AWS Network Firewall 现已支持 IP 验证，将基于域名的过滤功能从 HTTP/HTTPS 扩展至 SFTP 和 SSH 等协议。此新功能可验证连接的目标 IP 地址是否通过您的 VPC 中的 Amazon Route 53 VPC Resolver 解析，从而消除因客户端绕过域名规则而存在的安全漏洞。该功能使 Network Firewall 客户能够为任何协议（而不仅是 HTTP/HTTPS）实施基于域名的过滤规则，提供比仅使用基于 IP 的规则更灵活的安全策略。它通过验证 Route 53 VPC Resolver 解析的 IP 地址与服务器名称标识符（SNI）是否匹配，简化了对 SNI 欺骗的保护，确保流量仅到达合法解析的目标。组织现在可以在所有出站流量类型（从 Web 应用程序到文件传输协议）上强制执行一致的基于域名的安全策略，而无需复杂的变通方案。此外，Route 53 Resolver DNS Firewall 可与您的 VPC Resolver 配合使用，以扩展 DNS 安全功能。IP 验证功能在所有提供 AWS Network Firewall 和 Route 53 Resolver DNS Firewall 的 AWS 商业区域中均可用，且不额外收费。有关支持区域的完整列表，请访问 AWS 按区域划分的功能页面。欲了解更多信息，请访问 AWS Network Firewall 产品页面和服务文档。