CN106209832A - 基于ns记录转移授权缓解域名权威记录劫持影响的方法 - Google Patents

基于ns记录转移授权缓解域名权威记录劫持影响的方法 Download PDF

Info

Publication number
CN106209832A
CN106209832A CN201610537663.6A CN201610537663A CN106209832A CN 106209832 A CN106209832 A CN 106209832A CN 201610537663 A CN201610537663 A CN 201610537663A CN 106209832 A CN106209832 A CN 106209832A
Authority
CN
China
Prior art keywords
business
domain name
name
server
authoritative
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610537663.6A
Other languages
English (en)
Inventor
李晓东
潘蓝兰
尉迟学彪
陈勇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Internet Network Information Center
Original Assignee
China Internet Network Information Center
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Internet Network Information Center filed Critical China Internet Network Information Center
Priority to CN201610537663.6A priority Critical patent/CN106209832A/zh
Publication of CN106209832A publication Critical patent/CN106209832A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明公开了一种基于NS记录转移授权缓解域名权威记录劫持影响的方法。本方法为：1)在域名解析服务系统中设置一业务应急权威域名服务器组件；2)当域名NS记录被劫持，顶级权威域名服务器返回错误NS记录时，启动该应急权威域名服务器组件，将业务权威域名服务器的业务域名解析配置信息存储到该业务应急权威域名服务器组件；3)对于缓存了域名NS记录的递归服务器，该递归服务器向业务权威域名服务器查询业务域名的IP地址信息，业务权威域名服务器设置该业务域名的NS记录为应急权威域名服务器组件的地址且NS记录具有较长的TTL，然后业务权威域名服务器将该业务域名的NS记录返回给该递归服务器。本发明能够有效提升用户体验。

Description

基于NS记录转移授权缓解域名权威记录劫持影响的方法
技术领域
本发明涉及一种基于NS记录转移授权缓解域名权威记录劫持影响的方法，属于计算机网络技术领域。
背景技术
域名解析服务是互联网的一项关键基础服务，负责帮助用户实现域名和IP地址间的解析过程。互联网业务的域名解析服务通常需要三类组件的参与，即域名注册商、递归域名服务器、权威域名服务器。
如附图1所示，(1)互联网业务在域名注册商处登记业务权威域名服务器的地址信息(即NS记录)，域名注册商将该记录信息同步到该业务域名所在的顶级权威域名服务器(例如.com、.net、.cn等等都是顶级域)；(2)用户向递归服务器查询业务域名的IP地址；(3)如果递归服务器拥有业务权威域名服务器的NS记录缓存信息，则直接转到(5)，否则递归服务器向根权威域名服务器查询，获取该业务域名所在的顶级域名的NS记录；(4)递归服务器向顶级权威域名服务器查询，获取业务域名的NS记录；(5)递归服务器向业务权威域名服务器查询，获取该业务域名的IP地址信息，返回给用户；(6)用户根据获取的IP地址访问该互联网业务。
按照现有的域名解析服务过程，顶级权威域名服务器负责接收域名注册商提供的业务域名的NS记录，并提供给递归服务器。如果域名注册商被入侵，将导致业务域名的NS记录被劫持篡改，并同步到顶级权威域名服务器。根据现有的域名注册以及NS记录更新机制，互联网业务域名的所有者无法阻止上述篡改和同步的风险。在劫持期间内，如果递归服务器的NS记录缓存到期，则递归服务器无法从顶级权威域名服务器获取正确的业务域名的NS记录，从而会导致用户访问失败。2010年1月12日百度域名曾经出现上述类型的劫持事件。根据百度官方报道(http://dudns.baidu.com/support/knowledge/Security/)，baidu.com的NS记录被劫持，然后导致www.baidu.com无法访问。事件持续时间8小时，是百度成立以来最严重的故障事件，直接经济损失700万人民币。
发明内容
针对现有技术中存在的技术问题，本发明目的在于提供一种基于NS记录转移授权缓解域名权威记录劫持影响的方法，该方法能够实现在业务域名的NS记录被劫持期间，减少因为递归服务器缓存记录到期导致用户无法访问的影响，从而有效提升用户体验。
本发明的技术方案为：
一种基于NS记录转移授权缓解域名权威记录劫持影响的方法，其步骤为：
1)在域名解析服务系统中设置一业务应急权威域名服务器组件；
2)当域名NS记录被劫持，顶级权威域名服务器返回错误NS记录时，启动该应急权威域名服务器组件，将业务权威域名服务器的业务域名解析配置信息存储到该业务应急权威域名服务器组件；
3)对于缓存了域名NS记录的递归服务器，该递归服务器向业务权威域名服务器查询业务域名的IP地址信息，业务权威域名服务器设置该业务域名的NS记录为应急权威域名服务器组件的地址且将该业务域名的NS记录的TTL设置为设定值，然后业务权威域名服务器将该业务域名的NS记录返回给该递归服务器。
进一步的，将业务权威域名服务器的业务域名解析配置信息存储到该业务应急权威域名服务器组件的方法为：将业务权威域名服务器中的业务域名的NS记录转移到该应急权威域名服务器组件，再通过该应急权威域名服务器组件进行业务域名解析，得到与业务权威域名服务器中相同的业务域名解析配置信息。
进一步的，当该递归服务器收到一指定业务域名的IP地址的查询请求时，该递归服务器向该应急权威域名服务器组件查询该业务域名的IP地址，该应急权威域名服务器组件将该业务域名的IP地址返回给该递归服务器。
进一步的，业务域名权威解析服务的提供方维护该业务应急权威域名服务器组件和该业务权威域名服务器。
进一步的，该业务应急权威域名服务器组件中的NS记录为与该业务权威域名服务器相同业务域下的一子域名。
进一步的，该业务应急权威域名服务器组件中的NS记录为设定域下的子域名。
进一步的，顶级权威域名服务器恢复正确的域名NS记录之后，即域名NS记录劫持结束后，业务域名权威解析服务的提供方去除业务域名的NS记录转移设置，并关闭应急权威域名服务器组件，业务权威域名服务器切换回原有的解析服务模式。
进一步的，所述设定值为比域名NS记录的TTL默认值长的值。
本发明引入了业务应急权威域名服务器组件；当域名NS记录被劫持时，业务权威域名服务器临时将业务域名的NS记录指向特定的业务应急权威域名服务器组件；业务应急权威域名服务器组件名称可以是相同业务域下的特殊子域名，也可以是其他域下的子域名；业务域名转移授权的NS记录设置较长的TTL，目的在于确保在该TTL过期后，顶级域上的域名NS劫持记录已被清除。
在业务域名的NS记录被劫持，导致上层顶级权威域名服务器返回错误信息期间，传统缓解劫持影响的方法是临时延长业务域名A记录的TTL时长。
本发明所提供的缓解域名权威记录劫持影响的解析服务方案如附图2所示。和传统的互联网业务的域名解析过程相比，本发明新增了一业务应急权威域名服务器组件，该组件与业务权威域名服务器一起部署，两者均由业务域名权威解析服务的提供方负责维护。业务应急权威域名服务器组件存储了所有业务域名原有的解析配置信息。
当业务域名NS记录被劫持，顶级权威域名服务器返回错误NS记录时，业务域名权威解析服务的提供方将启动该应急权威域名服务器组件。
如果递归服务器缓存了业务域名权威服务器的未过期NS记录，递归服务器向业务权威域名服务器查询业务域名的IP地址信息；为了避免该递归服务器后续缓存到期导致受到域名NS劫持的影响，业务权威域名服务器临时将该递归服务器查询的业务域名的NS记录设置为应急权威域名服务器组件的地址，且该NS记录具有较长的TTL；业务权威域名服务器将上述NS记录返回给递归服务器，递归服务器将自动向应急权威域名服务器组件查询该业务域名的IP地址(与之前业务权威域名服务器配置的业务域名IP地址信息完全相同)，返回给用户；用户根据获取的IP地址访问该互联网业务。
上述方案根据域名NS记录转移授权的原理，将热点业务域名的权威域名服务器转移到TTL较长的应急权威域名服务器组件，并且由于业务应急权威域名服务器组件存储了所有业务域名原有的解析配置信息，该应急权威域名服务器组件支持原业务权威域名服务器的所有业务域名解析的优化策略。
在域名NS劫持期间，通过本发明的应急权威域名服务器组件实现域名NS记录转移授权方案，能够有效缓解原有递归域名服务器缓存域名NS记录即将到期的影响，尽可能保证用户对于热点业务域名的正常访问。传统的方案一般是临时延长业务域名A记录的TTL时长，其副作用是该TTL延长期间内无法修改A记录，导致业务权威域名服务器无法快速切换用户实际访问的IP地址，某些A记录频繁变动的热点在线视频、文件下载类型的CDN业务域名将会受到影响。本发明首先将业务域名的NS记录转移到应急权威域名服务器组件，再通过应急权威域名服务器组件负责解析业务域名，与之前配置的业务域名IP地址信息完全相同，因此能够保留原有的业务域名解析的优化策略，支持与业务权威域名服务器完全一致的A记录快速切换功能，对于上述A记录频繁变动的热点在线视频、文件下载类型的CDN业务域名的支持更具灵活性。
在顶级权威域名服务器恢复正确的域名NS记录之后，域名NS劫持结束，业务域名权威解析服务的提供方可以快速去除应急操作时业务域名的NS记录转移设置，并关闭应急权威域名服务器组件，业务权威域名服务器切换回原有的解析服务模式。
与现有技术相比，本发明的积极效果为：
(1)业务应急权威域名服务器组件独立于已有的业务权威域名服务器，在顶级域恢复正确的域名NS记录之后，业务权威域名服务器能够快速切换回原有的解析服务模式；
(2)能够延长用户访问热点业务域名正确IP地址(而非错误IP地址)的时间，并且支持原有的A记录快速切换功能，有效保证了用户访问体验；
(3)业务应急权威域名服务器组件中的NS记录可以是相同业务域下的特殊子域名，也可以是其他域下的子域名，具体实施配置灵活多变；
(4)不需要在短时间内迅速联系大量递归域名服务器运行厂商处理，即本发明能够不在短时间引入大量人工联系处理资源的情况下，尽可能保证域名NS记录劫持期间，用户持续正常访问热点业务域名。对于背景技术中介绍的百度域名NS记录劫持导致www.baidu.com热点业务域名8小时无法正常访问的风险事件，本发明能够有较好的主动缓解效果。
附图说明
图1为互联网业务的域名解析过程；
图2为缓解域名权威记录劫持影响的方法流程图。
具体实施方式
下面结合附图对本发明的具体实施方法进行进一步详细描述。
以foo.com域名为例，假设该域名NS记录在注册商处被劫持篡改，并将劫持记录同步到.com顶级域。本发明的实施例如下：
(1)如上文所述，为缓解域名劫持的影响，当foo.com的权威解析服务的提供方发现.com顶级域返回了错误的NS记录，立即对foo.com的权威域名服务器ns.foo.com启动NS调整，设置foo.com域下所有业务域名的NS记录为foo.com的应急权威域名服务器组件rescue.foo.com，同时rescue.foo.com开启业务域名的解析服务(与之前业务权威域名服务器配置的业务域名IP地址信息完全相同)。
(2)当用户使用的递归域名服务器为222.222.222.222，用户准备访问www.foo.com时，用户向222.222.222.222查询www.foo.com的IP地址。
(3)递归域名服务器222.222.222.222缓存了foo.com的正确NS记录ns.foo.com，则222.222.222.222向ns.foo.com查询www.foo.com的IP地址。
(4)ns.foo.com向递归域名服务器222.222.222.222返回应答，应答示例如附表1所示，其中AUTHORITY部分是业务域名转移授权的NS记录信息(即应急权威域名服务器组件名称)，ADDITIONAL部分是应急权威域名服务器组件的IP地址信息：111.111.111.111。该应答是在上面(1)中描述的ns.foo.com的NS调整的基础上，通过国际上已标准化的DNS应答协议自动生成的。
附表1权威域名服务器向递归返回应急信息
(5)递归域名服务器222.222.222.222向应急权威域名服务器组件111.111.111.111查询www.foo.com的IP地址，应急权威域名服务器组件111.111.111.111向递归域名服务器222.222.222.222返回原始www.foo.com配置的IP信息。
(6)递归域名服务器222.222.222.222向用户返回www.foo.com的IP地址信息，用户根据获得的IP地址访问www.foo.com业务。
此外，本方案还可以使用其他域下的子域名作为业务应急权威域名服务器组件的NS记录，假设业务应急权威域名服务器组件为ns.bar.net，则上述(4)中ns.foo.com向递归域名服务器222.222.222.222返回应答示例如附表2所示，递归服务器获知www.foo.com的权威NS记录被临时转移到ns.bar.net(IP地址为111.111.111.111)，后续操作步骤与上述(5)(6)一致，最终递归服务器从应急权威域名服务器组件ns.bar.net获取www.foo.com的IP地址信息，返回给用户。
附表2权威域名服务器向递归返回应急信息(跨域)

Claims (8)

1.一种基于NS记录转移授权缓解域名权威记录劫持影响的方法，其步骤为：
1)在域名解析服务系统中设置一业务应急权威域名服务器组件；
2)当域名NS记录被劫持，顶级权威域名服务器返回错误NS记录时，启动该应急权威域名服务器组件，将业务权威域名服务器的业务域名解析配置信息存储到该业务应急权威域名服务器组件；
3)对于缓存了域名NS记录的递归服务器，该递归服务器向业务权威域名服务器查询业务域名的IP地址信息，业务权威域名服务器设置该业务域名的NS记录为应急权威域名服务器组件的地址且将该业务域名的NS记录的TTL设置为设定值，然后业务权威域名服务器将该业务域名的NS记录返回给该递归服务器。
2.如权利要求1所述的方法，其特征在于，将业务权威域名服务器的业务域名解析配置信息存储到该业务应急权威域名服务器组件的方法为：将业务权威域名服务器中的业务域名的NS记录转移到该应急权威域名服务器组件，再通过该应急权威域名服务器组件进行业务域名解析，得到与业务权威域名服务器中相同的业务域名解析配置信息。
3.如权利要求1或2所述的方法，其特征在于，当该递归服务器收到一指定业务域名的IP地址的查询请求时，该递归服务器向该应急权威域名服务器组件查询该业务域名的IP地址，该应急权威域名服务器组件将该业务域名的IP地址返回给该递归服务器。
4.如权利要求1或2所述的方法，其特征在于，业务域名权威解析服务的提供方维护该业务应急权威域名服务器组件和该业务权威域名服务器。
5.如权利要求1或2所述的方法，其特征在于，该业务应急权威域名服务器组件中的NS记录为与该业务权威域名服务器相同业务域下的一子域名。
6.如权利要求1或2所述的方法，其特征在于，该业务应急权威域名服务器组件中的NS记录为设定域下的子域名。
7.如权利要求1或2所述的方法，其特征在于，顶级权威域名服务器恢复正确的域名NS记录之后，即域名NS记录劫持结束后，业务域名权威解析服务的提供方去除业务域名的NS记录转移设置，并关闭应急权威域名服务器组件，业务权威域名服务器切换回原有的解析服务模式。
8.如权利要求1或2所述的方法，其特征在于，所述设定值为比域名NS记录的TTL默认值长的值。
CN201610537663.6A 2016-07-08 2016-07-08 基于ns记录转移授权缓解域名权威记录劫持影响的方法 Pending CN106209832A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610537663.6A CN106209832A (zh) 2016-07-08 2016-07-08 基于ns记录转移授权缓解域名权威记录劫持影响的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610537663.6A CN106209832A (zh) 2016-07-08 2016-07-08 基于ns记录转移授权缓解域名权威记录劫持影响的方法

Publications (1)

Publication Number Publication Date
CN106209832A true CN106209832A (zh) 2016-12-07

Family

ID=57473489

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610537663.6A Pending CN106209832A (zh) 2016-07-08 2016-07-08 基于ns记录转移授权缓解域名权威记录劫持影响的方法

Country Status (1)

Country Link
CN (1) CN106209832A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107222492A (zh) * 2017-06-23 2017-09-29 网宿科技股份有限公司 一种dns防攻击方法、设备和系统
WO2018148984A1 (zh) * 2017-02-19 2018-08-23 网宿科技股份有限公司 域名解析系统、域名解析服务器和域名解析方法
CN111200667A (zh) * 2019-12-18 2020-05-26 网宿科技股份有限公司 一种域名解析方法、权威域名服务器和本地域名服务器

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101605068A (zh) * 2009-06-15 2009-12-16 上海及第熊软件科技有限公司 一种实现网站防篡改的方法和系统
US20130173795A1 (en) * 2011-12-30 2013-07-04 Verisign, Inc. DNS Package in a Partitioned Network
CN103248725A (zh) * 2013-05-23 2013-08-14 中国科学院计算机网络信息中心 一种安全可靠的域名解析修复方法和系统
CN104113447A (zh) * 2014-07-10 2014-10-22 北京蓝汛通信技术有限责任公司 监测域名解析污染的方法、装置及系统
CN105357328A (zh) * 2015-09-28 2016-02-24 互联网域名系统北京市工程研究中心有限公司 域名解析方法、dns递归服务器及域名解析系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101605068A (zh) * 2009-06-15 2009-12-16 上海及第熊软件科技有限公司 一种实现网站防篡改的方法和系统
US20130173795A1 (en) * 2011-12-30 2013-07-04 Verisign, Inc. DNS Package in a Partitioned Network
CN103248725A (zh) * 2013-05-23 2013-08-14 中国科学院计算机网络信息中心 一种安全可靠的域名解析修复方法和系统
CN104113447A (zh) * 2014-07-10 2014-10-22 北京蓝汛通信技术有限责任公司 监测域名解析污染的方法、装置及系统
CN105357328A (zh) * 2015-09-28 2016-02-24 互联网域名系统北京市工程研究中心有限公司 域名解析方法、dns递归服务器及域名解析系统

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018148984A1 (zh) * 2017-02-19 2018-08-23 网宿科技股份有限公司 域名解析系统、域名解析服务器和域名解析方法
CN107222492A (zh) * 2017-06-23 2017-09-29 网宿科技股份有限公司 一种dns防攻击方法、设备和系统
WO2018233312A1 (zh) * 2017-06-23 2018-12-27 网宿科技股份有限公司 一种dns防攻击方法、设备和系统
US11044262B2 (en) 2017-06-23 2021-06-22 Wangsu Science & Technology Co., Ltd. Method, apparatus and system for anti-attacking in domain name system (DNS)
CN111200667A (zh) * 2019-12-18 2020-05-26 网宿科技股份有限公司 一种域名解析方法、权威域名服务器和本地域名服务器
CN111200667B (zh) * 2019-12-18 2021-08-10 网宿科技股份有限公司 一种域名解析方法、权威域名服务器和本地域名服务器

Similar Documents

Publication Publication Date Title
US11792079B2 (en) DNS package in a network
US10621054B2 (en) Method and system for recovery of a failed registry
Weimer Passive DNS replication
US7792994B1 (en) Correlating network DNS data to filter content
CN108449444B (zh) 区域数据传输方法、自循环域名解析系统及方法
US20070294419A1 (en) Recursive dns nameserver
CN106210165A (zh) 基于ns记录分层授权缓解域名权威记录劫持影响的方法
US20060218289A1 (en) Systems and methods of registering and utilizing domain names
CN103078877B (zh) 基于dns的用户认证和域名访问控制方法及系统
CN107222492A (zh) 一种dns防攻击方法、设备和系统
US20100281146A1 (en) Dynamic domain name service system and automatic registration method
CN106209832A (zh) 基于ns记录转移授权缓解域名权威记录劫持影响的方法
US20080162724A1 (en) Direct domain name service query
WO2005096160A1 (en) Proxy dns for web browser request redirection in public hotspot accesses
CN109495604A (zh) 一种泛根域名解析的方法
EP2933971A1 (en) Method and device for providing dns service
CN105812503B (zh) 根服务器地址更新方法和一种递归服务器
CN106331205B (zh) 域名资源记录缓存的集中管控方法、装置和相关设备
CN101800782B (zh) 一种IPv4网站镜像升级支持IPv6的方法
WO2005093999A1 (en) Systems and methods of registering and utilizing domain names
CN100596105C (zh) 一种对网元业务操作合法性进行判定的方法和服务器
Fox . club. tw Domain Registration.-. club. tw General Information-. club. tw Brand Protection-Taiwan domain registration.
Fox . game. tw Domain Registration.-. game. tw General Information-. game. tw Brand Protection-Taiwan domain registration.
JP2003218906A (ja) ドメイン名運用管理システム
Kumari et al. RFC 7706: Decreasing Access Time to Root Servers by Running One on Loopback

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20161207

RJ01 Rejection of invention patent application after publication