Компания использует Amazon Route 53 Resolver DNS Firewall в VPC для блокировки всех доменов, кроме тех, что находятся в списке разрешенных (allow list). Они обеспокоены тем, что если DNS Firewall перестанет отвечать, ресурсы VPC будут затронуты, поскольку DNS-запросы могут не разрешаться. Для сохранения SLA приложений DNS-запросы должны продолжать разрешаться даже в том случае, если Route 53 Resolver не получает ответа от DNS Firewall. Какое изменение конфигурации должен внести сетевой инженер, чтобы удовлетворить это требование?

Правильный ответ — "Обновить конфигурацию DNS Firewall VPC, чтобы включить fail open для VPC". Опция fail open позволяет DNS-запросам проходить, если DNS Firewall недоступен или не отвечает, обеспечивая непрерывность работы приложений и соблюдение SLA. Это предотвращает сбои в разрешении DNS, когда Firewall не может обработать запрос. Неправильные варианты: "Обновить конфигурацию DNS Firewall VPC, чтобы отключить fail open для VPC" — это приведет к блокировке всех DNS-запросов, если Firewall станет недоступным, что нарушит SLA. Варианты с "создать новый набор опций DHCP" неверны, так как управление поведением fail open для DNS Firewall осуществляется непосредственно в конфигурации DNS Firewall, а не через опции DHCP. Параметры fail open не настраиваются через DHCP.