CN115225394A - 一种基于域名的报文拦截方法及系统 - Google Patents

Abstract

本申请实施例提供一种基于域名的报文拦截方法及系统，涉及网络通信技术领域。该基于域名的报文拦截方法包括：获取外部接口接收到的待更新数据；根据所述待更新数据对预设白名单进行更新，并对所述预设白名单的更新内容做以下处理：通过预设dnsmasq工具对所述预设白名单的更新内容进行域名动态解析，获得ip地址信息，将所述ip地址信息存储于预设ip列表集合中；根据所述预设ip列表集合对待检测的报文数据进行审核，并拦截不符合所述预设ip列表集合的报文数据。该基于域名的报文拦截方法可以实现域名动态拦截，提高拦截有效性的技术效果。

Description

一种基于域名的报文拦截方法及系统

技术领域

本申请涉及网络通信技术领域，具体而言，涉及一种基于域名的报文拦截方法、系统、电子设备及计算机可读存储介质。

背景技术

目前，随着网络快速发展，网络安全备受关注，数据使用安全尤为突出，网络节点设备存在多种方式实现数据防护，其中对报文进行拦截、过滤解析是比较常见的方式。

现有技术中，报文拦截一般采用黑白名单的机制进行规则匹配的方式实现报文丢弃或者放行的功能，报文解析则可根据报文的协议类型进行解包分析，报文的拦截与解析技术均较为成熟。大部分网络安全设备中，都是通过解析报文中的网际互连协议(IP，Internet Protocol)实现对目的报文的拦截或放行，但是却缺少使用域名的方式来对相关的报文进行拦截解析，由于域名的服务IP会随时变化，所以光使用IP的方式进行报文拦截不太方便，该技术就是域名方式拦截，并且当域名服务IP变化时，依旧不影响域名的报文拦截和解析。

发明内容

本申请实施例的目的在于提供一种基于域名的报文拦截方法、系统、电子设备及计算机可读存储介质，可以实现域名动态拦截，提高拦截有效性的技术效果。

第一方面，本申请实施例提供了一种基于域名的报文拦截方法，包括：

获取外部接口接收到的待更新数据；

根据所述待更新数据对预设白名单进行更新，并对所述预设白名单的更新内容做以下处理：

通过预设dnsmasq工具对所述预设白名单的更新内容进行域名动态解析，获得ip地址信息，将所述ip地址信息存储于预设ip列表集合中；

根据所述预设ip列表集合对待检测的报文数据进行审核，并拦截不符合所述预设ip列表集合的报文数据。

在上述实现过程中，该基于域名的报文拦截方法通过待更新数据对预设白名单进行实时更新，从而将域名实时动态解析的功能加入到报文拦截中，当域名的ip地址发生改变时，在接收到或发送该域名相关的报文数据时，预设ip列表集合会跟着更新，以此实现本地防护或本地外发的域名动态拦截功能，防止域名ip地址改变而无法拦截域名的现象；从而，该方法通过采用基于域名解析的方案，可以减少人为的解析域名的ip，并且当域名的ip地址变化时，也不影响规则链表的修改，减少人为解析域名的ip的资源，并且也不会出现域名ip变化了之后规则无法使用的问题；从而，该方法可以实现域名动态拦截，提高拦截有效性的技术效果。

进一步地，在所述根据所述预设ip列表集合对待检测的报文数据进行审核的步骤之前，所述方法还包括：

根据所述预设ip列表集合的列表名称进行iptables命令拼接，获得根用户下的iptables命令数据，所述iptables命令数据用于下发至内核。

进一步地，在所述根据所述待更新数据对预设白名单进行更新的步骤之前，所述方法还包括：

判断所述待更新数据的服务是否为所述预设白名单中的服务，若是，则将所述待更新数据添加至所述预设白名单；若否，则停止更新预设白名单，并返回相应的错误码。

进一步地，在所述将所述待更新数据添加至所述预设白名单的步骤之前，所述方法还包括：

判断所述预设白名单中是否存在相同的控制组信息，若是，则停止更新预设白名单，并返回相应的错误码；

判断所述预设白名单中服务的控制数量是否超过预设阈值，若是，则停止更新预设白名单，并返回相应的错误码。

进一步地，在所述将所述待更新数据添加至所述预设白名单的步骤之后，所述方法还包括：

将更新后的所述预设白名单发送至共享内存，并下发与所述预设白名单相应的iptables规则数据至内核。

进一步地，所述通过预设dnsmasq工具对所述预设白名单的更新内容进行域名动态解析，获得ip地址信息的步骤，包括：

根据所述待更新数据获取域名地址信息；

调用所述预设dnsmasq工具中的域名解析函数对所述域名地址信息进行动态解析，获取ip地址信息；

将所述ip地址信息发送至所述预设ip列表集合。

在上述实现过程中，在域名实现动态解析时，通过dnsmasq服务，在不使用上游dns服务器的情况下，将设备本身作为中继器，动态解析域名的ip地址，然后通过ipset将ip地址动态更新到ip列表中。

进一步地，所述将所述ip地址信息发送至所述预设ip列表集合的步骤之前，所述方法还包括：

根据预设ipset工具创建所述ip列表集合。

第二方面，本申请实施例提供了一种基于域名的报文拦截系统，包括：

获取模块，用于获取外部接口接收到的待更新数据；

白名单模块，用于根据所述待更新数据对预设白名单进行更新，并对所述预设白名单的更新内容做以下处理：通过预设dnsmasq工具对所述预设白名单的更新内容进行域名动态解析，获得ip地址信息，将所述ip地址信息存储于预设ip列表集合中；

审核拦截模块，根据所述预设ip列表集合对待检测的报文数据进行审核，并拦截不符合所述预设ip列表集合的报文数据。

进一步地，所述基于域名的报文拦截系统还包括：命令拼接模块，用于根据所述预设ip列表集合的列表名称进行iptables命令拼接，获得根用户下的iptables命令数据，所述iptables命令数据用于下发至内核。

进一步地，所述基于域名的报文拦截系统还包括：服务判断模块，用于判断所述待更新数据的服务是否为所述预设白名单中的服务，若是，则将所述待更新数据添加至所述预设白名单；若否，则停止更新预设白名单，并返回相应的错误码。

进一步地，所述基于域名的报文拦截系统还包括：

控制组判断模块，用于判断所述预设白名单中是否存在相同的控制组信息，若是，则停止更新预设白名单，并返回相应的错误码；

控制数量判断模块，用于判断所述预设白名单中服务的控制数量是否超过预设阈值，若是，则停止更新预设白名单，并返回相应的错误码。

进一步地，所述基于域名的报文拦截系统还包括：共享模块，用于将更新后的所述预设白名单发送至共享内存，并下发与所述预设白名单相应的iptables规则数据至内核。

进一步地，所述白名单模块还用于：

根据所述待更新数据获取域名地址信息；

调用所述预设dnsmasq工具中的域名解析函数对所述域名地址信息进行动态解析，获取ip地址信息；

将所述ip地址信息发送至所述预设ip列表集合。

进一步地，所述白名单模块还用于：根据预设ipset工具创建所述ip列表集合。

第三方面，本申请实施例提供的一种电子设备，包括：存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如第一方面任一项所述的方法的步骤。

第四方面，本申请实施例提供的一种计算机可读存储介质，所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，使得所述计算机执行如第一方面任一项所述的方法。

第五方面，本申请实施例提供的一种计算机程序产品，所述计算机程序产品在计算机上运行时，使得计算机执行如第一方面任一项所述的方法。

本申请公开的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本申请公开的上述技术即可得知。

为使本申请的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种基于域名的报文拦截方法的流程示意图；

图2为本申请实施例提供的另一种基于域名的报文拦截方法的流程示意图；

图3为本申请实施例提供的更新预设白名单的流程示意图；

图4为本申请实施例提供的域名动态解析的流程示意图；

图5为本申请实施例提供的基于域名的报文拦截方法的调用流程示意图；

图6为本申请实施例提供的基于域名的报文拦截系统的结构框图；

图7为本申请实施例提供的一种电子设备的结构框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

本申请实施例提供了一种基于域名的报文拦截方法、系统、电子设备及计算机可读存储介质，可以应用于全自主软件定义的安全防护设备中数据报文拦截的设计；该基于域名的报文拦截方法通过待更新数据对预设白名单进行实时更新，从而将域名实时动态解析的功能加入到报文拦截中，当域名的ip地址发生改变时，在接收到或发送该域名相关的报文数据时，预设ip列表集合会跟着更新，以此实现本地防护或本地外发的域名动态拦截功能，防止域名ip地址改变而无法拦截域名的现象；从而，该方法通过采用基于域名解析的方案，可以减少人为的解析域名的ip，并且当域名的ip地址变化时，也不影响规则链表的修改，减少人为解析域名的ip的资源，并且也不会出现域名ip变化了之后规则无法使用的问题；从而，该方法可以实现域名动态拦截，提高拦截有效性的技术效果。

请参见图1，图1为本本申请实施例提供的一种基于域名的报文拦截方法的流程示意图，该基于域名的报文拦截方法包括如下步骤：

S100：获取外部接口接收到的待更新数据。

示例性地，外部接口是本地保护模块或本地外发模块为本地服务模块(如：邮件、短信以及升级等模块)更新预设白名单内容提供的应用程序编程(API，ApplicationProgramming Interface)接口。

示例性地，本地服务模块可根据接口使用方法，使用外部接口更新预设白名单；从而，避免外发报文被本地保护模块和本地外发模块拦截，预设白名单的内容包括报文外发必要条件的基本信息(包括：ip、协议号、端口号、出接口等)。

可选地，预设白名单以共享内存的形式存放。

示例性地，待更新数据为本地服务模块调用外部接口时发送的数据，待更新数据用于对预设白名单进行数据更新。

S200：根据待更新数据对预设白名单进行更新，并对预设白名单的更新内容做以下处理：通过预设dnsmasq工具对预设白名单的更新内容进行域名动态解析，获得ip地址信息，将ip地址信息存储于预设ip列表集合中。

在一些实施方式中，预设白名单由本地保护模块和本地外发模块创建；预设白名单以服务名称为唯一识别字符，对于预设白名单中不存在的服务，则不被本地外发模块允许更新修改预设白名单。

在一些实施方式中，域名解析是采用dnsmasq工具将域名动态解析出ip地址，然后存储于ip列表集合中。

S300：根据预设ip列表集合对待检测的报文数据进行审核，并拦截不符合预设ip列表集合的报文数据。

在一些实施场景中，该基于域名的报文拦截方法通过待更新数据对预设白名单进行实时更新，从而将域名实时动态解析的功能加入到报文拦截中，当域名的ip地址发生改变时，在接收到或发送该域名相关的报文数据时，预设ip列表集合会跟着更新，以此实现本地防护或本地外发的域名动态拦截功能，防止域名ip地址改变而无法拦截域名的现象；从而，该方法通过采用基于域名解析的方案，可以减少人为的解析域名的ip，并且当域名的ip地址变化时，也不影响规则链表的修改，减少人为解析域名的ip的资源，并且也不会出现域名ip变化了之后规则无法使用的问题；从而，该方法可以实现域名动态拦截，提高拦截有效性的技术效果。

请参见图2，图2为本申请实施例提供的另一种基于域名的报文拦截方法的流程示意图。

示例性地，在S300：根据预设ip列表集合对待检测的报文数据进行审核的步骤之前，方法还包括：

S210：根据预设ip列表集合的列表名称进行iptables命令拼接，获得根用户下的iptables命令数据，iptables命令数据用于下发至内核。

示例性地，通过将iptables命令数据下发至内核，在内核中对待检测的报文数据进行审核。

示例性地，iptables是Linux内核集成的ip信息包过滤系统。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则该系统有利于在Linux系统上更好地控制ip信息包过滤和防火墙配置。

请参见图3，图3为本申请实施例提供的更新预设白名单的流程示意图。

示例性地，在S200：根据待更新数据对预设白名单进行更新的步骤之前，基于域名的报文拦截方法还包括：

S201：判断待更新数据的服务是否为预设白名单中的服务；

若是，S205：则将待更新数据添加至预设白名单；

若否，S204：则停止更新预设白名单，并返回相应的错误码。

示例性地，在S205：将待更新数据添加至预设白名单的步骤之前，方法还包括：

S202：判断预设白名单中是否存在相同的控制组信息，若是，跳转至S204；

S203：判断预设白名单中服务的控制数量是否超过预设阈值，若是，跳转至S204。

示例性地，在S205：将所述待更新数据添加至所述预设白名单的步骤之后，方法还包括：

S206：将更新后的预设白名单发送至共享内存，并下发与预设白名单相应的iptables规则数据至内核。

在一些实施方式中，结合图3，预设白名单更新的具体流程示例如下：

1)在调用外部接口添加预设白名单的信息时，检查待更新数据的参数合法性，若合法则继续下一步，若不合法则停止更新并返回相应的错误码；

2)判断当前添加的待更新数据的服务是否为预设白名单中的服务，如果是则允许添加白名单，否则退出，并返回相应的错误码；

3)判断预设白名单中是否存在相同控制组信息，如果有则返回相应错误；

4)判断待更新数据的添加数量是否超出每种服务的最大控制数量，超出则退出并返回相应的错误码；

5)对待更新数据中的域名进行解析，然后存到ip列表集合中；

6)更新预设白名单的内容到共享内存；

7)下发相应的iptables规则数据到内核。

请参见图4，图4为本申请实施例提供的域名动态解析的流程示意图。

示例性地，通过预设dnsmasq工具对预设白名单的更新内容进行域名动态解析，获得ip地址信息的步骤，包括：

S601：根据待更新数据获取域名地址信息；

S602：调用预设dnsmasq工具中的域名解析函数对域名地址信息进行动态解析，获取ip地址信息；

S604：将ip地址信息发送至预设ip列表集合。

示例性地，dnsmasq工具是一个小巧且方便地用于配置DNS和DHCP的工具，适用于小型网络，它提供了DNS功能和可选择的DHCP功能。它服务那些只在本地适用的域名，这些域名是不会在全球的DNS服务器中出现的。DHCP服务器和DNS服务器结合，并且允许DHCP分配的地址能在DNS中正常解析，而这些DHCP分配的地址和相关命令可以配置到每台主机中，也可以配置到一台核心设备中(比如路由器)，DNSmasq支持静态和动态两种DHCP配置方式。

示例性地，S604：将ip地址信息发送至预设ip列表集合的步骤之前，方法还包括：

S603：根据预设ipset工具创建ip列表集合。

示例性地，ipset工具是linux kernel的一个功能，可以将ip等组合成一个ipset,在iptables中可以直接指定ipset。

在一些实施方式中，结合图4，域名动态解析的具体流程示例如下：

1)接收域名地址：该域名地址是使用者必须提供的信息；

2)发送域名请求：在接收到域名地址之后，会调用getaddrinfo()域名解析函数；

3)解析域名ip：dnsmasq在接收到getaddrinfo()的域名解析请求后，会根据特定的域外解析服务器(例如：114.114.114.114)将域名进行解析；

4)创建ip列表集合：ipset会创建一个列表集合，该列表是用于存放ip地址的一个集合。

5)存入ip列表：dnsmasq会将解析出来的ip地址存放到ipset列表中；

6)iptables命令拼接：根据创建的列表名称，拼接成root下的iptables命令，通过iptables命令将命令下发到内核。

示例性地，本申请实施例提供的基于域名的报文拦截方法，通过域名实现动态拦截，当域名ip改变之后依然可以有效的对域名报文进行有效拦截，防止域名ip变化之后，无法及时准确的进行拦截。本申请实施例侧重在本地设备本地防护或本地外发的场景中，在域名实现动态解析时，通过dnsmasq服务，在不使用上游dns服务器的情况下，将设备本身作为中继器，动态解析域名的ip地址，然后通过ipset将ip地址动态更新到ip列表中。

请参见图5，图5为本申请实施例提供的基于域名的报文拦截方法的调用流程示意图。

示例性地，本申请提供了一种域名拦截的方法，主要通过白名单模块和域名解析模块构成，该方法需要使用dnsmasq工具和ipset工具，其中ipset用于创建一个存放ip地址信息的ip列表集合，dnsmasq工具起本地中继的作用，用于接收域名的相关请求，并且动态的将解析出的ip地址存入ipset创建的集合中。如图5所示，该方法的调用整体构成：外部接口、白名单、域名解析和命令拼接。

在一些实施场景中，本申请实施例可应用于全自主软件定义安全防护设备中数据报文拦截的设计；基于全自主定义安全防护设备产品，使用本申请提出的一种基于域名的报文拦截的方法，从而实现安全能力的提升与优化。结合图1至图5，按照本申请详细描述中的方法，具体的流程示例如下：

1.系统启动，加载内核相关的ipset的关联驱动，启动dnsmasq进程；

2.加载预设白名单，下发预设白名单中初始化的规则到内核中；

3.使用外部接口，接口的基本信息：域名地址和服务名称创建ip列表集合并且进行域名解析；

4.将解析的ip存储在ip列表集合中，拼接iptables命令下发到内核中。

请参见图6，图6为本申请实施例提供的基于域名的报文拦截系统的结构框图，该基于域名的报文拦截系统包括：

获取模块100，用于获取外部接口接收到的待更新数据；

白名单模块200，用于根据待更新数据对预设白名单进行更新，并对预设白名单的更新内容做以下处理：通过预设dnsmasq工具对预设白名单的更新内容进行域名动态解析，获得ip地址信息，将ip地址信息存储于预设ip列表集合中；

审核拦截模块300，根据预设ip列表集合对待检测的报文数据进行审核，并拦截不符合预设ip列表集合的报文数据。

示例性地，基于域名的报文拦截系统还包括：命令拼接模块，用于根据预设ip列表集合的列表名称进行iptables命令拼接，获得根用户下的iptables命令数据，iptables命令数据用于下发至内核。

示例性地，基于域名的报文拦截系统还包括：服务判断模块，用于判断待更新数据的服务是否为预设白名单中的服务，若是，则将待更新数据添加至预设白名单；若否，则停止更新预设白名单，并返回相应的错误码。

示例性地，基于域名的报文拦截系统还包括：

控制组判断模块，用于判断预设白名单中是否存在相同的控制组信息，若是，则停止更新预设白名单，并返回相应的错误码；

控制数量判断模块，用于判断预设白名单中服务的控制数量是否超过预设阈值，若是，则停止更新预设白名单，并返回相应的错误码。

示例性地，基于域名的报文拦截系统还包括：共享模块，用于将更新后的预设白名单发送至共享内存，并下发与预设白名单相应的iptables规则数据至内核。

示例性地，白名单模块200还用于：

根据待更新数据获取域名地址信息；

调用预设dnsmasq工具中的域名解析函数对域名地址信息进行动态解析，获取ip地址信息；

将ip地址信息发送至预设ip列表集合。

示例性地，白名单模块200还用于：根据预设ipset工具创建ip列表集合。

需要注意的是，图6所示的基于域名的报文拦截系统于图1至图5所示的方法实施例相对应，为避免重复，此处不再赘述。

本申请还提供一种电子设备，请参见图7，图7为本申请实施例提供的一种电子设备的结构框图。电子设备可以包括处理器510、通信接口520、存储器530和至少一个通信总线540。其中，通信总线540用于实现这些组件直接的连接通信。其中，本申请实施例中电子设备的通信接口520用于与其他节点设备进行信令或数据的通信。处理器510可以是一种集成电路芯片，具有信号的处理能力。

上述的处理器510可以是通用处理器，包括中央处理器(CPU，Central ProcessingUnit)、网络处理器(NP，Network Processor)等；还可以是数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器510也可以是任何常规的处理器等。

存储器530可以是，但不限于，随机存取存储器(RAM，Random Access Memory)，只读存储器(ROM，Read Only Memory)，可编程只读存储器(PROM，Programmable Read-OnlyMemory)，可擦除只读存储器(EPROM，Erasable Programmable Read-Only Memory)，电可擦除只读存储器(EEPROM，Electric Erasable Programmable Read-Only Memory)等。存储器530中存储有计算机可读取指令，当所述计算机可读取指令由所述处理器510执行时，电子设备可以执行上述图1至图5方法实施例涉及的各个步骤。

可选地，电子设备还可以包括存储控制器、输入输出单元。

所述存储器530、存储控制器、处理器510、外设接口、输入输出单元各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通信总线540实现电性连接。所述处理器510用于执行存储器530中存储的可执行模块，例如电子设备包括的软件功能模块或计算机程序。

输入输出单元用于提供给用户创建任务以及为该任务创建启动可选时段或预设执行时间以实现用户与服务器的交互。所述输入输出单元可以是，但不限于，鼠标和键盘等。

可以理解，图7所示的结构仅为示意，所述电子设备还可包括比图7中所示更多或者更少的组件，或者具有与图7所示不同的配置。图7中所示的各组件可以采用硬件、软件或其组合实现。

本申请实施例还提供一种存储介质，所述存储介质上存储有指令，当所述指令在计算机上运行时，所述计算机程序被处理器执行时实现方法实施例所述的方法，为避免重复，此处不再赘述。

本申请还提供一种计算机程序产品，所述计算机程序产品在计算机上运行时，使得计算机执行方法实施例所述的方法。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种基于域名的报文拦截方法，其特征在于，包括：

获取外部接口接收到的待更新数据；

根据所述待更新数据对预设白名单进行更新，并对所述预设白名单的更新内容做以下处理：

通过预设dnsmasq工具对所述预设白名单的更新内容进行域名动态解析，获得ip地址信息，将所述ip地址信息存储于预设ip列表集合中；

根据所述预设ip列表集合对待检测的报文数据进行审核，并拦截不符合所述预设ip列表集合的报文数据。

2.根据权利要求1所述的基于域名的报文拦截方法，其特征在于，在所述根据所述预设ip列表集合对待检测的报文数据进行审核的步骤之前，所述方法还包括：

根据所述预设ip列表集合的列表名称进行iptables命令拼接，获得根用户下的iptables命令数据，所述iptables命令数据用于下发至内核。

3.根据权利要求1所述的基于域名的报文拦截方法，其特征在于，在所述根据所述待更新数据对预设白名单进行更新的步骤之前，所述方法还包括：

判断所述待更新数据的服务是否为所述预设白名单中的服务，若是，则将所述待更新数据添加至所述预设白名单；若否，则停止更新预设白名单，并返回相应的错误码。

4.根据权利要求2所述的基于域名的报文拦截方法，其特征在于，在所述将所述待更新数据添加至所述预设白名单的步骤之前，所述方法还包括：

判断所述预设白名单中是否存在相同的控制组信息，若是，则停止更新预设白名单，并返回相应的错误码；

判断所述预设白名单中服务的控制数量是否超过预设阈值，若是，则停止更新预设白名单，并返回相应的错误码。

5.根据权利要求3或4所述的基于域名的报文拦截方法，其特征在于，在所述将所述待更新数据添加至所述预设白名单的步骤之后，所述方法还包括：

将更新后的所述预设白名单发送至共享内存，并下发与所述预设白名单相应的iptables规则数据至内核。

6.根据权利要求1所述的基于域名的报文拦截方法，其特征在于，所述通过预设dnsmasq工具对所述预设白名单的更新内容进行域名动态解析，获得ip地址信息的步骤，包括：

根据所述待更新数据获取域名地址信息；

调用所述预设dnsmasq工具中的域名解析函数对所述域名地址信息进行动态解析，获取ip地址信息；

将所述ip地址信息发送至所述预设ip列表集合。

7.根据权利要求6所述的基于域名的报文拦截方法，其特征在于，在所述将所述ip地址信息发送至所述预设ip列表集合的步骤之前，所述方法还包括：

根据预设ipset工具创建所述ip列表集合。

8.一种基于域名的报文拦截系统，其特征在于，包括：

获取模块，用于获取外部接口接收到的待更新数据；

白名单模块，用于根据所述待更新数据对预设白名单进行更新，并对所述预设白名单的更新内容做以下处理：通过预设dnsmasq工具对所述预设白名单的更新内容进行域名动态解析，获得ip地址信息，将所述ip地址信息存储于预设ip列表集合中；

审核拦截模块，根据所述预设ip列表集合对待检测的报文数据进行审核，并拦截不符合所述预设ip列表集合的报文数据。

9.一种电子设备，其特征在于，包括：存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如权利要求1至7任一项所述的基于域名的报文拦截方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，使得所述计算机执行如权利要求1至7任一项所述的基于域名的报文拦截方法。

Images