A AWS anunciou o Route 53 Resolved IP Validation, um recurso do Network Firewall, sua ferramenta de firewall para redes na nuvem. Ele foi lançado em 21 de outubro de 2026 e não tem custo adicional. A ideia é que o firewall passe a enxergar quais endereços IP o resolvedor DNS da AWS entregou para cada nome de domínio.

Até agora, o firewall só conseguia filtrar por nome em tráfego web (HTTP e HTTPS), porque o nome do site aparece na requisição. Em protocolos como SSH e SFTP, o nome fica de fora: o computador consulta o DNS e depois se conecta direto ao IP. Por isso, as regras precisavam usar endereços IP, que mudam com o tempo. Pense como uma portaria que só confere o nome do visitante no crachá: se ele não apresenta o crachá, a portaria não sabe quem ele é.

Com o recurso, o Route 53 Resolver guarda os IPs que entregou para cada domínio em um cache. Quando uma nova conexão de saída começa, o firewall confere se o destino está nesse cache. Se estiver, a conexão segue para as regras. Se não estiver, o firewall aplica a ação escolhida: Alert, Drop ou Reject. Com isso, é possível filtrar tráfego não web por nome de domínio e impedir a manipulação de SNI em tráfego TLS sem precisar ativar a inspeção TLS.

A recomendação da AWS é começar no modo Alert, que não bloqueia nada e apenas registra o resultado nos logs de fluxo, no campo route53_resolved_ip, e na métrica DnsUnresolvedFlows. Como os clientes guardam respostas de DNS por um tempo, a AWS sugere esperar cerca de 24 horas antes de ativar o bloqueio. Antes de mudar a ação para Drop ou Reject, é preciso conferir se as conexões reprovadas são esperadas e se os destinos liberados por IP estão nas faixas de bypass.

Para quem usa o recurso, a AWS também recomenda bloquear DNS de saída para outros resolvedores, como DNS over HTTPS e DNS over TLS, para que os clientes não contornem a verificação, e manter regras do DNS Firewall nas VPCs. A própria AWS dá exemplos, como liberar um servidor de parceiro por nome de domínio e impedir que um cliente se passe por um domínio permitido enquanto se conecta a outro servidor.