CN114257566A - 域名访问方法、装置和电子设备 - Google Patents

Abstract

本发明提供了一种域名访问方法、装置和电子设备，其中，DDOS高防服务器接收用户终端发送的域名访问请求；对域名访问请求进行初步过滤，通过预设内网IP将初步过滤后的域名访问请求发送至配置有域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以使WEB应用防火墙对域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。本发明将DDOS高防服务器和WEB应用防火墙设置于同一内网，DDOS高防服务器通过预设内网IP将域名访问请求发送至WEB应用防火墙，相对于现有技术中DDOS高防服务器将访问请求转发到公网的方式，该方式减少了请求的转发次数，提高了请求的转发效率，提升了用户的体验感。

Description

域名访问方法、装置和电子设备

技术领域

本发明涉及数据安全技术领域，尤其是涉及一种域名访问方法、装置和电子设备。

背景技术

相关技术中，为了防御大流量的DDOS攻击和防御黑客对于应用层的各类攻击破坏，用户需要购买DDOS高防和云WEB应用防火墙产品做防御。

在用户通过浏览器访问指定域名时，该浏览器将该指定域名发送给DNS服务器；DNS服务器解析指定域名，得到解析信息，该解析信息为：指定域名指向第一别名记录，第一别名记录通过A记录解析得到弹性公网IP1，将该解析信息返回给浏览器；浏览器接收到该解析信息后，访问请求被牵引至IP1，也即是牵引到DDOS高防服务器，以使DDOS高防服务器向DNS服务器发送寻址请求；该DNS服务器基于该寻址请求，得到寻址信息(该寻址信息中包括第二别名记录指向弹性公网IP2)，并将寻址信息返回给DDOS高防服务器，此时访问请求被牵引到IP2，即DDOS高防服务器将访问请求转发到公网中，按照寻址信息转发到WEB应用防火墙；WEB应用防火墙通过之前配置的源站IP，将访问请求转发到源站服务器。该方式中域名访问请求需要多次转发，请求响应延迟较大，容易出现丢包和连接中断的现象，影响业务运营，使得用户的体验感较差。

发明内容

本发明的目的在于提供一种域名访问方法、装置和电子设备，以减小域名访问请求的转发次数，缓解丢包和连接中断的现象，提升用户和运营方的体验感。

第一方面，本发明实施例提供了一种域名访问方法，该方法应用于DDOS高防服务器；该方法包括：接收用户终端发送的域名访问请求；对域名访问请求进行初步过滤，得到初步过滤后的域名访问请求；通过预设内网IP将初步过滤后的域名访问请求发送至配置有域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

在可选的实施方式中，上述方法还包括：接收第一配置指令；其中，第一配置指令中携带有访问域名、预设内网IP和目标IP；其中，该预设内网IP包括：在DDOS高防服务器和WEB应用防火墙所处的预设内网中，为WEB应用防火墙配置的IP地址；该目标IP为将域名访问请求牵引至DDOS高防服务器的入口地址；保存第一配置指令中的访问域名、预设内网IP和目标IP。

在可选的实施方式中，上述目标IP属于弹性公网IP；该目标IP与DDOS高防服务器绑定。

第二方面，本发明实施例提供了一种域名访问方法，该方法应用于WEB应用防火墙服务器；该方法包括：接收DDOS高防服务器发送的域名访问请求；其中，该WEB应用防火墙服务器配置有与DDOS高防服务器通信连接的预设内网IP；该DDOS高防服务器通过预设内网IP发送域名访问请求；对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

在可选的实施方式中，上述方法还包括：接收第二配置指令；其中，该第二配置指令中携带有访问域名、指定内网IP和源站IP；其中，该指定内网IP为：在DDOS高防服务器和WEB应用防火墙所处的预设内网中，为DDOS高防服务器配置的IP地址；该源站IP为源站服务器的IP地址；保存第二配置指令中的访问域名、指定内网IP和源站IP。

在可选的实施方式中，上述方法还包括：接收源站服务器返回的访问数据；对访问数据进行过滤处理，得到过滤后的访问数据；基于指定内网IP将过滤后的访问数据发送至DDOS高防服务器，以使DDOS高防服务器对过滤后的访问数据进行二次过滤，并将二次过滤后的访问数据发送至用户终端。

第三方面，本发明实施例提供了一种域名访问方法，该方法应用于用户终端；该方法包括：如果接收到域名访问请求，从域名访问请求中提取访问域名；将访问域名发送至域名解析服务器，以使该域名解析服务器返回域名访问路径；该域名访问路径包括：访问域名指向的指定别名记录，以及该指定别名记录对应的目标IP；将域名访问请求发送至与目标IP绑定的DDOS高防服务器，以使DDOS高防服务器对域名访问请求进行初步过滤，并通过预设内网IP将初步过滤后的域名访问请求发送至配置有指定别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

第四方面，本发明实施例提供一种域名访问装置，该装置设置于DDOS高防服务器；该装置包括：第一请求接收模块，用于接收用户终端发送的域名访问请求；第一过滤模块，用于对域名访问请求进行初步过滤，得到初步过滤后的域名访问请求；第一请求发送模块，用于通过预设内网IP将初步过滤后的域名访问请求发送至配置有域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

第五方面，本发明实施例提供了一种域名访问装置，该装置设置于WEB应用防火墙服务器；该装置包括：第二请求接收模块，用于接收DDOS高防服务器发送的域名访问请求；其中，该WEB应用防火墙服务器配置有与DDOS高防服务器通信连接的预设内网IP；该DDOS高防服务器通过预设内网IP发送域名访问请求；第二过滤模块，用于对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

第六方面，本发明实施例提供了一种域名访问装置，该装置设置于用户终端；该装置包括：域名提取模块，用于如果接收到域名访问请求，从域名访问请求中提取访问域名；域名发送模块，用于将访问域名发送至域名解析服务器，以使域名解析服务器返回域名访问路径；该域名访问路径包括：访问域名指向的指定别名记录，以及指定别名记录对应的目标IP；第二请求发送模块，用于将域名访问请求发送至与目标IP绑定的DDOS高防服务器，以使DDOS高防服务器对域名访问请求进行初步过滤，并通过预设内网IP将初步过滤后的域名访问请求发送至配置有指定别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

第七方面，本发明实施例提供了一种电子设备，该电子设备包括处理器和存储器，该存储器存储有能够被处理器执行的机器可执行指令，处理器执行机器可执行指令以实现上述域名访问方法。

第八方面，本发明实施例提供了一种机器可读存储介质，该机器可读存储介质存储有机器可执行指令，该机器可执行指令在被处理器调用和执行时，该机器可执行指令促使处理器实现上述域名访问方法。

本发明实施例带来了以下有益效果：

本发明提供的一种域名访问方法、装置和电子设备，其中，DDOS高防服务器接收用户终端发送的域名访问请求，并对域名访问请求进行初步过滤，得到初步过滤后的域名访问请求；然后通过预设内网IP将初步过滤后的域名访问请求发送至配置有域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。该方式将DDOS高防服务器和WEB应用防火墙设置于同一内网，DDOS高防服务器通过预设内网IP将域名访问请求发送至WEB应用防火墙，相对于现有技术中DDOS高防服务器将访问请求转发到公网的方式，该方式减少了请求的转发次数，提高了请求的转发效率，提升了用户的体验感。

进一步地，本发明实施例将现有技术中的WEB应用防火墙的弹性公网IP与其解绑，然后将该弹性公网IP绑定到DDOS高防服务器上，即此时DDOS高防和WEB应用防火墙同时使用同一个弹性公网IP进行牵引流量(相当于牵引域名访问请求)，而且在用户看来，该DDOS高防服务器此时处于透明状态，从而节省了一个弹性公网IP，节省一次请求转发次数，从而既节省了请求转发成本，也提高了请求转发效率。

本发明的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本发明的上述技术即可得知。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施方式，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种域名访问请求的转发场景示意图；

图2为本发明实施例提供的一种域名访问方法的流程图；

图3为本发明实施例提供的另一种域名访问方法的流程图；

图4为本发明实施例提供的另一种域名访问方法的流程图；

图5为本发明实施例提供的一种域名访问请求的转发示意图；

图6为本发明实施例提供的一种域名访问装置的结构示意图；

图7为本发明实施例提供的另一种域名访问装置的结构示意图；

图8为本发明实施例提供的另一种域名访问装置的结构示意图；

图9为本发明实施例提供的一种电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

相关技术中，为了防御大流量的DDOS(Distributed denial of service attack，分布式拒绝服务攻击)攻击、防御黑客对于应用层的各类攻击破坏和渗透窃取数据，用户通常会同时购买DDOS高防IP和云WEB(World Wide Web，全球广域网)应用防火墙产品做防御。

上述DDOS高防IP通常是一种可用于防御、清洗大流量DDOS攻击的弹性IP(Internet Protocol，互联网协议)，可以解绑定在某些云产品前做四层安全防护。上述云WEB应用防火墙通常是一种用于防御、清洗七层攻击威胁流量，保护WEB网站业务的安全产品，该云WEB应用防火墙的核心能力是防护应用层的攻击，典型的是一些由恶意攻击者精心构造的攻击请求，而云WEB应用防火墙本身不具备DDOS防护能力。在现实应用中，网络攻击者往往不会仅用单一的攻击方式发起攻击，多采用混合型的攻击方式，既有流量型攻击，又混杂精巧的WEB应用层攻击等其他攻击方式。因此，单一使用一种网络安全防护产品无法起到全面的防护效果，一般根据遭受的攻击进行分析来选择适合的防护手段。通常，DDOS高防和云WEB应用防火墙都需要一个弹性公网IP作为流量(或者称为请求)牵引入口。

当用户已经购买DDOS高防和WEB应用防火墙两款产品时，用户需要登录DDOS高防的控制台配置访问域名(例如，www.abc.com)、回源地址和弹性公网IP1；其中回源地址通常有两种配置方式：第一种是复制别名记录CName2，将CName2粘贴到DDOS高防的回源地址中，即DDOS高防回源时流量指向CName2；第二种是复制弹性公网IP2，将IP2粘贴到DDOS高防的回源地址中，即DDOS高防回源时流量指向IP2。用户还需要登录WEB应用防火墙的控制台，配置访问域名、源站IP和弹性公网IP2。用户还需要到DNS(Domain Name Service，域名解析服务器)服务商处，将访问域名指向CName1，其中，CName1通过A记录解析到IP1，CName2通过A记录解析到IP2。

上述CName通常为别名记录，该别名记录允许用户将多个名字映射到另外一个域名上。上述A记录通常是用来指定访问域名对应的IP地址的记录。上述DNS可以将访问域名解析到对应的IP或CName域名上。

如图1所示为一种域名访问请求的转发场景示意图。基于图1，如果用户想要访问域名www.abc.com，首先用户通过浏览器发送域名访问请求，并通过浏览器将访问请求中的域名发送给DNS服务器；DNS服务器解析www.abc.com，得到解析信息，该解析信息为：www.abc.com指向CName1，Cname1通过A记录解析得到弹性公网IP1，将该解析信息返回给浏览器；浏览器接收到该解析信息后，域名访问请求(相当于上述流量)被牵引至IP1，也即是牵引到DDOS高防服务器。如果DDOS高防采用第一种配置方式配置回源地址，DDOS防高服务器会向DNS服务器发送寻址请求，该DNS服务器基于该寻址请求，得到寻址信息，该寻址信息中包括CName2指向IP2，并将寻址信息返回给DDOS高防服务器，此时域名访问请求被牵引到IP2，即DDOS高防服务器将访问请求转发到公网中，按照寻址信息转发到WEB应用防火墙。如果DDOS高防采用第二种配置方式配置回源地址，则DDOS高防服务器通过配置的回源地址IP2，可直接将域名访问请求牵引到WEB应用防火墙，无需查询DNS服务器。

WEB应用防火墙接收到域名访问请求后，通过之前配置的源站IP，将域名访问请求转发到源站服务器，此时请求完成。该方式中域名访问请求需要多次转发，请求响应延迟较大，容易出现丢包和连接中断的现象，网站反应慢且卡顿，进而影响业务运营，使得用户和运营方的体验感较差。同时，该方式整个请求转发过程中使用了两个弹性公网IP(IP1和IP2)，造成了资源的浪费，而且弹性公网IP需要用户花钱购买，也增加了成本。

基于上述问题，本发明实施例提供了一种域名访问方法、装置和电子设备，该技术应用于流量转发场景中，尤其是域名访问的场景中。为了便于对本发明实施例进行理解，首先对本发明实施例所公开的一种域名访问方法进行详细介绍，如图2所示，该方法应用于DDOS高防服务器，该方法包括如下步骤：

步骤S202，接收用户终端发送的域名访问请求。

上述用户终端可以是移动终端，例如，手机、平板电脑、智能手表等；也可以是计算机。上述域名访问请求通常是指访问某一域名的请求。如果用户需要访问某一网站，通常会向用户终端的浏览器中发送域名访问请求，该浏览器接收到域名访问请求后，会从域名访问请求中提取访问域名，并将该域名发送至域名解析服务器，以使该域名解析服务器向用户终端返回访问域名的访问路径，该访问路径通常包含有该访问域名指向的指定别名记录，以及该指定别名记录对应的目标IP。在具体实现时，上述访问域名的访问路径是研发人员在配置阶段，在域名解析服务器的服务商处，提前设置好的，以使该域名服务器中包含有多个域名，以及每个域名对应的访问路径。

用户终端接收到访问域名的访问路径后，根据访问路径，将域名访问请求发送至与目标IP绑定的DDOS高防服务器中，也可以理解为，域名访问请求被牵引至DDOS高防服务器中。上述目标IP属于弹性公网IP，该目标IP与DDOS高防服务器绑定。其中，弹性公网IP通常可提供独立的公网IP资源，包括公网IP地址与公网出口带宽服务，可以与弹性云服务器、裸金属服务器、虚拟IP、弹性负载均衡等资源灵活地绑定及解绑，拥有多种灵活的计费方式，可以满足各种业务场景的需要。

步骤S204，对域名访问请求进行初步过滤，得到初步过滤后的域名访问请求。

DDOS高防服务器对域名访问请求进行初步过滤，以防御和清洗大流量DDOS攻击，得到初步过滤后的域名访问请求。

步骤S206，通过预设内网IP将初步过滤后的域名访问请求发送至配置有域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

本实施例中，预先将DDOS高防服务器和WEB应用防火墙设置在同一个的内网中，并在DDOS高防服务器的配置信息保存WEB应用防火墙配置的预设内网IP。在DDOS高防服务器对域名访问请求进行初步过滤后，通过预设内网IP将初步过滤后的域名访问请求发送至配置有访问路径中指示的访问域名指向的别名记录的WEB应用防火墙。WEB应用防火墙接收到初步过滤后的域名访问请求，对其进行二次过滤，以防御、清洗七层攻击威胁流量，得到二次过滤后的域名访问请求，并将二次过滤后的访问域名发送至源站服务器。

在具体实现时，上述DDOS高防服务器接收用户终端发送的域名访问请求之前，还需要进行信息配置，信息配置的过程为下述步骤10-11：

步骤10，接收第一配置指令；其中，该第一配置指令中携带有访问域名、预设内网IP和目标IP；其中，该预设内网IP包括：在DDOS高防服务器和WEB应用防火墙所处的预设内网中，为WEB应用防火墙配置的IP地址；该目标IP为将域名访问请求牵引至DDOS高防服务器的入口地址。上述访问域名可以是研发人员设置的、任意可访问的域名，例如，www.abc.com。

上述预设内网IP相当于现有技术中的回源地址，由于DDOS高防服务器可通过预设内网IP向WEB应用防火墙发送域名解析请求，从而相对于现有技术节省了一个弹性公网IP，也减少了请求的转发次数，从而可以节省请求转发成本和提高请求转发效率。

步骤11，保存第一配置指令中的访问域名、预设内网IP和目标IP。

本发明实施例提供的一种域名访问方法，DDOS高防服务器接收用户终端发送的域名访问请求，并对域名访问请求进行初步过滤，得到初步过滤后的域名访问请求；然后通过预设内网IP将初步过滤后的域名访问请求发送至配置有域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。该方式将DDOS高防服务器和WEB应用防火墙设置于同一内网，DDOS高防服务器通过预设内网IP将域名访问请求发送至WEB应用防火墙，相对于现有技术中DDOS高防服务器将访问请求转发到公网的方式，该方式减少了请求的转发次数，提高了请求的转发效率，提升了用户的体验感。

对应于上述方法实施例，本发明实施例还提供了另一种域名访问方法，如图3所示，该方法应用于WEB应用防火墙服务器，该方法包括如下步骤：

步骤S302，接收DDOS高防服务器发送的域名访问请求；其中，WEB应用防火墙服务器配置有与DDOS高防服务器通信连接的预设内网IP；该DDOS高防服务器通过预设内网IP发送域名访问请求。

步骤S304，对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

在具体实现时，在执行步骤S302之前，上述WEB应用防火墙服务器还需要进行信息配置，该信息配置的过程为下述步骤20-21：

步骤20，接收第二配置指令；其中，该第二配置指令中携带有访问域名、指定内网IP和源站IP；其中，该指定内网IP为：在DDOS高防服务器和WEB应用防火墙所处的预设内网中，为DDOS高防服务器配置的IP地址；该源站IP为源站服务器的IP地址。

上述指定内网IP相当于现有技术中的在WEB应用防火墙的控制台(相当于WEB应用防火墙服务器)设置的弹性公网IP1，从而相对于现有技术，本发明节省了一个弹性公网IP，进而节约了流量转发成本。

步骤21，保存上述第二配置指令中的访问域名、指定内网IP和源站IP。在具体实现时，用户终端在基于访问域名的访问路径将域名访问请求发送至DDOS服务器后，会缓存该访问域名对应的访问路径；此时，如果用户终端接收到用户在该访问域名下的数据访问请求(例如，图片下载请求、图片上传请求等)，用户终端会基于访问路径，将该数据访问请求发送至与目标IP绑定的DDOS高防服务器，以使DDOS高防服务器对数据访问请求进行初步过滤，并通过预设内网IP将过滤后的数据访问请求发送至配置有指定别名记录的WEB应用防火墙；以使该WEB应用防火墙对接收到的数据访问请求进行二次过滤，并将二次过滤后的数据访问请求发送至源站服务器；该源站服务器根据二次过滤后的数据访问请求返回访问数据。然后，WEB应用防火墙服务器接收源站服务器返回的访问数据；对访问数据进行过滤处理，得到过滤后的访问数据；基于指定内网IP将过滤后的访问数据发送至DDOS高防服务器，以使DDOS高防服务器对过滤后的访问数据进行过滤，并将过滤后的访问数据发送至用户终端，完成数据访问请求。

上述域名访问方法中，WEB应用防火墙服务器接收DDOS高防服务器通过预设内网IP发送域名访问请求发，并对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。该方式将DDOS高防服务器和WEB应用防火墙设置于同一内网，DDOS高防服务器通过预设内网IP将域名访问请求发送至WEB应用防火墙，相对于现有技术中DDOS高防服务器将访问请求转发到公网的方式，该方式减少了请求的转发次数，提高了请求的转发效率，提升了用户的体验感。

对应于上述方法实施例，本发明实施例还提供了另一种域名访问方法，如图4所示，该方法应用于用户终端，该方法包括如下步骤：

步骤S402，如果接收到域名访问请求，从域名访问请求中提取访问域名。

上述访问域名可以为用户访问某一网站的域名，例如，www.abc.com。

步骤S404，将访问域名发送至域名解析服务器，以使域名解析服务器返回域名访问路径；该域名访问路径包括：访问域名指向的指定别名记录，以及指定别名记录对应的目标IP。

在具体实现时，上述域名解析服务器接收到用户终端发送的访问域名后，根据预设的域名配置信息，解析得到访问域名的访问路径，并将解析得到的访问记录返回给用户终端。该域名配置信息是研发人员预先配置好的，该域名配置信息中包括：多个预设域名，以及每个预设域名的访问路径；每个预设域名的访问路径包括：预设域名指向的别名记录，以及该别名记录对应的目标IP。其中，根据预设的域名配置信息，解析得到域名访问路径的步骤，包括：从域名配置信息中，查询访问域名的访问路径。

步骤S406，将域名访问请求发送至与目标IP绑定的DDOS高防服务器，以使DDOS高防服务器对域名访问请求进行初步过滤，并通过预设内网IP将初步过滤后的域名访问请求发送至配置有指定别名记录的WEB应用防火墙，以通过该WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

为了便于对本发明实施例进行理解，本发明实施例提供了一种域名访问请求的转发示意图，如图5所示，首先登陆WEB应用防火墙服务器进行配置，配置访问域名www.abc.com、源站IP和指定内网IP(由该指定内网IP替代图1中的弹性公网IP1)，然后登陆DDOS高防服务器进行配置，配置访问域名www.abc.com、预设内网IP(由该预设内网IP替换现有技术中的回源地址)和弹性公网IP2(相当于上述目标IP)；再修改域名解析服务器(相当于图5中的DNS)中的域名配置信息，将访问域名www.abc.com指向Cname2，Cname2通过A记录解析到IP2。

首先用户通过用户终端的浏览器访问域名www.abc.com时，浏览器通过访问域名解析服务器得到：www.abc.com指向CName2，CName2通过A记录解析到IP2(相当于上述访问路径)；域名解析服务器将解析得到的访问路径返回给浏览器，此时域名访问请求被牵引到IP2，即牵引到DDOS高防服务器；由于DDOS高防和WEB应用防火墙都在预设内网中，可以DDOS高防服务器可以通过配置的预设内网IP将域名访问请求牵引至WEB应用防火墙；WEB应用防火墙通过之前配置的源站IP，将域名访问请求转发回源站服务器。

图5所示的域名访问方法，无需DDOS高防服务器发送寻址请求到云端的域名解析服务器去查询寻址信息；也不需要DDOS高防服务将域名解析请求转发到公网中，根据寻址信息进行转发，而是直接通过预设内网IP建立连接(相当于图5中的专线)，传递域名访问请求，该过程节省一次公网转发，节省一次DNS寻址请求，从而缩小了请求响应时间，避免了丢包、连接中断等网络故障，网站加载速度变快，业务运营正常无风险，给用户和运营方带来了较好的使用体验。同时，整个请求转发过程中只使用了1个弹性公网IP(相当于上述目标IP)，节约IP资源，减少额外成本。

上述域名访问方法，将现有技术中的WEB应用防火墙的弹性公网IP与其解绑，然后将该弹性公网IP绑定到DDOS高防服务器上，此时DDOS高防和WEB应用防火墙同时使用同一个弹性公网IP进行牵引域名访问请求，而且在用户看来，该DDOS高防服务器处于透明状态，从而相对于现有技术，该方式节省了一个弹性公网IP，节省1次请求转发次数，从而既节省了请求转发成本，也提高了请求转发效率。

对应于上述图2所述的方法，本发明实施例提供了一种域名访问装置，如图6所示，该装置设置于DDOS高防服务器；该装置包括：

第一请求接收模块60，用于接收用户终端发送的域名访问请求。

第一过滤模块61，用于对域名访问请求进行初步过滤，得到初步过滤后的域名访问请求。

第一请求发送模块62，用于通过预设内网IP将初步过滤后的域名访问请求发送至配置有域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

上述域名访问装置，其中，DDOS高防服务器接收用户终端发送的域名访问请求，并对域名访问请求进行初步过滤，得到初步过滤后的域名访问请求；然后通过预设内网IP将初步过滤后的域名访问请求发送至配置有域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。该方式将DDOS高防服务器和WEB应用防火墙设置于同一内网，DDOS高防服务器通过预设内网IP将域名访问请求发送至WEB应用防火墙，相对于现有技术中DDOS高防服务器将访问请求转发到公网的方式，该方式减少了请求的转发次数，提高了请求的转发效率，提升了用户的体验感。

进一步地，上述装置还包括第一配置模块，用于：接收第一配置指令；其中，该第一配置指令中携带有访问域名、预设内网IP和目标IP；该预设内网IP包括：在DDOS高防服务器和WEB应用防火墙所处的预设内网中，为WEB应用防火墙配置的IP地址；该目标IP为将域名访问请求牵引至DDOS高防服务器的入口地址；保存第一配置指令中的访问域名、预设内网IP和目标IP。

在具体实现时，上述目标IP属于弹性公网IP；该目标IP与DDOS高防服务器绑定。

本发明实施例所提供的域名访问装置，其实现原理及产生的技术效果和前述方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

对应于上述图3所述的方法，本发明实施例提供了另一种域名访问装置，如图7所示，该装置设置于WEB应用防火墙服务器；该装置包括：

第二请求接收模块70，用于接收DDOS高防服务器发送的域名访问请求；其中，WEB应用防火墙服务器配置有与DDOS高防服务器通信连接的预设内网IP；该DDOS高防服务器通过预设内网IP发送域名访问请求。

第二过滤模块71，用于对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

上述域名访问装置，WEB应用防火墙服务器接收DDOS高防服务器通过预设内网IP发送域名访问请求发，并对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。该方式将DDOS高防服务器和WEB应用防火墙设置于同一内网，DDOS高防服务器通过预设内网IP将域名访问请求发送至WEB应用防火墙，相对于现有技术中DDOS高防服务器将访问请求转发到公网的方式，该方式减少了请求的转发次数，提高了请求的转发效率，提升了用户的体验感。

进一步地，上述装置还包括第二配置模块，用于接收第二配置指令；其中，该第二配置指令中携带有访问域名、指定内网IP和源站IP；该指定内网IP为：在DDOS高防服务器和WEB应用防火墙所处的预设内网中，为DDOS高防服务器配置的IP地址；源站IP为源站服务器的IP地址；保存第二配置指令中的访问域名、指定内网IP和源站IP。

进一步地，上述装置还包括数据返回模块，用于：接收源站服务器返回的访问数据；对该访问数据进行过滤处理，得到过滤后的访问数据；基于指定内网IP将过滤后的访问数据发送至DDOS高防服务器，以使DDOS高防服务器对过滤后的访问数据进行二次过滤，并将二次过滤后的访问数据发送至用户终端。

本发明实施例所提供的域名访问装置，其实现原理及产生的技术效果和前述方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

对应于上述图4所述的方法，本发明实施例提供了另一种域名访问装置，如图8所示，该装置设置于用户终端；该装置包括：

域名提取模块80，用于如果接收到域名访问请求，从域名访问请求中提取访问域名。

域名发送模块81，用于将访问域名发送至域名解析服务器，以使域名解析服务器返回域名访问路径；该域名访问路径包括：访问域名指向的指定别名记录，以及指定别名记录对应的目标IP。

第二请求发送模块82，用于将域名访问请求发送至与目标IP绑定的DDOS高防服务器，以使DDOS高防服务器对域名访问请求进行初步过滤，并通过预设内网IP将初步过滤后的域名访问请求发送至配置有指定别名记录的WEB应用防火墙，以通过WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

上述域名访问装置，将现有技术中的WEB应用防火墙的弹性公网IP与其解绑，然后将该弹性公网IP绑定到DDOS高防服务器上，此时DDOS高防和WEB应用防火墙同时使用同一个弹性公网IP(相当于上述目标IP)进行牵引流量(相当于牵引域名访问请求)，而且在用户看来，该DDOS高防服务器处于透明状态，从而相对于现有技术，该方式节省了一个弹性公网IP，节省1次请求转发次数，从而既节省了请求转发成本，也提高了请求转发效率。

本发明实施例还提供了一种电子设备，参见图9所示，该电子设备包括处理器101和存储器100，该存储器100存储有能够被处理器101执行的机器可执行指令，该处理器101执行机器可执行指令以实现上图1所述的域名访问方法，或者执行机器可执行指令以上述图2-图3所述的域名访问方法，或者执行机器可执行指令以实现上述图4所述的域名访问方法。

进一步地，图9所示的电子设备还包括总线102和通信接口103，处理器101、通信接口103和存储器100通过总线102连接。

其中，存储器100可能包含高速随机存取存储器(RAM，Random Access Memory)，也可能还包括非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。通过至少一个通信接口103(可以是有线或者无线)实现该系统网元与至少一个其他网元之间的通信连接，可以使用互联网，广域网，本地网，城域网等。总线102可以是ISA总线、PCI总线或EISA总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

处理器101可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器101中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器101可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DigitalSignal Processing，简称DSP)、专用集成电路(Application Specific IntegratedCircuit，简称ASIC)、现成可编程门阵列(Field-Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器100，处理器101读取存储器100中的信息，结合其硬件完成前述实施例的方法的步骤。

本发明实施例还提供了一种机器可读存储介质，该机器可读存储介质存储有机器可执行指令，该机器可执行指令在被处理器调用和执行时，该机器可执行指令促使处理器实现上述域名访问方法，具体实现可参见方法实施例，在此不再赘述。

本发明实施例所提供的域名访问方法、装置和电子设备的计算机程序产品，包括存储了程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行前面方法实施例中所述的方法，具体实现可参见方法实施例，在此不再赘述。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，电子设备，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (12)

1.一种域名访问方法，其特征在于，所述方法应用于DDOS高防服务器；所述方法包括：

接收用户终端发送的域名访问请求；

对所述域名访问请求进行初步过滤，得到初步过滤后的域名访问请求；

通过预设内网IP将所述初步过滤后的域名访问请求发送至配置有所述域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过所述WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收第一配置指令；其中，所述第一配置指令中携带有访问域名、所述预设内网IP和目标IP；其中，所述预设内网IP包括：在所述DDOS高防服务器和所述WEB应用防火墙所处的预设内网中，为所述WEB应用防火墙配置的IP地址；所述目标IP为将所述域名访问请求牵引至所述DDOS高防服务器的入口地址；

保存所述第一配置指令中的所述访问域名、所述预设内网IP和所述目标IP。

3.根据权利要求2所述的方法，其特征在于，所述目标IP属于弹性公网IP；所述目标IP与所述DDOS高防服务器绑定。

4.一种域名访问方法，其特征在于，所述方法应用于WEB应用防火墙服务器；所述方法包括：

接收DDOS高防服务器发送的域名访问请求；其中，所述WEB应用防火墙服务器配置有与所述DDOS高防服务器通信连接的预设内网IP；所述DDOS高防服务器通过所述预设内网IP发送所述域名访问请求；

对接收到的所述域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

接收第二配置指令；其中，所述第二配置指令中携带有访问域名、指定内网IP和源站IP；其中，所述指定内网IP为：在所述DDOS高防服务器和WEB应用防火墙所处的预设内网中，为所述DDOS高防服务器配置的IP地址；所述源站IP为所述源站服务器的IP地址；

保存所述第二配置指令中的所述访问域名、所述指定内网IP和所述源站IP。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

接收所述源站服务器返回的访问数据；

对所述访问数据进行过滤处理，得到过滤后的访问数据；

基于所述指定内网IP将所述过滤后的访问数据发送至所述DDOS高防服务器，以使所述DDOS高防服务器对过滤后的访问数据进行二次过滤，并将二次过滤后的访问数据发送至用户终端。

7.一种域名访问方法，其特征在于，所述方法应用于用户终端；所述方法包括：

如果接收到域名访问请求，从所述域名访问请求中提取访问域名；

将所述访问域名发送至域名解析服务器，以使所述域名解析服务器返回域名访问路径；所述域名访问路径包括：所述访问域名指向的指定别名记录，以及所述指定别名记录对应的目标IP；

将所述域名访问请求发送至与所述目标IP绑定的DDOS高防服务器，以使所述DDOS高防服务器对所述域名访问请求进行初步过滤，并通过预设内网IP将初步过滤后的域名访问请求发送至配置有所述指定别名记录的WEB应用防火墙，以通过所述WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

8.一种域名访问装置，其特征在于，所述装置设置于DDOS高防服务器；所述装置包括：

第一请求接收模块，用于接收用户终端发送的域名访问请求；

第一过滤模块，用于对所述域名访问请求进行初步过滤，得到初步过滤后的域名访问请求；

第一请求发送模块，用于通过预设内网IP将所述初步过滤后的域名访问请求发送至配置有所述域名访问请求指示的访问域名的别名记录的WEB应用防火墙，以通过所述WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

9.一种域名访问装置，其特征在于，所述装置设置于WEB应用防火墙服务器；所述装置包括：

第二请求接收模块，用于接收DDOS高防服务器发送的域名访问请求；其中，所述WEB应用防火墙服务器配置有与所述DDOS高防服务器通信连接的预设内网IP；所述DDOS高防服务器通过所述预设内网IP发送所述域名访问请求；

第二过滤模块，用于对接收到的所述域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

10.一种域名访问装置，其特征在于，所述装置设置于用户终端；所述装置包括：

域名提取模块，用于如果接收到域名访问请求，从所述域名访问请求中提取访问域名；

域名发送模块，用于将所述访问域名发送至域名解析服务器，以使所述域名解析服务器返回域名访问路径；所述域名访问路径包括：所述访问域名指向的指定别名记录，以及所述指定别名记录对应的目标IP；

第二请求发送模块，用于将所述域名访问请求发送至与所述目标IP绑定的DDOS高防服务器，以使所述DDOS高防服务器对所述域名访问请求进行初步过滤，并通过预设内网IP将初步过滤后的域名访问请求发送至配置有所述指定别名记录的WEB应用防火墙，以通过所述WEB应用防火墙对接收到的域名访问请求进行二次过滤，将二次过滤后的域名访问请求发送至源站服务器。

11.一种电子设备，其特征在于，所述电子设备包括处理器和存储器，所述存储器存储有能够被所述处理器执行的机器可执行指令，所述处理器执行所述机器可执行指令以实现权利要求1至3任一项所述的域名访问方法，或者执行所述机器可执行指令以实现权利要求4至6任一项所述的域名访问方法，或者执行所述机器可执行指令以实现权利要求7所述的域名访问方法。

12.一种机器可读存储介质，其特征在于，所述机器可读存储介质存储有机器可执行指令，所述机器可执行指令在被处理器调用和执行时，所述机器可执行指令促使处理器实现权利要求1至7任一项所述的域名访问方法。

Images