Route 53 Resolver での DNS Firewall からの応答がない場合でも、引き続き DNS クエリを解決する方法を教えてください

困っていること

Route 53 Resolver DNS Firewall を利用し、許可リストにないドメインへのアクセスはすべてブロックしています。
一方で、DNS Firewall が応答しないような状況に陥った場合、VPC 内のアプリケーションが DNS 解決できなくなり、サービス全体へ影響が及ぶリスクが懸念されます。この様な状況においても、引き続き DNS クエリを解決する方法を教えてください。

どう対応すればいいの?

VPC の DNS Firewall 設定を更新してフェールオープン (Fail Open) を有効化することをご検討ください。

• デフォルトは「フェールクローズ」 → Firewall から応答がない場合はクエリをブロック (セキュリティ重視)
• 「フェールオープン」を有効化 → Firewall が応答しない場合でもクエリを解決し続ける (可用性重視)

https://docs.aws.amazon.com/ja_jp/Route53/latest/DeveloperGuide/resolver-dns-firewall-vpc-configuration.html

参考資料

• Route 53 Resolver DNS Firewall の仕組み - Amazon Route 53
• DNS Firewall での VPC の設定 - Amazon Route 53