CN117201454A - 用于dns查询的方法及装置 - Google Patents

Abstract

本申请涉及一种用于DNS查询的方法，包括：在收到用户设备发送的加密查询请求的情况下，与用户设备建立连接；接收用户设备发送的查询信息；所述查询信息包括目标服务器的信息和DNS查询请求；向目标服务器发送DNS查询请求；将目标服务器返回的DNS查询结果加密后发送至用户设备。本公开实施例中，代理服务器与用户设备建立连接后，将用户设备的DNS查询请求转发给目标服务器，再将目标服务器返回的DNS查询结果发送给用户设备。在查询过程中，用户设备与目标服务器没有直接的信息交互，目标服务器无法获得用户设备的信息，可以对用户的数据信息提供更高的匿名性和安全性。本申请还公开一种用于DNS查询的装置。

Description

用于DNS查询的方法及装置

技术领域

本申请涉及计算机网络技术领域，例如涉及一种用于DNS查询的方法及装置。

背景技术

在现代计算机网络中，DNS（域名系统，Domain Name System）是一种重要服务，用于将域名解析为相应的IP（互联网通讯协议，Internet Protocol）地址，从而使用户能够访问目标网站。由于DNS查询通常是明文传输，任何监视网络流量的人都可以看到查询的内容，存在隐私泄露和安全性问题。此外，由于目标服务器可以看到发起查询的IP地址，因此用户的网络行为可能被追踪。

相关技术公开了一种DNS查询隐私保护的方法：包括使用DNS over HTTPS (DoH)或 DNS over TLS (DoT) 技术来加密DNS查询，防止内容被监听。用户向DoH或DoT服务器发送加密的DNS查询，该服务器解析查询并返回结果。

在实现本公开实施例的过程中，发现相关技术中至少存在如下问题：

在使用DoH或DoT服务器进行DNS查询时，服务器仍然可以看到用户的真实IP地址。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本申请的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

为了对披露的实施例的一些方面有基本的理解，下面给出了简单的概括。所述概括不是泛泛评述，也不是要确定关键／重要组成元素或描绘这些实施例的保护范围，而是作为后面的详细说明的序言。

本公开实施例提供了一种用于DNS查询的方法及装置，使用户在进行DNS查询时可以获得更高的匿名性。

在一些实施例中，所述方法应用于代理服务器，包括：在收到用户设备发送的加密查询请求的情况下，与用户设备建立连接；接收用户设备发送的查询信息；所述查询信息包括目标服务器的信息和DNS查询请求；向目标服务器发送DNS查询请求；将目标服务器返回的DNS查询结果加密后发送至用户设备。

可选地，所述在收到用户设备发送的加密查询请求的情况下，与用户设备建立连接，包括：接收用户设备发送的加密查询请求；获取加密查询请求中的信息；根据查询请求信息，向用户设备发送授权回复；所述授权回复包括代理服务器的IP地址；在用户设备接收到授权回复后，与用户设备建立连接。

可选地，所述获取加密查询请求中的信息，包括：将用户设备发送的加密查询请求发送给设置于代理服务器的第二加解密模块；获取第二加解密模块解密后的查询请求信息。

可选地，所述将目标服务器返回的DNS查询结果加密后发送至用户设备，包括：获取目标服务器返回的DNS查询结果；将DNS查询结果发送给第二加解密模块；获取第二加解密模块加密后的DNS查询结果；将加密后的DNS查询结果发送给用户设备。

可选地，所述第二加解密模块包括：嵌入式安全芯片。

在一些实施例中，所述方法应用于用户设备，包括：向代理服务器发送加密查询请求；根据代理服务器的授权回复，向代理服务器发送查询信息；所述查询信息包括目标服务器的信息和DNS查询请求；获取代理服务器返回的加密的DNS查询结果。

可选地，所述根据代理服务器的授权回复，向代理服务器发送查询信息，包括：获取代理服务器的授权回复；所述授权回复包括代理服务器的IP地址；根据授权回复，与代理服务器建立连接；向代理服务器发送查询信息。

可选地，所述根据授权回复，与代理服务器建立连接，包括：在授权回复中，获取代理服务器的IP地址；根据IP地址与代理服务器建立TCP/TLS连接。

可选地，所述向代理服务器发送查询信息，包括：在TLS握手中，利用SNI技术建立包含目标服务器信息的ClientHello消息；将ClientHello消息和DNS查询请求发送给代理服务器。

可选地，所述获取代理服务器返回的加密的DNS查询结果，包括：接收代理服务器返回的加密的DNS查询结果；将加密的DNS查询结果发送给设置于用户设备的第一加解密模块；获取第一加解密模块解密后的DNS查询结果。

可选地，所述在向代理服务器发送加密查询请求前，还包括：将查询请求发送给第一加解密模块；获取第一加解密模块加密后的查询请求。

可选地，所述第一加解密模块包括：嵌入式安全芯片。

在一些实施例中，所述用于DNS查询的装置包括处理器和存储有程序指令的存储器，所述处理器被配置为在运行所述程序指令时，执行如上述的用于DNS查询的方法。

本公开实施例还提供了一种服务器，所述服务器包括处理器和存储有程序指令的存储器，所述处理器被配置为在运行所述程序指令时，执行如上述的应用于代理服务器的用于DNS查询的方法。

本公开实施例还提供了一种用户设备，所述用户设备包括处理器和存储有程序指令的存储器，所述处理器被配置为在运行所述程序指令时，执行上述的应用于用户设备的用于DNS查询的方法。

本公开实施例还提供了一种存储介质，所述存储介质存储有程序指令，所述程序指令在运行时，执行如上述的用于DNS查询的方法。

本公开实施例提供的用于DNS查询的方法及装置、服务器、用户设备和存储介质，可以实现以下技术效果：

用户设备将用户发起的查询请求发送给代理服务器，获得代理服务器的授权回复后，再向代理服务器发送包含有目标服务器的信息和DNS查询请求的查询信息，由代理服务器向目标服务器发送DNS查询请求，最后也由代理服务器获取DNS查询结果，返回给用户设备。在DNS查询过程中，用户设备只与代理服务器进行信息的交互，目标服务器也只与代理服务器进行信息的交互，从而使目标服务器无法获得用户设备的信息，可以对用户的数据信息提供更高的匿名性以及安全性。

以上的总体描述和下文中的描述仅是示例性和解释性的，不用于限制本申请。

附图说明

一个或多个实施例通过与之对应的附图进行示例性说明，这些示例性说明和附图并不构成对实施例的限定，附图中具有相同参考数字标号的元件示为类似的元件，附图不构成比例限制，并且其中：

图1是本公开实施例提供的一种系统环境示意图；

图2是本公开实施例提供的一种用于DNS查询的方法的示意图；

图3是本公开实施例提供的另一种用于DNS查询的方法的示意图；

图4是本公开实施例提供的另一种用于DNS查询的方法的示意图；

图5是本公开实施例提供的另一种系统环境示意图；

图6是本公开实施例的一个应用示意图；

图7是本公开实施例提供的一种用于DNS查询的装置的示意图。

具体实施方式

为了能够更加详尽地了解本公开实施例的特点与技术内容，下面结合附图对本公开实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本公开实施例。在以下的技术描述中，为方便解释起见，通过多个细节以提供对所披露实施例的充分理解。然而，在没有这些细节的情况下，一个或多个实施例仍然可以实施。在其它情况下，为简化附图，熟知的结构和装置可以简化展示。

本公开实施例的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本公开实施例的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含。

除非另有说明，术语“多个”表示两个或两个以上。

本公开实施例中，字符“/”表示前后对象是一种“或”的关系。例如，A/B表示：A或B。

术语“和/或”是一种描述对象的关联关系，表示可以存在三种关系。例如，A和/或B，表示：A或B，或，A和B这三种关系。

术语“对应”可以指的是一种关联关系或绑定关系，A与B相对应指的是A与B之间是一种关联关系或绑定关系。

在现代计算机网络中，DNS是一个关键的服务，它将易于理解和记忆的域名转换为用于在网络中定位服务器的IP地址。然而，传统的DNS查询过程存在隐私和安全问题。由于DNS查询通常是明文传输，任何监视网络流量的人都可以看到查询的内容。此外，由于目标服务器可以看到发起查询的IP地址，因此用户的网络行为可能被追踪。

结合图1所示，本公开实施例提供一种用于DNS查询的系统，包括用户设备10、代理服务器20和目标服务器30。用户设备10在接收到用户发出的查询请求后，会先将查询请求发送给代理服务器20，代理服务器20对查询请求做出授权回复后，用户设备10就可以与代理服务器20建立连接。建立连接后，用户设备10再向代理服务器20发送查询信息，查询信息包括目标服务器30的信息和DNS查询请求。再由代理服务器20解析查询信息后，向目标服务器30发送DNS查询请求。目标服务器30会向代理服务器20返回DNS查询结果，代理服务器20再将DNS查询结果返回给用户设备10。

结合图2所示，本公开实施例提供一种用于DNS查询的方法，应用于代理服务器，该方法包括：

S001，代理服务器在收到用户设备发送的加密查询请求的情况下，与用户设备建立连接。

S002，代理服务器接收用户设备发送的查询信息；所述查询信息包括目标服务器的信息和DNS查询请求。

S003，代理服务器向目标服务器发送DNS查询请求。

S004，代理服务器将目标服务器返回的DNS查询结果加密后发送至用户设备。

用户向用户设备发起查询请求后，由代理服务器接收用户设备发送的加密的查询请求和查询信息，代理服务器解析查询信息中目标服务器的信息和DNS查询请求后，向目标服务器发送DNS查询请求并接收目标服务器返回的DNS查询结果，最后，代理服务器再将DNS查询结果加密后返回给用户设备。在DNS查询过程中，用户设备只与代理服务器进行信息的交互，目标服务器也只与代理服务器进行信息的交互，从而使目标服务器无法获得用户设备的信息，可以对用户的数据信息提供更高的匿名性以及安全性。

可选地，在收到用户设备发送的加密查询请求的情况下，与用户设备建立连接，包括：接收用户设备发送的加密查询请求；获取加密查询请求中的信息；根据查询请求信息，向用户设备发送授权回复；所述授权回复包括代理服务器的IP地址；在用户设备接收到授权回复后，与用户设备建立连接。

代理服务器在接收到用户设备发送的加密查询请求后，会根据查询请求信息，向用户设备发送代理服务器的IP地址作为授权回复，用户设备就可以根据返回的IP地址与代理服务器建立连接。

可选地，获取加密查询请求中的信息，包括：将用户设备发送的加密查询请求发送给设置于代理服务器的第二加解密模块；获取第二加解密模块解密后的查询请求信息。

由于用户设备发送的查询请求为加密数据，就需要先对加密查询请求进行解密。将加密数据发送给设置于代理服务器的第二加解密模块，可以实现对数据的加解密过程都在第二加解密模块中进行，减少未经授权的访问或数据篡改，提高用户数据信息的安全性。

可选地，将目标服务器返回的DNS查询结果加密后发送至用户设备，包括：获取目标服务器返回的DNS查询结果；将DNS查询结果发送给第二加解密模块；获取第二加解密模块加密后的DNS查询结果；将加密后的DNS查询结果发送给用户设备。

代理服务器获取到目标服务器返回的DNS查询结果时，同样也需要将DNS查询结果进行加密后再发送给用户设备。提高对DNS查询过程中的隐私保护。

可选地，第二加解密模块包括：嵌入式安全芯片。

在本公开实施例中，将嵌入式安全芯片（eSE，embedded Secure Element）内嵌设置于代理服务器，与代理服务器的操作系统、网络堆栈等紧密集成，从而适配于整个网络架构。eSE安全芯片可以为数据提供硬件级别的加密，具有更高的安全性，更难以被篡改或破解。

结合图3所示，本公开实施例提供另一种用于DNS查询的方法，应用于用户设备，该方法包括：

S101，用户设备向代理服务器发送加密查询请求。

S102，用户设备根据代理服务器的授权回复，向代理服务器发送查询信息；所述查询信息包括目标服务器的信息和DNS查询请求。

S103，用户设备获取代理服务器返回的加密的DNS查询结果。

用户设备在进行DNS查询时，先向代理服务器发送查询请求，获取代理服务器的授权回复后，再向代理服务器发送包括目标服务器信息和DNS查询请求的查询信息，由代理服务器向目标服务器转发DNS查询请求并获取到DNS查询结果后，用户设备再获取由代理服务器返回的DNS查询结果。在DNS查询过程中，用户设备只与代理服务器有信息交互，不需要向目标服务器发送自己的IP地址等信息，可以提高用户设备在DNS查询过程中的匿名性。

可选地，根据代理服务器的授权回复，向代理服务器发送查询信息，包括：获取代理服务器的授权回复；所述授权回复包括代理服务器的IP地址；根据授权回复，与代理服务器建立连接；向代理服务器发送查询信息。

获取到代理服务器的授权回复后，用户设备可以根据授权回复中的IP地址与代理服务器建立连接，实现信息交互。

可选地，根据授权回复，与代理服务器建立连接，包括：在授权回复中，获取代理服务器的IP地址；根据IP地址与代理服务器建立TCP/TLS连接。

TCP（传输控制协议，Transmission Control Protocol）是一种面向连接的、可靠的、基于字节流的传输层通信协议。连接到不同但互连的计算机通信网络的主计算机中的成对进程之间依靠TCP提供可靠的通信服务。TLS（安全传输层协议，Transport LayerSecurity）为互联网通信提供安全及数据完整性保障。在用户设备与代理服务器之间建立TCP/TLS连接，可以实现用户设备与代理服务器之间的信息交互。

可选地，向代理服务器发送查询信息，包括：在TLS握手中，利用SNI技术建立包含目标服务器信息的ClientHello消息；将ClientHello消息和DNS查询请求发送给代理服务器。

SNI（服务器名称指示，Server Name Indication）是一个扩展的TLS计算机联网协议，在该协议下，在握手过程开始时客户端告诉它正在连接的服务器要连接的主机名称。在一次新的握手流程中，ClientHello（客户问候）消息总是第一条消息。在TLS握手中，先利用SNI技术建立包含有目标服务器信息的ClientHello消息，再将ClientHello消息和DNS查询请求发送给代理服务器。代理服务器会解析ClientHello消息中的SNI字段，获取到目标服务器的信息，并将DNS查询请求发送给目标服务器。目标服务器智能看到该DNS查询请求来自代理服务器，对用户真实的IP地址提供保护。

可选地，获取代理服务器返回的加密的DNS查询结果，包括：接收代理服务器返回的加密的DNS查询结果；将加密的DNS查询结果发送给设置于用户设备的第一加解密模块；获取第一加解密模块解密后的DNS查询结果。

从代理服务器返回的DNS查询结果，是经过加密后的加密数据，需要进行解密后才能得到真正的数据信息。将加密数据发送给第一加解密模块，可以实现对数据的加解密过程都在第一加解密模块中进行，减少未经授权的访问或数据篡改，提高用户数据信息的安全性。

可选地，在向代理服务器发送加密查询请求前，还包括：将查询请求发送给第一加解密模块；获取第一加解密模块加密后的查询请求。

结合图4所示，本公开实施例提供另一种用于DNS查询的方法，应用于用户设备，该方法包括：

S201，用户设备将查询请求发送给第一加解密模块。

S202，用户设备获取第一加解密模块加密后的查询请求。

S203，用户设备向代理服务器发送加密查询请求。

S204，用户设备根据代理服务器的授权回复，向代理服务器发送查询信息；所述查询信息包括目标服务器的信息和DNS查询请求。

S205，用户设备获取代理服务器返回的加密的DNS查询结果。

可选地，第一加解密模块包括：嵌入式安全芯片。

在用户发起查询请求后，用户设备会先对查询请求进行一次加密，再将加密后的查询请求发送给代理服务器，可以在DNS查询的初始过程中就实现对用户数据的保护。

在本公开实施例中，结合图5所示，用户设备10包括第一处理器12和第一加解密模块11；其中，第一加解密模块11包括第一eSE安全芯片。代理服务器20包括第二处理器22和第二加解密模块21；其中，第二加解密模块21包括第二eSE安全芯片。第一eSE安全芯片和第二eSE安全芯片具有相同的加解密密钥和算法。第一加解密模块11可以对用户的查询请求进行加密，再将加密后的查询请求发送给代理服务器20，由第二加解密模块21进行解密。第二加解密模块21可以对目标服务器30返回的DNS查询结果进行加密，再将加密后的DNS查询结果发送给用户设备10，由第一加解密模块11进行解密；获取DNS查询结果。

eSE安全芯片作为嵌入式安全元件，可以嵌入到硬件内部，与设备的操作系统、网络堆栈等紧密集成，从而适配整个网络架构。eSE安全芯片为加密和解密过程提供了一个安全的执行环境，可以减少出现未授权的访问或篡改。由于eSE安全芯片提供的是在硬件级别上的加密，如果出现在传输过程中数据被截获的情况下，也更难被破解。eSE安全芯片不仅能对数据进行加密，还可以进行签名和验证等操作，从而确保数据在传输过程中的完整性。此外，专门用于加密解密的硬件通常比软件解决方案更高效，因此eSE安全芯片还能提高整个系统的性能。

结合图6所示，在实际应用中，用户设备包括第一处理器和第一eSE安全芯片；代理服务器包括第二处理器和第二eSE安全芯片。本公开实施例提供的用于DNS查询的方法，包括：

S301，第一处理器向第一eSE安全芯片发送查询请求。

S302，第一eSE安全芯片对查询请求进行加密。

S303，第一eSE安全芯片向第二处理器发送加密的查询请求。

S304，第二处理器向第二eSE安全芯片发送加密的查询请求。

S305，第二eSE安全芯片对加密的查询请求进行解密。

S306，第二eSE安全芯片向第二处理器发送解密后的查询请求。

S307，第二处理器向第一处理器发送授权回复；授权回复包括代理服务器的IP地址。

S308，第一处理器与第二处理器建立TCP/TLS连接。

S309，第一处理器在TLS握手中，使用SNI技术，向第二处理器发送ClientHello消息和DNS查询请求；ClientHello消息包括目标服务器的信息。

S310，第二处理器解析ClientHello中的SNI字段，获取目标服务器的信息。

S311，第二处理器向目标服务器发送DNS查询请求。

S312，目标服务器向第二处理器发送DNS查询结果。

S313，第二处理器向第二eSE安全芯片发送DNS查询结果。

S314，第二eSE安全芯片对DNS查询结果进行加密。

S315，第二eSE安全芯片向第一处理器发送加密的DNS查询结果。

S316，第一处理器向第一eSE安全芯片发送加密的DNS查询结果。

S317，第一eSE安全芯片对加密的DNS查询结果进行解密。

S318，第一eSE安全芯片向第一处理器发送解密后的DNS查询结果。

在该实施例中，利用eSE安全芯片对DNS查询过程中的所有数据信息都进行了加密保护，通过全程的加密和解密可以进一步增强网络通信的安全性。使用eSE安全芯片进行数据处理，有效减少了DNS流量被第三方截取和篡改的可能性。此外，eSE芯片作为加密模块，在适配架构和实现方案目的方面具有显著的优势。它不仅提供了一种高度安全和高效的方式来保护数据和隐私，还能提高整个系统的稳健性和可靠性。采用本公开实施例提供的方法，可以应对多种使用环境和安全需求，在用户访问互联网时提高用户的匿名性和数据安全。

结合图7所示，本公开实施例提供一种用于DNS查询的装置300，包括处理器（processor）400和存储器（memory）401。可选地，该装置还可以包括通信接口（Communication Interface）402和总线403。其中，处理器400、通信接口402、存储器401可以通过总线403完成相互间的通信。通信接口402可以用于信息传输。处理器400可以调用存储器401中的逻辑指令，以执行上述实施例的用于DNS查询的方法。

此外，上述的存储器401中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。

存储器401作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序，如本公开实施例中的方法对应的程序指令/模块。处理器400通过运行存储在存储器401中的程序指令/模块，从而执行功能应用以及数据处理，即实现上述实施例中用于DNS查询的方法。

存储器401可包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端设备的使用所创建的数据等。此外，存储器401可以包括高速随机存取存储器，还可以包括非易失性存储器。

本公开实施例提供了一种服务器，包括处理器和存储有程序指令的存储器，处理器被配置为在运行程序指令时，执行应用于代理服务器的用于DNS查询的方法。

本公开实施例提供了一种用户设备，包括处理器和存储有程序指令的存储器，处理器被配置为在运行程序指令时，执行应用于用户设备的用于DNS查询的方法。

本公开实施例提供了一种计算机可读存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为执行上述用于DNS查询的方法。

上述的计算机可读存储介质可以是暂态计算机可读存储介质，也可以是非暂态计算机可读存储介质。

本公开实施例的技术方案可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括一个或多个指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本公开实施例所述方法的全部或部分步骤。而前述的存储介质可以是非暂态存储介质，包括：U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等多种可以存储程序代码的介质，也可以是暂态存储介质。

以上描述和附图充分地示出了本公开的实施例，以使本领域的技术人员能够实践它们。其他实施例可以包括结构的、逻辑的、电气的、过程的以及其他的改变。实施例仅代表可能的变化。除非明确要求，否则单独的部件和功能是可选的，并且操作的顺序可以变化。一些实施例的部分和特征可以被包括在或替换其他实施例的部分和特征。而且，本申请中使用的用词仅用于描述实施例并且不用于限制权利要求。如在实施例以及权利要求的描述中使用的，除非上下文清楚地表明，否则单数形式的“一个”（a）、“一个”（an）和“所述”（the）旨在同样包括复数形式。类似地，如在本申请中所使用的术语“和/或”是指包含一个或一个以上相关联的列出的任何以及所有可能的组合。另外，当用于本申请中时，术语“包括”（comprise）及其变型“包括”（comprises）和/或包括（comprising）等指陈述的特征、整体、步骤、操作、元素，和/或组件的存在，但不排除一个或一个以上其它特征、整体、步骤、操作、元素、组件和/或这些的分组的存在或添加。在没有更多限制的情况下，由语句“包括一个…”限定的要素，并不排除在包括所述要素的过程、方法或者设备中还存在另外的相同要素。本文中，每个实施例重点说明的可以是与其他实施例的不同之处，各个实施例之间相同相似部分可以互相参见。对于实施例公开的方法、产品等而言，如果其与实施例公开的方法部分相对应，那么相关之处可以参见方法部分的描述。

本领域技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，可以取决于技术方案的特定应用和设计约束条件。所述技术人员可以对每个特定的应用来使用不同方法以实现所描述的功能，但是这种实现不应认为超出本公开实施例的范围。所述技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本文所披露的实施例中，所揭露的方法、产品（包括但不限于装置、设备等），可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，可以仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例。另外，在本公开实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

附图中的流程图和框图显示了根据本公开实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这可以依所涉及的功能而定。在附图中的流程图和框图所对应的描述中，不同的方框所对应的操作或步骤也可以以不同于描述中所披露的顺序发生，有时不同的操作或步骤之间不存在特定的顺序。例如，两个连续的操作或步骤实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这可以依所涉及的功能而定。框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

Claims (10)

1.一种用于DNS查询的方法，其特征在于，应用于代理服务器，所述方法包括：

在收到用户设备发送的加密查询请求的情况下，与用户设备建立连接；

接收用户设备发送的查询信息；所述查询信息包括目标服务器的信息和DNS查询请求；

向目标服务器发送DNS查询请求；

将目标服务器返回的DNS查询结果加密后发送至用户设备。

2.根据权利要求1所述的方法，其特征在于，所述在收到用户设备发送的加密查询请求的情况下，与用户设备建立连接，包括：

接收用户设备发送的加密查询请求；

获取加密查询请求中的信息；

根据查询请求信息，向用户设备发送授权回复；所述授权回复包括代理服务器的IP地址；

在用户设备接收到授权回复后，与用户设备建立连接。

3.根据权利要求2所述的方法，其特征在于，所述获取加密查询请求中的信息，包括：

将用户设备发送的加密查询请求发送给设置于代理服务器的第二加解密模块；

获取第二加解密模块解密后的查询请求信息。

4.根据权利要求1所述的方法，其特征在于，所述将目标服务器返回的DNS查询结果加密后发送至用户设备，包括：

获取目标服务器返回的DNS查询结果；

将DNS查询结果发送给第二加解密模块；

获取第二加解密模块加密后的DNS查询结果；

将加密后的DNS查询结果发送给用户设备。

5.一种用于DNS查询的方法，其特征在于，应用于用户设备，所述方法包括：

向代理服务器发送加密查询请求；

根据代理服务器的授权回复，向代理服务器发送查询信息；所述查询信息包括目标服务器的信息和DNS查询请求；

获取代理服务器返回的加密的DNS查询结果。

6.根据权利要求5所述的方法，其特征在于，所述根据代理服务器的授权回复，向代理服务器发送查询信息，包括：

获取代理服务器的授权回复；所述授权回复包括代理服务器的IP地址；

根据授权回复中的IP地址，与代理服务器建立TCP/TLS连接；

向代理服务器发送查询信息。

7.根据权利要求6所述的方法，其特征在于，所述向代理服务器发送查询信息，包括：

在TLS握手中，利用SNI技术建立包含目标服务器信息的ClientHello消息；

将ClientHello消息和DNS查询请求发送给代理服务器。

8.根据权利要求5所述的方法，其特征在于，所述获取代理服务器返回的加密的DNS查询结果，包括：

接收代理服务器返回的加密的DNS查询结果；

将加密的DNS查询结果发送给设置于用户设备的第一加解密模块；

获取第一加解密模块解密后的DNS查询结果。

9.根据权利要求5至8任一项所述的方法，其特征在于，所述在向代理服务器发送加密查询请求前，还包括：

将查询请求发送给第一加解密模块；

获取第一加解密模块加密后的查询请求。

10.一种用于DNS查询的装置，包括处理器和存储有程序指令的存储器，其特征在于，所述处理器被配置为在运行所述程序指令时，执行如权利要求1至9任一项所述的用于DNS查询的方法。