基于DNS代理网络访问控制系统实现.docVIP

基于DNS代理网络访问控制系统实现 　　【摘 要】随着计算机以及Internet网络的应用和发展，如何保护计算机的安全以及管理和控制访问各种Internet资源，成为很多网络管理人员非常关注的问题，本文从域名解析系统（DNS，　Domain　Name　System）及其协议的角度来设计实现一种Internet访问控制管理系统。 　　【关键词】DNS；UDP　Internet网络安全；访问控制 　　1　引言 　　随着计算机以及Internet网络的应用和发展，如何保护计算机的安全以及管理和控制访问各种Internet资源，成为很多网络管理人员非常关注的问题，本文从域名解析系统（DNS，　Domain　Name　System）及其协议的角度来设计实现一种Internet访问控制管理系统，只要控制DNS访问相关的协议，通过禁止解析一些限制访问的域名，就可以达到访问控制的目的。 　　2　系统结构图 　　内网所有计算机通过路由器访问外部网络（如Internet），所有DNS协议（UDP　53号端口访问）通过DNS代理来实现。 　　3　系统实现 　　3.1　DNS协议介绍 　　DNS　是计算机域名系统　（Domain　Name　System　或Domain　Name　Service）　的缩写，它是由解析器以及域名服务器组成的。域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。 　　其中域名必须对应一个IP地址，而IP地址不一定只对应一个域名。域名系统采用类似目录树的等级结构。在Internet上域名与IP地址之间是一对一（或者多对一）的，也可采用DNS轮询实现一对多，域名虽然便于人们记忆，但机器之间只认IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成，DNS就是进行域名解析的服务器。DNS命名用于Internet的TCP/IP网络中，通过用户友好的名称查找计算机和服务。当用户在应用程序中输入DNS名称时，DNS服务可以将此名称解析为与之相关的其他信息，如IP地址。因为，你在上网时输入的网址，是通过域名解析系统解析找到了相对应的IP地址，这样才能上网。其实，域名的最终指向是IP。 　　在IPV4中IP是由32位二进制数组成的，将这32位二进制数分成4组每组8个二进制数，将这8个二进制数转化成十进制数，就是我们看到的IP地址，其范围是在0～255之间。因为，8个二进制数转化为十进制数的最大范围就是0～255。 　　（1）DNS协议的报文结构格式 　　标识：标识字段由客户程序设置并由服务器返回结果，16位，在对应的DNS查询和响应报文中有着相同标识值。 　　标志：标志字段长16位，功能如下： 　　QR　：DNS　查询/响应标志，表示此报文为DNS查询（0）或者DNS查询响应（1）。 　　OpCode：4位长度，表示查询或响应的类型（若为0则表示是标准的，若为1则是反向的，若为2则是服务器状态请求）。 　　AA：权威回答标志，长度1位，只用在响应中。值为1表示名字服务器是权威服务器。 　　TC：截断标志位，长度1位，值为1时表示响应长度超过512字节并已截断。 　　RD：要求递归标志，长度1位，值为1时表示查询请求端希望得到递归回答。 　　RA：递归可用标志，长度1位，只在响应中置位，表示可得到递归响应。 　　RCode：长度4位，表示响应中的错误状态。0表示无差错。 　　（2）资源记录部分报文格式 　　资源记录部分是DNS协议的最后3个字段，回答字段、权威字段和附加信息字段均采用资源记录RR（Resource　Record）的相同格式。报文格式如下图所示。 　　域名：变长，和查询域名格式相同。 　　类型：2字节，说明资源记录的类型，通常为1。 　　类域：2字节，通查询类域。 　　生存时间：4字节，查询客户端可以保留该资源记录的秒数。 　　数据长度：2字节，说明资源数据的数量。该数据的格式依赖于查询类型字段的值。对于类型1（A），资源数据是4字节的IP地址。 　　3.2　系统主要功能介绍 　　（1）DNS协议代理 　　在本地局域内的所有计算机的都通过DNS代理来实现DNS服务，所有IP　访问中对53号端口（DNS　协议专用端口）的访问，如果不是来自DNS代理机的访问，将在路由器/网关设备上被禁止访问。这样就可实现控制局域网内所有计算机的DNS服务。DNS访问服务的主机名解析服务在DNS代理中被解析处理，根据白名单、黑名单以及其它的设置对DNS协议进行处理，有的允许通过被转向正确的DNS服务器，有的被禁止，直接丢弃或者转向特殊设置的URL。 　　（2）域名访问管理 　　所有的域名访问记录可以被保存下来