Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Conceptos y componentes clave de Route 53 Global Resolver
Route 53 Global Resolver utiliza varios componentes clave que funcionan en conjunto para proporcionar una resolución de DNS de tráfico dividido, alta disponibilidad a través de una arquitectura anycast global y una seguridad de DNS integral para su organización. Comprender estos conceptos de Route 53 Global Resolver le ayuda a diseñar e implementar soluciones que permiten un acceso sin problemas a los recursos públicos y privados, garantizan la continuidad del servicio en varias regiones y protegen contra las amenazas basadas en el DNS.
Resolución de DNS para clientes en ubicaciones locales y remotas
Para implementar Route 53 Global Resolver en sus cargas de trabajo distribuidas, ubicaciones de clientes y usuarios, configure estos componentes clave:
- Resolver global
-
La instancia de servicio principal que proporciona resolución y filtrado de DNS para su organización en varias AWS regiones. Su solucionador global utiliza la tecnología anycast para dirigir automáticamente las consultas de DNS a la región disponible más cercana, lo que garantiza tiempos de respuesta rápidos para todos los clientes, independientemente de su ubicación.
- Direcciones IP de Anycast
-
Dos IPv6 direcciones IPv4 OR únicas asignadas a su resolución global que usted configura en los dispositivos cliente y en los equipos de red. Estas direcciones IP anycast son las mismas en todo el mundo, lo que simplifica la configuración del DNS en todas sus ubicaciones. El direccionamiento IP Anycast permite el enrutamiento automático de las solicitudes de DNS a la resolución global más cercana, lo que optimiza los tiempos de respuesta y mejora la confiabilidad del servicio.
- Vistas de DNS
-
Plantillas de configuración que le permiten aplicar distintas políticas de DNS a distintos grupos de clientes de la red. Utilice las vistas de DNS para implementar un DNS de horizonte dividido; por ejemplo, aplique filtros estrictos y una autenticación mediante token para las ubicaciones remotas, y utilice el acceso basado en IP y diferentes políticas de seguridad para las sucursales.
Autenticación de clientes DNS
Seleccione el método de autenticación que mejor se adapte a su implementación:
- Autenticación basada en token
-
Proteja las conexiones DNS mediante tokens cifrados para DNS-over-HTTPS (DoH) y DNS-over-TLS (DoT). Puede generar tokens de acceso únicos para clientes individuales o grupos de dispositivos, establecer períodos de caducidad y revocar los tokens según sea necesario.
- Acceda a la autenticación basada en la fuente
-
Controle el acceso mediante listas de direcciones IP y rangos de CIDR permitidos. Puede configurar las direcciones IP públicas o los rangos de redes de la sucursal y, a continuación, especificar qué protocolos de DNS (DNS-over-Port-53, DoT o DoH) puede usar cada ubicación en función de sus requisitos de seguridad.
- Selección del protocolo DNS
-
Elija el protocolo DNS adecuado en función de sus necesidades de seguridad y compatibilidad:
-
DNS a través del puerto 53 (Do53): utilícelo para obtener la máxima compatibilidad con la infraestructura de red existente
-
DNS-over-TLS (DoT): utilícelo cuando necesite un DNS cifrado con separación de puertos dedicada para la supervisión de la red
-
DNS-over-HTTPS (DoH): úselo cuando necesite eludir las restricciones de la red, ya que el tráfico aparece como HTTPS normal
-
Resolución de DNS de tráfico dividido
Route 53 Global Resolver permite a las organizaciones resolver sin problemas dominios públicos y privados desde cualquier ubicación, lo que elimina la necesidad de configuraciones de VPN complejas o configuraciones de DNS específicas de la región.
- Resolución de DNS híbrida
-
La resolución de DNS híbrido permite a Route 53 Global Resolver resolver simultáneamente las consultas de usuarios y aplicaciones locales a aplicaciones privadas en AWS ellas.
- Acceso a la zona privada global
-
El acceso a la zona privada global amplía el alcance de las zonas alojadas privadas de Amazon Route 53 más allá de los límites de la VPC. Los clientes autorizados de cualquier parte de Internet pueden resolver los nombres de dominio privados, lo que permite a los equipos distribuidos acceder a los recursos internos sin los requisitos de conectividad de red tradicionales.
- Conmutación por error perfecta
-
La conmutación por error perfecta garantiza el acceso continuo a los recursos públicos y privados, incluso cuando AWS las regiones individuales no estén disponibles. La arquitectura anycast enruta automáticamente las consultas a las regiones en buen estado y, al mismo tiempo, mantiene un comportamiento de resolución uniforme.
Alta disponibilidad y presencia global
Route 53 Global Resolver proporciona disponibilidad de nivel empresarial a través de una arquitectura distribuida y capacidades de conmutación por error automática.
- Implementación en varias regiones
-
La implementación multirregional distribuye las instancias de Route 53 Global Resolver en al menos 2 AWS regiones para garantizar una alta disponibilidad y permitir la conmutación por error durante las interrupciones del servicio. Puede seleccionar regiones específicas en función de sus requisitos geográficos y de conformidad.
- Optimización geográfica automática
-
La optimización geográfica automática dirige las consultas de DNS a la AWS región disponible más cercana en función de la topología y la latencia de la red. Esto reduce los tiempos de respuesta y mejora la experiencia del usuario para las organizaciones distribuidas por todo el mundo.
- Redundancia integrada
-
La redundancia integrada garantiza la continuidad del servicio mediante la conmutación automática por error a regiones alternativas cuando las regiones principales dejan de estar disponibles. Los clientes siguen utilizando las mismas direcciones IP de transmisión automática mientras el tráfico se redirige de forma transparente.
Resolución y reenvío de DNS
- Resolución de zonas alojadas privadas
-
La resolución de zonas alojadas privadas permite a Route 53 Global Resolver resolver las consultas de DNS para las zonas alojadas privadas de Route 53 en todas AWS las regiones. Esto permite a los clientes autorizados resolver los dominios de las aplicaciones y los recursos alojados en Route 53 desde cualquier lugar de Internet.
- DNS de horizonte dividido
-
El DNS de horizonte dividido proporciona diferentes respuestas de DNS en función del cliente que realiza la consulta. Route 53 Global Resolver puede resolver dominios públicos en Internet y, al mismo tiempo, resolver dominios privados, lo que proporciona un acceso perfecto a los recursos públicos y privados.
- Validación de DNSSEC
-
La validación de DNSSEC verifica la autenticidad e integridad de las respuestas de DNS de los servidores de nombres públicos para los dominios firmados por el DNSSEC. Esta validación garantiza que las respuestas del DNS no se hayan manipulado durante la transmisión, lo que proporciona protección contra los ataques de suplantación de DNS y de envenenamiento de la caché.
- Subred de clientes EDNS (ECS)
-
La subred de clientes de EDNS es una función opcional que reenvía la información de la subred del cliente en las consultas de DNS a servidores de nombres autorizados. Esto permite respuestas de DNS geográficas más precisas, lo que podría reducir la latencia al dirigir a los clientes a redes o servidores de entrega de contenido más cercanos. Para las conexiones DNS-over-TLS (DoT) y DNS-over-HTTPS (DoH), puede usar EDNS0 para transmitir la información de la dirección IP del cliente. Cuando ECS está activado en Global Resolver, el servicio inyecta automáticamente la IP del cliente si no se proporciona en la consulta.
Filtrado de DNS y listas de dominios
Route 53 Global Resolver proporciona un filtrado basado en dominios mediante listas de dominios administradas por AWS para bloquear o permitir dominios específicos.
- Reglas de filtrado de DNS
-
Las reglas de filtrado de DNS definen la forma en que Route 53 Global Resolver gestiona las consultas de DNS en función de los criterios de coincidencia de dominios. Las reglas se evalúan por orden de prioridad y pueden especificar acciones (PERMITIR, BLOQUEAR o ALERTAR) para las consultas a dominios o categorías de dominios específicos.
- Listas de dominios
-
Las listas de dominios son conjuntos de dominios que se utilizan en las reglas de filtrado. Pueden ser:
-
Listas de dominios personalizadas: colecciones de dominios que usted crea y mantiene
-
AWS listas de dominios gestionadas: las listas de amenazas y las categorías de contenido preconfiguradas AWS que mantienen utilizan la inteligencia sobre amenazas para identificar los dominios maliciosos. Las listas de amenazas disponibles incluyen:
-
Dominios de malware: dominios conocidos por alojar o distribuir malware
-
Comando y control de botnets: dominios utilizados por las botnets para las comunicaciones de mando y control
-
Correo no deseado: dominios asociados a campañas de spam y correo electrónico no deseado
-
Suplantación de identidad: dominios utilizados en los ataques de suplantación de identidad para robar credenciales e información personal
-
Lista de GuardDuty amenazas de Amazon: dominios identificados por la inteligencia de GuardDuty amenazas
Las categorías de contenido disponibles incluyen las redes sociales, los juegos de azar y otras categorías que ayudan a las organizaciones a controlar el acceso a tipos específicos de contenido.
Las especificaciones de dominio individuales de las listas gestionadas no se pueden ver ni editar para proteger la propiedad intelectual y mantener la eficacia de la seguridad.
-
-
Detección avanzada de amenazas de DNS
Route 53 Global Resolver utiliza un análisis algorítmico dinámico para detectar amenazas de DNS avanzadas, como la tunelización de DNS y los algoritmos de generación de dominios. A diferencia de las listas de dominios que coinciden con los dominios defectuosos conocidos, la detección algorítmica analiza los patrones de consulta del DNS en tiempo real para identificar comportamientos sospechosos.
- Detección de túneles de DNS
-
Los atacantes utilizan los túneles de DNS para extraer datos del cliente mediante el uso del túnel de DNS sin establecer una conexión de red con el cliente.
- Detección del algoritmo de generación de dominios (DGA)
-
Los atacantes utilizan los algoritmos de generación de dominios (DGAs) para crear un gran número de nombres de dominio para sus command-and-control servidores.
- Umbrales de confianza
-
Cada algoritmo de detección genera una puntuación de confianza que determina la activación de la regla. Los umbrales de confianza más altos reducen los falsos positivos, pero pueden pasar por alto los ataques sofisticados. Los umbrales más bajos aumentan la sensibilidad de detección, pero requieren un análisis de alerta adicional para filtrar los falsos positivos.
- Limitaciones de acción
-
Solo admiten reglas avanzadas de protección contra amenazas
ALERTyBLOCKacciones. EstaALLOWacción no es compatible porque la detección algorítmica no puede clasificar definitivamente el tráfico benigno, sino que solo identifica patrones potencialmente maliciosos.
Supervisión y registro
- Consulta de registros de
-
Los registros de consultas proporcionan información detallada sobre las consultas de DNS procesadas por Route 53 Global Resolver, incluida la IP de origen, el dominio consultado, el código de respuesta, las medidas políticas adoptadas y las marcas de tiempo. Los registros se pueden enviar a Amazon CloudWatch, Amazon Data Firehose o Amazon Simple Storage Service para su análisis y elaboración de informes de conformidad.
- Formato OCSF
-
El formato Open Cybersecurity Schema Framework (OCSF) es un formato de registro estandarizado utilizado por Route 53 Global Resolver para los registros de consultas de DNS. Este formato proporciona datos estructurados y consistentes que se integran fácilmente con los sistemas de información de seguridad y gestión de eventos (SIEM) y otras herramientas de seguridad.
- Registro de destinos
-
Los destinos de los registros determinan dónde se envían los registros de consultas de DNS, cada uno con características diferentes:
-
Amazon Simple Storage Service: almacenamiento rentable a largo plazo ideal para el cumplimiento y el análisis de lotes. Se integra con herramientas de análisis como Amazon Athena y Amazon EMR.
-
Amazon CloudWatch Logs: monitoreo y alertas en tiempo real con integración a CloudWatch las alarmas y los paneles de Amazon. Admite la información de registros para consultas ad hoc.
-
Amazon Data Firehose: transmisión en tiempo real a sistemas externos con funciones de transformación de datos integradas. Admite el escalado y el almacenamiento en búfer automáticos.
-
- Región de observabilidad
-
La región de observabilidad determina dónde se entregan los registros de consultas de DNS.
