配置AWS Network Firewall实现域名过滤及出口安全组调整咨询

核心逻辑 #

安全组是基于IP/端口的粗粒度访问控制，不支持域名过滤；而AWS Network Firewall可以实现基于域名（包括SNI解析的HTTPS域名）的细粒度过滤，刚好适配CloudFront动态IP范围的场景。两者配合的思路是：安全组负责放行必要的端口范围，把细粒度的域名/IP限制交给Network Firewall处理。

出口安全组的具体调整方案 #

• 推荐直接在安全组的出站规则中，允许所需业务端口（比如HTTPS的443、HTTP的80）的流量指向0.0.0.0/0。不用担心放开到全量IP会暴露风险——因为所有出站流量都会强制经过Network Firewall，防火墙会严格拦截不符合规则的请求。
• 如果你想做更严格的边界控制，也可以把安全组的目标设为Network Firewall所在子网的CIDR范围，或者防火墙的ENI私有IP。但这种方式的维护成本更高：当防火墙扩容、新增ENI时，你需要手动更新安全组规则，所以一般不推荐。

Network Firewall的关键配置 #

• 创建域名规则组，添加允许访问example.com的规则。如果是HTTPS流量，必须开启TLS检查功能——否则防火墙无法读取SNI字段，也就没法基于域名过滤CloudFront的流量。
• 配置默认拒绝规则：在规则组的末尾添加一条拒绝所有出站流量的规则，确保只有明确允许的域名/IP能通过。
• 确保流量路径正确：要把VPC的路由表配置为，所有出站流量（包括到Internet的流量）都指向Network Firewall的网关或端点，这样安全组放行的流量才会经过防火墙过滤。

验证步骤 #

1. 先临时移除Network Firewall的规则，测试安全组放开后是否能访问任意网站，确认流量确实会经过防火墙。
2. 恢复防火墙规则，测试只能访问example.com，其他域名/IP的请求被拦截。
3. 验证CloudFront的流量：用nslookup或dig查看example.com的解析结果，确认防火墙能正确匹配这些动态IP的流量。

内容的提问来源于stack exchange，提问作者Pixel_Wanderer483