AWS Network Firewallのステートフルエンジンは、ドメインリストルールグループをサポートしており、HTTPS通信のTLS Server Name Indication（SNI）フィールドおよびHTTP通信のHostヘッダーを検査してFQDNベースのフィルタリングを実施します。このアプローチはDNSの解決プロセスとは独立して機能するため、EC2インスタンスがDNSを使わずIPアドレスで直接接続を試みた場合でもSNIを検査してブロックできます。対象ドメインのIPアドレスが動的に変更されても、FQDN（ドメイン名）ベースで制御しているため設定変更は不要です。
選択肢AのセキュリティグループはIPアドレス・CIDRベースのルールのみをサポートし、ドメイン名によるフィルタリングはできない。対象IPが動的に変わる環境でLambdaによる定期更新を行っても更新タイミングのギャップが生じ信頼性が低い。
選択肢BのRoute 53 Resolver DNS FirewallはDNS解決のタイミングでクエリをフィルタリングするサービスであり、EC2インスタンスがDNSを使用せずIPアドレスで直接接続するケースには効果がない。要件の「IPアドレス直接接続への対応」を満たさない。
選択肢DのVPC NACLはIPアドレスとポートのみを対象とするステートレスフィルタリングであり、ドメイン名によるアクセス制御は不可能。NATゲートウェイにもドメインフィルタリング機能はない。