CN106685951A - 一种基于域名规则的网络流量过滤系统与方法 - Google Patents

Abstract

本发明涉及一种基于域名规则的网络流量过滤的系统与方法，其中所述系统包括如下模块：配置处理模块，用来接收并保存用户配置的域名白名单，检查配置域名的合法性；DNS处理模块，与配置处理模块及DNS服务器连接，用于获取用户配置的域名白名单，并向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；IP池模块，用于存储上述映射表中的IP；规则处理模块,用于根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则。该发明能够提高网络设备的处理性能和效率，防止一些无用域名占用网络资源和用户的使用时间。

Description

一种基于域名规则的网络流量过滤系统与方法

技术领域

本发明涉及网络流量过滤和监控技术领域，具体而言，本发明涉及一种基于域名规则的网络流量过滤系统与方法。

背景技术

目前移动终端通过3G或4G信号连接互联网时，由于用户流量费用是根据流量的使用多少来计算的，因此在日常的使用中，往往很多无用的域名、站点会占用宝贵的流量资源从而使用户流量费提高，或者没到月底由于上述流量消耗，用户无法再使用流量。

申请号为201080034533.1，发明名称为《用于过滤网络流量的方法和系统》的中国专利申请，公开了一种过滤多个DNS查询的方法，其中每个DNS查询包括查询名称和资源记录类型，该方法包括确定包括域名、过滤类型以及节流率的过滤规则并形成包括过滤规则的过滤文件。该方法还包括将过滤文件从服务器传送到多个过滤代理，将过滤文件从多个过滤代理的每个传送到一个或多个处理引擎，并在所述一个或多个处理引擎之一接收所述多个DNS查询。该方法包括对于所述多个DNS查询的子集确定域名和查询名称之间以及资源记录类型和过滤类型之间的匹配，并阻止预定百分比(等于节流率)的多个DNS查询的子集。通过该发明可以实现相对于常规技术的许多优势。例如，本发明实施例提供用于快速高效地将分组过滤器分配到位于多个远程站点的多个处理引擎的方法和系统。此外，实施例提供的分组过滤器能使系统操作员根据多种网络标准完全地或部分地阻止恶意网络流量。而且，分组过滤器的自动期满能使远程站点在预定时间段之后返回常规操作，即使解析站点和中央数据中心之间的联系已丢失。

申请号为200710178851.5，发明名称为《一种适于局域网环境的网络节点扫描检测方法和系统》的中国专利申请，公开了一种适于局域网环境的网络节点扫描检测方法和系统,是一种适于高速局域网环境的网络节点扫描检测的方法和系统。本发明包括网络终端、局域网,所述方法的步骤:数据获取步骤；DNS解析监控步骤；可疑网络访问过滤步骤；可疑网络访问统计步骤；网络扫描检测步骤。该发明通过将各主机节点发出的所有网络访问请求与本局域网中最近DNS解析过的IP地址列表进行关联,最大限度的过滤掉那些与正常网络访问流量相关的网络访问请求。采用可疑网络访问请求连接响应率和可疑网络访问请求的目标IP地址发散度为网络扫描检测指标,适于局域网环境的网络节点扫描检测系统对局域网络中各主机节点的扫描行为进行监控的网络安全产品中。

然而上述现有技术均无法在以Linux系统为基础的安卓手机上进行应用，依然无法过滤无用的域名，保证手机流量的合理使用。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的基于域名规则的网络流量过滤的系统及方法。

依据本发明的一个方面，提供了一种基于域名规则的网络流量过滤系统，所述系统包括如下模块：

配置处理模块，用来接收并保存用户配置的域名白名单，检查配置域名的合法性；

DNS处理模块，与配置处理模块及DNS服务器连接，用于获取用户配置的域名白名单，并向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；

IP池模块，用于存储上述映射表中的IP；

规则处理模块,用于根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则。

可选地，如上所述的基于域名规则的网络流量过滤系统，所述系统进一步包括UI用户配置模块，用于根据用户操作配置域名白名单。

可选地，如上所述的基于域名规则的网络流量过滤系统，所述DNS处理模块包括：实时查询模块或者定时查询模块；所述DNS处理模块还用于将域名和IP的映射表中的全部或部分变化的IP发送至IP池。

可选地，如上所述的基于域名规则的网络流量过滤系统，所述DNS服务器为公用DNS服务器。

可选地，如上所述的基于域名规则的网络流量过滤系统，所述规则处理模块将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。

可选地，如上所述的基于域名规则的网络流量过滤系统，所述系统进一步包括数据库模块，用于存储IP池模块中的IP并在系统启动时提供IP给所述IP池模块。

依据本发明的另一个方面，还提供了一种基于域名规则的网络流量过滤方法，包括如下步骤：

接收并保存用户配置的域名白名单，检查配置域名的合法性；

向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；

存储上述映射表中的IP；

根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则；

将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。

可选地，如上所述的基于域名规则的网络流量过滤方法，所述方法进一步包括UI用户配置步骤，用于根据用户操作配置域名白名单。

可选地，如上所述的基于域名规则的网络流量过滤方法，所述查询为实时或者定时查询。

可选地，如上所述的基于域名规则的网络流量过滤方法，所述DNS服务器为公用DNS服务器。

可选地，如上所述的基于域名规则的网络流量过滤方法，所述映射表中的IP存储在数据库中并在系统启动时提供所述IP。

本发明的有益效果如下：该发明能够提高网络设备的处理性能和效率，能够根据用户的设置白名单而仅允许白名单上的域名访问网络资源，不允许访问白名单之外的无用域名或有风险的域名，从而防止一些无用域名占用网络资源和用户的使用时间。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例的一种基于域名规则的网络流量过滤的系统的结构示意图；

图2示出了根据本发明一个实施例的一种基于域名规则的网络流量过滤的方法的流程示意图。

图3示出了根据本发明一个实施例的另一种基于域名规则的网络流量过滤的方法的流程示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明涉及一种基于域名的网络流量过滤系统与方法，该系统可以根据域名来过滤网络流量，只有特定的域名可以经过该系统访问，其他的网络流量则不能通过该系统。具体的，本发明的具体实施例，是在Linux系统下的研究开发。

首先，本发明的过滤系统和方法启动前，需要在Linux系统初始化时将所有IPTABLES的规则清空。本发明所使用的IPTABLES的概念和工作原理如下：

IPTABLES是与最新的3.5版本Linux内核集成的IP信息包过滤系统。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则该系统有利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。

防火墙在做信息包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的信息包过滤表中，而这些表集成在Linux内核中。在信息包过滤表中，规则被分组放在所谓的链(chain)中。而netfilter/IPTABLES IP信息包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。

虽然netfilter/IPTABLES IP信息包过滤系统被称为单个实体，但它实际上由两个组件netfilter和IPTABLES组成。

netfilter组件也称为内核空间(kernelspace)，是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。

IPTABLES组件是一种工具，也称为用户空间(userspace)，它使插入、修改和除去信息包过滤表中的规则变得容易。除非正在使用Red Hat Linux 7.1或更高版本，否则需要下载该工具并安装使用它。

netfilter/IPTABLES的最大优点是它可以配置有状态的防火墙，这是ipfwadm、pchains等以前的工具都无法提供的一种重要功能。有状态的防火墙能够指定并记住为发送或接收信息包所建立的连接的状态。防火墙可以从信息包的连接跟踪状态获得该信息。在决定新的信息包过滤时，防火墙所使用的这些状态信息可以增加其效率和速度。这里有四种有效状态，名称分别为ESTABLISHED、INVALID、NEW和RELATED。

状态ESTABLISHED指出该信息包属于已建立的连接，该连接一直用于发送和接收信息包并且完全有效。INVALID状态指出该信息包与任何已知的流或连接都不相关联，它可能包含错误的数据或头。状态NEW意味着该信息包已经或将启动新的连接，或者它与尚未用于发送和接收信息包的连接相关联。最后，RELATED表示该信息包正在启动新连接，以及它与已建立的连接相关联。

netfilter/IPTABLES的另一个重要优点是，它使用户可以完全控制防火墙配置和信息包过滤。可以定制自己的规则来满足特定需求，从而只允许想要的网络流量进入系统。

另外，netfilter/IPTABLES是免费的，这对于那些想要节省费用的人来说十分理想，它可以代替昂贵的防火墙解决方案。

图1示出了根据本发明一个实施例的一种基于域名规则的网络流量过滤的系统的结构示意图；如图1所示，所述系统包括如下模块：

配置处理模块110，用来接收并保存用户配置的域名白名单，检查配置域名的合法性。因此本发明的网络流量过滤系统能够根据用户的设置白名单而仅允许白名单上的域名访问网络资源，不允许访问白名单之外的无用域名或有风险的域名，从而防止一些无用域名占用网络资源和用户的使用时间。

DNS处理模块120，与配置处理模块110及DNS服务器连接，用于获取用户配置的域名白名单，并向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；根据本发明的额一个优选实施例，所述DNS处理模块120包括实时查询模块121或者定时查询模块122。其中，实时查询模块121对于用户配置的域名，实时查询指定的DNS服务器来获取域名和IP的映射表，并将映射表里的IP存储到IP池中。定时查询模块122对于用户配置的域名，定时查询指定的DNS服务器来获取域名和IP的映射表，并将映射表里的IP存储到IP池中。所述DNS处理模块还用于将域名和IP的映射表中的全部或变化部分的IP发送至IP池。

所述DNS服务器为公用DNS服务器。DNS(Domain Name Server，域名服务器)是进行域名(domain name)和与之相对应的IP地址(IP address)转换的服务器。DNS中保存了一张域名(domain name)和与之相对应的IP地址(IP address)的表，以解析消息的域名。域名是Internet上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位(有时也指地理位置)。域名是由一串用点分隔的名字组成的，通常包含组织名，而且始终包括两到三个字母的后缀，以指明组织的类型或该域所在的国家或地区。

DNS是计算机域名系统(Domain Name System或Domain Name Service)的缩写，它是由域名解析器和域名服务器组成的。域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。其中域名必须对应一个IP地址，一个IP地址可以有多个域名，而IP地址不一定有域名。域名系统采用类似目录树的等级结构。域名服务器通常为客户机/服务器模式中的服务器方，它主要有两种形式：主服务器和转发服务器。将域名映射为IP地址的过程就称为“域名解析”。

IP池模块130，用于存储上述映射表中的IP。所述IP是查询DNS服务器时查询到的IP(公网IP)，或者虚拟IP。可以根据上述公网IP或者虚拟IP共同生成IPTABLES的规则。虚拟IP是指由总部(mdlan)指定总部空闲的一段IP作为移动用户接入时的虚拟IP池。当移动用户接入后，分配一个虚拟IP给移动用户，移动用户对总部的任何操作都是以分配的IP作为源IP、就完全和在总部局域网内一样。例如使用虚拟IP的移动接入后，可以访问总部局域网内的任何一台计算机，即使该计算机没有把网关指向总部(mdlan)；可以为接入的移动用户指定dns等网络属性。配置虚拟IP的步骤如下：1、创建虚拟IP池，虚拟IP池中的IP是总部空闲的IP。2、指定移动用户使用虚拟IP。如果设置虚拟IP为0.0.0.0表示自动分配虚拟IP，当移动用户接入后，mdlan从虚拟IP池中选择一个空闲IP分配给移动。也可以为移动用户指定虚拟IP(例如与该移动用户在局域网内的内网IP一致作为虚拟IP)。通过网关设置的DLAN下的虚拟IP池创建虚拟IP范围,用户设置分支用户连接之后分配IP；通过网关设置的DLAN下的用户管理创建用户,定义用户验证及权限的设置,可以导入分支生成的硬件证书。

规则处理模块140,用于根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则。所述规则处理模块140将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。

所述规则处理模块140根据用户配置触发的实时或者定时的从IP池中获取到新的IP，组合成IPTABLES的规则，这些规则为IPTABLES的IP白名单。规则处理模块140将IPTABLES的规则下发到内核中，在系统内由内核根据IP白名单来过滤网络流量或者监控网络流量。

所述系统还进一步包括UI用户配置模块150，用于根据用户操作配置域名白名单。根据用户配置的域名来指定哪些域名的流量可以通过该系统，哪些域名的流量不可以通过该系统。

所述系统还进一步包括数据库模块160，用于存储IP池模块中的IP并在系统启动时提供IP给所述IP池模块。在数据库中新建一个映射表时，存储数据类型对性能有比较大的影响，其中包括数据的存储空间，查询的开销等。对于IP地址的存储方式，也会影响到一些逻辑操作，比如比较大小之类，当然对于IP地址来说，有时候可读性也应该考虑。

以ipv4为例，例如192.168.23.98，长度大小为32位(4字节)，从三方面考虑如何选择存储方式：可读性，存储效率，查询效率。

因此，可以用下列方式进行存储IP：

1.varchar(15)，可读性好，192.168.23.98.的存储空间最大。

2.bigint(8字节)，存储为1921682398，可读性差，费空间，易混淆。

3.tinyint(4字节)，用4个字段分开存储，可读性差，存储占用少。

4.varbinary(4)，可读性差，占用少。

图2示出了根据本发明一个实施例的一种基于域名规则的网络流量过滤的方法的流程示意图。所述方法包括如下步骤：

S210、接收并保存用户配置的域名白名单，检查配置域名的合法性；因此本发明的网络流量过滤方法能够根据用户的设置白名单而仅允许白名单上的域名访问网络资源，不允许访问白名单之外的无用域名或有风险的域名，从而防止一些无用域名占用网络资源和用户的使用时间。

S220、向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；根据本发明的一个优选实施例，所述查询包括实时查询或者定时查询。其中，实时查询对于用户配置的域名，实时查询指定的DNS服务器来获取域名和IP的映射表，并将映射的IP存储到IP池中。定时查询对于用户配置的域名，定时查询指定的DNS服务器来获取域名和IP的映射表，并将映射的IP存储到IP池中。域名和IP的映射表中的全部或变化部分的IP均可以发送至IP池。

所述DNS服务器为公用DNS服务器。DNS(Domain Name Server，域名服务器)是进行域名(domain name)和与之相对应的IP地址(IP address)转换的服务器。DNS中保存了一张域名(domain name)和与之相对应的IP地址(IP address)的表，以解析消息的域名。域名是Internet上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位(有时也指地理位置)。域名是由一串用点分隔的名字组成的，通常包含组织名，而且始终包括两到三个字母的后缀，以指明组织的类型或该域所在的国家或地区。

DNS是计算机域名系统(Domain Name System或Domain Name Service)的缩写，它是由域名解析器和域名服务器组成的。域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。其中域名必须对应一个IP地址，一个IP地址可以有多个域名，而IP地址不一定有域名。域名系统采用类似目录树的等级结构。域名服务器通常为客户机/服务器模式中的服务器方，它主要有两种形式：主服务器和转发服务器。将域名映射为IP地址的过程就称为“域名解析”。

S230、存储上述映射表中的IP；所述映射表中的IP存储在数据库中并在系统启动时提供所述IP。所述IP是查询DNS服务器时查询到的IP(公网IP)，或者虚拟IP。可以根据上述公网IP或者虚拟IP共同生成IPTABLES的规则。虚拟IP是指由总部(mdlan)指定总部空闲的一段IP作为移动用户接入时的虚拟IP池。当移动用户接入后，分配一个虚拟IP给移动用户，移动用户对总部的任何操作都是以分配的IP作为源IP、就完全和在总部局域网内一样。例如使用虚拟IP的移动接入后，可以访问总部局域网内的任何一台计算机，即使该计算机没有把网关指向总部(mdlan)；可以为接入的移动用户指定dns等网络属性。配置虚拟IP的步骤如下：1、创建虚拟IP池，虚拟IP池中的IP是总部空闲的IP。2、指定移动用户使用虚拟IP。如果设置虚拟IP为0.0.0.0表示自动分配虚拟IP，当移动用户接入后，mdlan从虚拟IP池中选择一个空闲IP分配给移动。也可以为移动用户指定虚拟IP(例如与该移动用户在局域网内的内网IP一致作为虚拟IP)。通过网关设置的DLAN下的虚拟IP池创建虚拟IP范围,用户设置分支用户连接之后分配IP；通过网关设置的DLAN下的用户管理创建用户,定义用户验证及权限的设置,可以导入分支生成的硬件证书。

在数据库中新建一个映射表时，存储数据类型对性能有比较大的影响，其中包括数据的存储空间，查询的开销等。对于IP地址的存储方式，也会影响到一些逻辑操作，比如比较大小之类，当然对于IP地址来说，有时候可读性也应该考虑。

以ipv4为例，例如192.168.23.98，长度大小为32位(4字节)，从三方面考虑如何选择存储方式：可读性，存储效率，查询效率。

因此，可以用下列方式进行存储：

1.varchar(15)，可读性好，192.168.23.98.的存储空间最大。

2.bigint(8字节)，存储为1921682398，可读性差，费空间，易混淆。

3.tinyint(4字节)，用4个字段分开存储，可读性差，存储占用少。

4.varbinary(4)，可读性差，占用少。

S240、根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则。将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。此时，根据配置触发的实时或者定时的从IP池中获取到新的IP，组合成IPTABLES的规则，这些规则为IPTABLES的IP白名单。然后，将IPTABLES的规则下发到内核中，在系统内由内核根据IP白名单来过滤网络流量或者监控网络流量。

S250、将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。根据用户配置的域名来指定哪些域名的流量可以通过该系统，那些域名的流量不可以通过该系统。

根据本发明的一个优选实施例，如图3所示，所述方法包括如下步骤：

S300、根据用户操作配置域名白名单。例如在移动终端中，可以在移动终端的屏幕上通过输入法输入移动终端来设置上述域名白名单。

S10、接收并保存用户配置的域名白名单，检查配置域名的合法性；因此本发明的网络流量过滤方法能够根据用户的设置白名单而仅允许白名单上的域名访问网络资源，不允许访问白名单之外的无用域名或有风险的域名，从而防止一些无用域名占用网络资源和用户的使用时间。

S320、向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；根据本发明的额一个优选实施例，所述查询包括实时查询或者定时查询。其中，实时查询对于用户配置的域名，实时查询指定的DNS服务器来获取域名和IP的映射表，并将映射的IP存储到IP池中。定时查询对于用户配置的域名，定时查询指定的DNS服务器来获取域名和IP的映射表，并将映射的IP存储到IP池中。域名和IP的映射表中的全部或变化部分的IP均可以发送至IP池。

所述DNS服务器为公用DNS服务器。DNS(Domain Name Server，域名服务器)是进行域名(domain name)和与之相对应的IP地址(IP address)转换的服务器。DNS中保存了一张域名(domain name)和与之相对应的IP地址(IP address)的表，以解析消息的域名。域名是Internet上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位(有时也指地理位置)。域名是由一串用点分隔的名字组成的，通常包含组织名，而且始终包括两到三个字母的后缀，以指明组织的类型或该域所在的国家或地区。

DNS是计算机域名系统(Domain Name System或Domain Name Service)的缩写，它是由域名解析器和域名服务器组成的。域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。其中域名必须对应一个IP地址，一个IP地址可以有多个域名，而IP地址不一定有域名。域名系统采用类似目录树的等级结构。域名服务器通常为客户机/服务器模式中的服务器方，它主要有两种形式：主服务器和转发服务器。将域名映射为IP地址的过程就称为“域名解析”。

S330、存储上述映射表中的IP；所述映射表中的IP存储在数据库中并在系统启动时提供所述IP。所述IP是查询DNS服务器时查询到的IP(公网IP)，或者虚拟IP。可以根据上述公网IP或者虚拟IP共同生成IPTABLES的规则。虚拟IP是指由总部(mdlan)指定总部空闲的一段IP作为移动用户接入时的虚拟IP池。当移动用户接入后，分配一个虚拟IP给移动用户，移动用户对总部的任何操作都是以分配的IP作为源IP、就完全和在总部局域网内一样。例如使用虚拟IP的移动接入后，可以访问总部局域网内的任何一台计算机，即使该计算机没有把网关指向总部(mdlan)；可以为接入的移动用户指定dns等网络属性。配置虚拟IP的步骤如下：1、创建虚拟IP池，虚拟IP池中的IP是总部空闲的IP。2、指定移动用户使用虚拟IP。如果设置虚拟IP为0.0.0.0表示自动分配虚拟IP，当移动用户接入后，mdlan从虚拟IP池中选择一个空闲IP分配给移动。也可以为移动用户指定虚拟IP(例如与该移动用户在局域网内的内网IP一致作为虚拟IP)。通过网关设置的DLAN下的虚拟IP池创建虚拟IP范围,用户设置分支用户连接之后分配IP；通过网关设置的DLAN下的用户管理创建用户,定义用户验证及权限的设置,可以导入分支生成的硬件证书。

在数据库中新建一个映射表时，存储数据类型对性能有比较大的影响，其中包括数据的存储空间，查询的开销等。对于IP地址的存储方式，也会影响到一些逻辑操作，比如比较大小之类，当然对于IP地址来说，有时候可读性也应该考虑。

以ipv4为例，例如192.168.23.98，长度大小为32位(4字节)，从三方面考虑如何选择存储方式：可读性，存储效率，查询效率。

因此，可以用下列方式进行存储：

1.varchar(15)，可读性好，192.168.23.98.的存储空间最大。

2.bigint(8字节)，存储为1921682398，可读性差，费空间，易混淆。

3.tinyint(4字节)，用4个字段分开存储，可读性差，存储占用少。

4.varbinary(4)，可读性差，占用少。

S340、根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则。将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。此时，根据配置触发的实时或者定时的从IP池中获取到新的IP，组合成IPTABLES的规则，这些规则为IPTABLES的IP白名单。然后，将IPTABLES的规则下发到内核中，在系统内由内核根据IP白名单来过滤网络流量或者监控网络流量。

S350、将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。根据用户配置的域名来指定哪些域名的流量可以通过该系统，那些域名的流量不可以通过该系统。

需要说明的是：

在此提供的算法和显示不与任何特定计算机、虚拟装置或者其它设备固有相关。各种通用装置也可以与基于在此的示教一起使用。根据上面的描述，构造这类装置所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的虚拟机的创建装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本发明的实施例公开了A1、一种基于域名规则的网络流量过滤系统，所述系统包括如下模块：

配置处理模块，用来接收并保存用户配置的域名白名单，检查配置域名的合法性；

DNS处理模块，与配置处理模块及DNS服务器连接，用于获取用户配置的域名白名单，并向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；

IP池模块，用于存储上述映射表中的IP；

规则处理模块,用于根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则。

A2、如A1所述的基于域名规则的网络流量过滤系统，所述系统进一步包括UI用户配置模块，用于根据用户操作配置域名白名单。

A3、如A1所述的基于域名规则的网络流量过滤系统，所述DNS处理模块包括：实时查询模块或者定时查询模块；

所述DNS处理模块还用于将域名和IP的映射表中的全部或变化部分的IP发送至IP池。

A4、如A1所述的基于域名规则的网络流量过滤系统，所述DNS服务器为公用DNS服务器。

A5、如A1-A4任意一项所述的基于域名规则的网络流量过滤系统，所述规则处理模块将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。

A6、如A4所述的基于域名规则的网络流量过滤系统，所述系统进一步包括数据库模块，用于存储IP池模块中的IP并在系统启动时提供IP给所述IP池模块。

本发明的实施例还公开了：A7、一种基于域名规则的网络流量过滤方法，包括如下步骤：

接收并保存用户配置的域名白名单，检查配置域名的合法性；

向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；

存储上述映射表中的IP；

根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则；

将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。

A8、如A7所述的基于域名规则的网络流量过滤系统，所述方法进一步包括UI用户配置步骤，用于根据用户操作配置域名白名单。

A9、如A7所述的基于域名规则的网络流量过滤系统，所述查询为实时或者定时查询。

A10、如A7所述的基于域名规则的网络流量过滤系统，所述DNS服务器为公用DNS服务器。

A11、如A10所述的基于域名规则的网络流量过滤系统，所述映射表中的IP存储在数据库中并在系统启动时提供所述IP。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若对本发明的这些修改和变型属于本发明权利要求及其同等技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种基于域名规则的网络流量过滤系统，其特征在于，所述系统包括如下模块：

配置处理模块，用来接收并保存用户配置的域名白名单，检查配置域名的合法性；

DNS处理模块，与配置处理模块及DNS服务器连接，用于获取用户配置的域名白名单，并向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；

IP池模块，用于存储上述映射表中的IP；

规则处理模块,用于根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则。

2.如权利要求1所述的基于域名规则的网络流量过滤系统，其特征在于：

所述系统进一步包括UI用户配置模块，用于根据用户操作配置域名白名单。

3.如权利要求1所述的基于域名规则的网络流量过滤系统，其特征在于：

所述DNS处理模块包括：实时查询模块或者定时查询模块；

所述DNS处理模块还用于将域名和IP的映射表中的全部或部分变化的IP发送至IP池。

4.如权利要求1所述的基于域名规则的网络流量过滤系统，其特征在于：

所述DNS服务器为公用DNS服务器。

5.如权利要求1-4任意一项所述的基于域名规则的网络流量过滤系统，其特征在于：

所述规则处理模块将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。

6.如权利要求4所述的基于域名规则的网络流量过滤系统，其特征在于：

所述系统进一步包括数据库模块，用于存储IP池模块中的IP并在系统启动时提供IP给所述IP池模块。

7.一种基于域名规则的网络流量过滤方法，其特征在于，包括如下步骤：

接收并保存用户配置的域名白名单，检查配置域名的合法性；

向DNS服务器查询上述用户配置的域名白名单，以获取域名和IP的映射表；

存储上述映射表中的IP；

根据上述配置触发的上述映射表中的IP，组合成网络流量过滤规则；

将形成的网络流量过滤规则发送内核空间，由内核根据网络流量过滤规则来过滤网络流量。

8.如权利要求7所述的基于域名规则的网络流量过滤方法，其特征在于：

所述方法进一步包括UI用户配置步骤，用于根据用户操作配置域名白名单。

9.如权利要求7所述的基于域名规则的网络流量过滤方法，其特征在于：

所述查询为实时或者定时查询。

10.如权利要求7所述的基于域名规则的网络流量过滤方法，其特征在于：

所述DNS服务器为公用DNS服务器。