[发明专利]一种基于Linux的动态域名解析模块及其黑白名单实现方法

权利要求书

1.一种基于Linux的动态域名解析模块，其特征在于：包括路由器、交换机、胖AP、瘦AP以及域名解析模块，所述域名解析模块包括域名配置模块、域名拦截模块、域名判定模块和数据放行模块，所述域名配置模块工作于用户空间，主要是接收用户从云端发来的指令配置具体哪些域名要加入黑白名单；所述域名拦截模块，工作于内核空间，其功能是拦截DNS响应报文，并将其通过IP组播的形式发放到用户空间的域名判定模块；所述域名判定模块，工作于用户空间，接收从域名拦截模块发来的拦截下来的DNS响应包，查询配置下来的黑白名单列表，如果发现该域名在列表中，就从DNS响应包中提取其对应的一个或多个IP地址并通知数据放行模块；所述数据放行模块，数据放行模块分为两个部分，一是当上述截获的DNS响应包通过了域名判定模块的分析后，便将其放行，可利用iptables nf-queue 内核模块来实现。

2.另一个是符合黑白名单的IP地址加入对应的IPset后，将前往上述IP地址的数据包放行或者阻拦，可利用iptables filter表加ipset模块来实现。

3.一种基于Linux动态域名解析模块的黑白名单实现方法，其特征在于：包括以下步骤：

步骤一：在iptables mangle表的POSTROUTING chain中加入对DNS服务器回送的包的拦截，并将拦截包发送到组播队列；

步骤二：组播队列将DNS响应包发送到位于用户空间的“域名判定模块”；

步骤三：“域名判定模块”解析该DNS响应，如果发现其域名符合配置的要求，如查询的域名是house.sina.com.cn ，配置的域名是*.sina.com.cn，则提取响应中所有返回的IP地址加入到“IP数据库”；

步骤四：“域名判定模块”通过iptables的扩展内核模块nf_queue来放行该dns响应包；

步骤五：每当收到流入的数据包时要通过路由设备时，在iptables filter表的 FORWARD chain中加入对IP数据库的查询，如果IP报文的目的地址在IP数据库中就drop该IP包，也就是不允许该IP报文通过。