CN104853002A - 一种基于sdn网络的dns解析系统与解析方法 - Google Patents

Abstract

本发明涉及一种基于SDN网络的DNS解析系统与解析方法。该系统包括DNS控制模块、链接控制模块、全局DNS缓存模块和本地DNS缓存模块；DNS控制模块和链接控制模块部署在SDN网络的SDN控制器上，或者部署在单独的设备上并与SDN控制器交互；全局DNS缓存模块独立部署，或者部署在一台SDN交换机上供其他SDN交换机使用；本地DNS缓存模块部署在SDN交换机上；DNS控制模块管理整个SDN网络的DNS业务的设置，Link Control模块管理本地DNS缓存模块和全局DNS缓存模块之间的加密通信。本发明能够避免过度使用SDN的Controller资源，提高DNS解析的效率和安全性。

Description

一种基于SDN网络的DNS解析系统与解析方法

技术领域

本发明属于网络技术、DNS技术领域，具体涉及一种基于SDN网络的DNS解析系统与解析方法。

背景技术

软件定义网络(Software Defined Network,SDN)，是一种新型网络创新架构，其核心技术OpenFlow通过将网络设备控制面与数据面分离开来，从而实现了网络流量的灵活控制。

如图1所示，与传统网络相比，SDN网络的基本特征有3点：

1.控制与转发分离。转发平面由受控转发的设备组成，转发方式以及业务逻辑由运行在分离出去的控制面上的控制应用所控制。

2.控制平面与转发平面之间的开放接口。SDN为控制平面提供开放可编程接口。通过这种方式，控制应用只需要关注自身逻辑，而不需要关注底层更多的实现细节。

3.逻辑上的集中控制。逻辑上集中的控制平面可以控制多个转发面设备，也就是控制整个物理网络，因而可以获得全局的网络状态视图，并根据该全局网络状态视图实现对网络的优化控制。

SDN的典型架构共分三层，最上层为应用层，包括各种不同的业务和应用；中间的控制层主要负责处理数据平面资源的编排，维护网络拓扑、状态信息等；最底层的基础设施层负责基于流表的数据处理、转发和状态收集。SDN本质上具有“控制和转发分离”、“设备资源虚拟化”和“通用硬件及软件可编程”三大特性。

由于SDN网络的新特点，利用该网络架构可以实现DNS(Domain Name System)的性能改进，如何使得SDN网络环境下的DNS系统更为高效、安全、稳定，是一个具有挑战的问题。

目前已有SDN环境下的DNS解决方案，最典型的一种是基于SDN Controller的控制方案，其主要处理过程如图2和图3所示，该方案直接使用SDN的核心控制器Controller完成DNS的解析，在控制器Controller中植入直接处理DNS业务的SDDNS模块，同时在SDN网络中的交换机Switch上植入DNS数据处理和缓存功能。当用户发送DNS请求后，交换机首先检测是否缓存有该DNS记录，如果有，直接反馈给用户，如果没有，该交换机将用户的请求转发给SDN的Controller，如果Controller有数据，则反馈给该交换器，该交换机直接反馈给用户，如果Controller上没有，则向可信的DNS服务器转发该请求，获取数据后，Controller缓存数据，并将数据转发给交换机，由交换机反馈给用户。

该方案利用了SDN的通信特点，SDN的Controller与SDN的Switches之间的通信为专用的加密通道，使用这一控制通道进行DNS解析，用户数据走常规的数据通道。由于控制通道是专用的加密通道，一般的攻击难以企及，因此可以获得较好的DNS安全性，DNS作为一个应用程序运行在SDN的Controller上，与现有的DNS系统也兼容。通过Controller与Switches两级缓存，提高访问效率。但该方案具有如下缺点：

1.这一方案的DNS服务质量取决于控制通道质量，如果控制通道繁忙，DNS解析业务就会受到较大影响。

2.SDN controller作为整个网络的关键节点，不适合承载高频度的业务。DNS数据的频度和SDN的控制数据的频度，不在一个量级，DNS请求的频度过高，控制通道可能被DNS数据过度占用，影响控制数据的传输。SDN网络的的Controller是网络管理器，更适合干集中下发网络配置的任务，不适合集成这么多功能。

3.如果有恶意用户发送海量的、多样化的DNS请求，DNS请求会大量地上溯到SDNController，直接将SDN的控制通道的资源耗尽，造成整个系统失去控制。

发明内容

针对SDN的网络环境特点，提出一种安全高效的DNS解析方案，在提高DNS解析的效率和安全性的同时，避免过度使用SDN的Controller资源，SDN的Controller只起到控制的作用，不承载具体的DNS解析业务，通过专用加密通道将DNS的解析置于安全的控制之下。

为实现上述目的，本发明采用的技术方案如下：

一种基于SDN网络的DNS解析系统，包括DNS控制模块(DNS Control模块)、链接控制模块(Link Control模块)、全局DNS缓存模块和本地DNS缓存模块；

DNS控制模块和链接控制模块部署在SDN网络的SDN控制器(SDN Controller)上，或者部署在单独的设备上并与SDN控制器交互；全局DNS缓存模块独立部署，或者部署在一台SDN交换机(SDN Switch)上供其他SDN交换机使用；本地DNS缓存模块部署在SDN交换机上；

DNS控制模块管理整个SDN网络的DNS业务的设置，全局DNS缓存模块和本地DNS缓存模块通过控制通道与SDN控制器通信，接受SDN控制器的指令；

全局DNS缓存模块和本地DNS缓存模块之间通过加密通道通信；链接控制模块向本地DNS缓存模块和全局DNS缓存模块下发加密通道的设置，管理二者之间的加密通信。

一种采用上述系统的基于SDN网络的DNS解析方法，其步骤包括：

第一步，用户发送DNS请求，SDN交换机检测到该请求，本地DNS缓存模块对该请求进行安全检测，如果确认为危险数据，直接丢弃，如果为正常数据，转下一步；

第二步，检测是否在本地DNS缓存中存在该DNS数据，如果有，直接返回给用户，如果不存在，转下一步；

第三步，本地DNS缓存模块与全局DNS缓存模块建立安全连接；

第四步，根据设置将DNS请求转发给全局DNS缓存模块，如果全局DNS缓存模块中存在该数据，转发回SDN交换机，转第七步，如果不存在该数据，转下一步；

第五步，将DNS请求转发至可信DNS服务器，等待数据反馈；

第六步，获取反馈数据后，全局DNS缓存模块缓存该数据，并转发给本地DNS缓存模块；

第七步，本地DNS缓存模块缓存数据，并转发给用户。

与现有技术相比，本发明的有益效果如下：

1)SDN的Controller仅仅承担DNS设置功能和链路设置功能，降低了核心部件的负荷，避免出现因为DNS攻击而影响其他网络设置任务，提高了系统的鲁棒性。

2)SDN Switch中的本地DNS缓存只支持从专用通道获取DNS数据，不支持递归，不直接接受DNS数据更新，通过加密通道更新数据，减少了风险暴露。

3)通过严格受控的二级DNS缓存结构，提高了DNS访问的效率和可靠性。

4)可以在Switch本地缓存模块上设置安全审核功能，过滤掉不安全的DNS数据。

5)具备Switch本地缓存预读取功能，定时刷新缓存，减少递归。

附图说明

图1是本发明的基于SDN网络的DNS解析系统架构示意图。

图2是实施例中DNS Control模块的子模块组成示意图。

图3是实施例中Link Control模块的子模块组成示意图。

图4是实施例中全局DNS缓存模块的子模块组成示意图。

图5是实施例中本地DNS缓存模块的子模块组成示意图。

图6是实施例中各模块逻辑关系示意图。

图7是实施例中系统的DNS数据数据处理流程图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实施例和附图，对本发明做进一步说明。

本发明提出一种基于SDN网络的、安全的、高效的DNS解析方案。如图1所示，本发明方案的整个系统基于SDN网络，部分安装在SDN网络原有的主要设备SDN Controller和SDNSwitch上，部分独立部署，包含四个主要的新增模块：DNS Control模块、Link Control模块、全局DNS缓存模块和本地DNS缓存模块。“DNS Control模块”和“Link Control模块”部署在SDN网络原有的的核心SDN Controller上，作为SDN Controller的应用程序。“全局DNS缓存模块”为专用设备，进行独立部署，可部署在单台服务器上，也可以部署在多台服务器上，与SDN网络的交换机SDN Switch通过加密通道连接，全局DNS缓存模块和本地DNS缓存模块之间通过加密通道通信。“本地DNS缓存模块”部署在SDN Switch上，作为SDN Switch的应用程序。“全局DNS缓存模块”和SDN Switch一样，与SDN Controller通过控制通道通信，接受SDN Controller的指令。

DNS Control模块包含若干子模块，如图2所示，包括解析规则设置模块、缓存规则设置模块、负载均衡设置模块、安全审核设置模块。解析规则设置模块负责设置域名解析的优先级、黑白名单、解析流程等。缓存规则设置模块负责设置缓存大小、缓存时间、缓存列表管理等。负载均衡设置模块负责设置全局DNS缓存模块和本地DNS缓存模块的解析任务调度、各节点的优先级。安全审核设置模块负责设置本地DNS缓存模块的安全校验码和授权规则，将有威胁的、无法通过审核的DNS请求屏蔽掉。

Link Control模块包含若干子模块，如图3所示，包括私有协议设置模块、通道资源设置模块、加密设置模块。私有协议设置模块负责下发私有通信协议的参数和校验规则，通过定期更新私有通信协议的规则，不同时段采用不同的协议类型，尽力避免被攻击者破解。通道资源设置模块负责设置各加密链接通道的具体参数，控制单个通道占用的带宽、时长和端口等，提高利用效率。加密设置模块负责给定加密算法类型和公私钥，确保通信的安全性。

全局DNS缓存模块包含若干子模块，如图4所示，包括解析规则模块、数据加密模块、私有协议模块、缓存管理模块、负载均衡模块、通道资源参数模块、DNS查询模块。

本地DNS缓存模块包含若干子模块，如图5所示，包括安全审核模块、解析规则模块、数据加密模块、私有协议模块、缓存管理模块、负载均衡模块、通道资源参数模块、DNS查询模块。

DNS Control模块的主要功能为：设置“本地DNS缓存模块”的DNS解析规则；设置“本地DNS缓存模块”的缓存规则；设置“本地DNS缓存模块”的负载均衡规则；设置“本地DNS缓存模块”的DNS安全审核规则。此外，DNS Control模块也设置“全局DNS缓存模块”的DNS解析规则、缓存规则、负载均衡规则。

Link Control模块的主要功能为：设置“本地DNS缓存模块”与“全局DNS缓存模块”之间的私有通信协议；设置“本地DNS缓存模块”与“全局DNS缓存模块”之间的加密规则；设置“本地DNS缓存模块”与“全局DNS缓存模块”之间的通道资源。

全局DNS缓存模块的主要功能为：接受“DNS Control模块”设置的DNS解析规则；接受“DNS Control模块”的负载均衡规则；接受“DNS Control模块”的缓存规则；接受“LinkControl模块”设置的私有通信协议；接受“Link Control模块”设置的加密规则；接受“LinkControl模块”设置的通道资源参数；为“本地DNS缓存模块”提供DNS查询服务；负责向可信DNS服务器转发DNS请求。

本地DNS缓存模块的主要功能为：接受“DNS Control模块”的DNS解析规则；接受“DNSControl模块”的负载均衡规则；接受“DNS Control模块”的安全审核规则；接受“DNS Control模块”的缓存规则；接受“Link Control模块”设置的私有通信协议；接受“Link Control模块”设置的加密规则；接受“Link Control模块”设置的通道资源参数；为用户提供DNS查询服务；对DNS请求进行安全审核；向“全局DNS缓存模块”转发送DNS请求。

本发明方案的模块逻辑关系如图6所示。基于SDN网络的原则，“DNS Control模块”通过SDN Controller由控制通道向“本地DNS缓存模块”和“全局DNS缓存模块”下发设置，对应地，由相应的子模块完成配置任务的对接，“DNS Control模块”通过SDN Controller管理整个SDN网络的DNS业务的设置。“Link Control模块”通过SDN Controller由控制通道向“本地DNS缓存模块”和“全局DNS缓存模块”下发加密链接通道的设置，管理二者之间的加密通信。用户发送DNS查询后，首先由“本地DNS缓存模块”处理，如果本地不存在，则借助加密链接通道转发给“全局DNS缓存模块”，如果“全局DNS缓存模块”也不存在，则转发给可信DNS服务器。

考虑到DNS解析业务的频繁度和工作量，“全局DNS缓存模块”可以部署在多台服务器上，因此需要协调各台服务器之间的负载量，该任务由“DNS Control模块”中的子模块“负载均衡设置模块”下发设置，由“本地DNS缓存模块”和“全局DNS缓存模块”对应的子模块完成具体操作任务。

系统的DNS数据处理流程如图7所示，具体包括如下步骤：

第一步，用户发送DNS请求，SDN Switch检测到该请求，本地DNS缓存模块对该请求进行安全检测，如果确认为危险数据，直接丢弃，如果为正常数据，转下一步。

第二步，检测是否在本地DNS缓存中存在该DNS数据，如果有，直接返回给用户，如果不存在，转下一步。

第三步，本地DNS缓存模块与全局DNS缓存模块建立安全连接。

第四步，根据设置将DNS请求转发给全局DNS缓存模块，如果全局DNS缓存模块中存在该数据，转发回Switch，转第七步，如果不存在该数据，转下一步。

第五步，将DNS请求转发至可信DNS服务器，等待数据反馈。

第六步，获取反馈数据后，全局DNS缓存模块缓存该数据，并转发给本地缓存模块。

第七步，本地缓存模块缓存数据，并转发给用户。

需要说明的是，使用单独的设备部署“DNS Control模块”或“Link Control模块”与SDNController交互，包含在本发明方案的范围内。使用多台设备部署“全局DNS缓存模块”并进行负载均衡的方案，包含在本发明方案的范围内。如果将“全局DNS缓存模块”直接挂载、集成和安装在某一台SDN交换机上供其他SDN交换机使用，属于本发明方案的保护范畴。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求所述为准。

Claims (8)

1.一种基于SDN网络的DNS解析系统，其特征在于，包括DNS控制模块、链接控制模块、全局DNS缓存模块和本地DNS缓存模块；

DNS控制模块和链接控制模块部署在SDN网络的SDN控制器上，或者部署在单独的设备上并与SDN控制器交互；全局DNS缓存模块独立部署，或者部署在一台SDN交换机上供其他SDN交换机使用；本地DNS缓存模块部署在SDN交换机上；

DNS控制模块管理整个SDN网络的DNS业务的设置，全局DNS缓存模块和本地DNS缓存模块通过控制通道与SDN控制器通信，接受SDN控制器的指令；

全局DNS缓存模块和本地DNS缓存模块之间通过加密通道通信；Link Control模块向本地DNS缓存模块和全局DNS缓存模块下发加密通道的设置，管理二者之间的加密通信。

2.如权利要求1所述的系统，其特征在于：所述全局DNS缓存模块部署在单台服务器上；或者所述全局DNS缓存模块部署在多台服务器上，并对该多台服务器进行负载均衡。

3.如权利要求1或2所述的系统，其特征在于：所述DNS控制模块包括解析规则设置模块、缓存规则设置模块、负载均衡设置模块、安全审核设置模块；解析规则设置模块负责设置域名解析的优先级、黑白名单、解析流程；缓存规则设置模块负责设置缓存大小、缓存时间、缓存列表管理；负载均衡设置模块负责设置全局DNS缓存模块和本地DNS缓存模块的解析任务调度、各节点的优先级；安全审核设置模块负责设置本地DNS缓存模块的安全校验码和授权规则。

4.如权利要求3所述的系统，其特征在于：所述链接控制模块包括私有协议设置模块、通道资源设置模块、加密设置模块；私有协议设置模块负责下发私有通信协议的参数和校验规则，通过定期更新私有通信协议的规则，不同时段采用不同的协议类型，尽力避免被攻击者破解；通道资源设置模块负责设置各加密链接通道的具体参数，控制单个通道占用的带宽、时长和端口等，提高利用效率；加密设置模块负责给定加密算法类型和公私钥，确保通信的安全性。

5.如权利要求4所述的系统，其特征在于：所述全局DNS缓存模块包括解析规则模块、负载均衡模块、数据加密模块、私有协议模块、通道资源参数模块、缓存管理模块、DNS查询模块，各模块的功能依次分别为：接受DNS控制模块设置的DNS解析规则；接受DNS控制模块的负载均衡规则；接受链接控制模块设置的加密规则；接受链接控制模块设置的私有通信协议；接受链接控制模块设置的通道资源参数；接受DNS控制模块的缓存规则；为本地DNS缓存模块提供DNS查询服务和负责向可信DNS服务器转发DNS请求。

6.如权利要求5所述的系统，其特征在于：所述本地DNS缓存模块包括安全审核模块、解析规则模块、负载均衡模块、私有协议模块、数据加密模块、通道资源参数模块、缓存管理模块、DNS查询模块，各模块的功能依次分别为：接受DNS控制模块的安全审核规则；接受DNS控制模块的DNS解析规则；接受DNS控制模块的负载均衡规则；接受链接控制模块设置的私有通信协议；接受链接控制模块设置的加密规则；接受链接控制模块设置的通道资源参数；接受DNS控制模块的缓存规则；为用户提供DNS查询服务，对DNS请求进行安全审核，以及向全局DNS缓存模块转发送DNS请求。

7.一种采用权利要求1所述系统的基于SDN网络的DNS解析方法，其步骤包括：

第一步，用户发送DNS请求，SDN交换机检测到该请求，本地DNS缓存模块对该请求进行安全检测，如果确认为危险数据，直接丢弃，如果为正常数据，转下一步；

第二步，检测是否在本地DNS缓存中存在该DNS数据，如果有，直接返回给用户，如果不存在，转下一步；

第三步，本地DNS缓存模块与全局DNS缓存模块建立安全连接；

第四步，根据设置将DNS请求转发给全局DNS缓存模块，如果全局DNS缓存模块中存在该数据，转发回SDN交换机，转第七步，如果不存在该数据，转下一步；

第五步，将DNS请求转发至可信DNS服务器，等待数据反馈；

第六步，获取反馈数据后，全局DNS缓存模块缓存该数据，并转发给本地缓存模块；

第七步，本地缓存模块缓存数据，并转发给用户。

8.如权利要求7所述的方法，其特征在于：所述全局DNS缓存模块部署在单台服务器上，或者部署在多台服务器上，并对该多台服务器进行负载均衡。