Concepts et composants clés de Route 53 Global Resolver

L'instance de service principale qui fournit la résolution et le filtrage DNS pour votre organisation dans plusieurs AWS régions. Votre résolveur global utilise la technologie anycast pour acheminer automatiquement les requêtes DNS vers la région disponible la plus proche, garantissant ainsi des temps de réponse rapides à tous les clients, quelle que soit leur localisation.

Deux adresses IPv4 ou IPv6 uniques attribuées à votre résolveur global que vous configurez sur les appareils clients et les équipements réseau. Ces adresses IP anycast sont les mêmes dans le monde entier, ce qui simplifie la configuration DNS sur tous vos sites. L'adressage IP Anycast permet le routage automatique des requêtes DNS vers le résolveur mondial le plus proche, optimisant ainsi les temps de réponse et améliorant la fiabilité du service.

Des modèles de configuration qui vous permettent d'appliquer différentes politiques DNS aux différents groupes de clients de votre réseau. Utilisez les vues DNS pour implémenter un DNS à horizon partagé. Par exemple, appliquez un filtrage strict et une authentification par jeton pour les sites distants, tout en utilisant des politiques d' IP-based accès et de sécurité différentes pour les succursales.

Connexions DNS sécurisées à l'aide de jetons chiffrés pour DNS-over-HTTPS (DoH) et DNS-over-TLS (DoT). Vous pouvez générer des jetons d'accès uniques pour des clients individuels ou des groupes d'appareils, définir des périodes d'expiration et révoquer des jetons si nécessaire.

Contrôlez l'accès à l'aide de listes d'autorisations d'adresses IP et de plages CIDR. Vous pouvez configurer les adresses IP publiques ou les plages de réseaux de vos succursales, puis spécifier les protocoles DNS (DNS-over-port-53, DoT ou DoH) que chaque site peut utiliser en fonction de vos exigences de sécurité.

Choisissez le protocole DNS approprié en fonction de vos besoins en matière de sécurité et de compatibilité :

La résolution DNS hybride permet à Route 53 Global Resolver de résoudre simultanément les requêtes des utilisateurs et des applications sur site vers les applications privées. AWS

L'accès aux zones privées mondiales étend la portée des zones hébergées privées Amazon Route 53 au-delà des limites du VPC. Les clients autorisés n'importe où sur Internet peuvent résoudre des noms de domaine privés, ce qui permet aux équipes distribuées d'accéder aux ressources internes sans exigences de connectivité réseau traditionnelles.

Le basculement transparent garantit un accès continu aux ressources privées et publiques, même lorsque AWS certaines régions ne sont plus disponibles. L'architecture anycast achemine automatiquement les requêtes vers des régions saines tout en maintenant un comportement de résolution cohérent.

Multi-region deployment distribue les instances Route 53 Global Resolver dans au moins deux AWS régions afin de garantir une haute disponibilité et de permettre le basculement en cas de panne de service. Vous pouvez sélectionner des régions spécifiques en fonction de vos exigences géographiques et de vos besoins de conformité.

L'optimisation géographique automatique achemine les requêtes DNS vers la AWS région disponible la plus proche en fonction de la topologie et de la latence du réseau. Cela réduit les temps de réponse et améliore l'expérience utilisateur pour les organisations réparties dans le monde entier.

Built-in la redondance permet de maintenir la continuité du service grâce au basculement automatique vers d'autres régions lorsque les régions principales ne sont plus disponibles. Les clients continuent d'utiliser les mêmes adresses IP anycast tandis que le trafic est redirigé de manière transparente.

La résolution des zones hébergées privées permet à Route 53 Global Resolver de résoudre les requêtes DNS pour les zones hébergées privées Route 53 dans toutes AWS les régions. Cela permet aux clients autorisés de résoudre des domaines pour les applications et les ressources hébergées par Route 53 depuis n'importe où sur Internet.

Split-horizon Le DNS fournit différentes réponses DNS en fonction du client à l'origine de la requête. Route 53 Global Resolver peut résoudre les domaines publics sur Internet tout en résolvant simultanément les domaines privés, offrant ainsi un accès transparent aux ressources publiques et privées.

La validation DNSSEC permet de vérifier l'authenticité et l'intégrité des réponses DNS des serveurs de noms publics pour les domaines. DNSSEC-signed Cette validation garantit que les réponses DNS n'ont pas été altérées pendant la transmission, offrant ainsi une protection contre les attaques d'usurpation du DNS et d'empoisonnement du cache.

Le sous-réseau client EDNS est une fonctionnalité optionnelle qui transmet les informations de sous-réseau client contenues dans les requêtes DNS à des serveurs de noms faisant autorité. Cela permet d'obtenir des réponses DNS géographiques plus précises, ce qui peut réduire la latence en dirigeant les clients vers des réseaux ou des serveurs de diffusion de contenu les plus proches. Pour les connexions DNS-over-TLS (DoT) et DNS-over-HTTPS (DoH), vous pouvez utiliser EDNS0 pour transmettre les informations d'adresse IP du client. Lorsque ECS est activé sur Global Resolver, le service injecte automatiquement l'adresse IP du client si elle n'est pas fournie dans la requête.

Les règles de filtrage DNS définissent la manière dont Route 53 Global Resolver gère les requêtes DNS en fonction de critères de correspondance de domaine. Les règles sont évaluées par ordre de priorité et peuvent spécifier des actions (AUTORISER, BLOQUER ou ALERTER) pour les requêtes concernant des domaines ou des catégories de domaines spécifiques.

Les listes de domaines sont des collections de domaines utilisés dans les règles de filtrage. Ils peuvent être :

Le tunneling DNS est utilisé par les attaquants pour exfiltrer les données du client en utilisant le tunnel DNS sans établir de connexion réseau avec le client.

Les algorithmes de génération de domaines (DGA) sont utilisés par les attaquants pour créer un grand nombre de noms de domaine pour ses serveurs de commande et de contrôle.

Chaque algorithme de détection génère un score de confiance qui détermine le déclenchement des règles. Des seuils de confiance plus élevés réduisent les faux positifs mais risquent de passer à côté d'attaques sophistiquées. Des seuils plus bas augmentent la sensibilité de détection mais nécessitent une analyse d'alerte supplémentaire pour filtrer les faux positifs.

Les règles avancées de protection contre les menaces ne prennent en charge que ALERT les BLOCK actions. L'ALLOWaction n'est pas prise en charge car la détection algorithmique ne peut pas classer définitivement le trafic bénin, mais uniquement identifier les modèles potentiellement malveillants.

Les journaux de requêtes fournissent des informations détaillées sur les requêtes DNS traitées par Route 53 Global Resolver, notamment l'adresse IP source, le domaine interrogé, le code de réponse, les mesures politiques prises et les horodatages. Les journaux peuvent être transmis à Amazon CloudWatch, Amazon Data Firehose ou Amazon Simple Storage Service à des fins d'analyse et de création de rapports de conformité.

Le format OCSF (Open Cybersecurity Schema Framework) est un format de journalisation standardisé utilisé par Route 53 Global Resolver pour les journaux de requêtes DNS. Ce format fournit des données cohérentes et structurées qui s'intègrent facilement aux systèmes de gestion des informations et des événements de sécurité (SIEM) et à d'autres outils de sécurité.

Les destinations des journaux déterminent l'endroit où les journaux de requêtes DNS sont fournis, chacun ayant des caractéristiques différentes :

La région d'observabilité détermine l'endroit où les journaux de requêtes DNS sont fournis.