Een bedrijf gebruikt Amazon Route 53 Resolver DNS Firewall in een VPC om alle domeinen te blokkeren, behalve die op een allow list. Ze zijn bang dat als de DNS Firewall niet meer reageert, VPC-resources worden beïnvloed omdat DNS-query's mogelijk niet worden omgezet. Om de applicatie-SLA's te behouden, moeten DNS-query's blijven omzetten, zelfs wanneer Route 53 Resolver geen antwoord krijgt van de DNS Firewall. Welke configuratiewijziging moet de netwerkengineer aanbrengen om aan deze vereiste te voldoen?

De correcte optie is om "fail open" in te schakelen voor de DNS Firewall VPC-configuratie. Wanneer "fail open" is ingeschakeld, zullen DNS-query's doorgaan naar de upstream DNS-resolver (bijvoorbeeld de standaard Route 53 Resolver) als de DNS Firewall niet reageert of een interne fout heeft. Dit zorgt ervoor dat DNS-resolutie blijft werken, zelfs als de firewall tijdelijk niet beschikbaar is, wat essentieel is voor het handhaven van applicatie-SLA's. Het uitschakelen van "fail open" (de eerste optie) zou betekenen dat DNS-query's mislukken als de firewall niet reageert, wat de applicatie-SLA's zou schenden. De opties met DHCP options sets zijn incorrect omdat de "fail open"-instelling direct wordt geconfigureerd op de Route 53 Resolver DNS Firewall-associatie met de VPC, niet via DHCP options.