はじめに

AWS 環境で、セキュリティ対策として
Route 53 Resolver DNS Firewall を利用される方多いと思います。

DNS Firewall は、

悪意のあるドメイン
マルウェアの C2 サーバー
意図しない外部通信

を DNS レベルでブロック できる非常に強力な仕組みです。

一方で、最近この DNS Firewall を調べていて
「フェールオープン（Fail Open）」 という設定を初めて知りました。（今更感ありますが・・・）

この記事では、

DNS Firewall の基本
フェールオープンとは何か
なぜこの機能が用意されているのか
どんな場面で使うべきか

を、できるだけわかりやすく解説します！

Route 53 Resolver DNS Firewall とは？

Route 53 Resolver DNS Firewall は、

VPC 内の DNS クエリを監視し、
許可・拒否ルールに基づいて通信を制御するサービス

です。

できること

特定ドメインの ブロック
マネージドルール（AWS 提供の脅威インテリジェンス）
カスタムルールの作成
ログ出力（CloudWatch / S3）

つまり、

通信が始まる前の「DNS 段階」で止める

というのが最大の特徴です。

DNS Firewall が「止まる」と何が起きる？

ここで重要なのが前提条件です。

DNS Firewall は AWS のマネージドサービスですが、万が一

・ルール評価がタイムアウトした
・サービス側で一時的な障害が発生した

といった状態になった場合、

DNS クエリをどう扱うべきか？

という判断が必要になります。

なお、Route 53 Resolver DNS Firewall は AWS のマネージドサービスであるため、実際にこのような障害が発生するケースは稀です。しかし、万が一に備えた設計として理解しておくことが重要です。

そこで登場するのが
フェールオープン（Fail Open） です！

フェールオープン（Fail Open）とは？

フェールオープンとは、

セキュリティ機能が正常に動作しない場合でも、
通信を「許可」する動作モード

のことです。

Route 53 Resolver DNS Firewall においては、

DNS Firewall がクエリを評価できない場合
DNS クエリをブロックせず、そのまま通す

という挙動になります。

フェールオープンがない場合（フェールクローズ）

対になる考え方として
フェールクローズ（Fail Close） があります。

DNS Firewall が使えない（=判断不能）の場合、 すべての DNS クエリを拒否 する。

結果として：

アプリケーションが名前解決できない
外部 API に接続できない
システム全体が停止する可能性…😱

👉 セキュリティは高いが、可用性は低下

なぜフェールオープンが必要なのか？

ここが一番大事なポイントです。

DNS が止まると：

Web アプリ
バックエンド API
AWS マネージドサービス連携

ほぼすべての処理が影響を受けます。

そのため AWS では、

「DNS Firewall が原因で
システム全体が止まる」ことを防ぐ

設計思想が取られています。

フェールオープン時に起きること（まとめ）

状態	挙動
DNS Firewall 正常	ルールに基づき許可 / 拒否
DNS Firewall 障害（フェールオープン）	DNS クエリを許可
DNS Firewall 障害（フェールクローズ）	DNS クエリを拒否（SERVFAIL）

設定方法

この挙動は VPC ごとに FirewallFailOpen で制御できます（API: UpdateFirewallConfig）。

設定値	動作
`DISABLED`（デフォルト）	フェールクローズ（障害時に DNS を拒否・SERVFAIL を返す）
`ENABLED`	フェールオープン（障害時に DNS を許可）

⚠️ デフォルトはフェールクローズです。
何も設定しなければ、DNS Firewall に障害が起きた際に DNS クエリはブロックされます。
つまり AWS はデフォルトで「セキュリティ優先」の設計を採用しています。
可用性を優先したい場合は、明示的にフェールオープンへ変更する必要があります。

どんな場面でフェールオープンが向いている？

向いているケース

本番環境
ミッションクリティカルなシステム
DNS 停止が致命的なサービス
可用性最優先の設計

注意が必要なケース

高セキュリティ要件（金融・規制環境など）
DNS レベルでの遮断を絶対条件とする場合

👉 この場合はフェールオープンではなく
デフォルトのフェールクローズのままにすることを検討しましょう。

フェールオープン時のセキュリティ補完策

フェールオープンを選択した場合、障害中はセキュリティフィルタが機能しない時間帯が生じます。
そのリスクを補うために、GuardDuty との多層防御が有効です！

DNS Firewall が止まっていても、Amazon GuardDuty は独立して脅威を検知します。

GuardDuty の DNS ログ分析と組み合わせることで、フェールオープン中のリスクを低減できます

サービス	役割
DNS Firewall	DNS レベルでのブロック（予防）
GuardDuty	脅威の検知・アラート（検知）

まとめ

Route 53 Resolver DNS Firewall の
フェールオープンとは、

DNS Firewall が使えないときでも、
システム全体を止めないための安全装置

です。

セキュリティと可用性はトレードオフ
デフォルトはフェールクローズ（セキュリティ優先）
可用性を優先したい場合は明示的にフェールオープンへ変更する

DNS Firewall を使う際は、

ルール設計
ログ監視
フェールオープン / クローズの選択

まで含めて考えることが重要だと感じました。

この記事が
Route 53 Resolver DNS Firewall を理解する一助になれば幸いです