Un'azienda utilizza Amazon Route 53 Resolver in una configurazione DNS ibrida. Le regole di forwarding inviano le query per specifici domini autoritativi ai server DNS on-premise. Un nuovo mandato richiede all'azienda di registrare e interrogare il traffico DNS inoltrato a tali server on-premise. I log devono includere l'indirizzo IP dell'istanza di origine e il nome DNS richiesto come visto da Route 53 Resolver. Quale soluzione soddisfa questi requisiti?

La registrazione delle query di Route 53 Resolver è la soluzione più diretta ed efficace. Abilitandola sui VPC pertinenti, Route 53 Resolver registrerà automaticamente le query DNS, inclusi l'indirizzo IP dell'istanza di origine e il nome DNS richiesto, prima che vengano inoltrate. L'invio di questi log a CloudWatch Logs e l'utilizzo di CloudWatch Logs Insights consentono una facile interrogazione e analisi dei dati richiesti. Le altre opzioni non soddisfano i requisiti: VPC Traffic Mirroring cattura il traffico di rete, ma non è specificamente progettato per registrare le query DNS inoltrate da Route 53 Resolver con i dettagli richiesti (IP di origine e nome DNS come visto dal Resolver). I VPC Flow Logs registrano i metadati del traffico IP, non le query DNS specifiche o i nomi di dominio richiesti. Modificare le regole di forwarding per inviare i log a un bucket S3 non è una funzionalità nativa di Route 53 Resolver per la registrazione delle query. Le regole di forwarding definiscono solo dove le query devono essere inviate, non dove i log devono essere archiviati.