時，此組態就會生效VPC。
此組態指定 Route 53 Resolver 在DNS防火牆無法篩選查詢時如何處理查詢。根據預設，如果 Resolver 未收到來自DNS防火牆的查詢回應，則會關閉並封鎖查詢。
如需詳細資訊，請參閱DNS 防火牆VPC組態。
- 監控DNS防火牆動作
-
您可以使用 Amazon CloudWatch 來監控依DNS防火牆規則群組篩選的DNS查詢數量。CloudWatch 會收集原始資料並將其處理為可讀取、近乎即時的指標。
如需詳細資訊，請參閱使用 Amazon 監控 Route 53 Resolver DNS Firewall 規則群組 CloudWatch。
您可以使用 Amazon EventBridge，這是一種無伺服器服務，使用事件將應用程式元件連接在一起，以建置可擴展的事件驅動應用程式。
如需詳細資訊，請參閱使用 管理 Route 53 Resolver DNS Firewall 事件 Amazon EventBridge。
Route 53 Resolver DNS Firewall 如何篩選DNS查詢
當DNS防火牆規則群組與 VPC的 Route 53 Resolver 建立關聯時，防火牆會篩選下列流量：
-
DNS 源自該 VPC並通過 VOC 的查詢DNS。
-
DNS 從內部部署資源傳遞至VPC具有與其解析器相關聯之DNS防火牆的 的 查詢。
當 DNS Firewall 收到DNS查詢時，它會使用您已設定的規則群組、規則和其他設定篩選查詢，並將結果傳回 Resolver：
-
DNS 防火牆會使用與 相關聯的規則群組來評估DNS查詢，VPC直到找到相符項目或耗盡所有規則群組為止。DNS 防火牆會根據您在關聯中設定的優先順序來評估規則群組，從最低數值設定開始。如需詳細資訊，請參閱 DNS 防火牆規則群組和規則 和 為您的 啟用 Route 53 Resolver DNS Firewall 保護 VPC。
-
在每個規則群組中，DNS防火牆會根據每個規則的網域清單評估DNS查詢，直到找到相符項目或耗盡所有規則為止。DNS 防火牆會依優先順序評估規則，從最低數值設定開始。如需詳細資訊，請參閱DNS 防火牆規則群組和規則。
-
當 DNS Firewall 找到與規則網域清單相符的項目時，它會終止查詢評估，並以結果回應 Resolver。如果動作為
alert，DNS防火牆也會將警示傳送至設定的 Resolver 日誌。如需詳細資訊，請參閱 DNS 防火牆中的規則動作 和 Route 53 Resolver DNS Firewall 網域清單。 -
如果 DNS Firewall 評估所有規則群組而不尋找相符項目，則會如常回應查詢。
Resolver 會根據來自 DNS Firewall 的回應路由查詢。萬一DNS防火牆無法回應，Resolver 會套用 VPC設定的DNS防火牆失敗模式。如需詳細資訊，請參閱DNS 防火牆VPC組態。
使用 Route 53 Resolver DNS Firewall 的高階步驟
若要在 Amazon Virtual Private Cloud 中實作 Route 53 Resolver DNS防火牆篩選VPC，請執行下列高階步驟。
-
定義您的篩選方法和網域清單 - 決定篩選查詢的方式、識別您需要的網域規格，以及定義用來評估查詢的邏輯。例如，您可能想要允許除在已知惡意網域清單中的查詢外的所有查詢。或者，您可能想要執行相反操作，並封鎖除核准網域清單之外的所有查詢，這就是所謂的圍牆花園方法。您可以建立和管理自己的已核准或封鎖網域規格清單，也可以使用為您 AWS 管理的網域清單。如需網域清單的相關資訊，請參閱 Route 53 Resolver DNS Firewall 網域清單。
-
建立防火牆規則群組 – 在DNS防火牆中，建立規則群組來篩選 的DNS查詢VPC。您必須在想要使用規則群組的每個區域中建立規則群組。您可能也想要將篩選行為分隔為多個規則群組，以便在不同 的多個篩選案例中重複使用VPCs。如需規則群組的詳細資訊，請參閱 DNS 防火牆規則群組和規則。
-
新增和設定您的規則 - 針對您希望規則群組提供的每個網域清單和篩選行為，將規則新增至規則群組。設定規則的優先順序設定，以便它們在規則群組中以正確的順序得到處理，同時為您要先評估的規則提供最低的優先順序。如需規則的詳細資訊，請參閱 DNS 防火牆規則群組和規則。
-
將規則群組與 建立關聯 VPC – 若要開始使用DNS防火牆規則群組，請將其與您的 建立關聯VPC。如果您為 使用多個規則群組VPC，請設定每個關聯的優先順序，以便以正確的順序處理規則群組，從而將最低優先順序指派給您要先評估的規則群組。如需詳細資訊，請參閱管理 VPC和 Route 53 Resolver DNS Firewall 規則群組之間的關聯。
-
（選用） 變更 的防火牆組態 VPC – 如果您想要 Route 53 Resolver 在DNS防火牆無法傳送回應時封鎖查詢，請在解析程式中變更 VPC的DNS防火牆組態。如需詳細資訊，請參閱DNS 防火牆VPC組態。
在多個區域中使用 Route 53 Resolver DNS Firewall 規則群組
Route 53 Resolver DNS Firewall 是一項區域服務，因此您在一個 AWS 區域中建立的物件只能在該區域中使用。若要在多個區域中使用相同的規則群組，您必須在每個區域中建立該規則。
建立規則群組 AWS 的帳戶可以與其他 AWS 帳戶共用。如需詳細資訊，請參閱在 AWS 帳戶之間共用 Route 53 Resolver DNS Firewall 規則群組。
