한 회사에서 허용 목록에 있는 도메인을 제외한 모든 도메인을 차단하기 위해 VPC에서 Amazon Route 53 Resolver DNS Firewall을 사용합니다. DNS Firewall이 응답하지 않으면 DNS 쿼리가 확인되지 않아 VPC 리소스에 영향을 미칠까 우려하고 있습니다. 애플리케이션 SLA를 유지하려면 Route 53 Resolver가 DNS Firewall로부터 응답을 받지 못하더라도 DNS 쿼리가 계속 확인되어야 합니다. 이 요구 사항을 충족하기 위해 네트워크 엔지니어는 어떤 구성 변경을 해야 합니까?

DNS Firewall의 'fail open' 설정은 DNS Firewall이 응답하지 않을 때 DNS 쿼리 처리 방식을 제어합니다. 이 시나리오에서는 DNS Firewall이 응답하지 않을 경우에도 DNS 쿼리가 계속 확인되어야 하므로 'fail open'을 활성화해야 합니다. 이렇게 하면 DNS Firewall에 문제가 발생하더라도 DNS 쿼리가 차단되지 않고 정상적으로 확인되어 VPC 리소스의 가용성을 유지할 수 있습니다. 'fail open'을 비활성화하면 DNS Firewall에 문제가 생길 경우 모든 DNS 쿼리가 실패하여 서비스 중단으로 이어질 수 있습니다. DHCP 옵션 세트는 DNS Firewall의 fail open 동작을 제어하는 데 사용되지 않습니다.