Una empresa utiliza el DNS Firewall de Amazon Route 53 Resolver en una VPC para bloquear todos los dominios excepto los que están en una lista de permitidos. Les preocupa que si el DNS Firewall deja de responder, los recursos de la VPC se vean afectados porque las consultas de DNS podrían no resolverse. Para preservar los SLA de las aplicaciones, las consultas de DNS deben seguir resolviéndose incluso cuando Route 53 Resolver no obtiene una respuesta del DNS Firewall. ¿Qué cambio de configuración debe realizar el ingeniero de red para satisfacer este requisito?

La opción correcta es "Actualizar la configuración de la VPC del DNS Firewall para habilitar el fail open para la VPC". Habilitar el fail open (apertura por fallo) permite que las consultas de DNS se resuelvan directamente a través de Route 53 Resolver si el DNS Firewall no responde o no puede procesar la solicitud. Esto asegura la disponibilidad de las aplicaciones al evitar interrupciones en la resolución de DNS, cumpliendo con el requisito de mantener los SLA. Deshabilitar el fail open (la primera opción) haría que las consultas fallaran si el Firewall no responde. Las opciones de DHCP (tercera y cuarta) no son el mecanismo correcto para configurar el comportamiento de fail open del DNS Firewall de Route 53; esta configuración se gestiona directamente en el Firewall a nivel de VPC.