[发明专利]一种基于SDN的防止DNS欺骗的方法

摘要

本发明公开了一种基于SDN的防止DNS欺骗的方法，通过部署SDN网络体系，并在SDN控制器上的UDP53端口创建IP地址白名单，通过对响应的物理端口进行判断，如果不是起初配置的DNS服务器所接入的物理端口，即白名单以外的IP地址，则本次响应丢弃；除此，通过解析响应报文是否存在授权域和附加域记录，若该响应报文不存在授权域和附加域记录，则该响应丢弃，有效的解决用户接收到植入的DNS服务器和接收植入的DNS服务器的响应的问题。

主权项

一种基于SDN的防止DNS欺骗的方法，其特征在于：包括步骤S1，设置转发平面和控制平面分离的SDN网络；步骤S2，在所述SDN网络中，根据DNS服务器的配置信息，获取SDN交换机对应的物理端口，确认DNS服务器所在网络的位置；步骤S3，在SDN控制器上建立访问所述DNS服务器的信任端口；步骤S4，当主机发出的DNS数据包传输到SDN交换机的接口时，表明SDN交换机与DNS数据包匹配流表项不成功，则将该DNS数据包的二层数据帧传送至SDN控制器；步骤S5，当SDN控制器接收到两个应答包，则DNS数据包存在DNS欺骗行为，并比较两个应答包的响应报文中的标识字段；步骤S6，若两个应答包ID的DNS响应报文相同，则解析两个DNS响应报文中的授权域和附加域记录，若DNS响应报文中无授权域和附加域记录，则该DNS响应报文为欺骗报文，丢弃该应答包，传输具有授权域和附加域记录的应答包；步骤S7，若两个应答包ID的DNS响应报文不同，则采用信任端口建立的IP地址白名单进行筛选过滤，丢弃白名单中不存在DNS响应报文，传输白名单中存在的DNS响应报文。