王文軍

(貴州民族大學(xué) 信息工程學(xué)院，貴州 貴陽 550025)

DNSv6代理技術(shù)在網(wǎng)絡(luò)中的應(yīng)用研究

王文軍

(貴州民族大學(xué) 信息工程學(xué)院，貴州 貴陽 550025)

隨著IPv6開始普及，針對IPv6地址信息不便記憶的問題，需要借助IPv6域名解析技術(shù)。為簡化網(wǎng)絡(luò)的管理，加快解析速度，提升解析效率，提高網(wǎng)絡(luò)穩(wěn)定性和安全性，文中闡述通過DNSv6代理技術(shù)建立網(wǎng)絡(luò)中DNS客戶端發(fā)送的DNSv6查詢請求和DNS服務(wù)器響應(yīng)的應(yīng)答之間的映射關(guān)系，正確解析和轉(zhuǎn)發(fā)DNSv6查詢和應(yīng)答報文，緩存查詢結(jié)果，為用戶提供域名與IPv6地址之間的轉(zhuǎn)換服務(wù)。通過DNSv6代理技術(shù)還可以在DNS代理服務(wù)器上配置多臺DNS服務(wù)器實現(xiàn)容災(zāi)功能。文中簡要闡述了DNSv6代理的概念、工作原理和DNSv6三類主要查詢的格式，研究了DNSv6代理技術(shù)在網(wǎng)絡(luò)中的應(yīng)用，完成了DNSv6代理特性的架構(gòu)設(shè)計、相關(guān)數(shù)據(jù)表項的設(shè)計，并描述了具體的實現(xiàn)。

IPv6；DNSv6；代理；查詢

0 引 言

隨著電子技術(shù)及網(wǎng)絡(luò)技術(shù)的發(fā)展，計算機網(wǎng)絡(luò)進入了人們的日常生活，未來可能身邊的每一樣?xùn)|西都需要接入互聯(lián)網(wǎng)。而由于IPv4地址資源數(shù)量有限，嚴重地制約了各國互聯(lián)網(wǎng)的應(yīng)用和發(fā)展。在這樣的環(huán)境下，IPv6應(yīng)運而生[1]。網(wǎng)絡(luò)中的每臺主機都可以由IPv6地址來標識，用戶只有獲得待訪問主機的IPv6地址才能夠成功實現(xiàn)訪問操作。然而對于用戶來講，記住主機的IPv6地址無異是相當困難的，為了解決IPv6地址信息不便于記憶的問題，就勢必離不開域名解析。網(wǎng)絡(luò)中的DNS客戶端可以通過網(wǎng)絡(luò)設(shè)備上的DNSv6代理技術(shù)來完成域名與IPv6地址之間的轉(zhuǎn)換，實現(xiàn)域名的解析。使用DNSv6代理技術(shù)，如果DNS服務(wù)器地址等信息發(fā)生變化時，也只需改變DNSv6代理上的配置，無需改變局域網(wǎng)內(nèi)每個DNS客戶端的配置，從而可以簡化網(wǎng)絡(luò)的管理，提高網(wǎng)絡(luò)的穩(wěn)定性。另外,利用DNSv6代理中的Cache不僅可以大大地節(jié)省域名解析的時間，提高網(wǎng)站訪問的速度和效率，而且可以減少網(wǎng)絡(luò)中的傳輸流量，提高網(wǎng)絡(luò)傳輸速度，降低網(wǎng)絡(luò)訪問費用。除此之外，通過DNSv6代理技術(shù)，真實的DNS服務(wù)器對DNS客戶端便不可見，這樣還可以保護真實DNS服務(wù)器的安全，提高網(wǎng)絡(luò)的安全性。

1 DNSv6代理技術(shù)

1.1 DNSv6查詢介紹

DNSv6查詢是指與IPv6地址相關(guān)的DNS查詢，主要包括：AAAA查詢、A6查詢和IPv6 PTR查詢。其中,AAAA查詢和A6查詢主要目的是通過域名正向解析得到IPv6地址，而IPv6 PTR查詢則是通過IPv6地址反向解析得到域名[2]。

1.1.1 正向解析

IPv4的地址正向解析的資源記錄是“A”，而IPv6地址的正向解析目前有兩種資源記錄，即“AAAA”和“A6”[3]。其中,“AAAA”提出較早，它是對IPv4協(xié)議“A”記錄的簡單擴展，由于IP地址由32位擴展到128位，擴大了4倍，所以資源記錄由“A”擴大成4個“A”。但“AAAA”用來表示域名和IPv6地址的對應(yīng)關(guān)系，并不支持地址的層次性[4]。

“A6”是在RFC2874基礎(chǔ)上提出，它是把一個IPv6地址與多個“A6”記錄建立聯(lián)系，每個“A6”記錄都只包含了IPv6地址的一部分，結(jié)合后拼裝成一個完整的IPv6地址?！癆6”記錄支持一些“AAAA”所不具備的新特性，如地址聚集、地址更改(Renumber)等[5]。

1.1.2 反向解析

IPv6反向解析的記錄和IPv4一樣，是“PTR”，通過地址反向獲取域名，但地址表示形式有兩種。一種是用“.”分隔的半字節(jié)16進制數(shù)字格式(Nibble Format)，低位地址在前，高位地址在后，域后綴是“IP6.INT.”或“IP6.ARPA.”[4]。另一種是二進制串(Bit-string)格式，以“[”開頭，16進制地址(無分隔符，高位在前，低位在后)居中，地址后加“]”，域后綴是“IP6.ARPA.”[5]。

半字節(jié)16進制數(shù)字格式與“AAAA”對應(yīng)，是對IPv4的簡單擴展。二進制串格式與“A6”記錄對應(yīng)，地址也像“A6”一樣，可以分成多級地址鏈表示，每一級的授權(quán)用“DNAME”記錄。和“A6”一樣，二進制串格式也支持地址層次特性。

1.2 DNSv6代理工作原理

DNSv6代理基本工作過程如圖1所示。DNS客戶端通過DNSv6代理轉(zhuǎn)發(fā)報文，獲取IPv6地址或域名等。

DNSv6代理的工作交互過程如下[6]：

(1)DNS客戶端將DNSv6查詢請求報文發(fā)送給DNSv6代理，即查詢報文的目的地址為DNSv6代理的本機地址。

(2)DNSv6代理收到查詢報文后，查找本地的域名解析緩存表，如果存在請求的信息，則DNSv6代理直接將域名解析結(jié)果返回給DNS客戶端。如果不存在請求的信息，則DNSv6代理將報文轉(zhuǎn)發(fā)給DNS服務(wù)器，通過DNS服務(wù)器進行域名解析。

圖1 DNSv6代理工作原理圖

(3)DNSv6代理收到DNS服務(wù)器的應(yīng)答報文后，記錄域名解析的結(jié)果至本地的域名解析緩存表。

(4)DNSv6代理將應(yīng)答報文轉(zhuǎn)發(fā)給DNS客戶端，DNS客戶端解析報文獲取結(jié)果，實現(xiàn)域名解析。

2 網(wǎng)絡(luò)中的DNSv6代理技術(shù)研究

網(wǎng)絡(luò)中實現(xiàn)DNSv6代理的典型組網(wǎng)圖如圖2所示。

圖2 DNSv6代理的典型組網(wǎng)圖

企業(yè)內(nèi)網(wǎng)與DNSv6代理相連，DNSv6代理通過互聯(lián)網(wǎng)分別與IPv4網(wǎng)絡(luò)中的DNS服務(wù)器和IPv6網(wǎng)絡(luò)中的DNS服務(wù)器相連。企業(yè)內(nèi)網(wǎng)用戶訪問外網(wǎng)服務(wù)器時，企業(yè)內(nèi)用戶端首先作為DNS客戶端，發(fā)出DNS查詢請求報文，目的地址為DNSv6代理[7]。

當DNS請求到達DNSv6代理后，DNSv6代理根據(jù)接收到的查詢請求類型，如果是與IPv6地址相關(guān)的DNS查詢，則會優(yōu)先選擇發(fā)送給IPv6地址的DNS服務(wù)器，若未收到響應(yīng)，再發(fā)送給IPv4地址的DNS服務(wù)器[8]。IPv6網(wǎng)絡(luò)中的DNS與IPv4網(wǎng)絡(luò)中的DNS在體系結(jié)構(gòu)上是一致的，IPv4和IPv6共同擁有統(tǒng)一的域名空間[9]，即IPv4地址的DNS服務(wù)器同時會存在IPv6相關(guān)的DNS資源記錄。

2.1 DNSv6代理特性架構(gòu)

DNSv6代理特性主要包括5個模塊(見圖3)：命令行、映射轉(zhuǎn)發(fā)、DNSv6 Spoofing、編解碼和報文收發(fā)模塊。

圖3 DNSv6代理模塊分解圖

每個模塊主要功能如下：

(1)命令行模塊：提供DNS服務(wù)器、DNS動態(tài)解析和DNS代理開關(guān)等命令的配置和刪除，保存相關(guān)命令配置數(shù)據(jù)。

(2)映射轉(zhuǎn)發(fā)模塊：通過記錄查詢報文的域名、DNS Packet ID、源端口、目的端口、源地址以及DNSv6代理轉(zhuǎn)發(fā)查詢新生成的DNS Packet ID，來建立DNS客戶端發(fā)送的請求和DNS服務(wù)器響應(yīng)的應(yīng)答之間的映射關(guān)系。

(3)DNSv6 Spoofing模塊：當DNSv6代理上沒有配置DNS服務(wù)器地址或不存在到達DNS服務(wù)器的路由，設(shè)備不會轉(zhuǎn)發(fā)DNS服務(wù)器的域名解析請求，此時若DNSv6代理同時配置DNSv6 Spoofing功能，則DNSv6代理會利用配置的IPv6地址作為域名解析結(jié)果，欺騙性地應(yīng)答客戶端的域名解析請求[10]。

(4)編解碼模塊：負責DNSv6查詢報文的編解碼和DNSv6應(yīng)答報文的編解碼。

(5)報文收發(fā)模塊：通過Socket監(jiān)聽端口號為53的DNS報文，進行報文的接收[11]，同時也通過Socket的發(fā)送接口進行報文的發(fā)送。

2.2 DNSv6代理數(shù)據(jù)表項

2.2.1 映射轉(zhuǎn)發(fā)表

當DNSv6代理接收到DNS客戶端的查詢報文，且本地的域名解析緩存表中無對應(yīng)的域名解析結(jié)果，此時DNSv6代理會生成映射轉(zhuǎn)發(fā)表項，記錄查詢報文中的域名、查詢類型、客戶側(cè)DNS Packet ID、源端口、源地址和DNSv6代理轉(zhuǎn)發(fā)查詢報文時使用的新生成的DNS Packet ID(注：分配DNS Packet ID時，需確保生成ID的唯一性。當刪除映射轉(zhuǎn)發(fā)表表項時，需釋放DNS Packet ID。)，以及DNSv6代理轉(zhuǎn)發(fā)查詢報文的內(nèi)容(可以用于報文的超時重傳)。映射轉(zhuǎn)發(fā)表數(shù)據(jù)結(jié)構(gòu)如下：

#define UCHAR unsigned char

#define USHORT unsigned short

#define ULONG unsigned long

/*映射轉(zhuǎn)發(fā)表項節(jié)點*/

typedef struct DNSv6ForwardEntry

{

UCHAR *pszDomainName; /*查詢報文中的域名*/

USHORT usSrcPkID; /*查詢報文ID標識*/

USHORT usQueryType; /*查詢類型*/

in6_addr stSrcIPv6Addr; /*查詢報文源IPv6地址*/

USHORT usSrcPort; /*查詢報文源端口*/

USHORT usFwdPkID; /*轉(zhuǎn)發(fā)報文的ID標識，與查詢報文的ID標識存在對應(yīng)關(guān)系*/

UCHAR *pszBuf; /*修改ID標識后的查詢報文內(nèi)容*/

}DNSv6_Forward_Entry_S;

/*映射轉(zhuǎn)發(fā)表*/

DNSv6_Forward_Entry_S *g_pstDNSv6ForwardEntry;

DNSv6代理將查詢報文中的usSrcPkID修改為usFwdPkID，并將查詢報文發(fā)送給DNS服務(wù)器。當DNSv6代理接收到DNS服務(wù)器響應(yīng)的應(yīng)答后，通過應(yīng)答報文中的域名和DNS Packet ID作為索引，查找映射轉(zhuǎn)發(fā)表，如果命中，就獲取對應(yīng)表項里客戶端的相關(guān)信息，如查詢請求的DNS Packet ID、源端口、源地址等，查找到對應(yīng)的客戶端，修改應(yīng)答報文中的DNS Packet ID、端口、地址等信息，將修改后的應(yīng)答報文轉(zhuǎn)發(fā)給對應(yīng)的客戶端，完成相應(yīng)的域名解析。因此，映射轉(zhuǎn)發(fā)表的作用主要是用于建立DNS客戶端發(fā)送的請求和DNS服務(wù)器響應(yīng)的應(yīng)答之間的映射關(guān)系。

2.2.2 動態(tài)緩存表

當DNSv6代理接收到DNS客戶端的查詢報文，會首先遍歷查找本地的域名解析動態(tài)緩存表中有無對應(yīng)的域名解析結(jié)果，如果有，則直接使用動態(tài)緩存表中的結(jié)果應(yīng)答DNS客戶端[12]。動態(tài)緩存表數(shù)據(jù)結(jié)構(gòu)如下：

/*動態(tài)緩存表項節(jié)點*/

typedef struct DNSv6DynamicCacheEntry

{

UCHAR *pszDomainName; /*域名*/

USHORT usQueryType; /*查詢類型*/

UCHAR szRcv[2]; /*保留位*/

in6_addr *pstIPv6AddrList; /*IPv6地址鏈*/

ULONG ulTTL; /*生存周期，定時遞減*/

UCHAR *pszBuf; /*應(yīng)答報文的內(nèi)容*/

}DNSv6_Cache_Entry_S;

DNSv6_DynamicCache_Entry_S *g_pstDNSv6DynamicCacheEntry; /*動態(tài)緩存表*/

其中,pstIPv6AddrList為域名對應(yīng)的IPv6地址鏈，因為一個域名可能對應(yīng)多個IPv6地址。另外DNSv6代理會創(chuàng)建1 s的定時器，動態(tài)緩存表會定時老化，當表項中的TTL降到0時，刪除該緩存表項[13]。

2.3 DNSv6代理實現(xiàn)流程

2.3.1 查詢報文處理

實現(xiàn)DNSv6代理，處理DNSv6查詢報文的主要流程如下：

(1)企業(yè)內(nèi)客戶端發(fā)出的DNSv6查詢請求報文進入DNSv6代理時,首先查看是否開啟DNSv6代理，如果沒有開啟，則直接丟棄。反之，進入下一步;

(2)解析DNSv6查詢報文頭，獲取查詢的域名，根據(jù)域名遍歷靜態(tài)DNSv6表項，如果查找到，則使用靜態(tài)表項信息，構(gòu)造應(yīng)答報文響應(yīng)DNS客戶端。反之，進入下一步；

(3)判斷動態(tài)域名解析是否開啟，如果沒有開啟，則直接丟棄。反之，進入下一步；

(4)根據(jù)域名遍歷DNSv6動態(tài)緩存表項，如果查找到，則使用動態(tài)緩存信息，響應(yīng)DNS客戶端[14]。反之，進入下一步；

(5)判斷DNS服務(wù)器地址是否配置或通過DHCP或ND等其他模塊動態(tài)獲取到，如果均沒有，則進入第7步。反之，則分配一個新的DNS Packet ID，并生成映射轉(zhuǎn)發(fā)表，建立客戶端發(fā)送的查詢報文和轉(zhuǎn)發(fā)后的查詢報文之間的映射關(guān)系，同時進入下一步；

(6)如果查詢報文成功轉(zhuǎn)發(fā)，則處理結(jié)束。反之，進入下一步；

(7)判斷DNSv6 Spoofing是否開啟，如果沒有開啟，則直接丟棄。反之，使用配置的IPv6地址，構(gòu)造應(yīng)答報文欺騙DNS客戶端。

對應(yīng)流程見圖4。

圖4 DNSv6代理處理查詢報文的主要流程圖

2.3.2 響應(yīng)報文處理

實現(xiàn)DNSv6代理，處理DNSv6應(yīng)答報文的主要流程如下：

(1)外網(wǎng)DNS服務(wù)器發(fā)出的DNS應(yīng)答報文進入DNSv6代理時，首先查看是否開啟動態(tài)域名解析，如果沒有開啟，則直接丟棄。反之，進入下一步；

(2)解析DNS報文頭，獲取域名和DNS Packet ID，根據(jù)域名和DNS Packet ID遍歷應(yīng)用請求查詢表(此表用于DNS客戶端特性)，如果查找到，則解析整個應(yīng)答報文，獲取查詢結(jié)果，并告知上層業(yè)務(wù)模塊，同時將結(jié)果添加至緩存。反之，進入下一步；

(3)判斷DNSv6代理是否開啟，如果沒有開啟，則直接丟棄。反之，進入下一步；

(4)根據(jù)域名和DNS Packet ID遍歷映射轉(zhuǎn)發(fā)表，如果沒有查找到，則直接丟棄。反之，進入下一步；

(5)修改應(yīng)答報文的DNS Packet ID和目的Port，轉(zhuǎn)發(fā)應(yīng)答報文響應(yīng)DNS客戶端，同時解析整個應(yīng)答報文，獲取查詢結(jié)果，并將結(jié)果添加至緩存。

對應(yīng)流程見圖5。

圖5 DNSv6代理處理應(yīng)答報文的主要流程圖

3 結(jié)束語

為了解決IPv4地址資源數(shù)量不足以滿足現(xiàn)有互聯(lián)網(wǎng)應(yīng)用和發(fā)展的問題，互聯(lián)網(wǎng)工程任務(wù)組(IETF)設(shè)計了用于替代現(xiàn)行版本IP協(xié)議IPv4的下一代IP協(xié)議IPv6。與IPv4相比，IPv6具有地址空間更大、路由表更小、安全性更高等多項優(yōu)勢。因此隨著當前及未來IPv6網(wǎng)絡(luò)的普及，IPv6地址勢必將逐漸取代IPv4地址。但是IPv6地址由128位二進制數(shù)碼表示，相對于IPv4地址卻更加難以記憶。為了能夠使用戶更方便地訪問互聯(lián)網(wǎng)，而不用去記住那些能夠被機器直接讀取的IPv6地址數(shù)字串，解決IPv6地址信息不便于記憶的問題，網(wǎng)絡(luò)中離不開IPv6的域名解析技術(shù)(即DNSv6技術(shù))。通過主機名，最終得到該主機名對應(yīng)的IPv6地址[15]。

DNSv6代理技術(shù)生成映射轉(zhuǎn)發(fā)表，建立客戶端發(fā)起的DNSv6請求和服務(wù)器響應(yīng)的DNSv6應(yīng)答之間的映射，通過正確轉(zhuǎn)發(fā)DNSv6請求和應(yīng)答，使客戶端最終獲取DNS查詢結(jié)果，完成域名解析，而且實現(xiàn)過程簡單。

DNSv6代理技術(shù)具有如下優(yōu)點：

(1)簡化網(wǎng)絡(luò)管理。使用DNSv6代理，如果DNS服務(wù)器地址等信息發(fā)生變化，只需改變DNSv6代理上的配置，無需改變局域網(wǎng)內(nèi)每個DNS客戶端的配置，從而簡化了網(wǎng)絡(luò)的管理，提高了網(wǎng)絡(luò)的穩(wěn)定性。

(2)減少網(wǎng)絡(luò)傳輸流量，提高解析效率。利用DNSv6代理中的緩存可以大大地節(jié)約域名解析的時間，減少DNSv6代理上行網(wǎng)絡(luò)中的傳輸流量，提升網(wǎng)絡(luò)傳輸速度，同時利用緩存快速完成域名解析，也可提高網(wǎng)站的訪問速度。

(3)避免真實服務(wù)器遭受攻擊?？蛻敉鶗褂糜蛎麃碓L問網(wǎng)站資源，通過DNSv6代理技術(shù)，真實的DNS服務(wù)器便對DNS客戶端不可見，這樣可以避免真實的DNS服務(wù)器遭受客戶端的惡意攻擊，達到保護真實DNS服務(wù)器安全的目的，提高網(wǎng)絡(luò)的安全性。

[1] 百度百科．IPv6[DB/OL]．2015-02-27.http://baike.baidu.com/link?url=HCQ7hhqOmptyjQojI6UZyf0bB8VoF3 Rg2np3yEaacrc20JGCyC9Avo43wkaSCQ4J2HQn7UNU9ECY0 iNmymswJa.

[2] 王大阜．基于Linux平臺下的IPv6 DNS系統(tǒng)的實現(xiàn)[J]．計算機與信息技術(shù)，2009(4):72-73.

[3] Thomson S,Huitema C.DNS extensions to support IP version 6[S].RFC 1886,1995.

[4] Crawford M,Huitema C.DNS extensions to support IPv6 address aggregation and renumbering[S].RFC 2874,2000.

[5] 華為技術(shù)有限公司．AR150&AR160&AR200&AR1200&AR2 200&AR3200產(chǎn)品文檔[EB/OL]．2014.http://support.huawei.com/ehedex/hdx.do?docid=DOC1000043775& lang=zh.

[6] 武浦軍，余鎮(zhèn)危，張 英，等．IPv6 DNS代理軟件的設(shè)計與實現(xiàn)[J]．計算機工程,2005,31(11):211-213.

[7] 馮中華．VFP系統(tǒng)動態(tài)數(shù)據(jù)報表程序設(shè)計[J]．計算機工程與應(yīng)用,2003,39(2):194-195.

[8] 蓋一凡，吳國升．IPv6地址以及IPv6 DNS[J]．通信管理與技術(shù)，2005(1):50-50.

[9] 張惠姝．DNS安全防護關(guān)鍵技術(shù)研究[J]．電信技術(shù)，2015(9):99-104.

[10] 孔 政，姜秀柱．DNS欺騙原理及其防御方案[J]．計算機工程，2010,36(3):125-127.

[11] 楊驌宇．高并發(fā)環(huán)境中路由器平臺上DNS代理的設(shè)計與實現(xiàn)[D]．武漢:華中科技大學(xué)，2012.

[12] 孫文芳，馮 堅．智能DNS系統(tǒng)建設(shè)[J]．有線電視技術(shù)，2015(7):35-37.

[13] Cisco Systems,Inc.IP addressing:DNS configuration guide,Cisco IOS release 12.4T[EB/OL].2011.http://www.cisco.com/c/en/us/td/docs/ios-xml/ios/ipaddr_dns/configuration/12-4t/dns-12-4t-book.pdf.

[14] 百度百科．DNS(域名系統(tǒng))[DB/OL]．2014-12-25.http://baike.baidu.com/link?url=E0XaYtVkbmIeQjC3 pKsPr9j5t6JqsEj45YS7srRVpnbQ0OYUVVJhmiIYX9PzBbb68

KCQohFlx_TZfb1qYZVFs-mLoEySii0OK5tJYtFGA4i.

[15] 百度文庫．代理服務(wù)器的作用[DB/OL]．2012-08-25.http://wenku.baidu.com/view/a97bda345a8102d276a22f21.html.

Research on Application of DNSv6 Proxy Technology in Network

WANG Wen-jun

(College of Information Engineering,Guizhou Minzu University,Guiyang 550025,China)

With the popularity of IPv6,it needs to use IPv6 domain name resolution technology to resolve the problem that it is hard to memory IPv6 address information for people.DNSv6 proxy technology provides the conversion between the domain name and IPv6 address for users by creating a mapping between the DNSv6 query from DNS client and the DNSv6 response from DNS server and forwarding the DNS query and response between DNS client and DNS server,and caches the query results.So it is able to reach the purpose of simplifying the management of network,accelerating the speed of resolution,improving the efficiency of resolution,and making the network more stable and safer.It also can configure multiple DNS servers on the DNS proxy server by DNSv6 proxy technology to realize disaster recovery.In this paper,the concept,operational principle of DNSv6 proxy technology and the formats of three major types of DNSv6 query are introduced briefly,the application of the DNSv6 proxy technology in the network is studied,the structure design of DNSv6 proxy feature and data tables is completed,and the concrete implementation is discussed.

IPv6;DNSv6;proxy;query

2015-05-22

2015-08-26

時間：2016-02-18

貴州省科技計劃聯(lián)合基金項目(黔科合LH字[2014]7379)；貴州民族大學(xué)科研基金資助項目(校科研2014(53)號)

王文軍(1984-)，男，工程師，講師，碩士，研究方向為網(wǎng)絡(luò)軟件、嵌入式軟件。

http://www.cnki.net/kcms/detail/61.1450.TP.20160218.1619.012.html

TP393

A

1673-629X(2016)03-0185-05

10.3969/j.issn.1673-629X.2016.03.043