[发明专利]DNS的ECS服务黑名单防护方法、系统及存储介质

说明书

本申请提供了一种DNS的ECS服务黑名单防护方法、系统及存储介质。该方法包括：检查转发服务器的记录是否命中设定的ECS服务黑名单，其中，若未命中，则正常提供ECS解析服务；若命中，则根据命中的类型执行对应的防护策略。本申请提供了一种新的关于ECS的三种防护策略，包括ECS前缀过长限制、ECS前缀过短限制、ECS前缀路径不可路由，该三种防护策略在现有DNS服务的基础上实现，在兼容现有DNS的应用场景基础上对ECS行为进行限制，通过该防护策略能过滤出符合RFC规范的ECS请求，进而提升ECS服务安全。

技术领域

本申请涉及DNS服务技术领域，特别是涉及一种DNS的ECS服务黑名单防护方法、系统及存储介质。

背景技术

用于解决网络拥堵的CDN技术被大量应用于分布式系统服务中，其中，转发DNS服务器使用ECS技术将携带客户端的ip subnet信息的包发送给上游服务器，上游服务器根据客户端的subnet信息给出更精确的访问地址。ECS是EDNS Client Subnet，是一种DNS扩展协议，由RFC 7871定义，其主要作用是允许LocalDNS把用户IP透传给权威DNS，目前被Google、OpenDNS和腾讯DNSPod等公共DNS服务所支持。

目前各种DNS服务器对ECS协议支持并不统一，造成ECS服务缺陷包括两处：

1、查询路径上所有的DNS服务器会通过edns0 subnet字段获取客户部分IP信息，一些DNS服务器不规范使用会放大隐私泄漏的危险，从而使攻击者通过对这些信息扫描CDN平台造成安全隐患。

2、一些不可路由的ECS前缀或其它带有非法ECS字段的请求会对权威DNS服务器产生误导，从而大量占用解析资源，造成解析性能的下降。

发明内容

基于此，有必要针对上述技术问题，提供一种DNS的ECS服务黑名单防护方法、系统及存储介质，通过建立ECS服务黑名单防护机制实现dns服务器的ECS安全认证，以此提升ECS服务安全的目的。

本发明的第一方面，提供了一种DNS的ECS服务黑名单防护方法，包括：检查转发服务器的记录是否命中设定的ECS服务黑名单，其中，

若未命中，则正常提供ECS解析服务；

若命中，则根据命中的类型执行对应的防护策略。

进一步地，所述检查转发服务器的记录是否命中设定的ECS服务黑名单包括：对发送的携带ECS字段的ipv4和ipv6的地址前缀长度进行检测，若ipv4的地址前缀长度超过24位或ipv6的地址前缀长度超过56位，并且没有采用加密措施的请求的转发服务器加入ECS服务黑名单。

进一步地，所述检查转发服务器的记录是否命中设定的ECS服务黑名单还包括：对发送的携带ECS字段的ipv4的地址前缀长度进行检测，若ipv4的地址前缀长度少于22位，则将此转发服务器加入ECS服务黑名单。

进一步地，所述检查转发服务器的记录是否命中设定的ECS服务黑名单还包括：检查携带ECS字段的转发服务器的前缀路径是否能路由，若不可路由，则将此不可路由的转发服务器加入ECS服务黑名单。

进一步地，根据命中的类型执行对应的防护策略包括：针对命中为ECS前缀过长的类型，其转发服务器的ECS查询请求强制采取加密策略；针对命中为ECS前缀过短的类型，其转发服务器的ECS查询请求拒绝提供ECS服务；针对命中为不可路由的类型，其转发服务器的ECS查询请求进行拒绝应答。

进一步地，所述正常提供ECS解析服务包括：对请求的edns IP subnet字段以及向外递归得到的ECS应答结果进行校验，校验通过后，应答转发服务器。

本发明的第二方面，提供了一种DNS的ECS服务黑名单防护装置，包括：