CN101827136B - 域名系统服务器缓存感染的防御方法和网络出口设备 - Google Patents

Abstract

本发明提供一种DNS服务器缓存感染的防御方法，适用于客户端与DNS服务器之间设置有网络出口设备的网络环境，所述方法包括：网络出口设备确定需要解析的域名；网络出口设备向多个DNS服务器请求解析所述域名；网络出口设备获得多个DNS服务器返回的与所述域名对应的IP地址；网络出口设备针对客户端发出的解析所述域名的请求，将与所述域名对应的IP地址提供给客户端。本发明还提供一种网络出口设备。本发明可以避免在DNS服务器缓存感染的情况下，DNS服务器向客户端提供非法的IP地址，导致客户端访问非法IP地址对应的网络实体。

Description

域名系统服务器缓存感染的防御方法和网络出口设备

技术领域

本发明涉及域名解析技术，尤其涉及域名系统(DNS，Domain NameSystem)服务器缓存感染的防御方法。

背景技术

目前，人们通常使用域名(例如www.ABC.com)访问网络。而网络中的实体之间一般通过IP地址进行互相识别。为保证人们通过域名能够访问网络，网络需要将域名转换为某个或某些实体的IP地址，一般将这种转换工作称为域名解析。域名解析可以由专用的服务器来完成，一般将完成域名解析工作的服务器称为DNS服务器。

下面结合图1，简单介绍域名解析的过程。如图1所示，客户端向DNS服务器发出携带有域名的请求消息(步骤1)，DNS服务器查找与所述域名对应的名字服务器(NS，Name Server)的信息，向与所述域名对应的NS发出携带有所述域名的请求消息(步骤2)，NS查找与所述域名对应的IP地址，向DNS服务器返回携带所述IP地址的响应消息(步骤3)，DNS服务器向客户端返回携带所述IP地址的响应消息(步骤4)。

为了提高解析效率，DNS服务器中一般设置有缓存，用于暂存一些域名与IP地址的对应关系，这样，当客户端请求DNS服务器解析某个域名时，如果DNS服务器的缓存中暂存有这个域名与某个IP地址的对应关系，那么DNS服务器直接将与这个域名对应的IP地址返回给客户端，而无须再向NS请求获得与这个域名对应的IP地址。

然而，在实际应用中，DNS服务器可能会获得非法的IP地址，即，获得并不与域名对应的IP地址，并在缓存中保存域名与非法的IP地址的对应关系，这种现象称为缓存感染。在缓存感染的情况下，如果客户端请求DNS服务器解析域名时，DNS服务器就可能将非法的IP地址返回给客户端，导致客户端访问非法IP地址对应的网络实体。

发明内容

本发明提供DNS服务器缓存感染的防御方法和网络出口设备，用以避免在DNS服务器缓存感染的情况下，DNS服务器向客户端提供非法的IP地址，导致客户端访问非法IP地址对应的网络实体。

本发明提供一种DNS服务器缓存感染的防御方法，适用于客户端与DNS服务器之间设置有网络出口设备的网络环境，所述方法包括：网络出口设备确定需要解析的域名；网络出口设备向多个DNS服务器请求解析所述域名；网络出口设备获得多个DNS服务器返回的与所述域名对应的IP地址；网络出口设备针对客户端发出的解析所述域名的请求，将与所述域名对应的IP地址提供给客户端。

本发明还提供一种网络出口设备，设置在客户端与DNS服务器之间，所述网络出口设备包括：域名确定单元，用于确定需要解析的域名；域名解析请求单元，用于向多个DNS服务器请求解析所述域名；解析结果获得单元，用于在所述域名解析请求单元向多个DNS服务器请求解析所述域名后，获得多个DNS服务器返回的与所述域名对应的IP地址；IP地址提供单元，用于针对客户端发出的解析所述域名的请求，将与所述域名对应的IP地址提供给客户端。

在本发明中，网络出口设备向多个DNS服务器请求解析域名，并获得多个DNS服务器返回的与所述域名对应的IP地址，这种情况下，即使某个或某些DNS服务器缓存感染，网络出口设备也很容易发现这个现象，从而不会盲目的将某个DNS服务器返回的IP地址提供给客户端，避免了客户端访问非法IP地址对应的网络实体。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为现有的域名解析方法的示意图；

图2为本发明应用的网络环境示意图；

图3为本发明的一种DNS服务器缓存感染的防御方法流程图；

图4为本发明的一种网络出口设备的逻辑结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为使本领域技术人员清楚的理解本发明，首先对本发明应用的网络环境和涉及的一些技术要点进行说明。

如图2所示，在客户端与DNS服务器之间设置有网络出口设备。网络出口设备可以设置在客户端所在的局域网的出口。

网络出口设备可以具有防火墙的功能，也可以具有网关的功能，还可以同时具有防火墙和网关的功能。

网络出口设备可以传递客户端与DNS服务器之间的消息，也可以主动请求DNS服务器解析域名。网络出口设备中可以配置有多个DNS服务器的IP地址，这样，网络出口设备可以根据这些IP地址，请求多个DNS服务器解析域名。在实际应用中，网络可以被划分为多个区域，一个区域部署有至少一个DNS服务器，如果网络出口设备中配置有多个区域的DNS服务器的IP地址，那么网络出口设备就可以根据这些IP地址，请求多个区域的DNS服务器解析域名。

网络出口设备可以保存域名与IP地址之间的对应关系。即使客户端没有请求解析域名，网络出口设备也可以主动向多个DNS服务器请求解析某个或某些域名。如果这些DNS服务器返回的与某个域名对应的IP地址完全一致，则网络出口设备保存这个域名与对应的IP地址之间的对应关系。当有客户端请求解析某个域名时，如果网络出口设备已经保存了这个域名与某个IP地址的对应关系，则网络出口设备可以不必再向DNS服务器请求解析这个域名，而是直接将保存的与这个域名对应的IP地址返回给客户端。当然，为了保证提供给客户端的IP地址更安全，即使网络出口设备已经保存了这个域名与某个IP地址的对应关系，那么网络出口设备也可以再向多个DNS服务器请求解析这个域名，如果这些DNS服务器返回的与这个域名对应的IP地址都与之前保存的与这个域名对应的IP地址相同，则网络出口设备可以向客户端返回与这个域名对应的IP地址。

网络出口设备可以周期性的请求多个DNS服务器解析域名。在每次获得多个DNS服务器返回的对应某个域名的IP地址后，将返回的IP地址与之前保存的IP地址进行比较，如果完全一致，则可以不必修改之前保存的这个域名与IP地址的对应关系，如果不完全一致，则可以有多种处理方式。例如，网络出口设备再向与之前请求过的多个DNS服务器不同的多个DNS服务器请求解析这个域名，如果当前返回的IP地址与之前返回的IP地址完全一致，则说明这个域名对应的IP地址极有可能发生了变化，所以，将之前保存的这个域名对应的IP地址修改为返回的IP地址，如果当前返回的IP地址与之前返回的IP地址也不一致，则说明可能有DNS服务器受到了缓存感染攻击，此时，可以判断返回的IP地址中哪个IP地址的数量最多，如果某个IP地址的数量最多，且返回这个IP地址的DNS服务器又是分别部署在不同区域的DNS服务器，则将之前保存的这个域名对应的IP地址修改为上述数量最多的IP地址。再例如，如果返回的IP地址与之前保存的IP地址不完全一致，则可以仍然将之前保存的IP地址作为这个域名对应的IP地址，不必修改之前保存的这个域名对应的IP地址，也不必再向多个DNS服务器请求解析这个域名。

网络出口设备也可以在客户端发出解析某个域名的请求后，再向DNS服务器请求解析这个域名。具体的，网络出口设备在获得客户端发出的解析某个域名的请求后，如果发现没有保存这个域名与IP地址的对应关系，那么可以向多个DNS服务器请求解析这个域名。网络出口设备在获得多个DNS服务器返回的与这个域名对应的IP地址后，如果确定返回的这些IP地址完全一致，那么可以将与这个域名对应的IP地址返回给客户端，并且还可以保存这个域名与这个IP地址的对应关系。另外，网络出口设备在获得客户端发出的解析某个域名的请求后，即使发现没有保存这个域名与IP地址的对应关系，也可以不必一定向多个DNS服务器请求解析这个域名，而是按照现有的处理方式，只向一个DNS服务器请求解析这个域名。在具体实现时，网络出口设备中可以配置需要向多个DNS服务器请求解析域名的客户端的端口号或IP地址。网络出口设备在获得客户端发出的解析某个域名的请求后，如果发现没有保存这个域名与IP地址的对应关系，那么再判断发出请求的客户端的端口号或IP地址是否是上述配置的端口号或IP地址，如果是，则向多个DNS服务器请求解析这个域名，否则，只向一个DNS服务器请求解析这个域名。

需要说明的是，本发明所指的域名可以是指一类域名，也可以是指一类域名中的一个域名，例如，“ABC.com”是一类域名，“www.ABC.com”、“news.ABC.com”等包括“ABC.com”的域名是属于ABC.com这类域名中的域名。本发明所指的解析域名既可以是指解析一类域名，也可以是指解析一类域名中的一个域名。

下面结合图3，介绍本发明的一种DNS服务器缓存感染的防御方法。如图3所示，这种方法包括：

S301：网络出口设备确定需要解析的域名。

网络出口设备可以预先存储需要解析的域名，当网络出口设备获得某个事件(例如开机)或定时器的触发后，网络出口设备查找预先存储的需要解析的域名，这样就确定了需要解析的域名。

网络出口设备也可以在客户端请求解析域名时，从客户端发出的携带需要解析的域名的请求消息中确定需要解析的域名。

S302：网络出口设备向多个DNS服务器请求解析所述域名。

网络出口设备确定需要解析的域名后，就可以向多个DNS服务器请求解析上述需要解析的域名。

前面提到过，多个DNS服务器可以是指多个区域的DNS服务器，例如，如果向3个DNS服务器请求解析域名，则可以向3个区域的DNS服务器请求解析域名，对于任何一个区域，可以只向其中的一个DNS服务器请求解析域名。

前面提到过，网络出口设备中可以配置有DNS服务器的IP地址。当网络出口设备需要向DNS服务器请求解析域名时，可以向保存的全部IP地址对应的DNS服务器请求解析域名，也可以从全部IP地址对应的DNS服务器中选择一部分DNS服务器，并向这部分DNS服务器请求解析域名。

网络出口设备向DNS服务器请求解析域名时，可以向DNS服务器发出解析域名的请求消息，请求消息中携带有需要解析的域名。在实际应用中，网络出口设备可以向同一个DNS服务器请求解析一个域名，也可以请求解析多个域名。如果网络出口设备向同一个DNS服务器请求解析多个域名，那么网络出口设备可以分别向这个DNS服务器发出多个请求消息，每个请求消息只携带一个域名。

S303：网络出口设备获得多个DNS服务器返回的与所述域名对应的IP地址。

网络出口设备向多个DNS服务器请求解析域名后，这些DNS服务器一般都要返回与请求解析的域名对应的IP地址。

在实际应用中，这些DNS服务器针对同一个域名返回的IP地址一般都会一致，但由于DNS服务器缓存感染等原因，这些DNS服务器返回的IP地址也可能不完全一致。

如果多个DNS服务器返回的与请求解析的域名对应的IP地址不完全一致，那么网络出口设备可以将IP地址相同数量最多的IP地址作为与请求解析的域名对应的IP地址。例如，假设网络出口设备分别向区域1的DNS服务器1、区域2的DNS服务器1和区域3的DNS服务器1请求解析域名1，区域1的DNS服务器1和区域2的DNS服务器1返回的IP地址相同，区域3的DNS服务器1返回的IP地址与上述两个IP地址不同，那么网络出口设备可以将区域1的DNS服务器1和区域2的DNS服务器1返回的IP地址作为域名1对应的IP地址。

如果多个DNS服务器返回的与请求解析的域名对应的IP地址不完全一致，那么网络出口设备可以向与请求过的DNS服务器不同的多个DNS服务器请求解析域名。如果获得的多个与请求解析的域名对应的IP地址完全一致，那么可以将完全一致的IP地址作为与请求解析的域名对应的IP地址，否则，向之前请求过的所有DNS服务器不同的多个DNS服务器请求解析域名，以此类推，直至获得的多个与请求解析的域名对应的IP地址完全一致为止。需要说明的是，网络出口设备在重新选择DNS服务器解析域名时，可以从与之前选择过的DNS服务器所在区域不同的区域中选择DNS服务器，也可以从之前选择过的DNS服务器所在的区域中选择DNS服务器。例如，假设网络出口设备分别向区域1的DNS服务器1、区域2的DNS服务器1和区域3的DNS服务器1请求解析域名1，区域1的DNS服务器1和区域2的DNS服务器1返回的IP地址相同，区域3的DNS服务器1返回的IP地址与上述两个IP地址不同，那么网络出口设备可以再向区域4的DNS服务器1、区域5的DNS服务器1和区域6的DNS服务器1请求解析域名1，如果返回的IP地址完全一致，则将区域4的DNS服务器1、区域5的DNS服务器1和区域6的DNS服务器1返回的IP地址作为对应区域1的IP地址。

S304：网络出口设备针对客户端发出的解析所述域名的请求，将与所述域名对应的IP地址提供给客户端。

网络出口设备在获得客户端发出的解析某个域名的请求后，可以执行S302和S303，获得多个DNS服务器返回的与这个域名对应的IP地址，之后，将获得的IP地址提供给客户端。

前面提到过，网络出口设备可以预先保存域名与IP地址的对应关系。如果网络出口设备获得的对应某个域名的IP地址与之前保存的对应这个域名的IP地址不相同，则网络出口设备可以针对客户端发出的解析这个域名的请求，将之前保存的对应这个域名的IP地址提供给客户端。

网络出口设备也可以在执行S301、S302和S303之后，获得客户端发出的解析某个域名的请求。如果客户端通过S301、S302和S303已经获得了对应这个域名的IP地址，那么网络出口设备可以直接将对应这个域名的IP地址提供给客户端。

另外，网络出口设备在执行S303之后，会获得对应某个或某些域名的IP地址，如果网络出口设备之前没有保存过这个或这些域名的IP地址，那么网络出口设备可以建立这个或这些域名与IP地址的对应关系，或者说，保存与这个或这些域名对应的IP地址。

前面提到过，网络出口设备可以周期性的向多个DNS服务器请求解析域名。在这个方法实施例中，可以周期性的执行S301、S302和S303。

对应于图3所示的方法，本发明还提供一种网络出口设备。如图4所示，这种网络出口设备包括：域名确定单元401，用于确定需要解析的域名；域名解析请求单元402，用于向多个DNS服务器请求解析所述域名；解析结果获得单元403，用于在域名解析请求单元402向多个DNS服务器请求解析所述域名后，获得多个DNS服务器返回的与所述域名对应的IP地址；IP地址提供单元404，用于针对客户端发出的解析所述域名的请求，将与所述域名对应的IP地址提供给客户端。

图4所示的网络出口设备还可以包括存储单元405，用于存储的需要解析的域名。域名确定单元401具体可以用于查找预先存储的需要解析的域名。

域名确定单元401具体可以用于获得客户端发出的携带需要解析的域名的请求消息。

上述的多个DNS服务器可以是多个不同区域的服务器。

图4所示的网络出口设备还可以包括判断单元406，用于在解析结果获得单元403获得多个DNS服务器返回的与所述域名对应的IP地址后，判断多个与所述域名对应的IP地址是否一致，如果不一致，则将IP地址相同数量最多的IP地址作为与所述域名对应的IP地址。

判断单元406也可以用于在解析结果获得单元403获得多个DNS服务器返回的与所述域名对应的IP地址后，判断多个与所述域名对应的IP地址是否一致。域名解析请求单元402具体可以用于在判断单元406确定多个DNS服务器返回的与所述域名对应的IP地址不一致时，向与所述多个DNS服务器不同的多个DNS服务器请求解析所述域名。判断单元406如果确定解析结果获得单元403获得的多个与所述域名对应的IP地址完全一致，则将所述完全一致的IP地址作为与所述域名对应的IP地址，否则，域名解析请求单元402向与之前请求过的所有DNS服务器不同的多个DNS服务器请求解析所述域名，以此类推，直至解析结果获得单元403获得的多个与所述域名对应的IP地址完全一致为止。

存储单元405也可以用于保存与域名对应的IP地址。判断单元406也可以用于在解析结果获得单元403获得多个DNS服务器返回的与所述域名对应的IP地址后，判断获得的多个与所述域名对应的IP地址与存储单元405之前保存的与所述域名对应的IP地址是否一致。如果判断单元406确定获得的多个与所述域名对应的IP地址与存储单元405之前保存的与所述域名对应的IP地址不一致，则IP地址提供单元404针对客户端发出的解析所述域名的请求，将保存的与所述域名对应的IP地址提供给客户端。

存储单元405也可以用于保存与域名对应的IP地址。在解析结果获得单元403获得多个DNS服务器返回的与所述域名对应的IP地址后，如果存储单元405之前没有保存过与所述域名对应的IP地址，则存储单元405保存与所述域名对应的IP地址。

综上所述，在本发明中，网络出口设备向多个DNS服务器请求解析域名，并获得多个DNS服务器返回的与所述域名对应的IP地址，这种情况下，即使某个或某些DNS服务器缓存感染，网络出口设备也很容易发现这个现象，从而不会盲目的将某个DNS服务器返回的IP地址提供给客户端，避免了客户端访问非法IP地址对应的网络实体。

一般情况下，不同区域的DNS服务器很少会同时遭到攻击。在本发明中，网络出口设备可以向不同区域的DNS服务器请求解析同一个域名，这样，网络出口设备可以更加准确的判断是否有DNS服务器遭到了攻击，从而将正确的IP地址提供给客户端。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (14)

1.一种域名系统DNS服务器缓存感染的防御方法，其特征在于，适用于客户端与DNS服务器之间设置有网络出口设备的网络环境，所述方法包括：

网络出口设备确定需要解析的域名；

网络出口设备向多个DNS服务器请求解析所述域名；

网络出口设备获得多个DNS服务器返回的与所述域名对应的IP地址，如果发现多个DNS服务器返回的与所述域名对应的IP地址不一致，则向与所述多个DNS服务器不同的多个DNS服务器请求解析所述域名，如果获得的多个与所述域名对应的IP地址完全一致，则将所述完全一致的IP地址作为与所述域名对应的IP地址，否则，向与之前请求过的所有DNS服务器不同的多个DNS服务器请求解析所述域名，以此类推，直至获得的多个与所述域名对应的IP地址完全一致为止；

网络出口设备针对客户端发出的解析所述域名的请求，将与所述域名对应的IP地址提供给客户端。

2.如权利要求1所述的方法，其特征在于，网络出口设备按照下述方式确定需要解析的域名：网络出口设备查找预先存储的需要解析的域名，或者获得客户端发出的携带需要解析的域名的请求消息。

3.如权利要求1所述的方法，其特征在于，所述多个DNS服务器为多个不同区域的DNS服务器。

4.如权利要求1所述的方法，其特征在于，网络出口设备获得多个DNS服务器返回的与所述域名对应的IP地址之前，网络出口设备保存有与所述域名对应的IP地址；

网络出口设备按照下述方式针对客户端发出的解析所述域名的请求，将与所述域名对应的IP地址提供给客户端：网络出口设备如果发现获得的多个与所述域名对应的IP地址与保存的与所述域名对应的IP地址不一致，则针对客户端发出的解析所述域名的请求，将保存的与所述域名对应的IP地址提供给客户端。

5.如权利要求1所述的方法，其特征在于，网络出口设备获得多个DNS服务器返回的与所述域名对应的IP地址后，如果之前没有保存过与所述域名对应的IP地址，则保存与所述域名对应的IP地址。

6.如权利要求1所述的方法，其特征在于，网络出口设备周期性的执行确定需要解析的域名、向多个DNS服务器请求解析所述域名、获得多个DNS服务器返回的与所述域名对应的IP地址的步骤。

7.如权利要求1所述的方法，其特征在于，所述网络出口设备具有防火墙和/或网关的功能。

8.一种网络出口设备，其特征在于，设置在客户端与DNS服务器之间，所述网络出口设备包括：

域名确定单元，用于确定需要解析的域名；

域名解析请求单元，用于向多个DNS服务器请求解析所述域名；

解析结果获得单元，用于在所述域名解析请求单元向多个DNS服务器请求解析所述域名后，获得多个DNS服务器返回的与所述域名对应的IP地址；

判断单元，用于在所述解析结果获得单元获得多个DNS服务器返回的与所述域名对应的IP地址后，判断多个与所述域名对应的IP地址是否一致，所述域名解析请求单元具体用于在所述判断单元确定多个DNS服务器返回的与所述域名对应的IP地址不一致时，向与所述多个DNS服务器不同的多个DNS服务器请求解析所述域名，所述判断单元如果确定所述解析结果获得单元获得的多个与所述域名对应的IP地址完全一致，则将所述完全一致的IP地址作为与所述域名对应的IP地址，否则，所述域名解析请求单元向与之前请求过的所有DNS服务器不同的多个DNS服务器请求解析所述域名，以此类推，直至所述解析结果获得单元获得的多个与所述域名对应的IP地址完全一致为止；

IP地址提供单元，用于针对客户端发出的解析所述域名的请求，将与所述域名对应的IP地址提供给客户端。

9.如权利要求8所述的网络出口设备，其特征在于，还包括：存储单元，用于存储需要解析的域名；

所述域名确定单元具体用于查找预先存储的需要解析的域名。

10.如权利要求8所述的网络出口设备，其特征在于，所述域名确定单元具体用于获得客户端发出的携带需要解析的域名的请求消息。

11.如权利要求8所述的网络出口设备，其特征在于，所述多个DNS服务器为多个不同区域的DNS服务器。

12.如权利要求8所述的网络出口设备，其特征在于，

还包括：存储单元，用于保存与域名对应的IP地址；

所述判断单元，还用于在所述解析结果获得单元获得多个DNS服务器返回的与所述域名对应的IP地址后，判断获得的多个与所述域名对应的IP地址与所述存储单元之前保存的与所述域名对应的IP地址是否一致；

如果所述判断单元确定获得的多个与所述域名对应的IP地址与所述存储单元之前保存的与所述域名对应的IP地址不一致，则所述IP地址提供单元针对客户端发出的解析所述域名的请求，将保存的与所述域名对应的IP地址提供给客户端。

13.如权利要求8所述的网络出口设备，其特征在于，还包括：存储单元，用于保存与域名对应的IP地址；

在所述解析结果获得单元获得多个DNS服务器返回的与所述域名对应的IP地址后，如果所述存储单元之前没有保存过与所述域名对应的IP地址，则所述存储单元保存与所述域名对应的IP地址。

14.如权利要求8所述的网络出口设备，其特征在于，所述网络出口设备具有防火墙和/或网关的功能。

Images