Une entreprise utilise Amazon Route 53 Resolver DNS Firewall dans un VPC pour bloquer tous les domaines à l'exception de ceux figurant sur une liste d'autorisation. Elle craint que si le DNS Firewall ne répond plus, les ressources du VPC soient affectées car les requêtes DNS pourraient ne pas être résolues. Pour préserver les SLA des applications, les requêtes DNS doivent continuer à être résolues même lorsque Route 53 Resolver ne reçoit pas de réponse du DNS Firewall. Quelle modification de configuration l'ingénieur réseau doit-il apporter pour satisfaire cette exigence ?

L'activation de l'option "fail open" (échec ouvert) pour le DNS Firewall de Route 53 Resolver permet aux requêtes DNS de contourner le pare-feu et d'être résolues normalement si le pare-feu devient indisponible ou ne répond pas. Cela garantit la continuité du service DNS et le respect des SLA des applications. Désactiver le "fail open" (ou le laisser désactivé par défaut) entraînerait le blocage de toutes les requêtes DNS en cas de défaillance du pare-feu, ce qui interromprait la résolution DNS. Les ensembles d'options DHCP ne contrôlent pas le comportement de "fail open" du DNS Firewall de Route 53 Resolver. Cette configuration est gérée directement dans les paramètres du DNS Firewall.