[发明专利]DNS的ECS服务黑名单防护方法、系统及存储介质

权利要求书

1.一种DNS的ECS服务黑名单防护方法，其特征在于，包括：

检查转发服务器的记录是否命中设定的ECS服务黑名单，其中，

若未命中，则正常提供ECS解析服务；

若命中，则根据命中的类型执行对应的防护策略。

2.如权利要求1所述的方法，其特征在于，所述检查转发服务器的记录是否命中设定的ECS服务黑名单包括：对发送的携带ECS字段的ipv4和ipv6的地址前缀长度进行检测，若ipv4的地址前缀长度超过24位或ipv6的地址前缀长度超过56位，并且没有采用加密措施的请求的转发服务器加入ECS服务黑名单。

3.如权利要求2所述的方法，其特征在于，所述检查转发服务器的记录是否命中设定的ECS服务黑名单还包括：对发送的携带ECS字段的ipv4的地址前缀长度进行检测，若ipv4的地址前缀长度少于22位，则将此转发服务器加入ECS服务黑名单。

4.如权利要求3所述的方法，其特征在于，所述检查转发服务器的记录是否命中设定的ECS服务黑名单还包括：检查携带ECS字段的转发服务器的前缀路径是否能路由，若不可路由，则将此不可路由的转发服务器加入ECS服务黑名单。

5.如权利要求4所述的方法，其特征在于，根据命中的类型执行对应的防护策略包括：针对命中为ECS前缀过长的类型，其转发服务器的ECS查询请求强制采取加密策略；针对命中为ECS前缀过短的类型，其转发服务器的ECS查询请求拒绝提供ECS服务；针对命中为不可路由的类型，其转发服务器的ECS查询请求进行拒绝应答。

6.如权利要求5所述的方法，其特征在于，所述正常提供ECS解析服务包括：对请求的edns IP subnet字段以及向外递归得到的ECS应答结果进行校验，校验通过后，应答所述转发服务器。

7.如权利要求5所述的方法，其特征在于，所述的加密策略为DoT加密方式。

8.一种DNS的ECS服务黑名单防护系统，其特征在于，包括：

检测模块，检查转发服务器的记录是否命中设定的ECS服务黑名单，其中，所述ECS服务黑名单包括三种类型：ECS前缀过长、ECS前缀过短、ECS请求不可路由；

判断模块，若未命中，则正常提供ECS解析服务；若命中，则根据命中的类型执行对应的防护策略。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。