CN103312724B - 一种dns请求的认证方法及设备 - Google Patents

Abstract

本发明实施例公开了一种DNS请求的认证方法及设备，包括：DNS校验设备接收到DNS请求消息后进行解析；若所述DNS请求消息中未携带校验码，则采用校验码生成算法并利用从当前接收到的DNS请求消息中解析出的信息生成校验码，将生成的校验码携带于应答消息返回给所述DNS客户端；若所述DNS请求消息中携带有校验码，则采用所述校验码生成算法并利用从当前接收到的DNS请求消息中解析出的信息生成校验码，根据生成的校验码与从当前接收到的DNS请求消息中解析出的校验码，对当前接收到的DNS请求消息的合法性进行验证。本发明实施例可以提高DNS请求认证的安全性。

Description

一种DNS请求的认证方法及设备

技术领域

本发明涉及通信技术领域，特别涉及一种DNS请求的认证方法及设备。

背景技术

DNS（Domain Name System，域名系统）服务是因特网的一项核心服务，它作为可以将域名和IP地址相互映射的一个分布式数据库，能够使用户更方便的访问互联网。

DNS服务使用UDP（User Datagram Protocol，用户数据报协议），采用明码方式进行信息交互。UDP是一种无连接协议，DNS服务器无法确定发送DNS解析请求的DNS客户端的合法性，这使得DNS服务很容易受到恶意的干扰。

目前，DNS请求的验证方法主要采用以下方式：

截断方式：利用DNS协议的truncated标志（截断标记），触发第二次DNS交互。有二次交互行为的DNS客户端视为合法客户端。

错误方式：利用DNS协议的sevefail标志（服务器故障），触发第二次DNS交互。有二次交互行为DNS客户端视为合法客户端。

发明人在实现本发明的过程中，发现现有DNS请求的验证方案至少存在以下缺陷：

基于客户端行为校验方式存在安全隐患，恶意DNS请求可以轻易伪造校验行为，从而干扰DNS服务器的正常服务。

发明内容

本发明实施例提供了一种DNS请求的认证方法及设备，用以提高DNS请求认证的安全性。

本发明实施例中提供了一种DNS请求的认证方法，包括：

DNS校验设备接收到DNS客户端的DNS请求消息后进行解析；

若所述DNS请求消息中未携带校验码，则采用校验码生成算法并利用从当前接收到的DNS请求消息中解析出的信息生成校验码，将生成的校验码携带于应答消息返回给所述DNS客户端；所述应答消息用于指示DNS客户端再次发送DNS请求消息，并且在再次发送的DNS请求消息中携带所述校验码；

若所述DNS请求消息中携带有校验码，则采用所述校验码生成算法并利用从当前接收到的DNS请求消息中解析出的信息生成校验码，根据生成的校验码与从当前接收到的DNS请求消息中解析出的校验码，对当前接收到的DNS请求消息的合法性进行验证。

根据上述方法，本发明实施例提供了一种DNS校验设备，包括：

接收模块，用于接收DNS客户端的DNS请求消息后进行解析；

校验码生成模块，用于采用校验码生成算法并利用所述接收模块从当前接收到的DNS请求消息中解析出的信息生成校验码；

再次请求触发模块，用于在所述接收模块当前接收到的DNS请求消息中未携带校验码时，将所述校验码生成模块生成的校验码携带于应答消息返回给所述DNS客户端；所述应答消息用于指示DNS客户端再次发送DNS请求消息，并且在再次发送的DNS请求消息中携带所述校验码；

验证模块，用于在所述接收模块当前接收到的DNS请求消息中携带有校验码时，根据所述校验码生成模块生成的校验码与从当前接收到的DNS请求消息中解析出的校验码，对当前接收到的DNS请求消息的合法性进行验证。

本发明的上述实施例中，由于DNS校验设备在接收到DNS请求后根据该DNS请求中携带的信息生成校验码并返回给DNS客户端，以触发DNS客户端再次发起DNS请求，并在再次发起的DNS请求中携带该校验码，以使DNS校验设备在收到再次发起的DNS请求后，能够采用相同算法生成校验码并与DNS请求中携带的校验码进行比较，达到对DNS请求的合法性进行验证的目的，也即达到对发送该DNS请求的客户端的合法性验证的目的。由于合法性验证是基于校验码的比较实现的，并且验证操作由网络侧的DNS校验设备实现，因此相对于现有的DNS请求认证方法，提高了验证安全性。

附图说明

图1为本发明实施例提供的DNS请求的认证方法流程图；

图2为本发明实施例提供的DNS校验设备结构示意图。

具体实施方式

下面对本发明实施例进行详细描述。

本发明实施例应用于DNS系统，该系统中与本发明实施例相关的设备主要包括：DNS校验设备、DNS服务器。DNS校验设备位于DNS服务器之前，即发往DNS服务器的DNS请求首先需要经过DNS校验设备进行合法性验证处理。DNS校验设备可以是桥接模式的物理设备，即独立于DNS服务器的外部设备，DNS客户端发出的DNS请求由DNS校验设备接收并进行合法性验证，验证通过后发送给DNS服务器；DNS校验设备也可以是运行在DNS服务器的操作系统低层的软件系统，即DNS服务器的内部模块（称为DNS校验模块），DNS客户端发出的DNS请求在DNS服务器操作系统底层被DNS校验模块获得，该DNS请求在DNS校验模块中进行验证，验证通过后由DNS服务器中用于执行域名解析的模块进行域名解析处理。

DNS校验设备中有用于生成校验码的算法（以下称校验码生成算法），DNS设备可采用校验码生成算法并利用从接收到的DNS请求消息中解析出的信息生成校验码。具体实施中，所述校验码生成算法可以是外部不可逆推，碰撞成本比较高的算法，比如经过盐化处理的MD5校验和。校验操作对性能要求比很高，可以设计适当的校验码生成算法，较佳的，可以设计具有一定加密强度的校验码生成算法，这里对校验码生成算法不作具体限定。

基于上述系统架构，本发明实施例提供的DNS请求认证过程可包括两个阶段：第一次DNS请求阶段和第二次DNS请求阶段。

第一次DNS请求阶段是由DNS客户端主动发起DNS请求来触发的，这一阶段主要完成校验码的生成。具体步骤如下：DNS客户端主动发起NDS请求，该DNS请求遵循现有DNS解析协议，该DNS请求中没有携带校验码；当DNS校验设备接收到该DNS请求后，未从该DNS请求中解析出校验码，则采用校验码生成算法并利用从当前接收到的DNS请求中解析出的信息生成校验码；然后，将校验码返回给该DNS客户端，并指示DNS客户端再次发起DNS请求，并在再次发起的DNS请求中携带该校验码。

第二次DNS请求阶段是由DNS客户端根据DNS验证设备的指示被动发起DNS请求来触发的，所述再次发起的DNS请求是根据从DNS验证设备接收到的应答消息指示来发起的，该DNS请求中携带有校验码，这一阶段主要完成校验码的验证。具体步骤如下：DNS校验设备接收到DNS客户端的DNS请求后，则采用所述校验码生成算法生成校验码并与从该DNS请求中解析出的校验码进行比较，对当前接收到的DNS请求的合法性进行验证，并在验证通过后，从当前接收到的DNS请求消息中删除校验码，将删除校验码后的DNS请求消息发送给DNS服务器进行解析。进一步地，DNS校验设备在对DNS请求验证失败后拒绝将该DNS请求交给DNS服务器进行解析处理。

下面结合附图对本发明的具体实施方式进行说明。

如图1所示，本发明实施例提供的DNS请求的认证流程，具体实现步骤包括：

步骤101、DNS校验设备接收到DNS客户端的DNS请求消息后进行解析。

步骤102、若DNS校验设备从DNS请求消息中未解析出校验码，则转入步骤103；若DNS校验设备从DNS请求消息中解析出校验码，则转入步骤104。

通常，在DNS客户端主动发起DNS请求时，DNS请求消息中不会携带校验码。DNS客户端根据DNS校验设备发送的应答消息的指示再次发送的DNS请求消息中会携带校验码。

步骤103、DNS校验设备采用校验码生成算法，并利用从当前接收到的DNS请求消息中解析出的信息生成校验码，将生成的校验码携带于应答消息返回给所述DNS客户端；所述应答消息用于指示DNS客户端再次发送DNS请求消息，并在再次发送的DNS请求消息中携带该校验码。

具体实施时，DNS校验设备可采用如下方式生成校验码：将从当前接收到的DNS请求消息中解析出的信息拼接成字符串，对该字符串采用校验码生成算法生成校验码。从DNS请求消息中解析出的用于生成校验码的信息可以包括客户端IP地址，或者包括客户端IP地址和客户端所请求解析的域名。

DNS校验设备可通过向DNS客户端发送CNAME应答消息或DNAME应答消息，将生成的校验码返回给DNS客户端。以CNMAE应答消息为例，CNAME应答消息中包含以下信息：

www.usdomain.com CNAME校验码.客户端IP.www.usdomain.com

即，将校验码、DNS客户端IP地址和该DNS客户端所请求解析的域名与DNS客户端所请求解析的域名www.usdomain.com进行映射，作为www.usdomain.com的别名。

DNS客户端接收到该CNAME应答消息后，解析出www.usdomain.com和校验码，生成请求对www.usdomain.com进行域名解析的DNS请求消息，其中携带该校验码。

步骤104、DNS校验设备采用校验码生成算法并利用从当前接收到的DNS请求中解析出的信息生成校验码，根据生成的校验码与从当前接收到的DNS请求中解析出的校验码，对当前接收到的DNS请求的合法性进行验证。

该流程还可包括以下步骤：

步骤105、若验证通过，则转入步骤106；若验证未通过，则转入步骤107。

步骤106、DNS验证设备将DNS请求消息发送给DNS服务器进行域名解析处理。

具体实施时，DNS验证设备可先从DNS请求消息中删除校验码，再将删除校验码的DNS请求消息发送给DNS服务器，这样无需对DNS服务器进行改造。DNS验证设备也可以将携带有校验码的DNS请求消息发送给DNS服务器，这需要对DNS服务器进行改造，以使其能够解析携带有校验码的DNS请求消息。

步骤107、DNS验证设备丢弃该未验证通过的DNS请求消息，或者DNS验证设备再次将验证码携带于应答消息发送给DNS客户端，以触发该客户端再次发起DNS请求。进一步的，DNS验证设备还可将该DNS请求消息发送给管理系统进行分析处理。

在本发明的一种优选实现方案中，在步骤103中，DNS验证设备收到DNS请求消息后，生成校验失效时间，将生成的校验失效时间与从当前接收到的DNS请求消息中解析出的DNS客户端IP地址和DNS客户端所请求解析的域名拼接成字符串，对该字符串采用检验码生成算法生成校验码；然后生成包含如下信息的CNMAE应答消息发送给该DNS客户端：

www.usdomain.com CNAME校验失效时间.校验码.客户端IP.www.usdomain.com

其中，校验失效时间是DNS校验设备根据当前系统时间生成的一个几秒钟有效期的时间戳，即表示在该时间戳所标识的时间到达时该校验码失效。所述当前系统时间为世界标准时间（UTC）。具体实施中，所述校验码的生存时间TTL是根据系统流量模型与系统压力设定。

在步骤104中，DNS验证设备从DNS客户端接收到的DNS请求中携带有验证码和验证失效时间。DNS校验设备首先根据DNS请求消息中解析出的校验失效时间判断当前系统时间是否在有效时间内，若已经过有效期，则DNS校验设备采用校验码生成算法重新生成校验码，再次将生成的校验码携带于应答消息返回给DNS客户端，以触发DNS客户端重新发起DNS请求；若当前系统时间是在有效时间内，则采用校验码生成算法生成校验码并与从当前接收到的DNS请求中解析出的校验码进行比对，若两者相同，则验证通过。

在步骤106中，DNS校验设备将当前接收到的DNS请求消息中携带的校验码和校验失效时间删除，将删除校验码和校验失效时间的DNS请求消息转发给DNS服务器。

在本发明的一种优选实现方案中，在步骤103中，DNS验证设备收到DNS请求消息后，生成校验失效时间，将生成的校验失效时间与从当前接收到的DNS请求消息中解析出的DNS客户端IP地址和DNS客户端所请求解析的域名拼接成字符串，对该字符串采用检验码生成算法生成校验码；然后生成包含如下信息的CNMAE应答消息发送给该DNS客户端：

www.usdomain.com CNAME校验标记.校验失效时间.校验码.客户端IP.www.usdomain.com

DNS客户端收到该CNMAE应答消息后，根据其中携带的校验标记再次发起请求对www.usdomain.com进行解析的DNS请求，其中携带从该CNMAE应答消息中解析出的校验码和失效时间。

在步骤104中，DNS验证设备收到DNS请求消息后根据其中携带的校验标记判断该DNS请求消息中携带校验码，生成校验码，并采用前述方式，根据校验失效时间、生成的校验码和该DNS请求中携带的校验码对该DNS请求的合法性进行验证，若所述DNS校验设备确认生成的校验码与从当前接收到的DNS请求消息中解析出的校验码相同，并且当前时间未超过当前接收到的DNS请求消息中携带的验证失效时间，则对当前接收到的DNS请求消息的合法性验证通过。

在步骤106中，DNS校验设备将当前接收到的DNS请求消息中携带的校验码和校验失效时间以及校验标记删除，将删除上述信息的DNS请求消息转发给DNS服务器。

优选的，DNS客户端收到该CNMAE应答消息后，解析出校验失效时间、校验标记、校验码以及所请求解析的域名，并将其作为一条记录保存在DNS客户端。当该DNS客户端需要再次针对该条记录中的域名发起DNS请求时，根据该条记录中的校验失效时间判断当前是否在有效时间段内，若是，则发起对该条记录中的域名的DNS请求，其中携带该条记录中的校验码、校验失效时间；若当前已超出有效时间段，则按照现有方式发起DNS请求，该DNS请求中不携带校验码。通过将校验失效时间、校验码以及对应的域名的进行缓存，可使校验结果在较长的时间内有效，以便客户端再次发起对相同域名的解析请求后，可直接在DNS域名解析请求中携带校验码，从而与需要2次DNS请求才能完成认证相比，可以节省网络资源开销。

基于相同的技术构思，本发明实施例还提供了一种DNS校验设备。

如图2所示，本发明实施例提供的DNS校验设备，可包括：

接收模块201、校验码生成模块202、再次请求触发模块203、验证模块204。接收模块201接收到DNS客户端的DNS请求消息后进行解析后，转入校验码生成模块202，若接收模块从DNS请求消息中未解析出校验码，则转入再次请求触发模块203；若接收模块从DNS请求消息中解析出校验码，则转入验证模块204。

接收模块201，用于接收DNS客户端的DNS请求消息后进行解析；

校验码生成模块202，用于采用校验码生成算法并利用所述接收模块从当前接收到的DNS请求消息中解析出的信息生成校验码；

再次请求触发模块203，用于在所述接收模块当前接收到的DNS请求消息中未携带校验码时，将所述校验码生成模块生成的校验码携带于应答消息返回给所述DNS客户端；所述应答消息用于指示DNS客户端再次发送DNS请求消息，并且在再次发送的DNS请求消息中携带所述校验码；

验证模块204，用于在所述接收模块201当前接收到的DNS请求消息中携带有校验码时，根据所述校验码生成模块202生成的校验码与从当前接收到的DNS请求消息中解析出的校验码，对当前接收到的DNS请求消息的合法性进行验证。

以上功能模块划分方式仅为本发明实施例给出的一种优选实现方式，功能模块的划分方式不构成对本发明的限制。

本发明实施例中，所述校验码生成模块202进一步用于，将从当前接收到的DNS请求消息中解析出的信息拼接成字符串，对该字符串采用所述校验码生成算法生成校验码；或者，生成校验失效时间，将生成的校验失效时间与从当前接收到的DNS请求消息中解析出的信息拼接成字符串，对该字符串采用所述检验码生成算法生成校验码。

具体实施例中，所述校验码生成模块202从当前接收到的DNS请求消息中解析出的信息，包括：DNS客户端IP；或者，DNS客户端IP和DNS客户端请求域名。

具体实施例中，所述再次请求触发模块203发送的应答消息中还携带有所述DNS校验设备生成的校验失效时间，所述应答消息还用于指示DNS客户端在再次发送的DNS请求消息中携带所述校验失效时间；具体实施例中，所述验证模块204具体用于，若确认生成的校验码与从当前接收到的DNS请求消息中解析出的校验码相同，并且当前时间未超过当前接收到的DNS请求消息中携带的验证失效时间，则对当前接收到的DNS请求消息的合法性验证通过。

具体实施例中，所述再次请求触发模块203发送的应答消息中还携带有校验标记，所述校验标记用于标识所述应答消息中携带有校验码；所述应答消息还用于指示DNS客户端再次发送的DNS请求消息中携带有校验标记，所述校验标记用于标识所述再次发送的DNS请求消息中携带有校验码。

具体实施例中，所述再次请求触发模块203具体用于，将校验标记与生成的校验码、所述DNS客户端的IP地址、所述DNS客户端请求解析的域名拼接为CNAME域名，将拼接得到的CNAME域名携带于CNAME应答消息；或者，将校验标记与生成的校验码、所述DNS客户端的IP地址、所述DNS客户端请求解析的域名拼接为DNAME域名，将拼接得到的DNAME域名携带于DNAME应答消息。

具体实施例中，所述验证模块204进一步用于，在对当前接收到的DNS请求消息的合法性验证通过后，从当前接收到的DNS请求消息中删除校验码，将删除校验码后的DNS请求消息发送给DNS服务器进行解析。

本发明所述的方法并不限于具体实施方式中所述的实施例，本领域技术人员根据本发明的技术方案得出其它的实施方式，同样属于本发明的技术创新范围。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种域名系统DNS请求的认证方法，其特征在于，包括：

DNS校验设备接收到DNS客户端的DNS请求消息后进行解析；

若所述DNS请求消息中未携带校验码，则采用校验码生成算法并利用从当前接收到的DNS请求消息中解析出的信息生成校验码，将生成的校验码携带于应答消息返回给所述DNS客户端；所述应答消息用于指示DNS客户端再次发送DNS请求消息，并且在再次发送的DNS请求消息中携带所述校验码；

若所述DNS请求消息中携带有校验码，则采用所述校验码生成算法并利用从当前接收到的DNS请求消息中解析出的信息生成校验码，根据生成的校验码与从当前接收到的DNS请求消息中解析出的校验码，对当前接收到的DNS请求消息的合法性进行验证。

2.如权利要求1所述的方法，其特征在于，利用从当前接收到的DNS请求消息中解析出的信息生成校验码，包括：

将从当前接收到的DNS请求消息中解析出的信息拼接成字符串，对该字符串采用所述校验码生成算法生成校验码；或者，

生成校验失效时间，将生成的校验失效时间与从当前接收到的DNS请求消息中解析出的信息拼接成字符串，对该字符串采用所述校验码生成算法生成校验码。

3.如权利要求2所述的方法，其特征在于，从当前接收到的DNS请求消息中解析出的信息，包括：

DNS客户端的IP地址；或者，

DNS客户端的IP地址和DNS客户端请求解析的域名。

4.如权利要求1所述的方法，其特征在于，所述应答消息中还携带有所述DNS校验设备生成的校验失效时间，所述应答消息还用于指示DNS客户端在再次发送的DNS请求消息中携带所述校验失效时间；

所述DNS校验设备根据生成的校验码与从当前接收到的DNS请求消息中 解析出的校验码，对当前接收到的DNS请求消息的合法性进行验证，具体包括：

若所述DNS校验设备确认生成的校验码与从当前接收到的DNS请求消息中解析出的校验码相同，并且当前时间未超过当前接收到的DNS请求消息中携带的验证失效时间，则对当前接收到的DNS请求消息的合法性验证通过。

5.如权利要求1-4任意一项所述的方法，其特征在于，所述将生成的校验码携带于应答消息，具体包括：

将校验标记与生成的校验码、所述DNS客户端的IP地址、所述DNS客户端请求解析的域名拼接为别名记录CNAME域名，将拼接得到的CNAME域名携带于CNAME应答消息；或者，

将校验标记与生成的校验码、所述DNS客户端的IP地址、所述DNS客户端请求解析的域名拼接为别名记录DNAME域名，将拼接得到的DNAME域名携带于DNAME应答消息。

6.一种DNS校验设备，其特征在于，包括：

接收模块，用于接收DNS客户端的DNS请求消息后进行解析；

校验码生成模块，用于采用校验码生成算法并利用所述接收模块从当前接收到的DNS请求消息中解析出的信息生成校验码；

再次请求触发模块，用于在所述接收模块当前接收到的DNS请求消息中未携带校验码时，将所述校验码生成模块生成的校验码携带于应答消息返回给所述DNS客户端；所述应答消息用于指示DNS客户端再次发送DNS请求消息，并且在再次发送的DNS请求消息中携带所述校验码；

验证模块，用于在所述接收模块当前接收到的DNS请求消息中携带有校验码时，根据所述校验码生成模块生成的校验码与从当前接收到的DNS请求消息中解析出的校验码，对当前接收到的DNS请求消息的合法性进行验证。

7.如权利要求6所述的DNS校验设备，其特征在于，所述校验码生成模块进一步用于，将从当前接收到的DNS请求消息中解析出的信息拼接成字符串，对该字符串采用所述校验码生成算法生成校验码；或者，

生成校验失效时间，将生成的校验失效时间与从当前接收到的DNS请求消息中解析出的信息拼接成字符串，对该字符串采用所述校验码生成算法生成校验码。

8.如权利要求7所述的DNS校验设备，其特征在于，所述校验码生成模块从当前接收到的DNS请求消息中解析出的信息，包括：

DNS客户端IP；或者，

DNS客户端IP和DNS客户端请求域名。

9.如权利要求6所述的DNS校验设备，其特征在于，所述再次请求触发模块发送的应答消息中还携带有所述DNS校验设备生成的校验失效时间，所述应答消息还用于指示DNS客户端在再次发送的DNS请求消息中携带所述校验失效时间；

所述验证模块具体用于，若确认生成的校验码与从当前接收到的DNS请求消息中解析出的校验码相同，并且当前时间未超过当前接收到的DNS请求消息中携带的验证失效时间，则对当前接收到的DNS请求消息的合法性验证通过。

10.如权利要求6-9任意一项所述的DNS校验设备，其特征在于，所述再次请求触发模块具体用于，将校验标记与生成的校验码、所述DNS客户端的IP地址、所述DNS客户端请求解析的域名拼接为CNAME域名，将拼接得到的CNAME域名携带于CNAME应答消息；或者，

将校验标记与生成的校验码、所述DNS客户端的IP地址、所述DNS客户端请求解析的域名拼接为DNAME域名，将拼接得到的DNAME域名携带于DNAME应答消息。