AWS宣布Amazon Route 53 Resolver支持DNS over HTTPS (DoH) 协议

AWS最近宣布，Amazon Route 53 Resolver将支持在入站和出站解析器端点上使用DNS over HTTPS (DoH) 协议。这一增强功能旨在提高DNS解析的隐私和安全性。

Amazon Route 53 Resolver简介

Amazon Route 53 Resolver是一套全面的工具，用于在AWS、互联网和本地网络中解析DNS查询，确保对Amazon虚拟私有云（VPC）的DNS进行安全控制。此前，AWS已宣布该服务在AWS Outposts Rack上可用。现在，通过支持DoH协议，DNS解析过程中交换的数据将被加密，从而防止在DoH客户端和基于DoH的DNS解析器之间传输期间的窃听和篡改。

DoH协议的优势

• 隐私和安全增强：DoH通过加密DNS数据，防止数据在传输过程中被窃听或篡改。
• 合规性支持：启用DoH有助于客户满足监管和业务合规要求，特别是符合美国管理和预算办公室备忘录中概述的标准。

混合云环境中的应用

客户可以在混合云环境中使用Amazon Route 53 Resolver处理DNS查询。例如，通过设置入站和出站解析器端点，AWS服务可以响应来自混合网络内任何位置的DNS请求。配置解析器端点后，客户可以建立规则，指定将DNS查询从VPC转发到本地DNS解析器（出站）或从本地转发到VPC（入站）。

协议选择

AWS首席布道师Danilo Poccia指出，在创建或更新入站或出站解析器端点时，客户可以选择以下协议：

• DNS over port 53 (Do53)：使用UDP或TCP发送数据包。
• DNS over HTTPS (DoH)：使用TLS加密数据。
• 两者兼用：根据DNS客户端使用的协议动态选择。
• FIPS合规性：入站端点有特定的DoH-FIPS实现。

DoH的局限性

根据Frank Nijeboer的研究报告，虽然DoH可以防止对单个查询的窃听，但通过分析DoH数据包大小模式，仍可能推断出对特定网站的访问。此外，尽管干扰DoH流量可能不可行，但检测并阻止DoH解析器是可能的。因此，DoH在隐私保护方面的优势仍有争议，且与DNS over TLS (DoT)相比的优势正在减小。

其他云服务提供商的DoH支持

其他公有云提供商如Google的Cloud DNS、Cloudflare DNS和Infoblox也提供DoH支持。

可用性和定价

目前，Amazon Route 53 Resolver的DoH支持在所有提供Route 53 Resolver的AWS区域（包括GovCloud区域和中国区域）均可用。使用DoH不会产生额外费用，具体定价信息可在AWS Route 53定价页面查看。

总结

AWS通过支持DoH协议，进一步增强了Amazon Route 53 Resolver的安全性和隐私保护能力，帮助客户在混合云环境中更好地管理DNS查询，并满足合规性要求。尽管DoH在隐私保护方面存在一定局限性，但其仍然是提升DNS安全性的重要工具。