[发明专利]一种DNS防攻击方法、设备和系统

说明书

技术领域

本发明实施例涉及网络安全技术领域，尤其涉及一种DNS防攻击方法、设备和系统。

背景技术

当前互联网上的网络攻击日益频繁，攻击形式也日益多样，其中针对DNS(Domain Name System，域名系统)服务器的大规模DDoS(Distributed Denial of Service，分布式拒绝服务)攻击影响尤为严重。

当客户端访问一个域名时，例如访问aaa.com，会向递归服务器询问aaa.com的A(Address)记录，若递归服务器也没有缓存aaa.com的A记录，递归服务器会向根域名服务器(.)、顶级域名服务器(.com)、权威域名服务器(aaa.com)递归查询aaa.com对应的A记录，顶级域名服务器(.com)不会直接告诉递归服务器aaa.com所对应的A记录，而是将对应的权威域名服务器(aaa.com)的NS(Name Server)记录发送给递归服务器，NS记录中记载了可用于解析aaa.com的所有权威域名服务器的NS记录，例如:

aaa.com.172800 IN NS ns1.aaadns.com.

aaa.com.172800 IN NS ns2.aaadns.com.

aaa.com.172800 IN NS ns3.aaadns.com.

aaa.com.172800 IN NS ns4.aaadns.com.

权威域名服务器的NS记录的A记录，例如：

ns1.aaadns.com.172800 IN A 1.1.1.1

ns2.aaadns.com.172800 IN A 2.2.2.2

ns3.aaadns.com.172800 IN A 3.3.3.3

ns4.aaadns.com.172800 IN A 4.4.4.4

然后，递归服务器选择其中一个权威域名服务器进行访问，如：

aaa.com.172800 IN NS ns1.aaadns.com.

ns1.aaadns.com.172800 IN A 1.1.1.1

递归服务器向权威域名服务器1.1.1.1发起域名访问请求以获取aaa.com对应的A记录，权威域名服务器1.1.1.1向递归服务器返回aaa.com对应的A记录，以完成一个域名的完整解析。例如：aaa.com.600 IN A 106.11.61.44

最后客户端根据该域名aaa.com对应的IP地址106.11.61.44进行访问。

由于递归服务器后续会将权威域名服务器1.1.1.1作为aaa.com同类域名解析的首选服务器。若权威域名服务器1.1.1.1被攻击，由于NS的过期时间(TTL)一般被顶级域管理机构强制定为48小时(ns1.aaadns.com.172800 IN A 1.1.1.1)，将导致大量域名长时间无法被解析，降低了域名解析的效率。

发明内容

本发明实施例提供一种DNS防攻击方法、设备和系统，用以解决在权威域名服务器被攻击时如何提升域名解析的效率。

本发明实施例提供了一种DNS防攻击方法，包括：

递归服务器接收域名查询请求报文，所述域名查询请求报文中携带有所述递归服务器中未缓存的域名；

所述递归服务器根据所述域名对应的第一NS记录及第一NS的A记录确定第一权威域名服务器，并向所述第一权威域名服务器发送所述域名查询请求报文；

所述递归服务器接收所述第一权威域名服务器返回的所述域名的A记录、第二NS记录及第二NS的A记录，所述第二NS记录中记载着用于解析所述域名且处于正常工作状态的权威域名服务器；

所述递归服务器将所述第二NS记录替换所述第一NS记录，并缓存所述第二NS的A记录。

可选地，所述递归服务器根据所述域名对应的第一NS记录及第一NS的A记录确定第一权威域名服务器之前，还包括：

所述递归服务器根据所述域名对应的第一NS记录及第一NS的A记录确定第二权威域名服务器，所述第二权威域名服务器是所述递归服务器中记录的已成功解析所述域名的同类域名的权威域名服务器；

所述递归服务器在未接收到所述第二权威域名服务器返回的消息时，根据所述域名对应的第一NS记录及第一NS的A记录确定所述第一权威域名服务器；所述第二NS记录中不包括所述第二权威域名服务器。