CN107547682A - Ip地址识别方法及装置 - Google Patents

Abstract

本公开涉及一种IP地址识别方法及装置。该方法应用于部署有DNS代理的安全设备中，DNS代理中存储有第一记录，包括与第一域名对应的第一IP地址，安全设备的安全策略中存储有第二记录，包括与第一域名对应的第一IP地址。该方法包括：DNS代理在第一记录中第一IP地址老化时间到达时，向DNS服务器发送反向请求报文；DNS代理接收的响应报文中的第二域名与第一域名不同时，通知安全策略删除第二记录中的第一IP地址。本公开的实施例能够在域名的原IP地址到达老化时间时反向请求原IP地址当前对应的域名，仅在域名变化时删除原IP地址，避免报文放行策略的频繁改变，从而避免安全设备的性能下降。

Description

IP地址识别方法及装置

技术领域

本公开涉及计算机技术领域，尤其涉及一种IP地址识别方法及装置。

背景技术

DNS代理(DNS proxy)用于在DNS客户端(DNS client)和DNS服务器(DNS server)之间转发DNS请求和应答报文。局域网内的DNS客户端把DNS代理当作DNS服务器，将DNS请求报文发送给DNS代理。DNS代理将该请求报文转发到真正的DNS服务器，并将DNS服务器的应答报文返回给DNS客户端，从而实现域名解析。使用DNS代理功能后，当DNS服务器的地址发生变化时，只需改变DNS代理上的配置，无需改变局域网内每个DNS客户端的配置，从而简化了网络管理。

在相关技术中，可以在安全设备(例如防火墙设备)中部署DNS代理。在安全设备中配置有基于域名的安全策略，安全设备仅对域名对应的IP地址进行放行。然而，在负载均衡环境中，DNS服务器通常将每个域名配置为对应N个IP地址，且每个域名解析到的IP地址生存时间通常非常短，导致DNS代理频繁发起DNS请求并请求到不同的IP地址，使得安全设备频繁更改对报文的放行策略，对安全设备的性能造成极大的影响。

发明内容

有鉴于此，本公开提出了一种IP地址识别方法及装置，能够在域名对应的IP地址变化时识别并保留有效的原IP地址，避免报文放行策略的频繁改变，从而避免安全设备的性能下降，提升用户体验。

根据本公开的一方面，提供了一种IP地址识别方法，该方法应用于部署有DNS代理的安全设备中，所述DNS代理中存储有第一记录，所述第一记录中包括与第一域名相对应的第一IP地址，所述安全设备的安全策略中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址，所述方法包括：

所述DNS代理在所述第一记录中的第一IP地址的老化时间到达时，向所述DNS服务器发送反向请求报文，所述反向请求报文用于查询与所述第一IP地址相对应的域名；

所述DNS代理接收所述DNS服务器针对所述反向请求报文的响应报文，在所述响应报文中的第二域名与所述第一域名不同时，通知所述安全策略删除所述第二记录中的所述第一IP地址。

根据本公开的另一方面，提供了一种IP地址识别装置，所述装置应用于安全设备中，所述装置包括：DNS代理模块和安全策略模块，其中，所述DNS代理模块中存储有第一记录，所述第一记录中包括与第一域名相对应的第一IP地址，所述安全策略模块中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址；

所述DNS代理模块，用于在所述第一记录中的第一IP地址的老化时间到达时，向DNS服务器发送反向请求报文，所述反向请求报文用于查询与所述第一IP地址相对应的域名；

所述DNS代理模块，还用于接收所述DNS服务器针对所述反向请求报文的响应报文，在所述响应报文中的第二域名与所述第一域名不同时，通知所述安全策略模块删除所述第二记录中的所述第一IP地址。

根据本公开实施例的IP地址识别方法及装置，能够在域名的原IP地址到达老化时间时反向请求原IP地址当前对应的域名，仅在域名变化时删除原IP地址，避免报文放行策略的频繁改变，从而避免安全设备的性能下降。

根据下面参考附图对示例性实施例的详细说明，本公开的其它特征及方面将变得清楚。

附图说明

包含在说明书中并且构成说明书的一部分的附图与说明书一起示出了本公开的示例性实施例、特征和方面，并且用于解释本公开的原理。

图1是根据相关技术的DNS代理组网应用的示意图。

图2是在负载均衡环境下的根据相关技术的DNS代理组网应用的示意图。

图3是根据一示例性实施例示出的一种IP地址识别方法的流程图。

图4是根据一示例性实施例示出的一种IP地址识别方法的步骤S11的流程图。

图5是根据一示例性实施例示出的一种IP地址识别方法的流程图。

图6是根据一示例性实施例示出的一种IP地址识别方法的流程图。

图7是根据一示例性实施例示出的一种IP地址识别装置的框图。

具体实施方式

以下将参考附图详细说明本公开的各种示例性实施例、特征和方面。附图中相同的附图标记表示功能相同或相似的元件。尽管在附图中示出了实施例的各种方面，但是除非特别指出，不必按比例绘制附图。

在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。

另外，为了更好的说明本公开，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本公开同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本公开的主旨。

图1是根据相关技术的DNS代理组网应用的示意图。如图1所示，在根据相关技术的DNS代理组网应用中，可以包括多个DNS客户端11、DNS代理12、DNS服务器13、IP网络14。

举例来说，DNS代理12的工作过程如下：

DNS客户端11可以把DNS代理12当作DNS服务器13，将DNS请求报文发送给DNS代理12，即请求报文的目的地址为DNS代理12的IP地址；DNS代理12收到请求报文后，首先查找本地的静态域名解析表和动态域名解析缓存表，如果存在请求的信息，则DNS代理12直接通过DNS应答报文将域名解析结果(IP地址)返回给DNS客户端11；如果不存在请求的信息，则DNS代理12将报文转发给DNS服务器13，通过DNS服务器13进行域名解析；DNS代理12收到DNS服务器13的应答报文后，记录域名解析的结果(IP地址)，并将报文转发给DNS客户端11。DNS客户端11利用域名解析的结果进行相应的处理。

如图1所示，在根据相关技术的DNS代理组网应用中，部署了DNS代理12的设备可以为防火墙设备，配置了基于域名的安全策略。在该情况下，防火墙上仅对域名对应的IP进行放行。防火墙与DNS代理12的配合过程可以如下：

防火墙配置了基于域名的安全策略，安全策略通知DNS代理12进行DNS查询；DNS代理12向DNS服务器13发起DNS请求；DNS代理12收到DNS服务器13应答报文后，记录域名解析结果(IP地址)，并将结果通知给安全策略；安全策略记录结果(IP地址)，并放行对应该IP地址的报文；DNS代理12记录的结果(IP地址)老化时间到期后，重新发起DNS请求，如果请求的结果放生变化，则通知防火墙，否则不通知防火墙。

图2是在负载均衡环境下的根据相关技术的DNS代理组网应用的示意图。如图2所示，在负载均衡环境下，在根据相关技术的DNS代理组网应用中，可以包括多个DNS客户端21、DNS代理22、DNS服务器23、IP网络27以及服务器24、25、26。其中，DNS服务器23部署有负载均衡策略，根据策略给相同的域名应答不同的IP地址。如图2所示：服务器24、25、26分别配置了不同的IP地址A、B、C，但有相同的域名(例如www.ABC.com)。当DNS客户端21发起对该域名(www.ABC.com)的DNS查询时，DNS服务器23会根据策略应答不同的IP地址。

在负载均衡环境中防火墙与DNS代理22的配合过程可以如下：

防火墙配置了基于域名的安全策略，安全策略通知DNS代理22进行DNS查询；DNS代理22向DNS服务器23发起DNS请求；DNS代理22收到DNS服务器23的应答报文后，记录域名解析结果(IP地址A)，并将结果通知给安全策略；安全策略记录结果(IP地址A)，并放行对应的报文。

在负载均衡环境中，DNS服务器23通常将每个域名配置成对应N个IP地址，且每个域名解析到的结果(IP地址)的生存时间通常设置的非常短，例如为120秒。当生存时间到期，DNS服务器23再次收到域名请求时，会在N个IP地址中根据负载均衡策略选择一个IP地址，通常这个IP与上次应答的不是同一个IP地址。

DNS代理22记录的IP地址A的生存时间到期后，DNS代理22重新发起DNS请求，收到域名结果为IP地址B，则通知安全策略删除记录的IP地址A，丢弃对应的报文，同时记录IP地址B，放行对应的报文。重复上述步骤，每次得到的结果(IP地址)都不同，但是都在固定的范围内。防火墙会频繁的更改对报文的放行策略，对防火墙的性能造成极大的影响。

图3是根据一示例性实施例示出的一种IP地址识别方法的流程图。该方法可应用于部署有DNS代理的安全设备中。所述DNS代理中存储有第一记录，所述第一记录中包括与第一域名相对应的第一IP地址，所述安全设备的安全策略中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址。如图3所示，根据本公开实施例的IP地址识别方法包括以下步骤S11至步骤S12。

在步骤S11中，所述DNS代理在所述第一记录中的第一IP地址的老化时间到达时，向所述DNS服务器发送反向请求报文，所述反向请求报文用于查询与所述第一IP地址相对应的域名；

在步骤S12中，所述DNS代理接收所述DNS服务器针对所述反向请求报文的响应报文，在所述响应报文中的第二域名与所述第一域名不同时，通知所述安全策略删除所述第二记录中的所述第一IP地址。

根据本公开的实施例，能够在满足安全策略的域名的原IP地址到达老化时间时反向请求原IP地址当前对应的域名，仅并在域名变化时删除安全策略记录的所述原IP地址，避免报文放行策略的频繁改变，从而避免安全设备的性能下降，提升用户体验。

举例来说，安全设备可以包括防火墙设备，该安全设备中可以部署有DNS代理。在防火墙中下发安全策略时，可以确定满足安全策略的第一域名(例如，www.ABC.com)，认为该第一域名所对应的网站是合法的网站。DNS代理可以向DNS服务器发起针对该第一域名的DNS查询，获取当前与该第一域名相对应的IP地址。当DNS代理接收到DNS服务器的应答报文后，可以获取域名解析结果，也即当前与该第一域名相对应的第一IP地址(例如IP地址A)，以及该第一IP地址的老化时间(例如120s)。应当理解，该第一IP地址的老化时间可以根据系统需要进行设置，本公开对此不作限制。

在一种可能的实现方式中，可以在DNS代理中存储有第一记录，第一记录中包括与第一域名相对应的第一IP地址(例如IP地址A)以及该第一IP地址的老化时间。安全设备的安全策略中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址(例如IP地址A)。

在一种可能的实现方式中，当DNS代理在第一记录中的第一IP地址的老化时间到达时，DNS代理可以向DNS服务器发送反向请求报文，该反向请求报文用于查询当前与所述第一IP地址(IP地址A)相对应的域名。DNS服务器应答第一IP地址(IP地址A)相对应的第二域名(也即，第二域名为当前与所述第一IP地址相对应的域名)，并且向DNS代理发送针对反向请求报文的响应报文。DNS代理解析该响应报文，如果第二域名与所述第一域名相同，则可以确定IP地址A仍然是有效的IP地址。该系统的环境可能是负载均衡环境，第一域名(www.ABC.com)可以对应多个有效的IP地址。此时，DNS代理可以不通知安全策略删除第一IP地址(IP地址A)。

在一种可能的实现方式中，如果第二域名与所述第一域名不同，则可以确定该系统的环境不是负载均衡环境，第一域名(www.ABC.com)的IP地址已变更为第二IP地址(IP地址B)，第一IP地址(IP地址A)不再是有效的IP地址。此时，DNS代理可以通知安全策略删除第一IP地址(IP地址A)，也即，删除安全策略的第二记录中本地存储的所述第一IP地址。

通过这种方式，可以删除失效的第一IP地址，减轻设备的存储负担。

图4是根据一示例性实施例示出的一种IP地址识别方法的步骤11的流程图。如图4所示，步骤S11包括：

步骤S111，在所述第一记录中的第一IP地址的老化时间到达时，所述DNS代理向所述DNS服务器发送第一请求报文，其中，所述第一请求报文用于查询与所述第一域名相对应的IP地址；

步骤S112，所述DNS代理接收所述DNS服务器针对所述第一请求报文的响应报文，将所述第一记录中的所述第一IP地址更新为该响应报文中的第二IP地址；

上述步骤S111和步骤S112是在DNS代理记录的IP地址老化时执行的标准操作。

步骤S113，在所述第二IP地址与所述第一IP地址不同，且所述第二IP地址的老化时间小于或等于时间阈值时，所述DNS代理向所述DNS服务器发送所述反向请求报文。步骤S113是可选的，DNS代理也可以在自身记录(即第一记录)的IP地址老化时直接向DNS服务器发送反向请求。

举例来说，在到达第一记录中的与满足安全策略的第一域名相对应的第一IP地址的老化时间时，DNS代理可以重新向DNS服务器发送第一请求报文，其中，第一请求报文用于查询当前与所述第一域名(www.ABC.com)相对应的IP地址。

在一种可能的实现方式中，DNS服务器可以根据负载均衡策略为第一域名分配新的第二IP地址(例如IP地址B)，也即，第二IP地址为当前与所述第一域名相对应的IP地址。并且，DNS服务器可以向DNS代理发送针对所述第一请求报文的响应报文，DNS代理可以获取响应报文中的第二IP地址以及第二IP地址的老化时间。

在一种可能的实现方式中，如果第二IP地址与第一IP地址不同，并且第二IP地址的老化时间小于或等于时间阈值，则系统可能处于负载均衡环境下，第二IP地址可能为根据负载均衡策略而重新分配的IP地址(IP地址B)。其中，该时间阈值可以是系统默认设定的阈值，例如该时间阈值可以为5-10min，本公开对该时间阈值的具体时长不作限制。

在一种可能的实现方式中，在所述第二IP地址与所述第一IP地址不同，且所述第二IP地址的老化时间小于或等于时间阈值时，DNS代理可以向DNS服务器发送反向请求报文，查询当前与所述第一IP地址(IP地址A)相对应的域名。DNS服务器应答第一IP地址(IP地址A)相对应的第二域名(也即，第二域名为当前与所述第一IP地址相对应的域名)，并且向DNS代理发送针对反向请求报文的响应报文。

DNS代理解析该响应报文，如果第二域名与所述第一域名相同，则可以确定IP地址A仍然是有效的IP地址。该系统的环境是负载均衡环境，第一域名(www.ABC.com)可以对应多个IP地址(IP地址A和B)，且都是有效的IP地址。此时，DNS代理可以不通知安全策略删除第一IP地址(IP地址A)。通过这种方式，可以避免域名对应的IP地址频繁变更导致防火墙业务处理性能急剧下降的现象。

在所述第二域名与所述第一域名不同时，所述DNS代理通知所述安全策略删除所述第二记录中的所述第一IP地址。举例来说，如果第二域名与所述第一域名不同，则可以确定该系统的环境不是负载均衡环境，第一域名(www.ABC.com)的IP地址已变更为第二IP地址(IP地址B)，第一IP地址(IP地址A)不再是有效的IP地址。此时，DNS代理可以通知安全策略删除第一IP地址(IP地址A)，也即，删除安全策略的第二记录中的第一IP地址。通过这种方式，可以删除失效的第一IP地址，减轻设备的存储负担。

图5是根据一示例性实施例示出的一种IP地址识别方法的流程图。如图5所示，在一种可能的实现方式中，所述方法还包括：

步骤S13，所述DNS代理通知所述安全策略在所述第二记录中增加所述第一域名与所述第二IP地址的对应关系。

举例来说，DNS代理接收DNS服务器针对第一请求报文的响应报文，可以将第一记录中的所述第一IP地址更新为该响应报文中的第二IP地址。如果第二IP地址与第一IP地址不同，则DNS代理可以通知安全策略在第二记录中增加第一域名与第二IP地址的对应关系。在该情况下，安全策略可以根据第二记录将第一域名(www.ABC.com)的第一和第二IP地址(IP地址A和B)均作为安全的IP地址，放行第一和第二IP地址的报文。

图6是根据一示例性实施例示出的一种IP地址识别方法的流程图。如图6所示，在一种可能的实现方式中，所述方法还包括：

步骤S14，在所述第二记录中的所述第一IP地址的老化时间到达时，若未接收到所述DNS代理发送的记录所述第一IP地址的通知，则所述安全策略从所述第二记录中删除所述第一IP地址。

举例来说，在安全策略的第二记录中存储有与第一域名相对应的第一IP地址，该第一IP地址可以具有老化时间。其中，第二记录中该第一IP地址的老化时间可以是安全策略中默认设定的老化时间(可以大于第一记录中的第一IP地址的老化时间)，例如该老化时间可以为5-10min。本公开对该老化时间的具体时长不作限制。

承接上述步骤S12的说明，如果第二域名与所述第一域名相同，则可以确定IP地址A仍然是有效的IP地址，不会通知安全策略删除第二记录中的第一IP地址。但是，安全策略中可以针对第二记录中的第一IP地址设置老化时间，在老化时间到达时，若未接收到DNS代理发送的记录第一IP地址的通知(例如DNS代理在记录的与第一域名对应的第一IP地址、即IP地址B老化时，向DNS服务器重新请求得到的第一域名对应的为IP地址A，那么DNS代理会通知安全策略记录IP地址A)，则安全策略可以认为第一IP地址已失效，此时，可以从第二记录中删除所述第一IP地址。

通过这种方式，安全策略可以在第二记录中的第一IP地址失效时，删除第一IP地址，减轻设备存储负担。

图7是根据一示例性实施例示出的一种IP地址识别装置的框图。如图7所示，该装置应用于安全设备中，该装置包括：DNS代理模块71和安全策略模块72，其中，所述DNS代理模块71中存储有第一记录，所述第一记录中包括与第一域名相对应的第一IP地址，所述安全策略模块72中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址；

所述DNS代理模块71，用于在所述第一记录中的第一IP地址的老化时间到达时，向DNS服务器发送反向请求报文，所述反向请求报文用于查询与所述第一IP地址相对应的域名；

所述DNS代理模块71，还用于接收所述DNS服务器针对所述反向请求报文的响应报文，在所述响应报文中的第二域名与所述第一域名不同时，通知所述安全策略模块删除所述第二记录中的所述第一IP地址。

在一种可能的实现方式中，所述DNS代理模块71，还用于在所述第一记录中的第一IP地址的老化时间到达时，向所述DNS服务器发送第一请求报文，其中，所述第一请求报文用于查询与所述第一域名相对应的IP地址；还用于接收所述DNS服务器针对所述第一请求报文的响应报文，将所述第一记录中的所述第一IP地址更新为该响应报文中的第二IP地址；在所述第二IP地址与所述第一IP地址不同，且所述第二IP地址的老化时间小于或等于时间阈值时，向所述DNS服务器发送所述反向请求报文。

在一种可能的实现方式中，所述DNS代理模块71还用于：

通知所述安全策略模块在所述第二记录中增加所述第一域名与所述第二IP地址的对应关系。

在一种可能的实现方式中，所述安全策略模块72，用于在所述第二记录中的所述第一IP地址的老化时间到达时，若未接收到所述DNS代理模块发送的记录所述第一IP地址的通知，则从所述第二记录中删除所述第一IP地址。

根据本公开的实施例，能够在满足安全策略的域名的原IP地址到达老化时间时反向请求原IP地址当前对应的域名，并仅并在域名变化时删除安全策略记录的所述原IP地址，避免报文放行策略的频繁改变，从而避免安全设备的性能下降，提升用户体验。

以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (8)

1.一种IP地址识别方法，所述方法应用于部署有DNS代理的安全设备中，其特征在于，所述DNS代理中存储有第一记录，所述第一记录中包括与第一域名相对应的第一IP地址，所述安全设备的安全策略中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址，所述方法包括：

所述DNS代理在所述第一记录中的第一IP地址的老化时间到达时，向DNS服务器发送反向请求报文，所述反向请求报文用于查询与所述第一IP地址相对应的域名；

所述DNS代理接收所述DNS服务器针对所述反向请求报文的响应报文，在所述响应报文中的第二域名与所述第一域名不同时，通知所述安全策略删除所述第二记录中的所述第一IP地址。

2.根据权利要求1所述的方法，其特征在于，所述DNS代理在所述第一记录中的第一IP地址的老化时间到达时，向所述DNS服务器发送反向请求报文，包括：

在所述第一记录中的第一IP地址的老化时间到达时，所述DNS代理向所述DNS服务器发送第一请求报文，其中，所述第一请求报文用于查询与所述第一域名相对应的IP地址；

所述DNS代理接收所述DNS服务器针对所述第一请求报文的响应报文，将所述第一记录中的所述第一IP地址更新为该响应报文中的第二IP地址；

在所述第二IP地址与所述第一IP地址不同，且所述第二IP地址的老化时间小于或等于时间阈值时，所述DNS代理向所述DNS服务器发送所述反向请求报文。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

所述DNS代理通知所述安全策略在所述第二记录中增加所述第一域名与所述第二IP地址的对应关系。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述第二记录中的所述第一IP地址的老化时间到达时，若未接收到所述DNS代理发送的记录所述第一IP地址的通知，则所述安全策略从所述第二记录中删除所述第一IP地址。

5.一种IP地址识别装置，所述装置应用于安全设备中，其特征在于，所述装置包括：DNS代理模块和安全策略模块，其中，所述DNS代理模块中存储有第一记录，所述第一记录中包括与第一域名相对应的第一IP地址，所述安全策略模块中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址；

所述DNS代理模块，用于在所述第一记录中的第一IP地址的老化时间到达时，向DNS服务器发送反向请求报文，所述反向请求报文用于查询与所述第一IP地址相对应的域名；

所述DNS代理模块，还用于接收所述DNS服务器针对所述反向请求报文的响应报文，在所述响应报文中的第二域名与所述第一域名不同时，通知所述安全策略模块删除所述第二记录中的所述第一IP地址。

6.根据权利要求5所述的装置，其特征在于，

所述DNS代理模块，还用于在所述第一记录中的第一IP地址的老化时间到达时，向所述DNS服务器发送第一请求报文，其中，所述第一请求报文用于查询与所述第一域名相对应的IP地址；还用于接收所述DNS服务器针对所述第一请求报文的响应报文，将所述第一记录中的所述第一IP地址更新为该响应报文中的第二IP地址；在所述第二IP地址与所述第一IP地址不同，且所述第二IP地址的老化时间小于或等于时间阈值时，向所述DNS服务器发送所述反向请求报文。

7.根据权利要求6所述的装置，其特征在于，

所述DNS代理模块，还用于通知所述安全策略模块在所述第二记录中增加所述第一域名与所述第二IP地址的对应关系。

8.根据权利要求5所述的装置，其特征在于，

所述安全策略模块，用于在所述第二记录中的所述第一IP地址的老化时间到达时，若未接收到所述DNS代理模块发送的记录所述第一IP地址的通知，则从所述第二记录中删除所述第一IP地址。