CN105306622B - 一种云网融合域名解析系统及其dns服务方法 - Google Patents

Abstract

本发明提供一种云网融合域名解析系统及其DNS服务方法，该系统包括：用于控制SDN交换机调度DNS请求流量到相应DNS服务虚机的SDN流控模块；用于管理各DNS服务虚机的创建、删除、修改操作的虚机管理模块；用于管理各DNS服务镜像的镜像管理模块；用于监控各DNS服务虚机的负载和故障状况的负载/故障监控模块；该系统结合云计算、SDN（软件定义网络）、NFV技术提供DNS服务灵活自定义综合服务系统，目的在于搭建一套云网络融合系统，能够根据用户需求动态创建多种DNS服务，并提供了一个统一管控平台。

Description

一种云网融合域名解析系统及其DNS服务方法

技术领域

本发明涉及信息技术领域，特别是涉及云计算、SDN（软件定义网络）、NFV（网络功能虚拟化）三种技术在DNS服务系统中的应用。

背景技术

域名系统（Domain Name System，简称DNS）是整个互联网服务的基础系统之一，负责将人们访问的互联网域名转换为IP地址，这一转换的过程叫做“域名解析”， 所以DNS又称“域名解析系统”，相当于网络访问的指路牌。DNS承载着所有的互联网访问和智能调度，可以形象的说，DNS就是互联网基础服务的调度员，对互联网访问起着举足轻重的作用。

但事实上，DNS已经成为互联网安全链条上最薄弱的环节，由于DNS被攻击或自身稳定问题，出现了多次影响整个互联网安全的事件，DNS的安全和性能已经关系到千千万万网站用户的切身体验及访问安全。

为更好的提供服务，围绕DNS这一网络基础功能出现了多种DNS服务系统，包括LocalDNS系统、DNS日志系统、DNS安全防护系统、DNS分析系统。传统DNS服务系统与硬件服务器绑定，以专用硬件服务器的形态提供服务，如LocalDNS服务器、DNS日志服务器、DNS安全防护服务器、DNS分析服务器。上线哪种服务，需要购买相应的专用硬件服务器安装部署。

这种传统的DNS服务部署方式随着互联网的发展呈现了以下几方面的缺点：

1、业务上线/扩容周期长，部署一种DNS服务（如LocalDNS），从安装部署到调试需要1-2周甚至更长。

2、业务部署不灵活，部署一种DNS服务需要购买相应专用硬件，当业务变更的时候专用硬件无法利旧使用。

3、设备使用效率不高，为保证业务高峰期服务的可用性，一般部署服务的时候都会按照峰值的规模部署，这样导致平时将有一般的服务器处于空闲状态或者服务能力利用率低下。

4、DNS安全防护效率低下，传统方式将DNS安全防护设备串接到DNS服务系统前面，这样有安全威胁的流量和没有安全威胁的流量都要经过安全防护设备的过滤，增加了DNS应答的延迟。

5、DNS服务的这些系统LocalDNS、DNS日志、DNS安全防护、DNS分析作为独立系统运行，无法形成DNS服务生态链，为用户提供一站式服务。

发明内容

本发明旨在克服现有技术的不足，提供一种云网融合域名解析系统，能够根据用户需求动态创建多种DNS服务，包括LocalDNS、DNS日志、DNS安全防护、DNS分析，依据业务量大小动态调整服务规模，并提供统一管控平台。

本发明提供的一种云网融合域名解析系统，该系统包括：

SDN流控模块，用于通过SDN协议，控制SDN交换机调度DNS请求流量到相应DNS服务虚机；

虚机管理模块，用于管理各DNS服务虚机的创建、删除、修改操作；

镜像管理模块，用于管理各DNS服务镜像，包括对各DNS服务镜像的创建、删除、修改操作；

负载/故障监控模块，用于监控各DNS服务虚机的负载和故障状况，与SDN流控模块和虚机管理模块联动，当服务虚机负载过大或发生故障，调用虚机管理模块创建新的服务虚机，调用SDN流控模块将DNS请求流量调度到新的服务虚机。

所述镜像管理模块用于管理各DNS服务镜像，包括：

Local DNS系统镜像，用于提供DNS本地解析服务；

DNS日志系统镜像，用于DNS日志记录服务；

DNS分析系统镜像，用于提供营运商客户流量流向分析服务，多维度生成流量分析报表；

DNS安全防护系统镜像，用于提供DNS安全防护服务。

一种云网融合域名解析系统的DNS服务方法，该方法包括：

1）用户选择需要创建的DNS服务及相应的服务规模，发给虚机管理模块和SDN流控模块；2）所述SDN流控模块解析用户请求并结合当前流量情况，调整流量控制策略，下发引流指令至SDN交换机引流到相应服务虚机；3）所述SDN流控模块将具有安全威胁的请求流量引导到由DNS安全防护系统镜像生成的安全防护服务虚机，进行恶意流量的识别和剥离，还原出的合法流量回注到原网络中再转发到客户选取的服务类型相应的服务虚机上。

所述步骤2）具体为：首先负载/故障监控模块采集客户选取的服务类型相应的服务虚机的负载状况；接着，将服务虚机的负载状况上报SDN流控模块，SDN流控模块将用户DNS请求流量调度到负载最小的服务虚机上；

最后，所述SDN流控模块下发流量转发控制命令SDN交换机，SDN交换机将流量引导到正确的DNS服务虚机上。

所述镜像管理模块将DNS服务制作成服务镜像，该服务包括有LocalDNS、DNS日志、DNS安全防护、DNS分析。

所述SDN流控模块下发以下几种流量控制策略：

a）将DNS请求流量引导到Local DNS服务虚机；

b）将DNS请求/应答流量镜像到DNS日志服务虚机；

c）将DNS日志服务虚机的日志流量引导到DNS分析服务虚机。

该方法在引流过程中，还将具有安全威胁的请求流量引导到由DNS安全防护系统镜像生成的安全防护服务虚机，进行恶意流量的识别和剥离，还原出的合法流量回注到原网络中再转发到客户选取的服务类型相应的服务虚机，该步骤具体为：

SDN流控模块采集用户DNS请求流量信息，对流量信息进行威胁性分析，一旦发现针对采集客户选取的服务类型相应DNS的DoS攻击，SDN流控模块下发流量控制策略，将具有威胁性的流量引导到DNS安全防护服务虚机；所述DNS安全防护服务虚机对威胁流量进行安全过滤清洗；SDN流控模块将清洗后的流量重新引导到服务虚机；DNS安全防护系统将不是攻击的流量信息反馈给SDN流控模块，对其进行放行。

针对DoS攻击的判断为发现某一种请求流量的突然激增。

本发明采用以上技术方案与现有技术相比，具有以下技术效果：

1、利用SDN技术，云网融合域名解析系统控制台集成SDN控制器模块将DNS访问流量在各个服务虚机之间灵活调度；

2、利用NFV及云技术的集合，实现DNS服务链快速灵活创建，并根据服务负载状况动态调整服务规模；

3、云网融合域名解析系统控制台安全模块识别攻击，将攻击流量调度到DNS安全虚机进行清洗。

附图说明

以下将结合附图对本发明作进一步说明：

图1为本发明云网融合域名解析系统的示意性架构图；

图2为DNS服务方法流程图；

图3为DNS服务链创建方法流程图；

图4为DNS安全过滤方法流程图；

图5为DNS服务规模动态调整方法流程图。

具体实施方式

本发明提供一种云网融合域名解析系统及其DNS服务方法，为使本发明的目的，技术方案及效果更加清楚，明确，以及参照附图并举实例对本发明进一步详细说明。应当理解，此处所描述的具体实施仅用以解释本发明，并不用于限定本发明。

图1是云网融合域名解析系统的架构图，该系统的架构体系由以下几个主要功能块构成：

硬件资源层——提供基础设施的硬件资源（服务器、存储、网络）。

虚拟化层——使用成熟的OpenStack云计算方案，实现计算和存储虚拟化。

业务适配层——对上完成业务层的业务操作任务，对下将业务操作任务转换成底层功能模块的操作指令。

业务层——提供云网融合系统的各种业务功能。

SDN控制器是SDN流控模块的核心组成部件，对下通过南向协议（OpenFlow、NetConfig、OVSDB）控制SDN网络硬件转发行为，对上提供开放接口，供云网融合DNS系统的控制台调用。

该系统具体包括以下模块：

SDN流控模块，用于通过SDN协议，控制SDN交换机调度DNS请求流量到相应DNS服务虚机；

虚机管理模块，用于管理各DNS服务虚机的创建、删除、修改操作；

镜像管理模块，用于管理各DNS服务镜像，包括对各DNS服务镜像的创建、删除、修改操作；

负载/故障监控模块，用于监控各DNS服务虚机的负载和故障状况，与SDN流控模块和虚机管理模块联动，当服务虚机负载过大或发生故障，调用虚机管理模块创建新的服务虚机，调用SDN流控模块将DNS请求流量调度到新的服务虚机。上文提到的镜像管理模块用于管理各DNS服务镜像，包括：

Local DNS系统镜像，用于提供DNS本地解析服务；

DNS日志系统镜像，用于DNS日志记录服务；

DNS分析系统镜像，用于提供营运商客户流量流向分析服务，多维度生成流量分析报表；

DNS安全防护系统镜像，用于提供DNS安全防护服务。

本发明所提供的DNS服务创建方法具体实施方式的流程如图2、图3所示，以客户建立Local DNS服务为例，该方法包括以下步骤：

步骤S101：接收用户的DNS请求流量，用户选择需要创建Local DNS服务及相应的服务规模，发给虚机管理模块和SDN流控模块；

步骤S102：负载/故障监控模块通过sFlow方式采集Local DNS服务虚机的负载状况；

sFlow是一种基于“统计采样方式”的高速交换网络流量监控技术，可以提供周期性的网络接口统计采样和数据包采样，能够提供各接口的流量信息，且几乎不会对被统计设备造成任何负担。sFlow的部署分为两部分：sFlow agent和sFlow collector。sFlowagent内嵌入网络设备中获取设备的实时信息并封装成sFlow报文发送给sFlowcollector，sFlow collector汇总后得出统计数据。本发明中将sFlow agent嵌入部署到需要进行负载监控的服务虚机中，作为负载/故障监控模块的一部分，实时采集服务虚机的负载状况。

步骤S103：负载/故障监控模块将服务虚机的负载状况上报SDN流控模块，将用户DNS请求流量调度到负载最小的服务虚机上；

SDN控制器作为SDN流控模块的核心组件，能够集中管控网络中的流量转发行为。SDN控制器的最优路径计算模块将服务虚机负载状况作为参数，通过一定的算法计算出一条最优路径，实时地将DNS请求流量引导至负载最合适的服务虚机，保证服务虚机的负载均衡。

步骤S104：SDN流控模块下发流量转发控制命令，将流量引导到正确的服务虚机上。

SDN控制器将SDN流控模块计算得出的最优路径，翻译转换成SDN交换机能够执行的流转发指令下发到SDN交换机。

创建新的DNS服务后，SDN流控模块需重新调整流量控制策略，将流量调度到相应服务虚机。

a)将DNS请求流量引导到LocalDNS服务虚机；

b)将DNS请求/应答流量镜像到DNS日志服务虚机；

c)将DNS日志服务虚机的日志流量引导到DNS分析服务虚机；

d)将具有安全威胁的请求流量引导到DNS安全防护服务虚机，经过清洗后再引导到LocalDNS服务虚机。

更加具体的说，在提供DNS服务的过程中，一旦发现具有攻击威胁的流量时，即触发DNS安全过滤功能，该过程的具体实施方式的流程如图4所示，该方法包括以下步骤：

步骤S301：SDN流控模块采集用户DNS请求流量信息，对流量信息进行威胁性分析，发现异常流量，如某一种请求流量的突然激增，可能是针对Local DNS的DoS攻击；

本发明中的SDN实现方式采用的OpenFlow协议，OpenFlow协议中的每条流表都有一个计数器counter字段，OpenFlow交换机对每一个流维护一个计数器，控制器可以从这些计数器上查询每条链路上每一种流的实时信息。编写算法当某一种流量在短时间内大量激增，初步判断该流可能是针对DNS服务虚机的攻击流量。

步骤S302：SDN流控模块下发流量控制策略，将具有威胁性的流量引导到DNS安全防护服务虚机；

SDN控制器下发流表，将具有威胁性的流量引导到DNS安全防护服务虚机。

步骤S303：DNS安全防护服务虚机对威胁流量进行安全过滤清洗；

步骤S304：SDN流控模块将清洗后的流量重新引导到需要创建服务的服务虚机，进行正常访问；

DNS安全防护服务虚机将经过安全过滤后没有威胁的流量重新吐出，SDN控制器下发流控策略将所有从DNS安全防护服务虚机吐出的流量重新引导到Local DNS服务虚机。

步骤S305：DNS安全防护系统将不是攻击的流量信息反馈给SDN流控模块，对其进行放行。

SDN流控模块对流量的威胁性进行初级判断，对可能具有攻击威胁的流量导入到DNS安全防护系统进行深入分析，DNS安全防护系统分析后将不是攻击流量的特征反馈给SDN流控模块，让其对这些流量进行正常处理。

本发明所提供的云网融合域名解析系统还能用于根据DNS服务规模的变化动态调整流量走向，其具体实施方式如图5所示，基本步骤与DNS服务创建的过程相似，包括以下步骤：

步骤S401：负载/故障监控模块采集各个服务虚机的负载状况；

所述方式同步骤S102

步骤S402：负载/故障监控模块将服务虚机负载状况上报给虚机管理模块；

负载/故障监控模块与虚机管理模块通过模块间的内部接口交换信息。

步骤S403：虚机管理模块将服务虚机负载状况作为参数，通过DNS服务规模动态调整算法，计算出服务虚机调整策略，如当业务量少时，将服务集中到某几台服务虚机，关闭空闲的服务虚机，当业务量大时增加创建服务虚机的数量；

云网融合DNS系统具有服务规模自生长功能，虚机管理模块实时读取服务虚机负载状况，当已创建的服务虚机集群的服务能力高于或低于业务需求时，自动动态创建或删除相应的服务虚机。

步骤S404：虚机管理模块将调整策略通知SDN流控模块调整相应的流量转发策略。

服务虚机的规模调整后，相应的流量转发策略也要跟随调整，如原先有两台LcoalDNS服务虚机提供DNS解析服务，随着业务量增大，系统自动创建了第三台Local DNS用于分担业务压力，SDN流控模块需要重新计算将业务流量调度到三台Local DNS服务虚机。对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (8)

1.一种云网融合域名解析系统，其特征在于，该系统包括：

SDN流控模块，用于通过SDN协议，控制SDN交换机调度DNS请求流量到相应DNS服务虚机；

虚机管理模块，用于管理各DNS服务虚机的创建、删除、修改操作；

镜像管理模块，用于管理各DNS服务镜像，包括对各DNS服务镜像的创建、删除、修改操作；

负载/故障监控模块，用于监控各DNS服务虚机的负载和故障状况，与SDN流控模块和虚机管理模块联动，当服务虚机负载过大或发生故障，调用虚机管理模块创建新的服务虚机，调用SDN流控模块将DNS请求流量调度到新的服务虚机。

2.根据权利要求1所述的一种云网融合域名解析系统，其特征在于，所述镜像管理模块用于管理各DNS服务镜像，包括：

Local DNS系统镜像，用于提供DNS本地解析服务；

DNS日志系统镜像，用于DNS日志记录服务；

DNS分析系统镜像，用于提供营运商客户流量流向分析服务，多维度生成流量分析报表；

DNS安全防护系统镜像，用于提供DNS安全防护服务。

3.一种云网融合域名解析系统的DNS服务方法，其特征在于，该方法包括：

1）用户选择需要创建的DNS服务及相应的服务规模，将创建指令发给虚机管理模块和SDN流控模块；2）所述SDN流控模块解析用户请求并结合当前流量情况，调整流量控制策略，下发引流指令至SDN交换机引流到相应服务虚机；3）所述SDN流控模块将具有安全威胁的请求流量引导到由DNS安全防护系统镜像生成的安全防护服务虚机，进行恶意流量的识别和剥离，还原出的合法流量回注到原网络中再转发到客户选取的服务类型相应的服务虚机上。

4.根据权利要求3所述的一种云网融合域名解析系统的DNS服务方法，其特征在于，所述步骤2）具体为：首先负载/故障监控模块采集客户选取的服务类型相应的服务虚机的负载状况；接着，将服务虚机的负载状况上报SDN流控模块，SDN流控模块将用户DNS请求流量调度到负载最小的服务虚机上；

最后，所述SDN流控模块下发流量转发控制命令SDN交换机，SDN交换机将流量引导到正确的DNS服务虚机上。

5.根据权利要求3所述的一种云网融合域名解析系统的DNS服务方法，其特征在于，所述镜像管理模块将DNS服务制作成服务镜像，该服务包括有Local DNS、DNS日志、DNS安全防护、DNS分析。

6.根据权利要求4所述的一种云网融合域名解析系统的DNS服务方法，其特征在于，所述SDN流控模块下发以下几种流量控制策略：

a）将DNS请求流量引导到Local DNS服务虚机；

b）将DNS请求/应答流量镜像到DNS日志服务虚机；

c）将DNS日志服务虚机的日志流量引导到DNS分析服务虚机。

7.根据权利要求6所述的一种云网融合域名解析系统的DNS服务方法，其特征在于，该方法在引流过程中，还将具有安全威胁的请求流量引导到由DNS安全防护系统镜像生成的安全防护服务虚机，进行恶意流量的识别和剥离，还原出的合法流量回注到原网络中再转发到客户选取的服务类型相应的服务虚机，该步骤具体为：

SDN流控模块采集用户DNS请求流量信息，对流量信息进行威胁性分析，一旦发现针对采集客户选取的服务类型相应DNS的DoS攻击，SDN流控模块下发流量控制策略，将具有威胁性的流量引导到DNS安全防护服务虚机；所述DNS安全防护服务虚机对威胁流量进行安全过滤清洗；SDN流控模块将清洗后的流量重新引导到服务虚机；DNS安全防护系统将不是攻击的流量信息反馈给SDN流控模块，对其进行放行。

8.根据权利要求7所述的一种云网融合域名解析系统的DNS服务方法，其特征在于，针对DoS攻击的判断为发现某一种请求流量的突然激增。