Irá reverter o desempenho do firewall de impacto da pesquisa de DNS

Question

Geralmente, isso afetaria o desempenho de um firewall se ele tivesse que habilitar um site por domínio em vez de IP? O contexto é que temos um aplicativo que é executado no Google Appengine (sem IPs fixos) e uma pergunta foi levantada pela função de TI de um cliente em potencial que abrir seu firewall para nosso aplicativo significará que eles precisam fazer uma pesquisa reversa de DNS em cada pacote se eles ativarem o tráfego para nosso domínio. Eu não posso imaginar que esta é uma situação única e estou vagando se este é um problema geral com a habilitação por domínio ou específico para uma escolha de tecnologia que eles fizeram.

Obrigado

    

Answer 1

Existem duas opções aqui:

1. O firewall faz o DNS reverso em cada novo fluxo. Sim, o desempenho aqui será ruim, provavelmente muito ruim.
2. O firewall fará o DNS reverso na inicialização ou em algum horário. O desempenho deve ser bom, mas você terá o mesmo problema se essa programação não estiver alinhada com as movimentações do AppEngine.

Minha experiência é inteiramente do último tipo, mas acredito que o primeiro existe. Lembre-se de que os pacotes recebidos não possuem nomes de domínio, apenas IPs. Isso significa que todo pacote ou fluxo precisa ser pesquisado para ver se ele corresponde a uma regra. Não é uma ótima receita para o desempenho.

    

Answer 2

Não faça isso. Firewalling por domínio é inerentemente quebrado e adicionará complexidade com pouca ou nenhuma segurança.

Você ficará muito melhor sem as regras de firewall se, em vez disso, confiar na autenticação do Google:

link