AWS Route 53 Resolver 支持 DNS over HTTPS 协议

AWS 近日宣布，Amazon Route 53 Resolver 将支持使用 DNS over HTTPS (DoH) 协议，适用于入站和出站的 Resolver 端点。这一增强功能进一步提升了 DNS 查询的隐私和安全性。

主要功能和优势

1. DNS over HTTPS (DoH)：

   • DoH 协议通过加密 DNS 解析数据，防止 DNS 数据在传输过程中被窃听或篡改。
   • 该协议增强了隐私保护，尤其是在 DoH 客户端与基于 DoH 的 DNS 解析器之间的通信中。

2. 合规性支持：

   • 启用 DoH 有助于客户满足监管和业务合规要求，特别是符合美国管理和预算办公室（OMB）备忘录中的标准。

3. 混合云环境支持：

   • Amazon Route 53 Resolver 可用于处理混合云环境中的 DNS 查询。
   • 通过配置入站和出站解析器端点，客户可以设置规则，将 DNS 查询从 VPC 转发到本地 DNS 解析器（出站），或从本地转发到 VPC（入站）。

配置选项

AWS 首席布道师 Danilo Poccia 指出，客户在创建或更新入站或出站解析器端点时，可以选择以下协议：

• DNS over port 53 (Do53)：使用 UDP 或 TCP 发送数据包。
• DNS over HTTPS (DoH)：使用 TLS 加密数据。
• 两者兼用：根据 DNS 客户端的请求选择协议。
• FIPS 合规性：入站端点提供 DoH-FIPS 实现。

用户界面和操作

用户可以在 Route 53 控制台的导航面板中选择入站或出站端点进行配置。

研究和技术背景

研究显示，尽管 DoH 提供了一定的隐私保护，但通过分析 DoH 数据包大小模式，仍可能推断出访问的特定网站。此外，虽然 DoH 流量难以被篡改，但检测和阻止 DoH 解析器是可能的。因此，DoH 的隐私保护效果存在争议，且与 DNS over TLS (DoT) 的优势差距逐渐缩小。

与其他云服务提供商的比较

其他云服务提供商如 Google 的 Cloud DNS、Cloudflare DNS 和 Infoblox 也提供了 DoH 支持。

区域和定价

目前，Amazon Route 53 Resolver 的 DoH 支持已在所有 AWS 区域提供，包括 GovCloud 区域和中国区域。使用 DoH 不会产生额外费用，具体定价信息可在 AWS 的定价页面查看。