CN108809910A - 一种域名系统服务器调度方法和系统 - Google Patents

Abstract

本发明提供了一种域名系统服务器调度方法和系统。涉及互联网领域；解决了DNS的引导层容易受到DDoS攻击的问题。该方法包括：对域名系统DNS服务器工作情况进行监控，获得监控数据；根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件；根据所述NS配置文件，为解析请求域名，获取所述请求域名的匹本域和/或非本域DNS服务器解析结果。本发明提供的技术方案适用于跨域的域名解析，实现了高效可靠的DDoS防御机制。

Description

一种域名系统服务器调度方法和系统

技术领域

本发明涉及互联网领域，尤其涉及一种域名系统(DNS)服务器调度方法和系统。

背景技术

当前互联网架构，DNS是重要的一环也是最薄弱的一环，如何实现高性能、高可用性、高防DDOS能力的DNS架构是重要环节。

传统的DNS系统是由若干台授权DNS服务器对某个域名提供解析服务，这些授权DNS服务器有固定的IP地址，对跨区域的用户请求解析速度较慢，当遇到网络瓶颈时甚至可能会造成服务的中断，且很容易成为DDoS的攻击对象。在部分运营商网络里，跨网的DNS访问容易被域名劫持攻击。

现有的DNS系统通常为边缘化架构，结合基础IP库及区域DNS IP映射表将用户的DNS请求导向附近的DNS服务器，这种就近判断的机制能够大大提高DNS的解析速度，但DNS的引导层服务器的攻击防御能力仍然很薄弱，没有解决DNS DDoS攻击的问题。

发明内容

本发明旨在解决上面描述的问题。

根据本发明的一方面，提供了一种域名系统服务器调度方法，包括：

对域名系统DNS服务器工作情况进行监控，获得监控数据；

根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件；

根据所述NS配置文件，为解析请求域名，获取所述请求域名的匹本域和/或非本域DNS服务器解析结果。

优选的，所述对域名系统DNS服务器工作情况进行监控，获得监控数据的步骤具体为：

监控DNS服务器每秒种请求数及PK域名每秒钟请求数，根据监控结果生成所述监控数据。

优选的，所述DNS服务器的工作模式包含以下模式的任一种或任意多种：

防攻击模式，极速模式，常规模式，

所述根据所述监控数据，切换所述DNS服务器的工作模式的步骤包括：

默认工作于常规模式；

当所有DNS服务器每秒钟解析请求数超过预置的第二阈值时，切换至防攻击模式；

当所有DNS服务器上所有PK域名每秒钟解析请求数超过预置的第三阈值时，切换至极速模式；

当同时达到所述第二阈值及所述第三阈值时，切换至防攻击模式。

优选的，所述生成与当前工作模式相应的NS配置文件包括：

在常规模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，一条NS记录指向透明防护DNS服务器，一条NS记录指向高防DNS服务器，其余NS记录指向边缘化DNS服务器，N>＝4；

在防攻击模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向边缘化DNS服务器，一条NS记录指向透明防护DNS服务器，其余NS记录指向高防DNS服务器；

在极速模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，其余NS记录指向边缘化DNS服务器。

优选的，该方法还包括：

维护解析配置文件，所述解析配置文件中包含有至少一个DNS服务器节点，供所述NS配置文件选择使用。

优选的，该方法还包括：

监控至少一个DNS服务器节点的IP地址可用性，生成IP监控数据；

根据所述IP监控数据，使用预置的备份方案中包含的可用IP地址替换不可用IP地址，更新所述解析配置文件。

优选的，所述根据所述NS配置文件，解析请求域名，获取所述请求域名的本域和/或非本域DNS服务器解析结果的步骤包括：

获取解析所述请求域名的引导信息，所述引导信息包括所述请求域名的NS记录和本域NS记录的A记录；

根据所述NS配置文件中包含的非本域NS记录，获取非本域NS记录的A记录；

向所述本域和/或非本域NS记录的A记录IP地址对应的DNS服务器发起解析域名的请求，获取所述请求域名的A记录。

根据本发明的另一方面，提供了一种域名系统服务器调度系统，包括：

监控模块，用于对域名系统DNS服务器工作情况进行监控，获得监控数据；

管理模块，用于根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件；

DNS功能模块，用于根据所述NS配置文件，解析请求域名，获取所述请求域名的本域和/或非本域DNS服务器解析结果。

优选的，所述监控模块包括：

系统模式监控单元，用于监控DNS服务器每秒种请求数及PK域名每秒钟请求数，根据监控结果生成所述监控数据。

优选的，所述DNS服务器的工作模式包含以下模式的任一种或任意多种：

防攻击模式，极速模式，常规模式，

所述管理模块包括：

切换管理单元，用于控制系统默认工作于常规模式，

当所有DNS服务器每秒钟解析请求数超过预置的第二阈值时，切换至防攻击模式，

当所有DNS服务器上所有PK域名每秒钟解析请求数超过预置的第三阈值时，切换至极速模式，

当同时达到所述第二阈值及所述第三阈值时，切换至防攻击模式。

优选的，所述管理模块还包括：

配置单元，用于在常规模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，一条NS记录指向透明防护DNS服务器，一条NS记录指向高防DNS服务器，其余NS记录指向边缘化DNS服务器，N>＝4，

在防攻击模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向边缘化DNS服务器，一条NS记录指向透明防护DNS服务器，其余NS记录指向高防DNS服务器，

在极速模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，其余NS记录指向边缘化DNS服务器。

优选的，所述管理模块还包括：

半边缘化方案计算单元，用于维护解析配置文件，所述解析配置文件中包含有至少一个DNS服务器节点，供所述NS配置文件选择使用。

优选的，所述监控模块还包括：

IP节点监控单元，用于监控至少一个DNS服务器节点的IP地址可用性，生成IP监控数据；

所述半边缘化方案计算单元，具体用于根据所述IP监控数据，使用预置的备份方案中包含的可用IP地址替换不可用IP地址，更新所述解析配置文件。

优选的，所述DNS功能模块包括：

第一DNS单元，用于根据解析请求域名的请求，获取解析所述请求域名的引导信息，所述引导信息包括所述请求域名的NS记录和本域NS记录的A记录；

第二DNS单元，用于根据所述NS配置文件中包含的非本域NS记录，获取非本域NS记录的A记录；

第三DNS单元，用于向所述本域和/或非本域NS记录的A记录IP地址对应的DNS服务器发起解析域名的请求，获取所述请求域名的A记录。

本发明提供了一种域名系统服务器调度方法和系统，对域名系统DNS服务器工作情况进行监控，获得监控数据，根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件，根据所述NS配置文件，为解析请求域名，获取所述请求域名的匹本域和/或非本域DNS服务器解析结果。此方案通过有效的监控探测判断当前解析业务特征，结合预先设定的多种系统架构模式，快速高效的进行系统模式自动切换，大幅提高系统应对攻击、性能PK等业务场景的能力，解决了DNS的引导层容易受到DDoS攻击的问题，实现了高效可靠的DDoS防御机制。

参照附图来阅读对于示例性实施例的以下描述，本发明的其他特性特征和优点将变得清晰。

附图说明

并入到说明书中并且构成说明书的一部分的附图示出了本发明的实施例，并且与描述一起用于解释本发明的原理。在这些附图中，类似的附图标记用于表示类似的要素。下面描述中的附图是本发明的一些实施例，而不是全部实施例。对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，可以根据这些附图获得其他的附图。

图1示例性地示出了一种DNS架构；

图2示例性地示出了本发明的实施例一提供的一种域名系统服务器调度系统流结构；

图3示例性地示出了本发明的实施例二提供的一种域名系统服务器调度方法流程。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

现有的DNS系统通常为边缘化架构，结合基础IP库及区域DNS IP映射表将用户的DNS请求导向附近的DNS服务器，这种就近判断的机制能够大大提高DNS的解析速度，但DNS的引导层服务器的攻击防御能力仍然很薄弱，没有解决DNS DDoS攻击的问题。

通过现有DNS系统应对DNS劫持、DNS高性能、DNS DDOS攻击，需要大量的时间及系统调整进行架构变化，才能实现防御反应，响应时间过长，效率低下，效果较差。

为了解决上述问题，本发明的实施例提供了一种DNS调度方法和系统，对DNS架构进行监控，实时调整DNS服务器工作模式，达到及时发现并响应DDoS攻击的效果。

为了更好的说明本发明的技术方案，首先对DNS架构进行说明。如图1所示，边缘DNS服务器(Local DNS Server，LDNS)接收用户发出的解析请求，将解析请求直接或经多级DNS服务器发送至根DNS服务器，再由根DNS服务器将解析请求转发至相应的顶级域名根服务器，逐层到达最终的权威DNS服务器，由权威DNS服务器向LDNS返回解析结果。

下面结合附图，对本发明的实施例一进行说明。

本发明实施例提供了一种DNS调度系统，采用DNS半边缘架构，通过特殊的NS部署，能够提升服务质量和可用性，特别是能够提高防攻击的能力。并且实施监控DNS系统的服务状态，自动切换系统为防攻击模式、极速模式、常规模式。具体的，一种DNS调度系统如图1所示，包括：管理模块、监控模块、至少一个DNS功能模块。

上述DNS调度系统，可集成于一个或多个DNS架构中的设备之上完成相应功能。可以是已有的设备，如顶级DNS服务器；也可以加入专门的设备，与各DNS服务器建立连接。

其中，管理模块包括配置单元和半边缘化方案计算单元。

DNS功能模块包括第一DNS单元、第二DNS单元、第三DNS单元。

其中，DNS功能模块可部署在已有的部分或全部DNS服务器上。部署在不同设备上的DNS模块可能发生协作，如LDNS上的第三DNS单元与不同域的权威DNS服务器上的第二、第三DNS单元协同完成一次跨域的域名解析。

而管理模块、监控模块优选部署于较高级别的DNS服务器上，亦可部署于任一DNS服务器，或新增加的专用设备，该设备与已有DNS架构中的部分或全部DNS建立连接。

监控模块根据接收到的节点IP监控任务和系统模式监控任务，实时对服务节点和第三DNS模块节点设备进行数据采集。

1、节点IP监控：监控节点IP的可用性，包括网络连通性、设备带宽、服务端口监控、进程监控、设备负载、cpu、内存使用等基础监控。

2、系统模式监控任务：

a)监控各DNS服务器每秒种请求数并上报给半边缘化方案计算单元。

b)监控PK域名每秒钟请求数，上报给半边缘化方案计算单元。

管理模块控制监控模块执行监控任务，收集监控数据，并生成配置文件，将配置文件下发至各模块。具体的：

1、配置单元：

a)配置单元配置管理各应用类型设备的应用-节点IP的映射关系，应用类型设备不限于BGP-DNS服务器、高防DNS服务器(可进行流量清洗)、边缘DNS服务器、透明防护DNS服务器、边缘缓存服务器、web server等。

b)配置单元配置管理并下发监控任务给监控模块，通知监控设备监控哪些节点IP，并结合节点IP的应用划分选取相应的监控方法。监控任务还包括系统不同模式的监控任务。

c)配置单元配置管理第一DNS单元的“引导层原始NS配置文件”，该引导层原始NS配置文件中包含指定域应对的DNS服务器的NS记录和本域NS记录的A记录，可以根据实际应用需要配置涉及的域。

d)配置单元还维护解析配置文件，首先为第二DNS单元配置原始解析配置文件，包括但不限于第一DNS单元中引导层原始NS配置文件中非本域NS记录的A记录解析。非本域NS记录的A记录可能是分区域解析(不同区域由不同的IP来服务)。例如：

a.com NS ns001.b.cn

ns001.b.cn A 1.1.1.1

com的NS记录解析在a.com域的权威DNS服务器；

ns001.b.cn的A记录解析在b.cn的权威DNS服务器。

a.com和b.cn的权威DNS服务器可能是相同设备，也可能是不同设备，多数情况下是不同设备。

e)配置单元配置管理第三DNS单元的原始解析配置文件，包括与“引导层原始NS配置文件”相同的NS记录配置，域名属性(PK域名，常规域名)和域名分区域的解析配置。

f)配置单元配置第一、第二、第三DNS单元的原始配置文件备份策略，给出当原始配置中涉及的DNS服务器IP地址不可用情况时，可以使用备份策略中列出的IP地址进行替换。替换后的IP地址需要存在于应用-节点的映射关系中，且应用类型相同。

g)配置单元配置各系统模式的第一、第三DNS单元的原始NS配置文件和当前默认采用的系统模式标识。系统模式标识为：防攻击模式、极速模式、常规模式等。下面对各模式下NS配置文件的内容分别进行说明：

1)常规模式：N条NS记录，其中一条NS记录指向BGP-DNS服务器，一条NS记录指向透明防护DNS服务器，一条NS记录指向高防DNS服务器，其余NS记录指向边缘化DNS服务器，N>＝4；

2)防攻击模式：N条NS记录，其中一条NS记录指向边缘化DNS服务器，一条NS记录指向透明防护DNS服务器，其余NS记录指向高防DNS服务器；

3)极速模式：N条NS记录，其中一条NS记录指向BGP-DNS服务器，其余NS记录指向边缘化DNS服务器。

需要说明的，具体的模式划分和配置可根据实际应用网络情况进行调整。本发明实施例以划分为防攻击模式、极速模式、常规模式三种模式为例进行说明。本领域技术人员应该知晓，不论如何划分，通过划分不同模式匹配不同的配置文件，进而达到快速响应攻击检测切换模式应对的技术方案，与本发明的实施例所提供的技术方案均属同一构思，在本发明的保护范围之内。

2、半边缘化方案计算单元：

a)半边缘化方案计算单元结合监控模块上报的节点IP监控数据计算出应用-节点IP映射关系中可用IP地址与不可用IP地址，将不可用IP地址从应用-节点IP的映射关系表中删除。如果不可用IP地址存在第一、第二、第三DNS单元的原始解析配置文件中，则半边缘化方案计算单元根据备份方案选取其他可用IP地址替换原始解析配置文件中的IP地址。特殊的，如果原始解析配置文件和备份方案中均没有可用IP地址可以选取，则保持原始配置，忽略监控数据。下发更新后的解析配置文件。

当节点IP监控数据超过第一阈值时，认为节点IP不可用。节点IP监控数据包含多项内容，如包括网络连通性、设备带宽、服务端口监控、进程监控、设备负载、cpu、内存使用等指标，可将各指标量化后，针对量化值设置第一阈值。第一阈值可设置为针对其中任一指标，也可设置为针对其中多个指标。例如，网络不能联通记为1、设备带宽超过2G记为1，服务端口不通记为1、设备负载超过cpu核数记为1、CPU使用超过90％记为1、内存使用率超过90％记为1，非以上情况记为0，设置第一阈值为0时监控数据量化后得到的值大于等于1则认为出现异常。

b)半边缘化方案计算单元结合系统模式监控数据，评定当前应采用的系统模式，并根据各系统模式的原始NS配置文件和节点IP监控数据，计算出第一、第三DNS单元的原始NS配置文件和第二DNS单元的解析配置文件并下发。具体评定当前应采用的系统模式的方法如下：

1)当所有DNS设备每秒钟解析请求数的总和超过第二阈值，则进入防攻击模式；所述第二阈值一般设置为高于日常服务量的值，优选为高于日常服务量数倍的值。这样，超过第二阈值即表明服务量突增，存在超载及出现攻击事件危险，通过设置第二阈值触发模式切换，能及时对上述危险进行响应处理。例如，将第二阈值设定为不超过系统服务能力的85％，为日常服务量的5倍，假设软件性能极限是

10000qps，日常量是1500，则阈值是7500，超过这个值有攻击和超负载的可能性。

2)当所有设备上所有PK域名(PK域名为性能测试，可评价所有不同厂商服务质量，体现客户性能)每秒钟解析请求数的总和超过第三阈值，则进入极速模式。PK要求对比各个厂商的性能和可用性，一旦不达标会丢失客户，影响收入。因此设置第三阈值平衡性能与可用性，在出现危险时启动极速模式，保障性能和可用性。

3)当同一时刻第二、第三阈值均被超过，则优先进入防攻击模式。

除上述情况之外，均保持原有常规模式服务。即在第二或第三阈值被超过，相应指标后续又回落低于该第二、第三阈值时，重新切换回常规模式提供服务。

c)半边缘化方案计算模块进行NS配置文件及解析配置文件的更新。优选的，可预置一个周期，周期性的进行更新；也可以设置触发事件，在发生相应事件时进行更新。

DNS功能单元根据接收到的配置文件进行具体的请求域名解析：

第一DNS单元接收并加载管理模块下发的“引导层NS配置文件”，通过不同NS配置文件的加载，在LDNS进行引导层DNS解析时，实现不同半边缘化系统模型；

第二DNS单元接收和加载管理模块下发的“解析配置文件”，为LDNS提供第一DNS单元中引导层原始NS配置文件中非本域NS记录的分区域A记录解析功能，实现指定NS的边缘化；

第三DNS单元接收并加载管理模块下发的与“引导层原始NS配置文件”相同的NS记录配置和域名分区域的解析配置，为LDNS实现NS记录解析和域名分区域解析功能。

下面结合附图，对本发明的实施例二进行说明。

本发明实施例提供了一种域名系统服务器调度方法，使用该方法实现半边缘化DNS服务器调度的流程如图3所示，包括：

步骤301、对域名系统DNS服务器工作情况进行监控，获得监控数据；

监控DNS服务器每秒种请求数及PK域名每秒钟请求数，根据监控结果生成所述监控数据。

优选的，还可监控至少一个DNS服务器节点的IP地址可用性，生成IP监控数据。

步骤302、根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件；

所述DNS服务器的工作模式包含以下模式的任一种或任意多种：

防攻击模式，极速模式，常规模式，

所述根据所述监控数据，切换所述DNS服务器的工作模式的步骤包括：

默认工作于常规模式；

当所有DNS服务器每秒钟解析请求数超过预置的第二阈值时，切换至防攻击模式；

当所有DNS服务器上所有PK域名每秒钟解析请求数超过预置的第三阈值时，切换至极速模式；

当同时达到所述第二阈值及所述第三阈值时，切换至防攻击模式。

在常规模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，一条NS记录指向透明防护DNS服务器，一条NS记录指向高防DNS服务器，其余NS记录指向边缘化DNS服务器，N>＝4；

在防攻击模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向边缘化DNS服务器，一条NS记录指向透明防护DNS服务器，其余NS记录指向高防DNS服务器；

在极速模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，其余NS记录指向边缘化DNS服务器。

优选的，维护解析配置文件，所述解析配置文件中包含有至少一个DNS服务器节点，供所述NS配置文件选择使用；根据所述IP监控数据，使用预置的备份方案中包含的可用IP地址替换不可用IP地址，更新所述解析配置文件。具体的，判断DNS配置文件的节点IP监控数据是否超过第一阈值时，如果是，认为节点IP不可用。

步骤303、根据所述NS配置文件，为解析请求域名，获取所述请求域名的匹本域和/或非本域DNS服务器解析结果；

本步骤具体包括：

1)获取解析所述请求域名的引导信息，所述引导信息包括所述请求域名的NS记录和本域NS记录的A记录；

2)根据所述NS配置文件中包含的非本域NS记录，获取非本域NS记录的A记录；

3)向所述本域和/或非本域NS记录的A记录IP地址对应的DNS服务器发起解析域名的请求，获取所述请求域名的A记录。

本发明的实施例一提供的域名系统服务器调度系统，能够与本发明实施例提供的域名系统服务器调度方法相结合，由该系统根据该方法实现DNS服务器的调度，具体的：

监控模块，用于对域名系统DNS服务器工作情况进行监控，获得监控数据；

管理模块，用于根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件；

DNS功能模块，用于根据所述NS配置文件，解析请求域名，获取所述请求域名的本域和/或非本域DNS服务器解析结果。

优选的，所述监控模块包括：

系统模式监控单元，用于监控DNS服务器每秒种请求数及PK域名每秒钟请求数，根据监控结果生成所述监控数据。

优选的，所述DNS服务器的工作模式包含以下模式的任一种或任意多种：

防攻击模式，极速模式，常规模式，

所述管理模块包括：

切换管理单元，用于控制系统默认工作于常规模式，

当所有DNS服务器每秒钟解析请求数超过预置的第二阈值时，切换至防攻击模式，

当所有DNS服务器上所有PK域名每秒钟解析请求数超过预置的第三阈值时，切换至极速模式，

当同时达到所述第二阈值及所述第三阈值时，切换至防攻击模式。

优选的，所述管理模块还包括：

配置单元，用于在常规模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，一条NS记录指向透明防护DNS服务器，一条NS记录指向高防DNS服务器，其余NS记录指向边缘化DNS服务器，N>＝4，

在防攻击模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向边缘化DNS服务器，一条NS记录指向透明防护DNS服务器，其余NS记录指向高防DNS服务器，

在极速模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，其余NS记录指向边缘化DNS服务器。

优选的，所述管理模块还包括：

半边缘化方案计算单元，用于维护解析配置文件，所述解析配置文件中包含有至少一个DNS服务器节点，供所述NS配置文件选择使用。

优选的，所述监控模块还包括：

IP节点监控单元，用于监控至少一个DNS服务器节点的IP地址可用性，生成IP监控数据；

所述半边缘化方案计算单元，具体用于根据所述IP监控数据，使用预置的备份方案中包含的可用IP地址替换不可用IP地址，更新所述解析配置文件。

优选的，所述DNS功能模块包括：

第一DNS单元，用于根据解析请求域名的请求，获取解析所述请求域名的引导信息，所述引导信息包括所述请求域名的NS记录和本域NS记录的A记录；

第二DNS单元，用于根据所述NS配置文件中包含的非本域NS记录，获取非本域NS记录的A记录；

第三DNS单元，用于向所述本域和/或非本域NS记录的A记录IP地址对应的DNS服务器发起解析域名的请求，获取所述请求域名的A记录。

下面结合附图，对本发明的实施例三进行说明。

本发明实施例提供了一种域名系统服务器调度方法，以“.com”和“.cn”域名为例进行说明。本领域技术人员能够知晓，无论后缀如何，均可使用本发明的实施例提供的域名系统服务器调度方法及系统实现半边缘DNS服务器调度。

本发明实施例中，接收到的用户请求表明需要解析www.a.com的A记录，解析过程如下：

1、LDNS向第一DNS单元请求www.a.com结果，第一DNS单元存储有引导层NS配置文件和本域NS记录的A记录配置：

a.com NS ns1.a.com

a.com NS ns2.a.com

a.com NS ns3.a.com

a.com NS ns4.b.cn

ns1.a.com A 2.2.2.1

ns2.a.com A 2.2.2.2

ns3.a.com A 2.2.2.3

2、LDNS没有获取ns4.b.cn的DNS服务器IP，会继续向b.cn的权威DNS服务器第二DNS单元请求；

Ns4.b.cn A 3.3.3.3

第4个NS记录的A记录即为第三DNS单元的IP。

3、LDNS继续向第三DNS单元请求www.a.com的A记录，第三DNS单元给出应答结果为：

www.a.com A 1.1.1.1

a.com NS ns1.a.com

a.com NS ns2.a.com

a.com NS ns3.a.com

a.com NS ns4.b.cn

ns1.a.com A 2.2.2.1

ns2.a.com A 2.2.2.2

ns3.a.com A 2.2.2.3

LDNS缓存中有ns4.b.cn的结果，会拼接成最终结果反馈给用户。

常规模式下的NS文件配置如下：

a.com NS ns1.a.com ns1对应IP为BGP设备；

a.com NS ns2.a.com ns2对应IP为透明防护设备；

a.com NS ns3.a.com ns3对应IP为高防设备；

a.com NS ns4.b.cn ns4.b.cn分区域对应IP为本地设备。

极速模式下的NS文件配置如下：

a.com NS ns1.a.com ns1对应IP为BGP设备；

a.com NS ns2.b.cn ns2.b.cn分区域对应IP为本地设备；

a.com NS ns3.b.cn ns3.b.cn分区域对应IP为本地设备；

a.com NS ns4.b.cn ns4.b.cn分区域对应IP为本地设备。

防攻击模式下的NS文件配置如下：

a.com NS ns1.a.com ns1对应IP为透明防护设备；

a.com NS ns2.a.com ns2对应IP为高防设备；

a.com NS ns3.a.com ns3对应IP为高防设备；

a.com NS ns4.b.cn ns4.b.cn分区域对应IP为本地设备。

本发明的实施例提供了一种域名系统服务器调度方法和系统，对域名系统DNS服务器工作情况进行监控，获得监控数据，根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件，根据所述NS配置文件，为解析请求域名，获取所述请求域名的匹本域和/或非本域DNS服务器解析结果。集合了边缘化节点、BGP节点、流量清洗节点各自的优势，发挥合力效能，实现高性能、高可用性、高防DDOS能力，整体方案能够提升20％以上的效果。通过向不同区域提供不同的IP的边缘化DNS能保证就近访问，为用户提高DNS解析速度；高防DNS服务器通过流量清洗，能够有效地抵御DDoS攻击；BGP网络节点通过BGP协议与各大运营商互联，保证较高的服务质量和可靠性，降低解析的失败率。同时，采用静态资源和动态资源相配合的部署方案，降低了管理模块遭受DDoS攻击带来的风险，提高平台整体抵御DDoS攻击的能力。此方案通过有效的监控探测判断当前解析业务特征，结合预先设定的多种系统架构模式，快速高效的进行系统模式自动切换，大幅提高系统应对攻击、性能PK等业务场景的能力，解决了DNS的引导层容易受到DDoS攻击的问题，实现了高效可靠的DDoS防御机制。

上面描述的内容可以单独地或者以各种方式组合起来实施，而这些变型方式都在本发明的保护范围之内。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制。尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (14)

1.一种域名系统服务器调度方法，其特征在于，包括：

对域名系统DNS服务器工作情况进行监控，获得监控数据；

根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件；

根据所述NS配置文件，为解析请求域名，获取所述请求域名的匹本域和/或非本域DNS服务器解析结果。

2.根据权利要求1所述的域名系统服务器调度方法，其特征在于，所述对域名系统DNS服务器工作情况进行监控，获得监控数据的步骤具体为：

监控DNS服务器每秒种请求数及PK域名每秒钟请求数，根据监控结果生成所述监控数据。

3.根据权利要求2所述的域名系统服务器调度方法，其特征在于，所述DNS服务器的工作模式包含以下模式的任一种或任意多种：

防攻击模式，极速模式，常规模式，

所述根据所述监控数据，切换所述DNS服务器的工作模式的步骤包括：

默认工作于常规模式；

当所有DNS服务器每秒钟解析请求数超过预置的第二阈值时，切换至防攻击模式；

当所有DNS服务器上所有PK域名每秒钟解析请求数超过预置的第三阈值时，切换至极速模式；

当同时达到所述第二阈值及所述第三阈值时，切换至防攻击模式。

4.根据权利要求3所述的域名系统服务器调度方法，其特征在于，所述生成与当前工作模式相应的NS配置文件包括：

在常规模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，一条NS记录指向透明防护DNS服务器，一条NS记录指向高防DNS服务器，其余NS记录指向边缘化DNS服务器，N>＝4；

在防攻击模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向边缘化DNS服务器，一条NS记录指向透明防护DNS服务器，其余NS记录指向高防DNS服务器；

在极速模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，其余NS记录指向边缘化DNS服务器。

5.根据权利要求4所述的域名系统服务器调度方法，其特征在于，该方法还包括：

维护解析配置文件，所述解析配置文件中包含有至少一个DNS服务器节点，供所述NS配置文件选择使用。

6.根据权利要求5所述的域名系统服务器调度方法，其特征在于，该方法还包括：

监控至少一个DNS服务器节点的IP地址可用性，生成IP监控数据；

根据所述IP监控数据，使用预置的备份方案中包含的可用IP地址替换不可用IP地址，更新所述解析配置文件。

7.根据权利要求1所述的域名系统服务器调度方法，其特征在于，所述根据所述NS配置文件，解析请求域名，获取所述请求域名的本域和/或非本域DNS服务器解析结果的步骤包括：

获取解析所述请求域名的引导信息，所述引导信息包括所述请求域名的NS记录和本域NS记录的A记录；

根据所述NS配置文件中包含的非本域NS记录，获取非本域NS记录的A记录；

向所述本域和/或非本域NS记录的A记录IP地址对应的DNS服务器发起解析域名的请求，获取所述请求域名的A记录。

8.一种域名系统服务器调度系统，其特征在于，包括：

监控模块，用于对域名系统DNS服务器工作情况进行监控，获得监控数据；

管理模块，用于根据所述监控数据，切换所述DNS服务器的工作模式，生成与当前工作模式相应的NS配置文件；

DNS功能模块，用于根据所述NS配置文件，解析请求域名，获取所述请求域名的本域和/或非本域DNS服务器解析结果。

9.根据权利要求8所述的域名系统服务器调度系统，其特征在于，所述监控模块包括：

系统模式监控单元，用于监控DNS服务器每秒种请求数及PK域名每秒钟请求数，根据监控结果生成所述监控数据。

10.根据权利要求9所述的域名系统服务器调度系统，其特征在于，所述DNS服务器的工作模式包含以下模式的任一种或任意多种：

防攻击模式，极速模式，常规模式，

所述管理模块包括：

切换管理单元，用于控制系统默认工作于常规模式，

当所有DNS服务器每秒钟解析请求数超过预置的第二阈值时，切换至防攻击模式，

当所有DNS服务器上所有PK域名每秒钟解析请求数超过预置的第三阈值时，切换至极速模式，

当同时达到所述第二阈值及所述第三阈值时，切换至防攻击模式。

11.根据权利要求10所述的域名系统服务器调度系统，其特征在于，所述管理模块还包括：

配置单元，用于在常规模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，一条NS记录指向透明防护DNS服务器，一条NS记录指向高防DNS服务器，其余NS记录指向边缘化DNS服务器，N>＝4，

在防攻击模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向边缘化DNS服务器，一条NS记录指向透明防护DNS服务器，其余NS记录指向高防DNS服务器，

在极速模式下，生成包含如下内容的所述NS配置文件：

N条NS记录，其中一条NS记录指向BGP-DNS服务器，其余NS记录指向边缘化DNS服务器。

12.根据权利要求11所述的域名系统服务器调度系统，其特征在于，所述管理模块还包括：

半边缘化方案计算单元，用于维护解析配置文件，所述解析配置文件中包含有至少一个DNS服务器节点，供所述NS配置文件选择使用。

13.根据权利要求12所述的域名系统服务器调度系统，其特征在于，所述监控模块还包括：

IP节点监控单元，用于监控至少一个DNS服务器节点的IP地址可用性，生成IP监控数据；

所述半边缘化方案计算单元，具体用于根据所述IP监控数据，使用预置的备份方案中包含的可用IP地址替换不可用IP地址，更新所述解析配置文件。

14.根据权利要求8所述的域名系统服务器调度系统，其特征在于，所述DNS功能模块包括：

第一DNS单元，用于根据解析请求域名的请求，获取解析所述请求域名的引导信息，所述引导信息包括所述请求域名的NS记录和本域NS记录的A记录；

第二DNS单元，用于根据所述NS配置文件中包含的非本域NS记录，获取非本域NS记录的A记录；

第三DNS单元，用于向所述本域和/或非本域NS记录的A记录IP地址对应的DNS服务器发起解析域名的请求，获取所述请求域名的A记录。