[发明专利]IP地址识别方法及装置

说明书

本公开涉及一种IP地址识别方法及装置。该方法应用于部署有DNS代理的安全设备中，DNS代理中存储有第一记录，包括与第一域名对应的第一IP地址，安全设备的安全策略中存储有第二记录，包括与第一域名对应的第一IP地址。该方法包括：DNS代理在第一记录中第一IP地址老化时间到达时，向DNS服务器发送反向请求报文；DNS代理接收的响应报文中的第二域名与第一域名不同时，通知安全策略删除第二记录中的第一IP地址。本公开的实施例能够在域名的原IP地址到达老化时间时反向请求原IP地址当前对应的域名，仅在域名变化时删除原IP地址，避免报文放行策略的频繁改变，从而避免安全设备的性能下降。

技术领域

本公开涉及计算机技术领域，尤其涉及一种IP地址识别方法及装置。

背景技术

DNS代理(DNS proxy)用于在DNS客户端(DNS client)和DNS服务器(DNS server)之间转发DNS请求和应答报文。局域网内的DNS客户端把DNS代理当作DNS服务器，将DNS请求报文发送给DNS代理。DNS代理将该请求报文转发到真正的DNS服务器，并将DNS服务器的应答报文返回给DNS客户端，从而实现域名解析。使用DNS代理功能后，当DNS服务器的地址发生变化时，只需改变DNS代理上的配置，无需改变局域网内每个DNS客户端的配置，从而简化了网络管理。

在相关技术中，可以在安全设备(例如防火墙设备)中部署DNS代理。在安全设备中配置有基于域名的安全策略，安全设备仅对域名对应的IP地址进行放行。然而，在负载均衡环境中，DNS服务器通常将每个域名配置为对应N个IP地址，且每个域名解析到的IP地址生存时间通常非常短，导致DNS代理频繁发起DNS请求并请求到不同的IP地址，使得安全设备频繁更改对报文的放行策略，对安全设备的性能造成极大的影响。

发明内容

有鉴于此，本公开提出了一种IP地址识别方法及装置，能够在域名对应的IP地址变化时识别并保留有效的原IP地址，避免报文放行策略的频繁改变，从而避免安全设备的性能下降，提升用户体验。

根据本公开的一方面，提供了一种IP地址识别方法，该方法应用于部署有DNS代理的安全设备中，所述DNS代理中存储有第一记录，所述第一记录中包括与第一域名相对应的第一IP地址，所述安全设备的安全策略中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址，所述方法包括：

所述DNS代理在所述第一记录中的第一IP地址的老化时间到达时，向所述DNS服务器发送反向请求报文，所述反向请求报文用于查询与所述第一IP地址相对应的域名；

所述DNS代理接收所述DNS服务器针对所述反向请求报文的响应报文，在所述响应报文中的第二域名与所述第一域名不同时，通知所述安全策略删除所述第二记录中的所述第一IP地址。

根据本公开的另一方面，提供了一种IP地址识别装置，所述装置应用于安全设备中，所述装置包括：DNS代理模块和安全策略模块，其中，所述DNS代理模块中存储有第一记录，所述第一记录中包括与第一域名相对应的第一IP地址，所述安全策略模块中存储有第二记录，所述第二记录中包括与第一域名相对应的第一IP地址；

所述DNS代理模块，用于在所述第一记录中的第一IP地址的老化时间到达时，向DNS服务器发送反向请求报文，所述反向请求报文用于查询与所述第一IP地址相对应的域名；

所述DNS代理模块，还用于接收所述DNS服务器针对所述反向请求报文的响应报文，在所述响应报文中的第二域名与所述第一域名不同时，通知所述安全策略模块删除所述第二记录中的所述第一IP地址。

根据本公开实施例的IP地址识别方法及装置，能够在域名的原IP地址到达老化时间时反向请求原IP地址当前对应的域名，仅在域名变化时删除原IP地址，避免报文放行策略的频繁改变，从而避免安全设备的性能下降。

根据下面参考附图对示例性实施例的详细说明，本公开的其它特征及方面将变得清楚。