AWS Network Firewall เพิ่ม Resolved IP Validation บังคับ Domain Policy ข้าม HTTP

AWS Network Firewall เพิ่ม Route 53 Resolved IP Validation ตามประกาศวันที่ 21 ตุลาคม 2026 เพื่อขยาย domain-based filtering ไปยัง protocol ที่อยู่นอก HTTP/HTTPS เช่น SFTP และ SSH ความสามารถนี้ตรวจว่าปลายทาง IP ของ connection ถูก resolve ผ่าน Amazon Route 53 VPC Resolver ของ VPC ตามเงื่อนไขบริการ

เมื่อชื่อโดเมนกับ IP ต้องสอดคล้องกัน

AWS ระบุว่าการตรวจนี้ช่วยปิดช่องว่างที่ client อาจข้ามกฎโดเมน และช่วยเรื่อง SNI spoofing โดยเทียบ IP ที่ได้จาก Resolver กับ SNI แนวคิดสำคัญคือไม่ได้ดูคำประกาศของ client เพียงด้านเดียว แต่ใช้ข้อมูลการ resolve ประกอบการตัดสินใจ การบังคับกฎโดเมนจึงมีตัวเลือกสำหรับ traffic หลายชนิดมากขึ้น

อย่างไรก็ตาม การเปิดฟีเจอร์ต้องสอดคล้องกับเส้นทาง DNS จริงของ workload หากแอปมี resolver อื่น cache ระยะยาว หรือพฤติกรรมเชื่อม IP โดยตรง ควรตรวจเอกสารและทดลองผลก่อนเปลี่ยน policy ที่ใช้งานจริง ไม่ควรสรุปว่าทุกการเชื่อมต่อที่ถูกปฏิเสธเป็นการโจมตี เพราะอาจเป็นพฤติกรรมปกติที่ยังไม่ได้จัดการในแผน DNS

สำรวจ Egress ก่อนบังคับกฎ

ทีมควรเริ่มจากรายชื่อบริการปลายทางที่แอปต้องใช้ protocol ที่เกี่ยวข้อง และวิธีที่แต่ละ workload resolve ชื่อ แยกระบบที่ใช้ hostname ตามมาตรฐานออกจาก job เก่าที่เก็บ IP ไว้ใน config จากนั้นเลือกกลุ่มทดสอบที่มีเจ้าของชัดเจน เพื่อตรวจทั้ง allowed และ denied paths โดยไม่เปลี่ยนทุก subnet พร้อมกัน

การทดสอบที่มีประโยชน์ควรครอบคลุมการ resolve ใหม่ การเปลี่ยน IP ของปลายทาง และ connection ที่มีอายุยาว พร้อมเก็บ log เพียงพอให้แยกปัญหา routing, DNS และ firewall ได้ หากมีปลายทางผ่าน proxy หรือ network appliance อื่น ต้องตรวจว่าระบบมองเห็นชื่อและ IP ในจุดที่ตัดสินใจอย่างไร ไม่อาศัยแผนผังที่เก่าไปแล้ว

ใช้ร่วมกับนโยบาย DNS และการดูแลการเปลี่ยนแปลง

ประกาศระบุว่าสามารถใช้ Route 53 Resolver DNS Firewall ร่วมกับ VPC Resolver เพื่อเพิ่มความปลอดภัยด้าน DNS ได้ แต่ทีมควรกำหนดว่าแต่ละชั้นรับผิดชอบอะไร เช่น ชั้นใดควบคุมชื่อที่ขอ resolve และชั้นใดควบคุม connection ออก การแยกหน้าที่ช่วยลดความสับสนเมื่อข้อกำหนดเดียวถูกตั้งไว้หลายจุดแล้วให้ผลต่างกัน

Resolved IP Validation เปิดใน commercial Regions ที่บริการเกี่ยวข้องให้ใช้งานและไม่มีค่าใช้จ่ายเพิ่มสำหรับฟีเจอร์ตามประกาศ ทั้งนี้ยังต้องพิจารณาค่าบริการพื้นฐานและเงื่อนไขจริง เป้าหมายของการนำมาใช้ควรเป็น egress policy ที่ตรวจสอบได้และไม่ทำให้แอปสำคัญสะดุดโดยไม่ทราบสาเหตุ เมื่อทีมเข้าใจเส้นทาง DNS และมีผลทดสอบครบ การบังคับกฎโดเมนข้าม protocol จะดูแลได้เป็นระบบมากขึ้น

แหล่งข่าว: ประกาศทางการวันที่ 21 ตุลาคม 2026