專利名稱：：一種dns動態(tài)更新的方法、裝置和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
：本發(fā)明涉及通信網(wǎng)絡(luò)領(lǐng)域的網(wǎng)絡(luò)安全技術(shù)，尤其涉及一種DNS動態(tài)更新的方法、裝置和系統(tǒng)。
背景技術(shù)：
：在Internet中，通常將IP地址作為主機(jī)的網(wǎng)絡(luò)層標(biāo)識。然而IP地址只是一串?dāng)?shù)字，為了便于記憶，于是產(chǎn)生了主機(jī)名。在通信過程中，又需要使用通信實(shí)體的IP地址，因此需要能夠?qū)⒅鳈C(jī)名翻譯成相應(yīng)的IP地址。最初的主機(jī)名與IP地址映射是保存在網(wǎng)絡(luò)接口卡(NetworkInterfaceCard,NIC)的hosts.txt文件中的，當(dāng)時因?yàn)橹鳈C(jī)數(shù)量少，這個文件也不經(jīng)常變化，因此其它主機(jī)幾天一次從NIC的主機(jī)上下載這個文件進(jìn)行主機(jī)名和IP地址映射就可以了。但隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)展和主機(jī)數(shù)量的增多，頻繁的下載請求對NIC的主機(jī)造成巨大的壓力，同時也影響了服務(wù)質(zhì)量。許多局域網(wǎng)用戶希望自己管理自己的主機(jī)名，而不希望等NIC許多天把自己的主機(jī)名加在hosts.txt文件中，有些組織也希望有自己的名字空間配置。最終決定使用層次式的名字空間組織方案，即域名系統(tǒng)(DomainNameSystem,DNS)。DNS是一個大型的分布式數(shù)據(jù)庫系統(tǒng)，它所執(zhí)行的基本功能是網(wǎng)絡(luò)資源名稱(從最早簡單網(wǎng)絡(luò)上的每個主機(jī)名到后來的域名、郵件地址等)與IP地址之間的翻譯。DNS數(shù)據(jù)庫系統(tǒng)中的記錄被稱為資源記錄(ResourceRecord,RR)，具有相同的Label、Class、Type,但Data不同的一組資源記錄稱為資源記錄集(RRSet)。自治性與開放性是DNS設(shè)計的主要原則，在DNS的設(shè)計之初并沒考慮其安全問題。比如攻擊者在DNS中將某合法網(wǎng)站的IP地址篡改為假冒、惡意網(wǎng)站的IP地址，如果一個普通用戶打算訪問這一網(wǎng)站，但沒有該網(wǎng)站的IP地址時，首先要發(fā)起DNS查詢，這樣該用戶的網(wǎng)絡(luò)流量就會被引到一個惡意的網(wǎng)站，并且很有可能泄漏該用戶的保密信息。為了解決DNS相關(guān)的安全問題，域名系統(tǒng)安全擴(kuò)展(DNSSecurityExtension,DNSSEC)提出了一系列措施，其主要思想是通過公鑰簽名技術(shù)對DNS中的信息進(jìn)行簽名，對DNS信息進(jìn)行數(shù)據(jù)源認(rèn)證和完整性檢查。通過獲取驗(yàn)證簽名的公鑰，域名解析器可以通過對簽名的驗(yàn)證來判斷獲得的資源記錄的真實(shí)性和完整性。為了更好的適應(yīng)互聯(lián)網(wǎng)的發(fā)展，國際網(wǎng)絡(luò)標(biāo)準(zhǔn)組織IETF提出了新的IP版本IPv6，IPv6協(xié)議提供了巨大的地址空間，這成為推廣IPv6的最大動力。互聯(lián)網(wǎng)上的許多應(yīng)用大都離不開域名系統(tǒng)(DNS)的支持，IPv6網(wǎng)絡(luò)中的DNS非常重要，一些IPv6的新特性和DNS的支持密不可分。IPv6支持地址自動配置，這是一種即插即用的機(jī)制，即在沒有任何手工干預(yù)的情況下，IPv6網(wǎng)絡(luò)接口可以獲得鏈3各局部地址、站點(diǎn)局部地址和全局地址等，并且可以防止出現(xiàn)地址重復(fù)的沖突。IPv6支持無狀態(tài)地址自動配置和有狀態(tài)地址自動配置兩種方式，DHCP是一種有狀態(tài)自動配置的機(jī)制，RFC2462中描述了IPV6的無狀態(tài)自動配置。對于IPv6地址進(jìn)行無狀態(tài)自動配置的節(jié)點(diǎn)首先確定自己的鏈路本地地址；然后驗(yàn)證該鏈路本地地址在鏈路上的唯一性；最后確定需要配置的IPv6地址等信息。根據(jù)IPV6中的定義，狀態(tài)自動配置和無狀態(tài)自動配置可以共存并可一起操作。密碼學(xué)生成地址(Cryptogr叩hicallyGeneratedAddresses,CGA)是IPv6地址無狀態(tài)自動配置生成接口標(biāo)識的一種機(jī)制，它主要是為了防止IP地址的盜用和欺騙，增強(qiáng)了IPv6地址的安全性。CGA的基本思想是通過計算公開密鑰的散列值來得到IPv6地址的接口標(biāo)識符。相應(yīng)的私鑰可以對從這個地址發(fā)送的才良文進(jìn)行數(shù)字簽名。為了驗(yàn)證IP地址和公開密鑰之間的關(guān)聯(lián)，驗(yàn)證器需要知道IP地址本身，公開密鑰和輔助參數(shù)的值。驗(yàn)證器可以繼續(xù)驗(yàn)證公開密鑰所有者簽名的報文。因?yàn)镃GA機(jī)制本身沒有被公共的可信第三方認(rèn)證，所以攻擊者可以用任意的子網(wǎng)前綴和他自己的公開密鑰生成新的CGA。但攻擊者不能使用其他人的CGA發(fā)送簽名的報文并通過驗(yàn)證，除非可以獲得他人的私鑰。對于網(wǎng)絡(luò)中的服務(wù)器，用戶可以通過固定的域名來訪問它，而不必關(guān)心它的IP地址是否變化，也不必記住它冗長難記的128位IPv6地址。這就要建立起域名和IP地址之間的對應(yīng)關(guān)系。當(dāng)用戶與服務(wù)器通信時，可以由域名獲得對應(yīng)的IPv6地址。在IP地址改變時要能及時、自動地修改域名與IP地址的對應(yīng)關(guān)系，這就是DNS動態(tài)更新。具體來說，當(dāng)由于網(wǎng)絡(luò)拓樸發(fā)生變化等原因?qū)е翴P地址改變后，DNS客戶端能夠自動向DNS服務(wù)器發(fā)出更新IP地址的請求，后者響應(yīng)此請求，對DNS數(shù)據(jù)庫中的資源記錄進(jìn)行更新，則以后用戶通過域名訪問該客戶端依然可以到達(dá)，即根據(jù)域名可以查詢得到該節(jié)點(diǎn)的新IP地址。為了保證網(wǎng)絡(luò)安全，只有認(rèn)證過的客戶端才可以注冊/更新DNS服務(wù)器上的入口信息，以阻止攻擊者篡改合法的DNS記錄條目。
發(fā)明內(nèi)容本發(fā)明實(shí)施例提供了一種DNS動態(tài)更新的方法、裝置和系統(tǒng)。能夠支持地址的無狀態(tài)自動配置，根據(jù)通信實(shí)體的域名等信息自動生成其IP地址，并將相應(yīng)的域名、公鑰和IP地址等信息關(guān)聯(lián)起來，實(shí)現(xiàn)了IPv6環(huán)境下更為安全的DNS動態(tài)更新。所述DNS動態(tài)更新的方法的實(shí)施例包括以下步驟DNS客戶端根據(jù)特定規(guī)則生成IP地址；DNS客戶端根據(jù)所述IP地址生成DNS動態(tài)更新請求消息，并向DNS服務(wù)器發(fā)送所述DNS動態(tài)更新請求消息，攜帶所述IP地址；DNS服務(wù)器收到所述DNS動態(tài)更新請求消息后，根據(jù)與所述DNS客戶端相同的規(guī)則生成第二IP地址，若所述IP地址等于所述第二IP地址，完成地址驗(yàn)證；DNS服務(wù)器更新DNS資源記錄。其中，所述DNS客戶端根據(jù)特定規(guī)則生成IP地址具體是指DNS客戶端根據(jù)自身的域名、子網(wǎng)前綴、公鑰和沖突計數(shù)依照密碼學(xué)方法生成所述IP地址；體是指所述DNS服務(wù)器根據(jù)DNS客戶端的域名、子網(wǎng)前綴、公鑰和沖突計數(shù)依照密碼學(xué)方法生成所述第二IP地址。其中，在生成所述IP地址或者所述第二IP地址之前，將所述沖突計數(shù)清零。其中，在所述DNS客戶端生成所述IP地址后，所述方法還包括進(jìn)行地址重復(fù)檢測的步驟，如果發(fā)生地址沖突，則沖突計數(shù)力口l,DNS客戶端重新生成IP地址；當(dāng)沖突計數(shù)超過一定閾值時，修改該DNS客戶端所使用的域名或者注冊公鑰，將所述沖突計數(shù)清零，DNS客戶端重新生成IP地址。其中，在所述DNS客戶端生成DNS動態(tài)更新請求消息后，向DNS服務(wù)器發(fā)送所述DNS動態(tài)更新請求消息前，所述方法還包括DNS客戶端用自身對應(yīng)的私鑰對所述DNS動態(tài)更新請求消息進(jìn)行簽名，生成簽名資源記錄的步驟。其中，在所述DNS服務(wù)器更新DNS資源記錄之前，所述方法還包括DNS服務(wù)器對所述DNS客戶端進(jìn)行權(quán)限驗(yàn)證的步驟若DNS服務(wù)器確定所述DNS客戶端請求更新的IP地址為依照密碼學(xué)方法生成的IP地址，則該DNS客戶端具有請求更新的權(quán)限。其中，所述完成地址驗(yàn)證后更新DNS資源記錄前還包括簽名驗(yàn)證的步驟所述DNS服務(wù)器根據(jù)所述DNS客戶端的公鑰驗(yàn)證所述DNS動態(tài)更新請求消息中的簽名資源記錄；所述DNS服務(wù)器更新DNS資源記錄后還包括DNS服務(wù)器向DNS客戶端發(fā)送更新相應(yīng)消息的步驟。本發(fā)明實(shí)施例公開的DNS客戶端包括地址生成單元，用于根據(jù)所述DNS客戶端的信息根據(jù)密碼學(xué)方法動態(tài)生成IP地址；請求消息生成單元，用于根據(jù)所述IP地址生成DNS動態(tài)更新請求消息；簽名單元，用于根據(jù)DNS客戶端自身的私鑰對所述DNS動態(tài)更新請求消息進(jìn)行簽名，并生成簽名資源記錄。其中，所述DNS客戶端還包括資源記錄生成單元，用于生成DNS客戶端的公鑰資源記錄，所述公鑰資源記錄用于對該DNS客戶端進(jìn)行簽名驗(yàn)證；發(fā)送單元，用于發(fā)送所述經(jīng)過簽名的DNS動態(tài)更新請求消息。其中，所述DNS客戶端的信息包括DNS客戶端自身的域名、子網(wǎng)前綴、公鑰和沖突計數(shù)。本發(fā)明實(shí)施例公開的DNS系統(tǒng)包括DNS客戶端，用于在網(wǎng)絡(luò)拓樸發(fā)生變化時根據(jù)特定規(guī)則動態(tài)生成IP地址；根據(jù)所述IP地址生成DNS動態(tài)更新請求消息；利用自身私鑰對該DNS動態(tài)更新請求消息進(jìn)行簽名；并將生成的簽名資源記錄添加到所述DNS動態(tài)更新請求消息中；DNS服務(wù)器，用于接收所述DNS客戶端發(fā)送的DNS動態(tài)更新請求消息；#4居所述DNS動態(tài)更新請求消息對所述DNS客戶端進(jìn)行權(quán)限驗(yàn)證；對所述DNS動態(tài)更新請求消息進(jìn)行地址驗(yàn)證和簽名驗(yàn)證；根據(jù)所述DNS動態(tài)更新請求消息更新DNS資源記錄。其中，所述DNS客戶端進(jìn)一步用于生成公鑰資源記錄，在第一次向所述DNS服務(wù)器發(fā)送DNS動態(tài)更新請求消息的時候，攜帶所述公鑰資源；所述DNS服務(wù)器進(jìn)一步用于在更新DNS資源記錄后，向所述DNS客戶端發(fā)送更新響應(yīng)消息。本發(fā)明實(shí)施例還公開了一種DNS服務(wù)器，其特征在于，包括接收單元，用于接收DNS客戶端發(fā)送的DNS動態(tài)更新請求消息；解析單元，用于解析所述DNS動態(tài)更新請求消息，獲取所述DNS客戶端的信息和IP地址；地址生成單元，用于根據(jù)解析單元獲得的所述DNS客戶端的信息，依照與DNS客戶端同樣的規(guī)則生成第二IP地址；地址驗(yàn)證單元，用于通過判斷所述IP地址和第二IP地址是否相同，對所述DNS客戶端進(jìn)行地址驗(yàn)證；簽名驗(yàn)證單元，用于根據(jù)所述DNS客戶端的公鑰驗(yàn)證所述DNS動態(tài)更新請求消息中的簽名資源記錄；權(quán)P艮驗(yàn)證單元，用于根據(jù)解析單元獲得的DNS客戶端的信息判斷所述DNS客戶端是否有請求DNS動態(tài)更新的權(quán)限，如果該DNS客戶端有請求DNS動態(tài)更新的權(quán)限，則將所述DNS客戶端的信息發(fā)送給所述地址生成單元；存儲單元，用于存儲DNS資源記錄；在進(jìn)行DNS動態(tài)更新時，首先查找存儲單元，如果有與所述DNS客戶端的域名對應(yīng)的資源記錄，則修改該資源記錄，如果沒有與所述DNS客戶端的域名對應(yīng)的DNS資源記錄，則創(chuàng)建一條新的DNS資源記錄；發(fā)送單元，用于向所述DNS客戶端發(fā)送更新響應(yīng)消息，通知更新已經(jīng)完成。本發(fā)明實(shí)施例支持IP地址的無狀態(tài)配置功能，通過關(guān)聯(lián)DNS客戶端公鑰、域名和IP地址等信息，利用所生成的IP地址和相應(yīng)的公鑰保護(hù)DNS的動態(tài)更新，增強(qiáng)了DNS動態(tài)更新的安全性。圖1為本發(fā)明實(shí)施例所述DNS動態(tài)更新的系統(tǒng)結(jié)構(gòu)圖；圖2為本發(fā)明實(shí)施例所述DNS動態(tài)更新的方法流程圖；圖3為本發(fā)明實(shí)施例中DNS客戶端動態(tài)生成IP地址的流程圖；圖4為本發(fā)明實(shí)施例中DNS客戶端的結(jié)構(gòu)示意圖；圖5為本發(fā)明實(shí)施例中DNS服務(wù)器的結(jié)構(gòu)示意圖。具體實(shí)施方式下面結(jié)合附圖和具體實(shí)施例對本發(fā)明作進(jìn)一步說明，但不應(yīng)當(dāng)看作是對本發(fā)明的限制。本發(fā)明實(shí)施例1公開了一種DNS動態(tài)更新的方法。在圖l所示的系統(tǒng)中，當(dāng)網(wǎng)絡(luò)拓樸結(jié)構(gòu)發(fā)生變化時，DNS客戶端將根據(jù)自身的一些信息動態(tài)生成新的IP地址，為了保證在DNS服務(wù)器上能夠通過該DNS客戶端的域名查找到該DNS客戶端的IP地址，該DNS客戶端向DNS服務(wù)器發(fā)起了DNS更新請求消息，DNS服務(wù)器收到該更新請求消息后，經(jīng)過驗(yàn)證，在DNS服務(wù)器上的資源記錄RR中更新該DNS客戶端的域名對應(yīng)的IP地址為新生成的IP地址。圖2是本發(fā)明實(shí)施例所述方法的詳細(xì)流程圖。應(yīng)當(dāng)明確的是，本實(shí)施例所DNS資源記錄的更新，也適用于在DNS服務(wù)器上進(jìn)行DNS注冊，創(chuàng)建一條新的DNS資源記錄的情況。步驟201、DNS客戶端根據(jù)自身的信息依照密碼學(xué)方法動態(tài)生成新的IP地址。具體來說，DNS客戶端根據(jù)自身的域名(DomainName)、子網(wǎng)前綴(SubnetPrefix)、公鑰(PublicKey)和沖突計數(shù)(CollisionCount)等信息依照密碼學(xué)方法動態(tài)生成IP地址。圖3是本發(fā)明實(shí)施例中DNS客戶端動態(tài)生成IP地址的流程圖。步驟301、在計算IP地址之前，先將沖突計數(shù)清零；步驟302、根據(jù)密碼學(xué)方法生成接口標(biāo)識符；具體計算公式可以是InterfaceID=First(N,PRF(DomainName|Expression)),其中，Expression(表達(dá)式)是由與DNS客戶端相關(guān)的信息組合而成，這些信息包括子網(wǎng)前綴、公鑰、沖突計數(shù)等，此外，Expression也可以為空。PRF(Expression)表示對Expression進(jìn)行偽隨機(jī)處理的函數(shù)，可以是SHA-l、SHA-256、CBC-DES、CBC-AES等函數(shù)，或RFC3972所提出的生成密碼學(xué)生成地址CGA的處理方法。步驟303、連接子網(wǎng)前綴與接口標(biāo)識符形成IP地址。在本實(shí)施例中具體可以是IPAddress=SubnetPrefix|InterfaceID,T表示將前后兩者直接連接起來。步驟304、DNS客戶端生成IP地址以后，先進(jìn)行IP地址重復(fù)性檢測，如果發(fā)生地址沖突，執(zhí)行步驟305;如果沒有發(fā)生地址沖突，執(zhí)行步驟306。步驟305、將沖突計數(shù)加l后，重新執(zhí)行步驟302,計算IP地址。步驟306、DNS客戶端準(zhǔn)備向DNS服務(wù)器發(fā)送更新請求消息。在上述過程中，如果連續(xù)幾次計算的IP地址都發(fā)生了地址沖突，導(dǎo)致沖突計數(shù)大于3，并且是DNS服務(wù)器第一次使用所選域名進(jìn)行注冊的話，則修改所使用的注冊公鑰或者域名。步驟202、DNS客戶端在生成IP地址后，生成DNS動態(tài)更新請求消息，并對其進(jìn)行簽名。DNS客戶端按照密碼學(xué)方法生成IP地址后，生成公鑰資源記錄(KEYRR),然后生成DNS動態(tài)更新請求消息，其消息格式如下<table>tableseeoriginaldocumentpage13</column></row><table>該消息中，zone表示要更新的區(qū)域；Prerequisite表示進(jìn)行動態(tài)更新必須滿足的前提條件，可以是RRs必須存在/不存在或者RRSets必須存在/不存在；Update表示需要更新的RR或者RRSets;AdditionalData包括與更新相關(guān)的記錄，或者與本次動態(tài)更新操作的新記錄相關(guān)的記錄。DNS客戶端在生成上述DNS動態(tài)更新請求消息后，使用自身相應(yīng)的私鑰對整個DNS更新請求消息進(jìn)行簽名生成簽名資源記錄(SIGRR)并附在附加數(shù)據(jù)段的最后。如果該DNS客戶端是第一次使用DNS域名進(jìn)行更新注冊，需要在附加數(shù)據(jù)段添加所生成的公鑰資源記錄，用來將公鑰通知給DNS服務(wù)器。步驟203、DNS客戶端向DNS服務(wù)器發(fā)送所述簽名后的DNS動態(tài)更新請求消息，并攜帶生成的IP地址。IP地址和DNS服務(wù)器的域名等信息共同組成一個資源記錄，被添加到DNS動態(tài)更新請求消息的Update字段。步驟204、DNS服務(wù)器接收所述簽名后的DNS動態(tài)更新請求消息并進(jìn)行解析。解析的目的，是獲得該DNS客戶端的域名、子網(wǎng)掩碼等信息和IP地址。步驟205、DNS服務(wù)器根據(jù)解析結(jié)果判斷該DNS客戶端是否有更新請求權(quán)限，本實(shí)施例中，DNS服務(wù)器判斷該DNS動態(tài)更新請求消息中攜帶的IP地址是否是根據(jù)密碼學(xué)方法生成的，如果是，執(zhí)行步驟206,如果否，DNS服務(wù)器拒絕該更新請求。步驟206、DNS服務(wù)器依照與DNS客戶端同樣的規(guī)則，利用同樣的信息生成IP地址。具體說，就是指DNS服務(wù)器根據(jù)DNS客戶端的域名、子網(wǎng)前綴、公鑰和沖突計數(shù)等信息依照密碼學(xué)方法動態(tài)生成IP地址。步驟207、DNS服務(wù)器判斷自己在步驟206中生成的IP地址與DNS客戶端發(fā)送的DNS動態(tài)更新請求中攜帶的IP地址是否相同，如果相同，執(zhí)行步驟208，如果不相同，DNS服務(wù)器拒絕該更新請求。步驟208、DNS服務(wù)器用公鑰驗(yàn)證所述DNS動態(tài)更新請求消息中的簽名，如果—瞼證通過，執(zhí)行步驟209,否則，DNS服務(wù)器拒絕該更新請求。步驟209、DNS服務(wù)器完成DNS客戶端所請求的更新，即更新DNS資源記錄，并向DNS客戶端發(fā)送更新響應(yīng)消息。本發(fā)明實(shí)施例還公開了一種DNS動態(tài)更新的系統(tǒng)，如圖l所示，該系統(tǒng)包括DNS客戶端和DNS服務(wù)器。其中，所述DNS客戶端用于在網(wǎng)絡(luò)拓樸發(fā)生變化時根據(jù)特定規(guī)則動態(tài)生成IP地址；根據(jù)所述IP地址生成DNS動態(tài)更新請求消息；利用自身私鑰對該DNS動態(tài)更新請求消息進(jìn)行簽名，生成簽名資源記錄；并將生成的簽名資源記錄添加到所述DNS動態(tài)更新請求消息中。所述DNS客戶端進(jìn)一步用于生成公鑰資源記錄，在第一次向所述DNS服務(wù)器發(fā)送DNS動態(tài)更新請求消息的時候，攜帶所述^H月資源。所述DNS服務(wù)器用于接收所述DNS客戶端發(fā)送的DNS動態(tài)更新請求消息；根據(jù)所述DNS動態(tài)更新請求消息對所述DNS客戶端進(jìn)行權(quán)限驗(yàn)證；對所述DNS動態(tài)更新請求消息進(jìn)行地址驗(yàn)證和簽名驗(yàn)證；根據(jù)所述DNS動態(tài)更新請求消息更新DNS資源記錄。所述DNS服務(wù)器進(jìn)一步用于在更新DNS資源記錄后，向所述DNS客戶端發(fā)送更新響應(yīng)消息。本發(fā)明實(shí)施例還公開了一種DNS客戶端，如圖4所示，為本發(fā)明實(shí)施例所述DNS客戶端的結(jié)構(gòu)示意圖。該DNS客戶端包括地址生成單元，請求消息生成單元，簽名單元，資源記錄生成單元和發(fā)送單元。其中，地址生成單元用于在網(wǎng)絡(luò)拓樸結(jié)構(gòu)發(fā)生變化時，根據(jù)DNS客戶端的自身的信息、采用密碼學(xué)方法動態(tài)生成IP地址，具體算法見方法部分。請求消息生成單元，用于根據(jù)所述IP地址生成DNS動態(tài)更新請求消息，該更新請求消息的格式就是上述方法中的消息格式，新的IP地址被添加在Update字段。簽名單元，用于根據(jù)DNS客戶端自身的私鑰對所述DNS動態(tài)更新請求消息進(jìn)行簽名，并生成簽名資源記錄，這個簽名資源記錄被添加在該DNS動態(tài)更新請求消息中的附加數(shù)據(jù)字段，用于DNS服務(wù)器對DNS客戶端進(jìn)行簽名驗(yàn)證。資源記錄生成單元，用于生成DNS客戶端的公鑰資源記錄，如果是某一DNS客戶端首次使用某個域名進(jìn)行注冊，那么要將公鑰資源記錄添加DNS動態(tài)更新請求消息中的附加數(shù)據(jù)字段，DNS服務(wù)器在收到這個公鑰資源記錄后，就會利用該公鑰資源記錄中的公鑰對同一域名發(fā)送的DNS動態(tài)更新請求消息進(jìn)行簽名驗(yàn)證。發(fā)送單元，用于向DNS服務(wù)器發(fā)送所述經(jīng)過簽名的DNS動態(tài)更新請求消息。本發(fā)明實(shí)施例還公開了一種DNS客戶端，如圖5所示，為本發(fā)明實(shí)施例所述DNS客戶端的結(jié)構(gòu)示意圖。所述DNS客戶端包括接收單元，用于接收DNS客戶端發(fā)送的DNS動態(tài)更新請求消息。解析單元，用于解析所述DNS動態(tài)更新請求消息，獲取所述DNS客戶端的信息和IP地址，所述的DNS客戶端的信息包括域名、子網(wǎng)前綴等。地址生成單元，用于根據(jù)解析單元獲得的所述DNS客戶端的信息，依照與DNS客戶端同樣的規(guī)則生成第二IP地址，具體可以依照上述方法流程中規(guī)則，用密碼學(xué)方法生成該第二IP地址。地址驗(yàn)證單元，用于通過判斷所述IP地址和第二IP地址是否相同，對所述DNS客戶端進(jìn)行地址驗(yàn)證，如果相同，則通過地址驗(yàn)證，如果不相同，則DNS服務(wù)器拒絕DNS客戶端的更新請求。簽名驗(yàn)證單元，用于根據(jù)所述DNS客戶端的公鑰驗(yàn)i正所述DNS動態(tài)更新請求消息中的簽名資源記錄，如果公鑰與該簽名資源記錄中的私鑰匹配，則簽名驗(yàn)證通過。該DNS服務(wù)器還包括權(quán)限驗(yàn)證單元，用于根據(jù)解析單元獲得的DNS客戶端的信息判斷所述DNS客戶端是否有請求DNS動態(tài)更新的權(quán)限，如果該DNS客戶端有請求DNS動態(tài)更新的權(quán)限，則將所述DNS客戶端的信息發(fā)送給所述地址生成單元。存儲單元，用于存儲DNS資源記錄；在進(jìn)行DNS動態(tài)更新時，首先查找存儲單元，如果有與所述DNS客戶端的域名對應(yīng)的資源記錄，則修改該資源記錄，如果沒有與所述DNS客戶端的域名對應(yīng)的DNS資源記錄，則創(chuàng)建一條新的DNS資源記錄；發(fā)送單元，用于向所述DNS客戶端發(fā)送更新響應(yīng)消息，通知更新已經(jīng)完成。本發(fā)明實(shí)施例支持IP地址的無狀態(tài)配置功能，通過關(guān)聯(lián)DNS客戶端公鑰、域名和IP地址等信息，利用所生成的IP地址和相應(yīng)的公鑰保護(hù)DNS的動態(tài)更新，增強(qiáng)了DNS動態(tài)更新的安全性。綜上所述，以上僅為本發(fā)明的較佳實(shí)施例而已，并非用于限定本發(fā)明的保護(hù)范圍。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)。權(quán)利要求1.一種DNS動態(tài)更新的方法，其特征在于，包括以下步驟DNS客戶端根據(jù)特定規(guī)則生成IP地址；DNS客戶端根據(jù)所述IP地址生成DNS動態(tài)更新請求消息，并向DNS服務(wù)器發(fā)送所述DNS動態(tài)更新請求消息，攜帶所述IP地址；DNS服務(wù)器收到所述DNS動態(tài)更新請求消息后，根據(jù)與所述DNS客戶端相同的規(guī)則生成第二IP地址，若所述IP地址等于所述第二IP地址，完成地址驗(yàn)證；DNS服務(wù)器更新DNS資源記錄。2、根據(jù)權(quán)利要求1所述的方法，其特征在于，所述DNS客戶端根據(jù)特定規(guī)則生成IP地址具體是指DNS客戶端根據(jù)自身的域名、子網(wǎng)前綴、公鑰和沖突計數(shù)依照密碼學(xué)方法生成所述IP地址；所述DNS服務(wù)器根據(jù)與所述DNS客戶端相同的規(guī)則生成第二IP地址具體是指所述DNS服務(wù)器根據(jù)DNS客戶端的域名、子網(wǎng)前綴、公鑰和沖突計數(shù)依照密碼學(xué)方法生成所述第二IP地址。3、根據(jù)權(quán)利要求2所述的方法，其特征在于，在生成所述IP地址或者所述第二IP地址之前，將所述沖突計數(shù)清零。4、根據(jù)權(quán)利要求3所述的方法，其特征在于，在所述DNS客戶端生成所述IP地址后，所述方法還包括進(jìn)行地址重復(fù)檢測的步驟，如果發(fā)生地址沖突，則沖突計數(shù)加1,DNS客戶端重新生成IP地址；當(dāng)沖突計數(shù)超過一定閾值時，修改該DNS客戶端所使用的域名或者注冊公鑰，將所述沖突計數(shù)清零，DNS客戶端重新生成IP地址。5、根據(jù)權(quán)利要求2所述的方法，其特征在于，在所述DNS客戶端生成DNS動態(tài)更新請求消息后，向DNS服務(wù)器發(fā)送所述DNS動態(tài)更新請求消息前，所述方法還包括DNS客戶端用自身對應(yīng)的私鑰對所述DNS動態(tài)更新請求消息進(jìn)行簽名，生成簽名資源記錄的步驟。6、根據(jù)權(quán)利要求1或5所述的方法，其特征在于，在所述DNS服務(wù)器更新DNS資源記錄之前，所述方法還包括DNS服務(wù)器對所述DNS客戶端進(jìn)行權(quán)限驗(yàn)證的步驟若DNS服務(wù)器確定所述DNS客戶端請求更新的IP地址為依照密碼學(xué)方法生成的IP地址，則該DNS客戶端具有請求更新的權(quán)限。7、沖艮據(jù)權(quán)利要求6所述的方法，其特征在于，所述完成地址驗(yàn)證后更新DNS資源記錄前還包括簽名驗(yàn)證的步驟所述DNS服務(wù)器根據(jù)所述DNS客戶端的公鑰驗(yàn)證所述DNS動態(tài)更新請求消息中的簽名資源記錄；所述DNS服務(wù)器更新DNS資源記錄后還包括DNS服務(wù)器向DNS客戶端發(fā)送更新相應(yīng)消息的步驟。8、一種DNS客戶端，其特征在于，包括地址生成單元，用于根據(jù)所述DNS客戶端的信息根據(jù)密碼學(xué)方法動態(tài)生成IP地址；請求消息生成單元，用于根據(jù)所述IP地址生成DNS動態(tài)更新請求消息；簽名單元，用于根據(jù)DNS客戶端自身的私鑰對所述DNS動態(tài)更新請求消息進(jìn)行簽名，并生成簽名資源記錄。9、根據(jù)權(quán)利要求8所述的DNS客戶端，其特征在于，所述DNS客戶端還包括資源記錄生成單元，用于生成DNS客戶端的公鑰資源記錄，所述公鑰資源記錄用于對該DNS客戶端進(jìn)行簽名驗(yàn)證；發(fā)送單元，用于發(fā)送所述經(jīng)過簽名的DNS動態(tài)更新請求消息。10、根據(jù)權(quán)利要求8或9所述的DNS客戶端，其特征在于，所述DNS客戶端的信息包括DNS客戶端自身的域名、子網(wǎng)前綴、公鑰和沖突計數(shù)。11、一種DNS系統(tǒng)，其特征在于，包括DNS客戶端，用于在網(wǎng)絡(luò)拓樸發(fā)生變化時根據(jù)特定規(guī)則動態(tài)生成IP地址；根據(jù)所述IP地址生成DNS動態(tài)更新請求消息；利用自身私鑰對該DNS動態(tài)更新請求消息進(jìn)行簽名；并將生成的簽名資源記錄添加到所述DNS動態(tài)更新請求消息中；DNS服務(wù)器，用于接收所述DNS客戶端發(fā)送的DNS動態(tài)更新請求消息；根據(jù)所述DNS動態(tài)更新請求消息對所述DNS客戶端進(jìn)行權(quán)限驗(yàn)證；對所述DNS動態(tài)更新請求消息進(jìn)行地址驗(yàn)證和簽名驗(yàn)證；根據(jù)所述DNS動態(tài)更新請求消息更新DNS資源記錄。12、根據(jù)權(quán)利要求11所述的系統(tǒng)，其特征在于，所述DNS客戶端進(jìn)一步用于生成公鑰資源記錄，在第一次向所述DNS服務(wù)器發(fā)送DNS動態(tài)更新請求消息的時候，攜帶所述公鑰資源；所述DNS服務(wù)器進(jìn)一步用于在更新DNS資源記錄后，向所述DNS客戶端發(fā)送更新響應(yīng)消息。13、一種DNS服務(wù)器，其特征在于，包括接收單元，用于接收DNS客戶端發(fā)送的DNS動態(tài)更新請求消息；解析單元，用于解析所述DNS動態(tài)更新請求消息，獲取所述DNS客戶端的信息和IP地址；地址生成單元，用于根據(jù)解析單元獲得的所述DNS客戶端的信息，依照與DNS客戶端同樣的規(guī)則生成第二IP地址；地址驗(yàn)證單元，用于通過判斷所述IP地址和第二IP地址是否相同，對所述DNS客戶端進(jìn)行地址驗(yàn)證；簽名驗(yàn)證單元，用于根據(jù)所述DNS客戶端的公鑰驗(yàn)證所述DNS動態(tài)更新請求消息中的簽名資源記錄。14、根據(jù)權(quán)利要求13所述的DNS服務(wù)器，其特征在于，還包括權(quán)限驗(yàn)證單元，用于根據(jù)解析單元獲得的DNS客戶端的信息判斷所述DNS客戶端是否有請求DNS動態(tài)更新的權(quán)限，如果該DNS客戶端有請求DNS動態(tài)更新的權(quán)限，則將所述DNS客戶端的信息發(fā)送給所述地址生成單元；存儲單元，用于存儲DNS資源記錄；在進(jìn)行DNS動態(tài)更新時，首先查找存儲單元，如果有與所述DNS客戶端的域名對應(yīng)的資源記錄，則修改該資源記錄，如果沒有與所述DNS客戶端的域名對應(yīng)的DNS資源記錄，則創(chuàng)建一條新的DNS資源記錄；發(fā)送單元，用于向所述DNS客戶端發(fā)送更新響應(yīng)消息，通知更新已經(jīng)完成。全文摘要本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)，公開了一種DNS動態(tài)更新的方法、裝置和系統(tǒng)。所述方法包括DNS客戶端根據(jù)特定規(guī)則生成IP地址；DNS客戶端根據(jù)所述IP地址生成DNS動態(tài)更新請求消息，并向DNS服務(wù)器發(fā)送所述DNS動態(tài)更新請求消息，攜帶所述IP地址；DNS服務(wù)器收到所述DNS動態(tài)更新請求消息后，根據(jù)與所述DNS客戶端相同的規(guī)則生成第二IP地址，若所述IP地址等于所述第二IP地址，完成地址驗(yàn)證；DNS服務(wù)器更新DNS資源記錄。本發(fā)明支持IP地址的無狀態(tài)配置功能，通過關(guān)聯(lián)DNS客戶端公鑰、域名和IP地址等信息，利用所生成的IP地址和相應(yīng)的公鑰保護(hù)DNS的動態(tài)更新，增強(qiáng)了動態(tài)更新的安全性。文檔編號H04L12/56GK101277257SQ200710073669公開日2008年10月1日申請日期2007年3月26日優(yōu)先權(quán)日2007年3月26日發(fā)明者李春強(qiáng)申請人:華為技術(shù)有限公司