Firma używa zapory DNS Amazon Route 53 Resolver DNS Firewall w VPC do blokowania wszystkich domen z wyjątkiem tych znajdujących się na liście dozwolonych. Obawiają się, że jeśli DNS Firewall przestanie odpowiadać, zasoby VPC zostaną naruszone, ponieważ zapytania DNS mogą nie zostać rozwiązane. Aby zachować umowy SLA aplikacji, zapytania DNS muszą być nadal rozwiązywane, nawet jeśli Route 53 Resolver nie otrzyma odpowiedzi od DNS Firewall. Jaką zmianę konfiguracji powinien wprowadzić inżynier sieci, aby spełnić ten wymóg?

Poprawna odpowiedź to "Zaktualizuj konfigurację DNS Firewall VPC, aby włączyć tryb fail open dla VPC". Tryb fail open w DNS Firewall Route 53 Resolver oznacza, że jeśli zapora DNS nie jest w stanie przetworzyć zapytania (np. z powodu problemu z dostępnością usługi), zapytanie zostanie przepuszczone bez blokowania. Jest to kluczowe dla zachowania ciągłości działania aplikacji i spełnienia umów SLA, ponieważ zapytania DNS będą nadal rozwiązywane, nawet jeśli DNS Firewall napotka problem. Pozostałe opcje są niepoprawne: Wyłączenie trybu fail open (czyli włączenie trybu fail close) spowodowałoby, że w przypadku problemu z DNS Firewall zapytania DNS byłyby blokowane, co naruszyłoby SLA. Opcje DHCP z parametrem dnsfirewallfailopen nie są prawidłowym sposobem konfiguracji trybu fail open dla DNS Firewall Route 53 Resolver. Konfiguruje się to bezpośrednio w ustawieniach DNS Firewall dla danej VPC.