Un'azienda utilizza Amazon Route 53 Resolver DNS Firewall in una VPC per bloccare tutti i domini tranne quelli presenti in una lista di elementi consentiti (allow list). Temono che, se il DNS Firewall non dovesse rispondere, le risorse della VPC ne risentirebbero perché le query DNS potrebbero non essere risolte. Per preservare gli SLA delle applicazioni, le query DNS devono continuare a essere risolte anche quando Route 53 Resolver non riceve una risposta dal DNS Firewall. Quale modifica alla configurazione dovrebbe apportare l'ingegnere di rete per soddisfare questo requisito?

Abilitare il "fail open" per il DNS Firewall nella configurazione della VPC è la soluzione corretta. Quando il fail open è abilitato, se il DNS Firewall non riesce a rispondere a una query DNS (ad esempio, a causa di un timeout o di un errore interno), Route 53 Resolver permetterà alla query di procedere e di essere risolta normalmente, senza bloccarla. Questo garantisce che le applicazioni continuino a funzionare e che le query DNS vengano risolte, preservando gli SLA anche in caso di problemi con il firewall. Disabilitare il fail open (o mantenerlo disabilitato, che è il comportamento predefinito) causerebbe il blocco delle query in caso di mancata risposta del firewall, interrompendo la risoluzione DNS. Le opzioni DHCP non controllano il comportamento di fail open del DNS Firewall; questa è una configurazione specifica del servizio Route 53 Resolver DNS Firewall.