[发明专利]DoT在DNS权威服务器上的支持方法及系统

说明书

本发明公开了一种DoT在DNS权威服务器上的支持方法及系统，该方法包括：在DNS权威服务器和客户端之间设置DoT服务进程，所述DoT服务进程接收所述客户端的发来的DoT请求时，建立TLS连接，同时和本机的DNS权威服务器建立进程连接。本发明不会对原有的DNS服务系统做侵入式修改，通过生成独立于现有DNS权威服务器之外的一个进程，完成TLS的握手、装载和卸载，不会对现有的DNS服务器性能产生冲击。

技术领域

本发明涉及互联网域名技术领域，具体地，涉及一种DNS-over-TLS在DNS权威服务器上的支持方法。

背景技术

DoT(DNS-over-TLS)是一种基于TLS来进行报文加密的DNS请求交互，DoT全称是DNS over TLS，它使用TLS协议来传输DNS协议。TLS协议是目前互联网最常用的安全加密协议之一，我们访问HTTPs的安全基础就是基于TLS协议的。相比于之前使用无连接无加密的UDP模式，TLS本身已经实现了保密性与完整性。TLS协议的基本思路是证书+加密机制，双管齐下保证安全。证书相当于申请了一个合法的身份证，当客户端向服务器发起连接的时候，双方会相互校验一下身份，服务器把证书给客户端，客户端来校验证书的内容和合法性。和DNSSEC相比，DoT更侧重对DNS交互连接的加密保密，虽然这两种标准都对DNS请求进行了加密，但是DNS over TLS相对于DNS over HTTPS有一些重要的区别。IETF将DNS over HTTPS定义为了RFC 8484，将DNS over TLS定义为了RFC 7858和RFC 8310。

当客户端发起基于TLS的DNS域名请求，首先会建立TCP连接，然后再进行TLS握手建立加密连接，TLS握手时使用的是非对称加密算法，之后的加密连接上传输数据使用的对称加密算法。

传统的DNS服务器若想支持DoT，需要侵入式修改，即在现有框架基础上做代码改动，该种方式对DNS服务器的性能有冲击。另外，TLS的握手、装载、卸载对DNS服务的性能也提出了更高的要求。

发明内容

针对现有技术的缺陷，本发明的目的是，提供一种DoT在DNS权威服务器上的支持方法及系统，该方法不会对原有的DNS服务系统做侵入式修改，通过生成独立于现有DNS权威服务器之外的一个进程，完成TLS的握手、装载和卸载。

本发明采用的技术方案如下：

一种DoT(DNS-over-TLS)在DNS权威服务器上的支持方法，包括：

在DNS权威服务器和客户端之间设置DoT服务进程，所述DoT服务进程接收所述客户端的发来的DoT请求时，建立TLS连接，同时和本机的DNS权威服务器建立进程连接。

进一步地，所述DoT服务进程收到客户端接收的DoT请求后先进行SSL卸载，将卸载后的数据以明文形式通过进程间连接传给本机的权威进程。

进一步地，所述DoT服务进程将从本机权威进程收到的明文应答包进行SSL装载后发送给客户端。

进一步地，所述DoT服务进程通过监听853端口，以接收客户端发送的DoT请求。

进一步地，所述DoT服务进程读取本地配置文件来获取DoT请求中的加密密钥，包括公钥和私钥。

进一步地，所述DoT服务进程为多个，每一个DoT服务进程服务一个客户端。

进一步地，通过启动或关闭所述DoT服务进程来控制所述DoT功能的实现。

本发明的另一方面还提供了一种DoT(DNS-over-TLS)在DNS权威服务器上的支持系统，该系统包括：

DoT服务进程模块，设置在DNS权威服务器和客户端之间，其中，所述DoT服务进程模块接收所述客户端的发来的DoT请求，并建立TLS连接，同时和本机的DNS权威服务器建立进程连接。