解决 CNAME 链难题：使用 Route 53 Resolver DNS Firewall 简化管理
内容提要
DNS Firewall现在允许自动信任解析链中的所有域名，以防止恶意代码建立出站网络连接。它支持各种类型的DNS记录，并且管理员可以轻松配置DNS Firewall信任重定向链中的所有域名。该功能在所有AWS区域免费提供。
延伸解读
DNS 隧道风险与防护重点
文章指出，即使网络层阻止了常规 TCP/UDP 出站连接，恶意代码仍可能利用 DNS 请求与控制服务器通信，实现命令控制或数据泄露。DNS Firewall 针对这一盲区，通过监控和过滤 VPC 出站 DNS 查询，帮助阻断此类隐蔽通道。对于已严格限制出站流量的环境，DNS 层防护是必要的补充。
CNAME 链带来的管理难题
当应用访问的域名是 CNAME、DNAME 或 Alias 记录时，解析会经过多个中间域名，最终才得到 A 记录。若防火墙只允许初始域名，链中后续域名会被拦截，导致解析失败。更棘手的是，重定向链由目标服务控制，可能随时变化，迫使管理员手动维护授权列表，增加运维负担。
新功能如何简化配置
通过 UpdateFirewallRule API 新增的 firewall-domain-redirection-action 参数，管理员可将其设为 TRUST_REDIRECTION_DOMAIN，让 DNS Firewall 自动信任 CNAME、DNAME 或 Alias 链中的所有中间域名，直至解析到最终 IP。这样，管理员只需授权应用实际查询的域名，无需关心链的细节，也避免了因链变化而频繁更新规则。
适用性与成本
该功能在所有 AWS 区域免费提供，不产生额外费用。对于采用“默认拒绝、仅允许已知域名”策略的网络管理员，它降低了实施难度，使严格出站控制更可行。但需注意，自动信任整个重定向链意味着链中任何域名都被放行，因此应确保初始授权域名本身可信，并定期审查规则。
Q&A
DNS Firewall 的新功能是什么？
DNS Firewall 现在支持自动信任解析链中的所有域名，以防止恶意代码建立出站网络连接。
如何使用 DNS Firewall 保护出站 DNS 请求？
DNS Firewall 为来自 Amazon VPC 的出站 DNS 请求提供保护，帮助防范多种安全风险。
恶意代码如何利用 DNS 请求进行攻击？
恶意代码可能通过 DNS 请求与控制服务器通信，导致数据泄露或 DDoS 攻击。
DNS 记录类型有哪些？
DNS 记录类型包括 A 记录、CNAME 记录、DNAME 记录和 Alias 记录。
如何配置 DNS Firewall 以信任 CNAME 链？
防火墙管理员可以通过 UpdateFirewallRule API 配置 DNS Firewall，信任整个重定向链。
DNS Firewall 的新功能是否收费？
此功能在所有 AWS 区域免费提供，便于网络管理员实施安全策略。
