CN104253796A - 域名***中基于网络地址绑定区层级的快速区识别方法 - Google Patents

Abstract

本发明涉及域名***技术领域，具体公开了域名***中基于网络地址绑定区层级的快速区识别方法；在原有的DNS解析的基础上进行了改进，包括：在权威名字服务器上，不同层级的区将NS记录分别指向对应绑定的IP上，域名解析请求按标准DNS解析流程递归到权威名字服务器后，权威名字服务器根据请求入口IP绑定的区层级，从请求域名中截取出区名称，根据截取出的区名，判断其是否在权威名字服务器授权区列表范围内，进而进行解析处理流程。本发明避免了逐个多次截取域名和匹配区列表，仅需一次截取即可判断出请求的域名是否在接受请求的权威名字服务器的管辖之下，避免了区匹配成为易受攻击的漏洞的问题，提高了域名解析过程的安全性和解析效率。

Description

域名***中基于网络地址绑定区层级的快速区识别方法

技术领域

本发明涉及域名***技术领域，尤其是涉及域名***中基于网络地址绑定区层级的快速区识别方法。

背景技术

DNS是计算机***中域名***(Domain Name System或Domain NameService)的缩写，它是因特网的一项核心服务，它作为可以将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。DNS是由解析器以及域名服务器组成的，域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。DNS使用TCP与UDP端口号都是53，主要使用UDP，服务器之间备份使用TCP。

IP是英文Internet Protocol(网络之间互连的协议)的缩写，中文简称为“网协”，也就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机***，只要遵守IP协议就可以与因特网互连互通。IP协议中还有一个非常重要的内容，那就是给因特网上的每台计算机和其它设备都规定了一个唯一的地址，叫做“IP地址”。由于有这种唯一的地址，才保证了用户在连网的计算机上操作时，能够高效而且方便地从千千万万台计算机中选出自己所需的对象来。

TCP是英文Transmission Control Protocol(传输控制协议)的缩写，TCP是一种面向连接(连接导向)的、可靠的、基于字节流的运输层(Transport layer)通信协议，由IETF的RFC 793说明(specified)。在简化的计算机网络OSI模型中，它完成第四层传输层所指定的功能，UDP是同一层内另一个重要的传输协议。UDP是User Datagram Protocol的简称，中文名是用户数据报协议，是OSI参考模型中一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务。TCP/IP(Transmission Control Protocol/Internet Protocol)即传输控制协议/网间协议，是一个工业标准的协议集，它是为广域网(WAN)设计的。它是由ARPANET网的研究机构发展起来的

域名(Domain Name)，是由一串用点分隔的名字组成的因特网(Internet)上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位。DNS分布式数据库是一个倒树状的层次化结构，这个数据库是以域名为索引的。每个域名实际上就是这颗逆向树的路径。数的最上层是根，延伸下去可以有很多分支，这些分支的交叉点被成为节点，每个节点仍然可以继续向下分。整个树的最大深度不得超过127层，每个节点都有一个可以长达63字节的文本标号。存储关于域名空间信息的程序叫做名字服务器，名字服务器含有域名空间中某一部分的完整信息，这一部分称为区(ZONE)，区的内容是从本地存储或其他名字服务器中加载而来。名字服务器对这个区具有权威，一个名字服务器也可以同时对多个区具有权威。

NS(Name System)记录是权威名字服务器记录，用来指定该区的权威名字服务器，该区的权威名字服务器负责解析该区所属域名的解析。

人们习惯记忆域名，但机器间互相只识别IP地址，域名与IP地址之间是一一对应的，它们之间的转换工作称为域名解析，即DNS解析；域名解析需要由专门的域名解析服务器来完成，整个过程是自动进行的。当你的网站制作完成后上传到你的虚拟主机时，你可以直接在浏览器中输入IP地址浏览你的网站，也可以输入域名查询你的网站，虽然得出的内容是一样的但是调用的过程不一样，输入IP地址是直接从主机上调用内容，输入域名是通过域名解析服务器指向对应的主机的IP地址，再从主机调用网站的内容。

DNS解析过程是：步骤一、客户端发起域名解析请求，并将请求发送给客户端的域名服务器；步骤二、客户端的域名服务器接收请求，域名服务器在客户端的本地缓存中查询请求；若在客户端的本地缓存中查询到请求的记录项，则域名服务器将查询结果直接返回给客户端，解析过程结束；若在客户端的本地缓存中没有查询到请求的记录项，则域名服务器将请求发送给根名字服务器，根名字服务器将所查询到的根的子域、权威名字服务器的记录及其IP地址返回给域名服务器；步骤三、域名服务器向权威名字服务器发送递归请求，进行下述步骤四；步骤四、权威名字服务器接受递归请求并在权威名字服务器中查询权威存储；若在权威名字服务器中查询到权威存储的记录项，则权威名字服务器将返回的查询结果保存到客户端的本地缓存，允许下次使用，同时将查询结果返回给客户端，解析过程结束；若没有在权威名字服务器中查询到权威存储的记录项，则将权威名字服务器的记录及其IP地址再次返回给域名服务器，域名服务器向权威名字服务器发送递归请求，进行步骤五；步骤五、重复步骤四，直到找到匹配的记录项。

一般情况下，多个区会共用权威名字服务器，即权威名字服务器管辖了多个区。任何域名解析查询发送到权威名字服务器后，权威名字服务器须匹配出查询对应的域名是否在权威名字服务器所管辖的区中，若在，则权威服务器进一步在权威存储查找对应的记录并组成响应包返回，若不在，则返回相应错误信息包。若请求域名的标签数量比较多，则权威名字服务器须逆向逐次截取的字符串，并检查该字符串是否在权威名字服务器管辖区列表名单中，例如请求解析域名为aa.bb.cc.dd.ee.ff.gg.hh.com.，则现有权威名字服务器先截取出hh.com，并判断hh.com是否在自身管辖的区列表范围中，若在，则停止截取和查找，匹配区成功；若不在，则进一步截取出gg.hh.com，并判断gg.hh.com是否在自身管辖的区列表范围中，若在则停止截取和查找，匹配区成功。如此循环查找匹配，直到某一次截取时查找成功，或最后一次截取的aa.bb.cc.dd.ee.ff.gg.hh.com.被排除在自身管辖的区列表范围中。这个匹配区的算法复杂度取决于截取和匹配的次数。

现有技术中在DNS解析时很容易受到攻击，若恶意攻击者构造请求的域名含标签数量很多，且被请求的域名都不在受攻击的权威名字服务器管辖区内，则权威名字服务器的***计算资源将很容易被逐个多次截取域名和匹配区列表的运算量耗尽。目前还没有有效的解决办法。

发明内容

本发明所解决的技术问题是提供一种域名***中基于网络地址绑定区层级的快速区识别方法，本发明在原有的DNS解析的基础上进行了改进，通过在权威名字服务器上，将区所在域名空间树中的层数和NS记录对应的IP建立绑定关系，避免了逐个多次截取域名和匹配区列表，仅需一次截取即可判断出请求的域名是否在接受请求的权威名字服务器的管辖之下，从而避免了区匹配成为易受攻击的漏洞的问题。提高了域名解析过程的安全性，提高了域名解析过程的解析效率，节省了时间。

为了解决上述技术问题，本发明提供了域名***中基于网络地址绑定区层级的快速区识别方法，包括：

S1、权威名字服务器将不同层级的区分别绑定到不同的IP地址上，即各个所述不同层级的区将NS记录分别指向对应绑定的所述IP地址上；

S2、客户端发起域名解析请求，并将所述请求发送给所述客户端的本地名字服务器；

S3、所述本地名字服务器在自身缓存中查询所述请求的相关记录项；

S3.a、若在所述本地名字服务器的自身缓存中查询到所述请求的记录项，则所述本地名字服务器将查询结果直接返回给所述客户端，解析过程结束；

S3.b、若在所述本地名字服务器的自身缓存中没有查询到所述请求的记录项，则所述本地名字服务器将所述请求发送给根名字服务器，所述根名字服务器查询顶级域的NS记录及所述顶级域的NS记录对应IP地址的信息，并将查询信息返回给所述本地名字服务器，所述本地名字服务器以所述查询信息为线索进一步递归，再次发起递归请求，直至递归到所述请求域名对应的所述权威名字服务器；

S4、所述请求递归到所述权威名字服务器，所述权威名字服务器根据所述步骤S1中所述递归请求的入口IP地址映射出绑定的所述区层级，所述权威名字服务器从所述递归请求的域名中根据所述区层级截取出所述递归请求的区名称；

S5：所述权威名字服务器判断截取出的所述区名称是否在所述权威名字服务器的授权区列表范围内；

S5.a、若所述区名称在所述权威名字服务器的授权区列表范围内，所述权威名字服务器进行域名解析处理流程，在所述权威名字服务器的存储中查询所述权威记录项是否存在，所述权威名字服务器将查询结果组包返回给所述本地名字服务器，所述本地名字服务器再将所述查询结果保存到自身缓存中，允许后续域名查询请求使用，同时将所述查询结果响应包返回给所述客户端，解析过程结束；

S5.b、若不在所述权威名字服务器的授权区列表范围内，则所述权威名字服务器判断所述递归请求为无效请求或攻击请求，丢弃所述递归请求或返回相关错误信息给所述本地名字服务器，所述本地名字服务器将所述相关错误信息响应包返回给所述客户端，解析过程结束。

优选地，所述步骤S1中所述不同层级指三层及三层以上。

其中，所述NS(Name Server)记录是域名服务器记录，用来指定该域名由哪个DNS服务器来进行解析。注册域名时，总有默认的DNS服务器，每个注册的域名都是由一个DNS域名服务器来进行解析的。DNS是域名***(Domain NameSystem)的缩写，是因特网的一项核心服务，它作为可以将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。IP是英文Internet Protocol(网络之间互连的协议)的缩写，中文简称为“网协”，也就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机***，只要遵守IP协议就可以与因特网互连互通。IP地址具有唯一性。

本发明与现有技术相比，具有如下有益效果：

本发明提供了一种域名***中基于网络地址绑定区层级的快速区识别方法，通过将区所在域名空间树中的层数和NS记录对应的IP建立绑定关系，避免了逐个多次截取域名和匹配区列表，仅需一次截取即可判断出请求的域名是否在接受请求的权威名字服务器的管辖之下，从而避免了区匹配成为易受攻击的漏洞的问题。提高了域名解析过程的安全性，提高了域名解析过程的解析效率，节省了时间。

附图说明

图1示例性地示出了域名***中基于网络地址绑定区层级的快速区识别方法流程图；

图2示例性地示出了不同层级的区的绑定IP示意图。

具体实施方式

为了更好地理解本发明所解决的技术问题、所提供的技术方案，以下结合附图及实施例，对本发明进行进一步详细说明。此处所描述的具体实施例仅用以解释本发明的实施，但并不用于限定本发明。

在优选的实施例中，图1示例性地示出了域名***中基于网络地址绑定区层级的快速区识别方法流程；

S1、权威名字服务器将不同层级的区分别绑定到不同的IP地址上，即各个所述不同层级的区将NS记录分别指向对应绑定的所述IP地址上；

S2、客户端发起域名解析DNS请求包，并将所述DNS请求包发送给所述客户端的本地名字服务器；

S3、所述本地名字服务器在自身缓存中查询所述DNS请求包的相关记录项；

S3.a、若在所述本地名字服务器的自身缓存中查询到所述DNS请求包的记录项，则所述本地名字服务器将查询结果直接返回给所述客户端，解析过程结束；

S3.b、若在所述本地名字服务器的自身缓存中没有查询到所述DNS请求包的记录项，则所述本地名字服务器将所述DNS请求包发送给根名字服务器，所述根名字服务器查询顶级域的NS记录及所述顶级域的NS记录对应IP地址的信息，并将查询信息返回给所述本地名字服务器，所述本地名字服务器以所述查询信息为线索进一步递归，再次发起递归DNS请求包，直至递归到所述DNS请求包域名对应的所述权威名字服务器；

S4、所述DNS请求包递归到所述权威名字服务器，所述权威名字服务器根据所述步骤S1中所述递归DNS请求包的入口IP地址映射出绑定的所述区层级，所述权威名字服务器从所述递归DNS请求包的域名中根据所述区层级截取出所述递归DNS请求包的区名称；

S5：所述权威名字服务器判断截取出的所述区名称是否在所述权威名字服务器的授权区列表范围内；

若所述区名称在所述权威名字服务器的授权区列表范围内，所述权威名字服务器进行域名解析处理流程，在所述权威名字服务器的存储中查询所述权威记录项是否存在，所述权威名字服务器将查询结果响应包返回给所述本地名字服务器，所述本地名字服务器再将所述查询结果保存到自身缓存中，允许后续域名查询请求使用，同时将所述查询结果响应包返回给所述客户端，解析过程结束；

若不在所述权威名字服务器的授权区列表范围内，则所述权威名字服务器判断所述递归DNS请求包为无效DNS请求包或攻击DNS请求包，丢弃所述递归DNS请求包或返回相关错误信息给所述本地名字服务器，所述本地名字服务器将所述相关错误信息响应包返回给所述客户端，解析过程结束。

在更加优选的实施例中，所述步骤S1中所述不同层级指三层及三层以上。

具体实施例：

图2示例性地示出了不同层级的区的绑定IP示意图，在权威名字服务器上，将不同层级的区(ZONE)分别绑定到不同的IP上。例如三层级的区绑定到LV3-IP上，四层级的区绑定到LV4-IP上，五层级的区绑定到LV5-IP上；五层级以上的区一般比较少，若有增加对应绑定IP即可；一层级为根域名，二层级为顶级域，均为域名注册/管理局控制。

本专利没有对一层及二层级的区的权威名字服务器DNS解析过程进行改变，仅对三层级及其以上的区的权威名字服务器DNS解析过程进行了改变。

域名解析请求按标准DNS解析流程递归到权威名字服务器后，权威名字服务器根据请求入口IP绑定的区层级，从请求域名中截取出区名称。例如请求域名为xyz.def.abc.com.，若入口IP为LV3-IP，则从xyz.def.abc.com.中截取出区名为abc.com.；同理若入口IP为LV4-IP，则从xyz.def.abc.com.中截取出的区名为def.abc.com.；同理若入口IP为LV5-IP，则从xyz.def.abc.com.中截取出的区名为xyz.def.abc.com.。

以上通过具体的和优选的实施例详细的描述了本发明，但本领域技术人员应该明白，本发明并不局限于以上所述实施例，凡在本发明的基本原理之内，所作的任何修改、组合及等同替换等，均包含在本发明的保护范围之内。

Claims (2)

1.一种域名***中基于网络地址绑定区层级的快速区识别方法，其特征在于，包括：

S1、权威名字服务器将不同层级的区分别绑定到不同的IP地址上，即各个所述不同层级的区将NS记录分别指向对应绑定的所述IP地址上；

S2、客户端发起域名解析请求，并将所述请求发送给所述客户端的本地名字服务器；

S3、所述本地名字服务器在自身缓存中查询所述请求的相关记录项；

S3.a、若在所述本地名字服务器的自身缓存中查询到所述请求的记录项，则所述本地名字服务器将查询结果直接返回给所述客户端，解析过程结束；

S3.b、若在所述本地名字服务器的自身缓存中没有查询到所述请求的记录项，则所述本地名字服务器将所述请求发送给根名字服务器，所述根名字服务器查询顶级域的NS记录及所述顶级域的NS记录对应IP地址的信息，并将查询信息返回给所述本地名字服务器，所述本地名字服务器以所述查询信息为线索进一步递归，再次发起递归请求，直至递归到所述请求域名对应的所述权威名字服务器；

S4、所述请求递归到所述权威名字服务器，所述权威名字服务器根据所述步骤S1中所述递归请求的入口IP地址映射出绑定的所述区层级，所述权威名字服务器从所述递归请求的域名中根据所述区层级截取出所述递归请求的区名称；

S5：所述权威名字服务器判断截取出的所述区名称是否在所述权威名字服务器的授权区列表范围内；

S5.a、若所述区名称在所述权威名字服务器的授权区列表范围内，所述权威名字服务器进行域名解析处理流程，在所述权威名字服务器的存储中查询所述权威记录项是否存在，所述权威名字服务器将查询结果组包返回给所述本地名字服务器，所述本地名字服务器再将所述查询结果保存到自身缓存中，允许后续域名查询请求使用，同时将所述查询结果响应包返回给所述客户端，解析过程结束；

S5.b、若不在所述权威名字服务器的授权区列表范围内，则所述权威名字服务器判断所述递归请求为无效请求或攻击请求，丢弃所述递归请求或返回相关错误信息给所述本地名字服务器，所述本地名字服务器将所述相关错误信息响应包返回给所述客户端，解析过程结束。

2.根据权利要求1所述的域名***中基于网络地址绑定区层级的快速区识别方法，其特征在于，所述步骤S1中所述不同层级指三层及三层以上。