[发明专利]一种校验DNS请求合法性的方法及装置

说明书

本发明公开了一种校验DNS请求合法性的方法及装置，该方法包括：基于UDP接收客户端发送的第一DNS请求；确定所述第一DNS请求的源地址是否在合法名单中；当所述源地址不在所述合法名单中时，向所述客户端发送第一DNS响应报文，所述第一DNS响应报文中的TC标记位为1；当在第一预设时间内接收到所述客户端基于TCP发送的第二DNS请求时，向所述客户端发送第二DNS响应报文，并将该客户端的源地址保存在所述合法名单中。利用本发明不仅能够有效校验每个DNS请求的合法性，确保合法DNS请求得到答复，攻击请求得到拦截，并且可以得到合法名单，当再次接收到合法名单中的源地址发送的DNS请求时，可以直接确定该DNS请求为合法请求，不必使客户端重新基于TCP发送DNS请求。

技术领域

本发明涉及网络安全技术领域，特别涉及一种校验DNS请求合法性的方法及装置。

背景技术

DNS(Domain Name System，域名系统)是可以将域名和IP地址进行相互映射的一个分布式数据库。在具体应用中，客户端向DNS服务器发送DNS请求，DNS服务器接收到DNS请求后，确定DNS请求的域名对应的IP地址，并将该IP地址发送给客户端，客户端就可以向此IP地址请求网络服务。

客户端可以使用UDP(User Datagram Protocol，用户数据报协议)或者TCP(Transmission Control Protocol，传输控制协议)与DNS服务器进行通信。客户端通常采用UDP传输DNS请求，只有在UDP报文容量不足时，才使用TCP进行传输，并且基于UDP的应用协议很容易遭受DDOS(Distributed Denial ofService，分布式拒绝服务)攻击。基于UDP的DDOS攻击通常通过向DNS服务器发送大量的DNS请求，DNS解析服务属于计算密集型的应用，在处理海量的DNS请求时，容易导致DNS服务器资源耗尽而导致无法服务，或者因网络拥塞而瘫痪。

目前针对基于UDP的DDOS攻击的防护做法是，检测发往特定IP或特定域的DNS请求的速率，如果速率超过阈值则确定受到攻击，丢弃所有的DNS请求。这会导致被攻击请求淹没的合法DNS请求也无法得到处理，影响正常用户的服务请求。

发明内容

为了解决现有技术的问题，本发明实施例提供了一种校验DNS请求合法性的方法及装置。所述技术方案如下：

第一方面，提供了一种校验DNS请求合法性的方法，所述方法应用于DNS服务器中，所述方法包括：

基于UDP接收客户端发送的第一DNS请求；

确定所述第一DNS请求的源地址是否在合法名单中；

当所述源地址不在所述合法名单中时，向所述客户端发送第一DNS响应报文，所述第一DNS响应报文中的TC标记位为1；

当在第一预设时间内接收到所述客户端基于TCP发送的第二DNS请求时，向所述客户端发送第二DNS响应报文，并将该客户端的源地址保存在所述合法名单中。

可选的，当在第一预设时间内接收到所述客户端基于TCP发送的第二DNS请求时，向所述客户端发送第二DNS响应报文，并将该客户端的源地址保存在所述合法名单中，包括：

当在预设时间内接收到所述客户端基于TCP发送的第二DNS请求，并且所述第二DNS请求的源地址和域名包含在所述第一DNS请求中时，将该客户端的源地址保存在所述合法名单中。

可选的，所述方法还包括：

当所述源地址包含在所述合法名单中时，使用UDP向所述客户端发送第三DNS响应报文，所述第三DNS响应报文中包括对所述第一DNS请求的域名解析结果，并且所述第三DNS响应报文中的TC标记位为0。

可选的，所述方法还包括：

基于UDP接收客户端发送的第三DNS请求；