Resolución DNS privada y filtrado

Una zona alojada privada de Route 53 contiene nombres que solo resuelven dentro de las VPC asociadas a ella: ahí viven los nombres internos de las bases de datos. Desde una VPC no asociada, el nombre no existe. Para que una VPC resuelva una zona privada hacen falta dos cosas: asociarla a la zona y tener habilitados, en la propia VPC, la resolución DNS y los nombres de host DNS.

Cuando esa asociación falta, la consulta no falla por un error de red: el Resolver responde que el nombre no existe (NXDOMAIN), que es fácil de confundir con un nombre mal escrito.

Un NXDOMAIN para un nombre que sí existe en una zona privada apunta a una VPC que no está asociada. Para confirmarlo se cruzan dos fuentes: el registro de consultas, que dice qué VPC preguntó y qué recibió, y la tabla de zonas, que dice qué VPC están asociadas.

Abre consultas_dns y zonas del laboratorio. Una VPC preguntó por db.datos.nandubay.example y recibió NXDOMAIN.

El DNS Firewall se asocia a las VPC y compara cada consulta con las listas de dominios de sus reglas. Las consultas que coinciden con una regla de bloqueo reciben una respuesta configurada (NODATA, NXDOMAIN o una respuesta personalizada) y quedan registradas con la acción y el grupo que las bloqueó. Contarlas es la primera medida del filtro: cuánto trabaja y sobre qué.

En el registro de consultas del laboratorio, cuenta las que tienen BLOCK en la columna accion_firewall.

Los grupos de reglas se evalúan por el número de prioridad con el que se asocian a la VPC, de menor a mayor, y la primera regla que coincide decide. Si un dominio está a la vez en una lista de permitidos de un grupo con número de prioridad menor y en una lista de bloqueo de otro con número mayor, gana el permiso: el bloqueo nunca llega a evaluarse. Es la misma lección que con las reglas de un firewall de red, aplicada a nombres.

Compara las dos listas de la tabla listas_de_dominios y las prioridades de grupos_dns_firewall.

Cada regla del DNS Firewall tiene una acción: ALLOW deja pasar la consulta y deja de inspeccionarla, ALERT la deja pasar y deja un aviso en el registro, y BLOCK la corta y contesta con la respuesta configurada. ALERT sirve para probar una regla de bloqueo nueva: se mira cuántas consultas habría bloqueado antes de pasar a BLOCK, y así se detectan los falsos positivos sin romper nada.