[发明专利]域名劫持的防御方法和网络出口设备

说明书

技术领域

本发明涉及域名解析技术，尤其涉及域名劫持的防御方法和网络出口设备。

背景技术

目前，人们通常使用域名(例如www.XXX.com)访问网络。而网络中的实体之间一般通过IP地址进行互相识别。为保证人们通过域名能够访问网络，网络需要将域名转换为某个或某些实体的IP地址，一般将这种转换工作称为域名解析。域名解析可以由专用的服务器来完成，一般将完成域名解析工作的服务器称为域名系统(DNS，Domain Name System)服务器。

下面结合图1，简单介绍域名解析的过程。如图1所示，客户端向DNS服务器发出携带有域名的请求消息(步骤1)，DNS服务器查找与所述域名对应的名字服务器(NS，Name Sever)的信息，向与所述域名对应的NS发出携带有所述域名的请求消息(步骤2)，NS查找与所述域名对应的IP地址，向DNS服务器返回携带所述IP地址的响应消息(步骤3)，DNS服务器向客户端返回携带所述IP地址的响应消息(步骤4)。

在实际应用中，有可能会发生域名劫持现象。如图2所示，DNS服务器存储了某个域名与非法的NS的信息的对应关系，当有客户端请求解析这个域名时(步骤1)，DNS服务器根据这个域名与非法的NS的信息的对应关系，向非法的NS请求与这个域名对应的IP地址(步骤2’)，非法的NS向DNS服务器返回非法的IP地址(步骤3’)，DNS服务器向客户端返回非法的IP地址(步骤4’)。客户端获得非法的IP地址后，会访问到非法网站。

为避免域名劫持对客户端的影响，有的管理员在DNS服务器中配置域名与对应的IP地址之间的对应关系，当有客户端请求解析域名时，DNS服务器不需要向NS请求IP地址，而是直接将请求解析的域名对应的IP地址返回给客户端。

然而，目前的域名、IP地址的数量已经非常多，管理员在DNS服务器中维护大量的域名、IP地址所付出的代价会特别大，而且还存在配置错误、更新信息不及时的情况，所以，在DNS服务器中维护域名与IP地址的对应关系的方案的可用性不高。

发明内容

本发明提供域名劫持的防御方法和网络出口设备，用以避免域名劫持对客户端的影响，并且具有可用性。

本发明提供一种域名劫持的防御方法，适用于客户端与DNS服务器之间设置有网络出口设备的网络环境，或者适用于NS与DNS服务器之间设置有网络出口设备的网络环境，所述网络出口设备中配置有域名与NS信息之间的对应关系，所述方法包括：网络出口设备向DNS服务器请求与指定域名对应的NS信息；所述网络出口设备获得DNS服务器返回的NS信息；所述网络出口设备如果发现所述返回的NS信息与已经存储的与指定域名对应的NS信息不同，则再判断是否可能发生了域名劫持，如果是，则进行报警处理或防御处理，否则，将所述已经存储的与指定域名对应的NS信息更新为所述返回的NS信息。

本发明还提供一种网络出口设备，设置在客户端与DNS服务器之间，或者设置在NS与DNS服务器之间，所述网络出口设备包括：存储单元，用于存储域名与NS信息之间的对应关系；请求单元，用于向DNS服务器请求与指定域名对应的NS信息；获得单元，用于获得DNS服务器返回的NS信息；判断单元，用于判断所述返回的NS信息与所述存储单元已经存储的与指定域名对应的NS信息是否相同；报警单元，用于进行报警处理；防御单元，用于进行防御处理；更新单元，用于更新所述存储单元存储的信息；如果所述判断单元确定所述返回的NS信息与所述存储单元已经存储的与指定域名对应的NS信息不同，则再判断是否可能发生了域名劫持，如果是，则所述报警单元进行报警处理或者所述防御单元进行防御处理，否则，所述更新单元将所述存储单元已经存储的与指定域名对应的NS信息更新为所述返回的NS信息。

在本发明中，设置在客户端与DNS服务器之间或NS与DNS服务器之间的网络出口设备中配置有域名与NS信息之间的对应关系，网络出口设备如果发现从DNS服务器获得的NS信息与已经存储的NS信息不同，那么就判断是否可能发生了域名劫持，如果确定可能发生了域名劫持，那么就进行报警或防御处理，否则，更新NS信息。这样，客户端在请求解析域名时，网络出口设备就可以根据是否可能发生了域名劫持，而采取不同的处理方式，避免了因发生域名劫持而影响客户端。另外，本发明主要要求网络出口设备具备上述处理能力，不需要在DNS服务器中配置和维护大量的域名与IP地址的对应关系，所以，本发明相对于现有技术具有可用性。

附图说明