CN102123180A

CN102123180A - Dns网络结构及域名解析方法

Info

Publication number: CN102123180A
Application number: CN2010100340132A
Authority: CN
Inventors: 李刚; 肖鹏
Original assignee: BEIJING CE OPEN SOURCE SOFTWARE Co Ltd
Current assignee: BEIJING CE OPEN SOURCE SOFTWARE Co Ltd
Priority date: 2010-01-08
Filing date: 2010-01-08
Publication date: 2011-07-13

Abstract

本发明提供了一种DNS网络结构，包括：权威DNS服务器(220)，用于提供域名解析服务；影子DNS服务器(230)，其与权威DNS服务器(220)数据同步，用于提供域名解析服务；本地DNS服务器(210)，用于接收各个用户终端的域名访问请求，并在与权威DNS服务器(220)通信异常时与影子DNS服务器(230)进行通信获得的域名解析结果并返回给用户终端。还相应的提高了域名解析方法。使用本发明，当本地DNS服务器与权威DNS服务器通信异常时，避免无法对用户终端的所要访问的域名进行解析。

Description

DNS网络结构及域名解析方法

技术领域

本发明涉及域名服务器(DNS，Domain Name Server)服务技术领域，特别是指一种DNS网络结构及域名解析方法。

背景技术

如图1示出了现有DNS网络结构：电信运营商为用户终端提供接入网，其接入网侧设置电信运营商提供的本地DNS服务器，本地DNS服务器连接至权威DNS服务器，权威DNS服务器也与其他运营商(如联通、移动运营商)的本地DNS服务器连接，用于向这些本地DNS服务器提供域名解析服务。

针对该结构的网络，电信运营商的用户终端接入网络访问某域名时，首先将域名访问请求发送到电信运营商提供的本地DNS服务器，然后本地DNS服务器向权威DNS服务器发起域名地址询问，本地DNS服务器得到域名解析结果，即域名对应的IP地址，返回给用户终端，而后，用户终端根据获得的所要访问域名的IP地址进行域名访问。

随着互联网的发展，互联网上的DNS放大攻击(DNS amplification attacks)急剧增长。这种攻击是一种数据包的大量变体能够产生针对一个目标的大量的虚假的通讯。每秒钟达数GB，足以阻止任何人进入互联网。针对DNS攻击，图1示出的DNS网络结构存在下述缺陷：

权威DNS服务器，如新网主DNS受到攻击，或者权威DNS服务器所在机房受到攻击造成链路不通时，会导致本地DNS服务器到权威DNS服务器之间网络全部或部分堵塞，从而造成本地DNS服务器无法得到域名解析结果，最终导致用户所访问域名无法被解析而无法访问所要访问的域名。进一步的，会引起各个用户终端的重复访问申请，大量积累访问申请导致电信网络负担，最终必然导致网络瘫痪。

发明内容

有鉴于此，本发明的主要目的在于提供一种DNS网络结构，以在本地DNS服务器与权威DNS服务器通信异常时，避免无法对用户终端的所要访问的域名进行解析。

为达到上述目的，本发明提供的DNS网络结构包括：

权威DNS服务器(220)，用于提供域名解析服务；

影子DNS服务器(230)，其与权威DNS服务器(220)数据同步，用于提供域名解析服务；

本地DNS服务器(210)，用于接收各个用户终端的域名访问请求，并在与权威DNS服务器(220)通信异常时与影子DNS服务器(230)进行通信获得的域名解析结果并返回给用户终端。

由上，通过设置影子DNS服务器，可以在本地DNS服务器与权威DNS服务器通信异常时，由影子DNS服务器提供域名解析服务，避免用户无法访问网络，进而避免了用户终端因域名解析失败而反复请求，减轻了网络负担，避免造成网络阻塞，保障了互联网的稳定性。

其中，所述本地DNS服务器(210)包括：

监控模块(211)，用于监控本地DNS服务器(210)和权威DNS服务器(220)之间的通信；和DNS服务器目标地址修改模块(212)，用于本地DNS服务器(210)和权威DNS服务器(220)之间通信异常时修改要访问的DNS服务器地址为影子DNS服务器的地址，及当通信恢复正常时修改要访问的DNS服务器地址为权威DNS服务器的地址。

由上，通过监控和地址修改方便的在本地DNS服务器上实现所要访问DNS服务器的更改。

可选的，所述影子DNS服务器(230)部署在本地DNS服务器(210)所在机房或邻近机房位置。

根据用户的解析过程，实现在每个本地DNS服务器周围按照就近原则选取机房和链路为本地DNS服务器提供解析应答。且，可以有效避免影子DNS服务器被外界知晓，从而除了本地DNS服务器没有其他人知道影子DNS服务器的ip，避免影子DNS服务器受到来自网络的攻击。

本发明提供的域名解析方法，包括步骤：

a、本地DNS服务器和权威DNS服务器之间通信异常时，本地DNS服务器将与权威DNS服务器的通信更改为与影子DNS服务器通信；

b、影子DNS服务器为本地DNS服务器提供域名解析服务并向其返回结果。

由上，可以实现本地DNS服务器与权威DNS服务器通信异常时，由影子DNS服务器提供域名解析服务，避免用户无法访问网络。

较佳的，步骤b后还包括：判断本地DNS服务器和权威DNS服务器之间通信恢复正常时，本地DNS服务器恢复与权威DNS服务器的通信。

由上，可以实现与权威DNS服务器通信恢复正常时，及时切换回由权威DNS服务器提供域名解析服务。

可选的，所述判断本地DNS服务器和权威DNS服务器之间通信恢复正常是通过变周期监控的。

由上，可以避免当与权威DNS服务器通信异常时过多的发送用于监控的信息，减轻网络负担。

另外，通过本发明保证了网络的稳定性，确保用户对网络的正常访问，避免由于用户无法正常访问如电子商务类网站而带来的很多无法估量的损失，也避免了给网站提供商带来的损失。避免为电信运营商从各方面带来冲击性的影响，提高服务质量。

附图说明

图1为现有的DNS网络结构图。

图2为本发明的DNS网络结构图。

图3为本发明本地DNS服务器结构图。

图4为本发明的DNS网络结构实现域名解析方法的流程图。

具体实施方式

本发明提供了一种DNS网络结构，包括本地DNS服务器、权威DNS服务器，以及放置在本地DNS服务器所在机房内的影子DNS服务器，影子DNS服务器与权威DNS服务器保持数据同步，当本地DNS服务器与权威DNS服务器无法通信时，由影子DNS服务器提供域名解析结果给本地DNS服务器，保证本地DNS服务器能正常向用户终端提供域名解析结果，确保用户终端对域名的访问，避免大面积网络瘫痪。

如图2示出了本发明提供的DNS网络结构，包括：

权威DNS服务器220，与各个本地DNS服务器210连接，用于提供域名解析服务，即将域名解析为对应的IP地址。

影子DNS服务器230，可部署在本地DNS服务器210所在或邻近机房位置，与权威DNS服务器220和本地DNS服务器210连接，其与权威DNS服务器220数据同步，用于提供域名解析服务。和

本地DNS服务器210，为各个用户终端提供接入服务，用于接收各个用户终端的域名访问请求，并向权威DNS服务器220发起域名地址询问，或在访问权威DNS服务器220失败时改向影子DNS服务器230发起该域名地址询问，以及将获得的域名解析结果返回给用户终端。其中，如图3所示，本地DNS服务器210可包括：

监控模块211，用于监控本地DNS服务器210和权威DNS服务器220之间的通信。基于DNS服务默认使用udp53为端口，故该监控模块211可在本地DNS服务器210上每间隔一定时间向权威DNS服务器220的udp53端口发送请求，如果有应答则认为通信正常，否则认为通信异常；和

DNS服务器目标地址修改模块212，用于本地DNS服务器210和权威DNS服务器220之间通信异常时，修改要访问的DNS服务器地址为影子DNS服务器的地址，当通信恢复正常时，修改要访问的DNS服务器地址恢复为权威DNS服务器的地址。

下面参见图4所示流程图，对本发明DNS网络结构实现域名解析方法进行介绍，包括以下步骤：

步骤410：判断本地DNS服务器210和权威DNS服务器220之间通信是否正常，若是，则返回本步骤，若否，则执行下一步。

其中，本步骤的实现方式可以如下：在本地DNS服务器210上部署实现监控模块211的监控程序，用来监控本地DNS服务器210和权威DNS服务器220之间的通信，该监控程序具体执行下述步骤：

在本地DNS服务器210上每间隔一定时间向权威DNS服务器220的udp53端口发送请求，如果有应答则认为通信正常，否则认为通信异常。

步骤420：将域名地址询问更改为向影子DNS服务器230发起。

其中，本步骤实现方式如下：由DNS服务器目标地址修改模块212修改本地DNS服务器本机hosts表，将权威DNS服务器220的IP地址修改为影子DNS服务器230的IP地址，之后所有的域名地址询问均发向影子DNS服务器230。

步骤430：影子DNS服务器230接收到域名地址询问后，进行域名解析，并将解析结果返回给本地DNS服务器210，以由本地DNS服务器210返回给用户终端。

步骤440：判断本地DNS服务器210和权威DNS服务器220之间通信是否恢复正常，若是，则将域名地址询问更改为向权威DNS服务器220发起，否则返回本步骤。

其中，本步骤判断通信是否恢复正常可仍由监控模块211的监控程序实现，要访问的DNS服务器地址的更改实现方式如下：由DNS服务器目标地址修改模块212修改本地DNS服务器本机hosts表，将影子DNS服务器230的IP地址再修改回为权威DNS服务器220的IP地址，之后所有的域名地址询问均发向权威DNS服务器220。

由上可以看出，通过本发明，一旦本地DNS服务器210与权威DNS服务器220通信异常时，立刻启用影子DNS服务器230，将所有域名地址询问改发向影子DNS服务器230，而在本地DNS服务器210与权威DNS服务器220通信恢复正常时，域名地址询问恢复向权威DNS服务器220发送。

对于步骤440中判断通信是否恢复正常的过程，当监控模块211发送请求进行监控时，可以采用变周期的方式发送请求，例如开始周期较短，通过短周期的几次请求，若都无回应，则确认确实与权威DNS服务器无法通信，确认后则将周期拉长，避免频繁发送请求加重DNS服务器或链路的负荷。而当收到某次回应后，继续以短周期的设定次数的发送请求，以确认确实通信恢复正常。其中短周期内超过设定次数的回应可视为恢复正常。

其中，本发明中提到的DNS服务可采用BIND+MySQL来实现。由于DNS服务器实现DNS服务为现有技术，故仅作下面简要说明，不再赘述。BIND(Berkeley Internet Name Domain)是现今互联网上最常使用的DNS服务器软件，使用BIND作为服务器软件的DNS服务器约占所有DNS服务器的九成。BIND现在由互联网系统协会(Internet Systems Consortium)负责开发与维护。MySQL是一个小型关系型数据库管理系统，开发者为瑞典MySQL AB公司。目前MySQL被广泛地应用在Internet上的中小型网站中。由于其体积小、速度快、总体拥有成本低，尤其是开放源码这一特点，许多中小型网站为了降低网站总体拥有成本而选择了MySQL作为网站数据库。

另外，权威DNS服务器和影子DNS服务器之间的数据同步可采用MySQL的主从复制机制。在本例中，以权威DNS服务器的数据库为主数据库，影子DNS服务器的数据库为从数据库，两者之间建设VPN进行通信，保证数据的实时同步。由于MySQL为现有技术，VPN通信也为现有技术，故仅作下面简要说明，不再赘述。

采用MySQL是由于其支持单向、异步复制，复制过程中一个服务器充当主服务器，而一个或多个其它服务器充当从服务器。MySQL复制基于主服务器在二进制日志中跟踪所有对数据库的更改(更新、删除等等)。因此，要进行复制，必须在主服务器上启用二进制日志。每个从服务器从主服务器接收主服务器已经记录到其二进制日志的保存的更新。当一个从服务器连接主服务器时，它通知主服务器从服务器在日志中读取的最后一次成功更新的位置。从服务器接收从那时起发生的任何更新，并在本机上执行相同的更新。然后封锁并等待主服务器通知新的更新。从服务器执行备份不会干扰主服务器，在备份过程中主服务器可以继续处理更新。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种DNS网络结构，其特征在于，包括：

权威DNS服务器(220)，用于提供域名解析服务；

影子DNS服务器(230)，其与权威DNS服务器(220)数据同步，用于提供域名解析服务；和

2.根据权利要求1所述的网络结构，其特征在于，所述本地DNS服务器(210)包括：

监控模块(211)，用于监控本地DNS服务器(210)和权威DNS服务器(220)之间的通信；和

DNS服务器目标地址修改模块(212)，用于本地DNS服务器(210)和权威DNS服务器(220)之间通信异常时修改要访问的DNS服务器地址为影子DNS服务器的地址，及当通信恢复正常时修改要访问的DNS服务器地址为权威DNS服务器的地址。

3.根据权利要求1所述的网络结构，其特征在于，所述影子DNS服务器(230)部署在本地DNS服务器(210)所在机房或邻近机房位置。

4.一种域名解析方法，其特征在于，包括步骤：

5.根据权利要求4所述的方法，其特征在于，步骤b后还包括：

判断本地DNS服务器和权威DNS服务器之间通信恢复正常时，本地DNS服务器恢复与权威DNS服务器的通信。

6.根据权利要求5所述的方法，其特征在于，所述判断本地DNS服务器和权威DNS服务器之间通信恢复正常是通过变周期监控的。