[发明专利]一种基于Linux的动态域名解析模块及其黑白名单实现方法

说明书

技术领域

本发明涉及互联网技术领域，具体涉及一种基于Linux的动态域名解析模块及其黑白名单实现方法。

背景技术

目前业界对网络安全的要求越来越高，提出了基于动态域名的黑白名单的要求，所谓基于动态域名的黑白名单是指用户可以使用某动态域名来定义黑白名单，比如：*.sina.com 来指定用户不能访问／只能访问所有新浪的网站的，比如house.sina.com finance.sina.com。该要求的难点在于，此域名是动态的，网络设备无法提前预测／获悉该域名所对应的IP地址，从而不能按照传统的基于固定IP地址的方式来配置黑白名单。并且由于交换机和瘦Wi-Fi路由器（以下简称瘦AP）都是工作在2层的设备，其网络效率更高，很多用户提出在交换机和瘦AP上实现上述功能，从而进一步加大了这一问题的实现难度。

目前大多数家用／商用路由器和胖AP提供的基于动态域名的黑白名单的功能的局限性在于：

1.其内部必须嵌套内置DNS 服务器，并且路由器必须工作在NAT模式，AP必须是胖AP（NAT模式）。

2.大多数厂商只能屏蔽域名解析，如果用户使用其域名对应的IP地址来直接访问，就可以绕过黑名单的设置。

目前大多数家用／商用交换机和瘦AP并不提供基于动态域名的黑白名单的功能的主要原因有二：

1.交换机和瘦AP是工作在二层的设备，而域名解析功能是七层的功能，二层设备无法提供。

2.动态域名因为其无法提前获知的特性，导致算法设计复杂度高，实时性得不到满足。

发明内容

针对上述问题，本发明提供了一种基于Linux的动态域名解析模块及其黑白名单实现方法，其目的在于：提供了路由器，交换机，胖AP，瘦AP通用的基于动态域名的黑白名单的功能。

本发明的技术解决方案：

一种基于Linux的动态域名解析模块包括：路由器、交换机、胖AP、瘦AP以及域名解析模块，所述域名解析模块包括域名配置模块、域名拦截模块、域名判定模块和数据放行模块，所述域名配置模块工作于用户空间，主要是接收用户从云端发来的指令配置具体哪些域名要加入黑白名单；所述域名拦截模块，工作于内核空间，其功能是拦截DNS响应报文，并将其通过IP组播的形式发放到用户空间的域名判定模块；所述域名判定模块，工作于用户空间，接收从域名拦截模块发来的拦截下来的DNS响应包，查询步骤（1）中配置下来的黑白名单列表，如果发现该域名在列表中，就从DNS响应包中提取其对应的一个或多个IP地址并通知数据放行模块；所述数据放行模块，数据放行模块分为两个部分，一是当上述截获的DNS响应包通过了域名判定模块的分析后，便将其放行，可利用iptables nf-queue 内核模块来实现。另一个是符合黑白名单的IP地址加入对应的IPset后，将前往上述IP地址的数据包放行或者阻拦，可利用iptables filter表加ipset模块来实现。

一种基于Linux动态域名解析模块的黑白名单实现方法，包括以下步骤：

（1）在iptables mangle表的POSTROUTING chain中加入对DNS服务器回送的包的拦截，并将拦截包发送到组播队列。

（2）组播队列将DNS响应包发送到位于用户空间的“域名判定模块”。

（3）“域名判定模块”解析该DNS响应，如果发现其域名符合配置的要求，如查询的域名是house.sina.com.cn ，配置的域名是*.sina.com.cn，则提取响应中所有返回的IP地址加入到“IP数据库”。

（4）“域名判定模块”通过iptables的扩展内核模块nf_queue来放行该dns响应包。

（5）每当收到流入的数据包时要通过路由设备时，在iptables filter表的 FORWARD chain中加入对IP数据库的查询，如果IP报文的目的地址在IP数据库中就drop该IP包，也就是不允许该IP报文通过。

本发明的有益效果：

1、提供了路由器，交换机，胖AP，瘦AP通用的配置基于动态域名的黑白名单的功能

2、能实时更新动态域名的黑（白）名单，即使该域名在频繁的更新其IP地址，从而避免因为只屏蔽域名而导致的错误和遗漏

3、实现效率高，算法简单，对路由器性能基本无影响。

附图说明

图1：本发明结构原理示意图。

图2：本发明实施流程图。

具体实施方式