CN116032542A - 查询方法、装置、网络设备及可读存储介质 - Google Patents

Abstract

本申请的实施例提供了一种查询方法、装置、网络设备及可读存储介质，涉及通信技术领域。该方法包括：获得请求设备发送的DNS查询请求，请求设备的操作系统不支持DoH，请求设备中的域名系统DNS服务器地址被配置为网络设备的地址；根据DNS请求，构造DoH查询请求；将DoH查询请求发送给目标DoH服务器；根据接收到的由目标DoH服务器发送的响应信息，向请求设备发送与DNS查询请求对应的DNS查询结果。如此，可避免旧版本的操作系统无法使用全局DoH的问题，提升DNS服务的安全性。

Description

查询方法、装置、网络设备及可读存储介质

技术领域

本申请涉及通信技术领域，具体而言，涉及一种查询方法、装置、网络设备及可读存储介质。

背景技术

DNS(Domain Name System，域名系统)是互联网的一项服务，它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网。DNS协议形成于互联网早期，基于UDP或TCP协议，未虑及现代安全性的需要，未利用密码学等手段进行加密或验证。因而无法抵御现代互联网常见的DNS投毒污染等攻击手段或监听。虽然后来的DNSSEC方案通过电子签名进行验证，强化了DNS的安全性，并能够抵御DNS投毒污染等篡改通信的手段，但其对于中间网络设备进行的监听仍然没有抵御能力(随后，监听者可以通过获取的通信数据知晓用户访问了哪一域名，而域名往往与具体的网站相关系)。

DoH(DNS over HTTPS)是一个安全的域名解析方案。它以加密的HTTPS协议传输DNS解析请求，避免原始DNS协议中用户的DNS解析请求被窃听或者修改(例如中间人攻击)，达到保护用户隐私的目的。

对于DoH，在正确部署服务端并妥善配置客户端的前提下，互联网服务提供商或其它中间网络设备无法解密(亦即无法获知请求的实际内容)或者篡改已经加密的HTTPS通信，故其能够有效保护互联网用户的安全及隐私；另一方面，其基于已经成熟并已广泛部署的HTTPS协议，客户端进行利用较为方便。

目前主流的浏览器大都已经支持了DoH的配置，如Chrome、Firefox等，通常都需要在软件内进行配置，也有少部分操作系统可以支持系统级的DoH配置，但是大部分的版本较老的操作系统是无法支持全局DoH配置的。

发明内容

本申请实施例提供了一种查询方法、装置、网络设备及可读存储介质，其能够避免旧版本的操作系统无法使用全局DoH的问题，提升DNS服务的安全性。

本申请的实施例可以这样实现：

第一方面，本申请实施例提供一种查询方法，应用于网络设备，所述方法包括：

获得请求设备发送的DNS查询请求，其中，所述请求设备的操作系统不支持DoH，所述请求设备中的域名系统DNS服务器地址被配置为所述网络设备的地址；

根据所述DNS请求，构造DoH查询请求；

将所述DoH查询请求发送给目标DoH服务器；

根据接收到的由所述目标DoH服务器发送的响应信息，向所述请求设备发送与所述DNS查询请求对应的DNS查询结果。

第二方面，本申请实施例提供一种查询装置，应用于网络设备，所述装置包括：

请求获得模块，用于获得请求设备发送的DNS查询请求，其中，所述请求设备的操作系统不支持DoH，所述请求设备中的域名系统DNS服务器地址被配置为所述网络设备的地址；

构造模块，用于根据所述DNS请求，构造DoH查询请求；

发送模块，用于将所述DoH查询请求发送给目标DoH服务器；

所述发送模块，还用于根据接收到的由所述目标DoH服务器发送的响应信息，向所述请求设备发送DNS查询结果。

第三方面，本申请实施例提供一种网络设备，包括处理器和存储器，所述存储器存储有能够被所述处理器执行的机器可执行指令，所述处理器可执行所述机器可执行指令以实现前述实施方式所述的查询方法。

第四方面，本申请实施例提供一种可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如前述实施方式所述的查询方法。

本申请实施例提供的查询方法、装置、网络设备及可读存储介质，网络设备将接收到的由操作系统不支持DoH的请求设备发送的普通DNS查询请求转换为DoH查询请求，并将该DoH查询请求发送给目标DoH服务器，其中，请求设备中的DNS服务器地址被配置为网络设备的地址；进而根据接收到的由目标DoH服务器发送的响应信息，向所述请求设备发送与所述DNS查询请求对应的DNS查询结果。如此，不支持DoH的操作系统只需要修改DNS服务器地址到可提供UDP DNS转DoH服务的网络设备的地址，即可将该系统上的所有DNS查询请求都转化为DoH查询请求，从而避免旧版本的操作系统无法使用全局DoH的问题，提升DNS服务的安全性。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的网络设备的方框示意图；

图2为本申请实施例提供的查询方法的流程示意图；

图3为本申请实施例提供的查询方法的执行示意图；

图4为本申请实施例提供的查询装置的方框示意图。

图标：100-网络设备；110-存储器；120-处理器；130-通信单元；200-查询装置；210-请求获得模块；220-构造模块；230-发送模块。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

需要说明的是，术语“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

目前，Chrome、Firefox等浏览器支持DoH的配置，也有少部分操作系统可以支持系统级的DoH配置，但是大部分的版本较老的操作系统是无法支持全局DoH配置的。若想让整个操作系统的所有应用都能用到DoH，则需要一种方式来支持全局DoH。

可以逐个应用配置DoH的支持，或者升级到最新的支持全局DoH配置的操作系统。然而，逐个应用配置DoH，前提条件是该应用需要支持DoH，否则仍然无法实现。而升级操作系统到支持DoH的版本，在很多情况下也不实现。

针对上述情况，本申请实施例提供了一种查询方法、装置、网络设备及可读存储介质，通过UDP DNS转DoH的服务，将普通的DNS查询请求转换为DoH查询请求，然后转发到上游的DoH服务器，以获得相应的查询结果。如此，可避免旧版本的操作系统无法使用全局DoH的问题，提升DNS服务的安全性。

下面结合附图，对本申请的一些实施方式作详细说明。在不冲突的情况下，下述的实施例及实施例中的特征可以相互组合。

请参照图1，图1为本申请实施例提供的网络设备100的方框示意图。所述网络设备100可以是，但不限于，电脑、服务器等。所述网络设备100包括存储器110、处理器120及通信单元130。所述存储器110、处理器120以及通信单元130各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。

其中，存储器110用于存储程序或者数据。所述存储器110可以是，但不限于，随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-Only Memory，PROM)，可擦除只读存储器(ErasableProgrammable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric ErasableProgrammable Read-Only Memory，EEPROM)等。

处理器120用于读/写存储器110中存储的数据或程序，并执行相应地功能。比如，存储器110中存储有查询装置200，所述查询装置200包括至少一个可以软件或固件(firmware)的形式存储于所述存储器110中的软件功能模块。所述处理器120通过运行存储在存储器110内的软件程序以及模块，如本申请实施例中的查询装置200，从而执行各种功能应用以及数据处理，即实现本申请实施例中的查询方法。

通信单元130用于通过网络建立所述网络设备100与其它通信终端之间的通信连接，并用于通过所述网络收发数据。

应当理解的是，图1所示的结构仅为网络设备100的结构示意图，所述网络设备100还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。图1中所示的各组件可以采用硬件、软件或其组合实现。

请参照图2，图2为本申请实施例提供的查询方法的流程示意图。所述方法可应用于上述网络设备100。下面对查询方法的具体流程进行详细阐述。在本实施例中，所述方法可以包括步骤S110～步骤S140。

步骤S110，获得请求设备发送的DNS查询请求。

在本实施例中，所述请求设备的操作系统不支持DoH。所述请求设备中的DNS(Domain Name System，域名系统)服务器地址被配置为提供UDP DNS转DoH服务的所述网络设备的地址。所述请求设备中的应用在存在域名查询需求时，该请求设备的操作系统生成相应的DNS查询请求，并基于配置的所述网络设备的地址，将该DNS查询请求发送给所述网络设备。

步骤S120，根据所述DNS请求，构造DoH查询请求。

步骤S130，将所述DoH查询请求发送给目标DoH服务器。

步骤S140，根据接收到的由所述目标DoH服务器发送的响应信息，向所述请求设备发送与所述DNS查询请求对应的DNS查询结果。

网络设备在获得请求设备发送的普通的DNS查询请求的情况下，根据该DNS查询请求，构造出DoH查询请求。即，将普通的DNS查询请求转化为DoH查询请求。然后，将得到的DoH查询请求发送给上游的DoH查询请求，以获得与DNS查询请求对应的响应信息，进而，基于该响应信息向所述请求设备发送与所述DNS查询请求对应的DNS查询结果。

如此，不支持DoH的操作系统只需要修改DNS服务器地址到可提供UDP DNS转DoH服务的网络设备的地址，即可将该系统上的所有DNS查询请求都转化为DoH查询请求，从而避免旧版本的操作系统无法使用全局DoH的问题，提升DNS服务的安全性。

可选地，在本实施例中，所述网络设备100与所述请求设备可以是同一设备，即UDPDNS转DoH服务与不支持DoH的操作系统在同一个主机上。也就是说，可以将所述请求设备中的DNS服务器地址配置为本机地址，即配置为127.0.0.1。所述网络设备100与所述请求设备也可以是不同的设备，也即，UDP DNS转DoH服务与不支持DoH的操作系统位于不同的主机上。

在不支持DoH的操作系统内的应用需要查询域名时，该应用可以使用5传统的UDP查询方式，根据配置的所述网络设备的地址，向所述网络设备发起查询请求，即向所述网络设备发送DNS查询请求。

DNS使用TCP和UDP端口53。所述网络设备可以对本机的UDP 53端口进行监听，以监听是否有请求设备发送DNS查询请求，从而获得待转换的DNS查询请求。

0所述网络设备在监听在DNS查询请求的情况下，可以对该DNS查询请求进行解析，获得目标域名，即需要查询的域名。然后，根据所述目标域名及DoH的标准协议格式，生成所述DoH查询请求。之后，可将该DoH查询请求发送给目标DoH服务器获取DoH响应。如此，可以将普通的DNS

查询请求转换为DoH查询请求，从而实现的DNS查询。

5可选地，可以预先在所述网络设备中配置至少一个DoH服务器的地址。

DoH服务器，是可以提供给公共DoH服务的服务器，比如，阿里云、腾讯云的公共DoH服务。作为一种可能的实现方式，配置多个DoH服务器的地址，以实现高可用和负载均衡。在生成DoH查询请求之后，可以将配置的

至少一个DoH服务器中选出一个DoH服务器作为目标DoH服务器。可选0地，可以是随机选择，也可以采用其他方式进行选择。接着，则可以将所述DoH查询请求发送给所述目标DoH服务器。

所述目标DoH服务器根据所述DoH查询请求进行查询，可以将查询到的与所述目标域名对应的目标IP地址携带在响应信息中发送给所述网络设

备。所述网络设备接收该响应信息，并从该响应信息中获得所述目标IP地5址，然后，基于UDP协议，将该目标IP地址携带于DNS查询结果中发送给所述请求设备，以使所述请求设备获得目标IP地址。

下面结合图3，对上述查询方法进行举例说明。

不支持DoH的操作系统(下称目标系统)，修改其网络配置，将DNS服务器地址修改为提供DoH转换服务的网络设备的IP地址。目标系统内的浏览器、系统服务、聊天软件等软件使用传统的UDP查询方式，向网络设备发送查询请求。

DoH转换服务，是一个独立的服务，可以运行在目标系统所在的局域网其他主机上，也可以直接运行在目标系统所在的主机上。DoH转换服务监听所在设备的UDP 53端口，接收DNS查询请求，然后构造DoH查询请求。之后，根据配置，转发到多个DoH服务器中的其中一个DoH服务器上。比如，配置了DoH服务器1、DoH服务器2，可以将DoH查询请求发送给DoH服务器1，以获得相应的响应，进而向目标系统发送查询结果。如此，网络设备代理获取DoH响应，实现安全的DNS查询。上述方式可以实现操作系统全局DoH。

为了执行上述实施例及各个可能的方式中的相应步骤，下面给出一种查询装置200的实现方式，可选地，该查询装置200可以采用上述图1所示的网络设备100的器件结构。进一步地，请参照图4，图4为本申请实施例提供的查询装置200的方框示意图。需要说明的是，本实施例所提供的查询装置200，其基本原理及产生的技术效果和上述实施例相同，为简要描述，本实施例部分未提及之处，可参考上述的实施例中相应内容。在本实施例中，所述查询装置200应用于网络设备100，所述查询装置200可以包括：请求获得模块210、构造模块220及发送模块230。

所述请求获得模块210，用于获得请求设备发送的DNS查询请求。其中，所述请求设备的操作系统不支持DoH，所述请求设备中的DNS服务器地址被配置为所述网络设备的地址。

所述构造模块220，用于根据所述DNS请求，构造DoH查询请求。

所述发送模块230，用于将所述DoH查询请求发送给目标DoH服务器。

所述发送模块230，还用于根据接收到的由所述目标DoH服务器发送的响应信息，向所述请求设备发送DNS查询结果。

可选地，在本实施例中，所述构造模块220具体用于：对所述DNS查询请求进行解析，获得目标域名；根据所述目标域名及DoH的标准协议格式，生成所述DoH查询请求。

可选地，在本实施例中，所述发送模块230具体用于：从预先配置的至少一个DoH服务器中选出一个DoH服务器作为所述目标DoH服务器，并将所述DoH查询请求发送给所述目标DoH服务器。

可选地，在本实施例中，所述请求获得模块210具体用于：对所述网络设备的UDP53端口进行监听，以获得所述DNS查询请求。

可选地，在本实施例中，所述发送模块230具体用于：从接收到的所述响应信息中获得目标IP地址；基于UDP协议，将所述目标IP地址发送给所述请求设备。

可选地，上述模块可以软件或固件(Firmware)的形式存储于图1所示的存储器110中，并可由图1中的处理器120执行。同时，执行上述模块所需的数据、程序的代码等可以存储在存储器110中。

本申请实施例还提供一种可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现所述的查询方法。

综上所述，本申请实施例提供一种查询方法、装置、网络设备及可读存储介质，网络设备将接收到的由操作系统不支持DoH的请求设备发送的普通DNS查询请求转换为DoH查询请求，并将该DoH查询请求发送给目标DoH服务器，其中，请求设备中的DNS服务器地址被配置为网络设备的地址；进而根据接收到的由目标DoH服务器发送的响应信息，向所述请求设备发送与所述DNS查询请求对应的DNS查询结果。如此，不支持DoH的操作系统只需要修改DNS服务器地址到可提供UDP DNS转DoH服务的网络设备的地址，即可将该系统上的所有DNS查询请求都转化为DoH查询请求，从而避免旧版本的操作系统无法使用全局DoH的问题，提升DNS服务的安全性。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本申请的可选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种查询方法，其特征在于，应用于网络设备，所述方法包括：

获得请求设备发送的DNS查询请求，其中，所述请求设备的操作系统不支持DoH，所述请求设备中的域名系统DNS服务器地址被配置为所述网络设备的地址；

根据所述DNS请求，构造DoH查询请求；

将所述DoH查询请求发送给目标DoH服务器；

根据接收到的由所述目标DoH服务器发送的响应信息，向所述请求设备发送与所述DNS查询请求对应的DNS查询结果。

2.根据权利要求1所述的方法，其特征在于，所述根据所述DNS请求，构造DoH查询请求，包括：

对所述DNS查询请求进行解析，获得目标域名；

根据所述目标域名及DoH的标准协议格式，生成所述DoH查询请求。

3.根据权利要求1所述的方法，其特征在于，所述将所述DoH查询请求发送给目标DoH服务器，包括：

从预先配置的至少一个DoH服务器中选出一个DoH服务器作为所述目标DoH服务器，并将所述DoH查询请求发送给所述目标DoH服务器。

4.根据权利要求1-3中任意一项所述的方法，其特征在于，所述获得请求设备发送的DNS查询请求，包括：

对所述网络设备的UDP 53端口进行监听，以获得所述DNS查询请求。

5.根据权利要求1-3中任意一项所述的方法，其特征在于，所述根据接收到的由所述目标DoH服务器发送的响应信息，向所述请求设备发送与所述DNS查询请求对应的DNS查询结果，包括：

从接收到的所述响应信息中获得目标IP地址；

基于UDP协议，将所述目标IP地址发送给所述请求设备。

6.一种查询装置，其特征在于，应用于网络设备，所述装置包括：

请求获得模块，用于获得请求设备发送的DNS查询请求，其中，所述请求设备的操作系统不支持DoH，所述请求设备中的域名系统DNS服务器地址被配置为所述网络设备的地址；

构造模块，用于根据所述DNS请求，构造DoH查询请求；

发送模块，用于将所述DoH查询请求发送给目标DoH服务器；

所述发送模块，还用于根据接收到的由所述目标DoH服务器发送的响应信息，向所述请求设备发送DNS查询结果。

7.根据权利要求6所述的装置，其特征在于，所述构造模块具体用于：

对所述DNS查询请求进行解析，获得目标域名；

根据所述目标域名及DoH的标准协议格式，生成所述DoH查询请求。

8.根据权利要求7所述的装置，其特征在于，所述发送模块具体用于：

从预先配置的至少一个DoH服务器中选出一个DoH服务器作为所述目标DoH服务器，并将所述DoH查询请求发送给所述目标DoH服务器。

9.一种网络设备，其特征在于，包括处理器和存储器，所述存储器存储有能够被所述处理器执行的机器可执行指令，所述处理器可执行所述机器可执行指令以实现权利要求1-5中任意一项所述的查询方法。

10.一种可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-5中任意一项所述的查询方法。

Images