1、YD/T XXXXXXXX I ICS 33.040 M 21 YD/T YD/T 2017 中 华 人 民 共 和 国 通 信 行 业 标 准 互联网基础资源支撑系统信息交换接口 规范 第 4 部分：域名递归解析服务 Technical specifications for information exchange interface of Internet basic resource monitor management system - Part 4：Domain name recursive resolution （报批稿） -发布 -实施 中 华 人 民 共 和 国 工 业 和 信
2、 息 化 部 发 布 YD/T XXXXXXXX I 目 次 前言 .II 1 范围 .1 2 术语和定义 .1 3 缩略语 .2 4 系统概述 .2 5 接口功能 .3 5.1 数据上报 .3 5.2 解析服务器访问解析日志上报 .3 5.3 数据下载 .5 6 接口流程 .5 6.1 数据上报流程 .5 6.2 数据下载流程 .5 7 接口方法 .6 7.1 版本说明 .6 7.2 方法说明 .6 8 交换接口使用要求 .9 8.1 部省系统接口服务建设要求 .9 8.2 企业侧系统的建设要求 .9 9 数据格式定义 .9 9.1 上报数据格式 .9 9.2 基础代码下载数据格式 .16
3、9.3 接口返回数据格式 .17 II 前 言 “互联网基础资源支撑系统 ”系列标准包括 互联网基础资源支撑系统信息交换接口规范 、 互 联网基础资源支撑系统监管信息交换接口规范 和 互联网基础资源支撑系统接口测试规范 ， 本部分 是互联网基础资源支撑系统信息交换接口规范 的第 1部分，该标准的预计结构和名称如下： 第 1部分：域名注册服务 第 2部分：域名管理服务 第 3部分：域名权威解析服务 第 4部分：域名递归解析服务 第 5部分： ICP网站 第 6部分： IP地址 第 7部分：内容分发网络（ CDN） 本部分按照 GB/T 1.1-2009给出的规则起草。 请注意本文件的某些内容可能
4、涉及专利。本文件的发布机构不承担识别这些专利的责任。 本部分由中国通信标准化协会提出并归口。 本部分 起草单位 ： 国家计算机网络应急技术处理协调中心 、 天津市国瑞数码安全系统股份有限公司 ， 中国互联网络信息中心。 本部分 主要起草人 ： 云晓春 、 李湘宁 、 舒敏 、 任彦 、 陈悦 、 刘博元 、 王文磊 、 窦禹 、 张牙 、 陆希玉 。 YD/T XXXXX2017 1 互联网基础资源支撑系统信息交换接口规范 第 4 部分：域 名递归解析服务 1 范围 本部分规定了互联网基础资源支撑系统与各域名递归解析企业之间的数据交换接口。 本部分适用于提供域名递归解析服务的互联网服务提供商所
5、建设的互联网基础资源支 撑系统。 2 术语和定义 下列术语和定义适用于本文件。 2.1 部级系统 management system of MIIT 工业和信息化部建设的互联网基础资源支撑系统的部级部分 。 2.2 省局系统 management system of CA 工业和信息化部建设的互联网基础资源支撑系统的省局部分。 2.3 企业侧系统 management system of Enterprises 域名递归解析业务经营者建设的互联网基础资源支撑系统的企业部分。 2.4 域名系统 domain name system, DNS 因特网上作为域名和 IP地址相互映射的一个分布式数据库
6、 ， 能够使用户更方便的访问互 联网，而不用去记住能够被机器直接读取的 IP数串。 2.5 域名权威解析服务 domain name authoritative resolution 在某个或者多个区域 （即权威域 ） 内 ， 提供原始 （权威 ） 域名资源记录信息的解析服务 。 2.6 域名递归解析服务 domain name recursive resolution 接受用户的解析请求 ， 通过向权威服务器发出查询请求获得用户所需资源记录信息 ， 并 最终向用户返回结果的解析服务。 YD/T XXXXX2017 2 3 缩略语 下列缩略语适用于本文件。 DNS EDNS 域名系统 一种扩展
7、 DNS机制 Domain Name System Extension Mechanisms for DNS HTTPS 安全的超文本传输协议 Hyper Text Transfer Protocol over Secure Socket Layer 部省系统 XML 部级系统或省局系统 可扩展标记语言 Management system of MIIT Or CA eXtensible Markup Language 4 概述 互联网基础资源管理支撑系统主要实现对互联网基础资源数据信息的采集汇聚 、 管理支 撑以及协同联动 ， 建成集中 、 完整 、 准确 、 可信 、 权威 、 开放的支撑
8、平台系统 。 互联网基础 资源支撑系统采用三级体系结构 ： 部级系统、省局系统（以下简称为部省系统）和企业侧系 统。 其关系如图 1 所示： 图 1 系统体系结构图 部级系统处于架构的最上级，主要存储全国域名数据，并对全国的域名数据进行管理、 查询、统计等操作。 第二级是省局系统 ， 省局系统存储本省相关的域名数据 ， 同时实现本省域名数据的统计 、 查询等功能。 第三级是企业侧系统 ， 由域名递归解析服务业务经营企业根据本部分自行建设 。 主要实 部 级 系 统 省 局 系 统 省 局 系 统 域 名 递 归 解 析 服 务 企 业 侧 系 统 域 名 递 归 解 析 服务 企 业 侧 系
9、统域 名 递 归 解 析 服务 企 业 侧 系 统 信 息 交 换 接 口 YD/T XXXXX2017 3 现域名递归解析基础数据上报的功能。 本部分定义了企业侧系统与部省系统之间的数据交换接口 。 5 接口功能 5.1 数据上报 完成企业侧系统向部省系统上报域名递归解析服务器数据的功能 。 企业侧系统要与其所 对应的部省系统进行对接，并将数据上报到所对应的部省系统。主要包括： 1) 企业基本信息修改； 2) 解析服务器：新增、删除。 5.2 解析服务器访问解析日志上报 完成企业侧系统向部省系统上报域名递归解析日志数据的功能 。 企业侧系统要与其所对 应的部省系统进行对接，并将解析日志数据上
10、报到所对应的部省系统。 递归服务器的上行和下行数据按照访问阶段可划分为用户与递归交互流量、递归与权威 交互流量 ， 图 2中 ， C表示用户端 、 A表示权威服务器 、 Rh表示仅完成缓存的递归服务器 (面向 用户侧提供 DNS服务 )、 Rd为具有递归功能的递归服务器（与权威侧进行 DNS交互）。 图 2 递归服务器上下行数据示意图 递归解析数据接口所接入的域名递归解析流量或日志记录应覆盖递归服务器的全部上 行和下行递归解析数据，具体包括： 用户到递归服务器（或缓存服务器） 的 DNS 请求及应答流量或日志； 缓存服务器到递归服务器的 DNS 请求及应答流量或日志； 递归服务器到权威服务器的
11、 DNS 请求及应答流量或日志； 对于开启了 DNSSEC 服务的递归服务器，也需 包括 DNSSEC 访问流量或日志； 对于 IPv6 网络内的递归服务器或双栈递归服务器， 也需包括 IPv6 访问流量或日志。 数据上报方式 可采用接入原始流量或解析日志两种方式 （可从中选择一种 ） ， 原始流量 方式需接入以上情况的原始报文，并进行必要方式的流量汇聚；解析日志方式需要接入 DNS 请求应答访问日志，日志需要符合以下内容要求： C AR h R d C 2 R R 2 A 用户侧 递归侧 权威侧 YD/T XXXXX2017 4 a) 对于符合 DNS请求应答报文规范格式的，需要完成对应请求
12、应答对准后的日志内 容，包括： 1) 如果请求应答报文可对准， 需要日志内容包含 ： 请求 IP、请求端口、 DNS 服务 器 IP、 协议 、 请求包长 、 请求域名 、 请求 opcode、 请求类型 、 请求中 RD 标记 、 请求附加域记录 、 应答包长 、 应答包 DNSID、 应答 rcode、 应答中 AA 标记 、 应 答中 TC 标记、 应答中 RA 标记、 应答包应答域中的全部 RR 记录（包括域名、 类型、解析值、 TTL）、 授权域中的全部 RR 记录、 附加域中的全部 RR 记录； 2) 如果只有请求，需要日志内容包含： 请求 IP、请求端口、 DNS 服务器 IP、
13、协 议 、 请求包长 、 请求域名 、 请求 opcode、 请求类型 、 请求中 RD 标记 、 请求附 加域记录； 3) 如果只有应答，需要日志内容包含： 请求 IP、请求端口、 DNS 服务器 IP、协 议 、 请求域名 、 请求类型 、 应答包长 、 应答包 DNSID、 应答 rcode、 应答中 AA 标记、 应答中 TC 标记、 应答中 RA 标记、 应答包应答域中的全部 RR 记录（包 括域名 、 类型 、 解析值 、 TTL） 、 授权域中的全部 RR 记录 、 附加域中的全部 RR 记录； b) 对于不符合 DNS请求应答报文规范格式的，需要上报原始报文。 5.3 数据下载
14、 完成企业侧下载上报数据的操作结果和基本数据的下载 ,数据包括： 1) 企业基本信息数据； 2) 基础代码数据。 企业侧系统可以连接其所对应的部省系统下载已下发给本单位的基础代码数据，包括 ： 1） 单位性质代码； 2） 区域代码； 3） 证件类型代码； 4） 机房性质代码。 6 接口流程 6.1 数据上报流程 流程如图 2 所示，具体为： YD/T XXXXX2017 5 图 2 数据上报流程 1） 企业侧系统使用 WebService方式调用部省系统的 upload方法，将数据上报至所在省 的部省系统； 2） 部省系统接收企业侧上报的数据，完成信息校验后进行保存； 3） 部省系统将接收结果
15、返回企业侧系统。 6.2 数据下载流程 流程如图 3 所示，具体为： 图 3 数据下载流程 1） 企业侧系统使用 WebService方式调用部省系统的 download方法，下载基础数据； 2） 部省系统查询是否有需要该企业下载的数据，若有 返回数据 ； 否则，告知企业侧系 统没有数据需要下载。 7 接口 方法 企业侧系统 部省系统 校验并保存数据 结果信息 upload 企 业 侧 系 统 部 省 系 统 download() 返 回 结 果 数 据 YD/T XXXXX2017 6 7.1 版本说明 接口方法使用的 XML 格式数据含有接口版本信息， 使用 XML 根节点元素 “vers
16、ion”属 性的值进行标识 。 版本号格式为 V.1.0， 所有依据本部分 生成的 XML 文件须填写本版本号 。 部级系统和省局系统均要校验当前系统支持的接口版本 ， 版本校验通过后方能进行下一 步处理，否则返回版本错误提示信息。 7.2 方法说明 7.2.1 upload 方法 7.2.1.1 服务请求地址 https:/服务器 IP 地址 /rdnsservice/data-exchange?wsdl 7.2.1.2 方法原型 String upload (Long enterpriseId, String randVal, String pwdHash, String data, in
17、tdataType, String dataHash, intencryptAlgorithm, inthashAlgorithm) 7.2.1.3 方法描述 企业侧系统通过调用本方法实现企业基本信息和解析服务器数据上报。 企业侧系统在调用该接口方法时， 需要要产生长度为 20 个字节的随机字符串（数字和 大、小写字母 ） ，并将部级系统或省局系统分配的口令与该随机字符串连接（例如，口令是 字符串 “1234567890”，生成的随机字符串是 “abcdefghij”，那么连接后的结果是字符串 “1234567890abcdefghij”） 。 将连接后的结果转换为 UTF-8 编码的二进制数
18、据， 使用 hashAlgorithm 定义的哈希算法进行哈希计算， 得到参数 pwdHash 的值作为认证信息。 企业侧系统在调用该方法上报数据时， 所上报的 XML 数据文件大小不能超过 50MB。 企业侧系统在上报完数据文件后 ， 建议保存该数据文件 3 个月以上 ， 以保证系统处理文 件出现错误时重新上传数据文件。 企业侧系统要对需要上报的信息编制 XML 文件，然后依序进行如下处理： 1） 对上报 的 XML 字符串数据转换成 UTF-8 编码的二进制数组； 2） 如需加密上传，对二进制使用 参数 encryptAlgorithm 指定的加密算法进行加密； 3） 对二进制数组使用 参
19、数 hashAlgorithm 指定的哈希算法计算哈希值，并对哈希值转 换成 16 进制 字符串形成 dataHash。 7.2.1.4 参数描述 本方法共使用 8 个参数， 各项参数的描述如表 1 所示。 YD/T XXXXX2017 7 表 1 upload 接口参数表 参数名称 参数类型 参数描述 enterpriseId 字符串 企业的标识，由部省系统产生 randVal 字符串 企业侧系统调用该方法时生成的随机字符串， 长度是20 字节 pwdHash 字符串 使用指定的哈希算法对用户密码和随机字符串转换 为 UTF-8 编码二进制数组进行哈希运算 ， 然后将哈希值转 换为 16 进
20、制字符串得到的结果，认证口令由部省系统 产生。 data 字符串 企业 基本信息修改或解析服务器 XML 数据字符串 ， 如 需加密上传 ， 先 将 XML 字符串转换为 UTF-8 编码二进 制数组 ， 然后对二进制使用 参数 encryptAlgorithm 指定 的加密算法进行加密。 dataType 整型 1- 企业基本信息修改 2- 解析服务器上报 dataHash 字符串 对上报 信息 data 转换为 UTF-8 编码二进制数组后进行 哈希运算得到的哈希值， 然后将哈希值转换为 16 进制 字符串。 encryptAlgorithm 整型 对称加密算法 0：不进行加密，明文传输
21、1： AES 加密算法 （ 128 位 、 CBC 模式 、 PKCS5Padding 补码方式 ） ，加密密钥由部级系统或省局系统产生 hashAlgorithm 整型 哈希算法 0： SHA-256 哈希算法 7.2.1.5 返回值 该方法返回一个 XML 数据流，描述了本次操作的结果代码、结果描述，返回 格式见 9.3.1。 7.2.2 download 方法 7.2.2.1 服务请求地址 https:/服务器 IP 地址 /rdnsservice/ data-exchange?wsdl 7.2.2.2 方法原型 String download (Long enterpriseId, S
22、tring request, String randVal, String pwdHash ,inthashAlgorithm) 7.2.2.3 方法描述 通过该方法，企业侧系统可以下载基础代码数据。 企业侧系统在调用该接口方法时， 需要产生长度为 20 个字节的随机字符串（数字和大、 小写字母 ） ，并将部级系统或省局系统分配的口令与该随机字符串连接（例如，口令是字符 YD/T XXXXX2017 8 串 “1234567890” ，生成的随机字符串是 “abcdefghij” ，那么连接后的结果是字符串 “1234567890abcdefghij” ） 。 将连接后的结果转换为 UTF-8
23、 编码的二进制数据， 使用 hashAlgorithm 定义的哈希算法进行哈希计算， 得到参数 pwdHash 的值作为认证信息。 7.2.2.4 参数描述 本方法共使用 5 个参数， 各项参数的描述如表 2 所示。 表 2 download 接口参数表 参数名称 参数类型 参数描述 enterpriseId 字符串 企业标识，由部省系统产生 request 字符串 XML 字符串， 根据 type 参数值 确定 XML 格式， 具体请见9.2 节中的下载请求格式描述。 randVal 字符串 企业侧系统调用该方法时生成的随机字符串 ， 长度是 20 字节 pwdHash 字符串 使用指定的哈
24、希算法对用户密码和随机字符串转换 为 UTF-8 编码二进制数组进行哈希运算 ， 然后将 哈希值转换为 16 进制字符串得到的结果，认证口令由部省系统产生。 hashAlgorithm 整型 哈希算法 0： SHA-256 哈希算法 7.2.2.5 返回值 该方法返回一个 XML 字符串 ， 其中描述了本次操作的结果代码 、 结果描述和基础代码 （基础代码 格式见 9.2） ，返回 格式见 9.3.1。 8 交换接口使用要求 8.1 部省系统接口服务建设要求 按照本部分要求 ， 部省系统要建设数据交换接口服务 ， 为企业侧系统提供域名递归解析 备案信息的上报及相关数据的下载功能 。 部省系统的
25、数据交换接口服务建设 ， 应保证对企业 侧系统提供正常的数据上报和下载服务。 由于企业侧系统对数据交换接口服务的访问是不可控的 ， 在访问高峰时段 ， 容易形成数 据交换接口服务的访问瓶颈 ， 影响到系统的访问性能 。 为避免出现无法访问 、 访问速度慢的 情况 ， 应充分考虑系统建设的网络访问量 、 网络带宽需求 ， 并充分考虑系统的自我防护能力 。 8.2 企业侧系统的建设要求 企业侧系统通过对部级系统的数据交换接口访问 ， 实现域名递归解析相关数据上报和相 关数据的下载功能 。 如果企业采用区域文件下载方式上报数据 ， 则须保证下载服务器可用性 。 YD/T XXXXX2017 9 为避
26、免对部省系统的过度访问 ， 企业侧系统应安装本部分的要求进行建设 ， 并在运行过 程中应主动降低对数据交换接口服务的访问频率。 9 数据格式定义 9.1 上报数据格式 9.1.1 企业基本信息修改 企业修改企业的基本信息数据项见表 3。 表 3 企业基本信息 编号 节点 节点名称 是否必填 数据类型 长度 （字 节） 描述 1. sn 业务流水号 必填 字符串 128 由企业侧系统生成，生成规则： enterpriseId+Unix 时间戳（秒） + 自增序列 例如： enterpriseId 为 10001 时间 戳为： 7654321098 自增序列当前 为 1， 则 sn 为 ： 100
27、0176543210981 2. enterpriseId 企业 Id 必填 字符串 128 省级系统为企业分配的唯一标识 3. license DNS 企业许可证 号 必填 字符串 128 由 工信部颁发的 DNS 企业许可证 号 4. address 单位地址详细地 址 必填 字符串 128 单位地址， 例如 ： 北京市海淀区花 园路 18 号 3 号楼 101 5. type 单位性质 必填 整型 / 见 9.2.2 表 15 6. corporate 企业法人 必填 / / 企业法人信息与联系方式 ， 具体信 息见 表 4 7. contacts 企业联系人信息 必填 / / 单位的网
28、络安全责任人信息与联 系方式，具体信息见 表 4 表 4 联系人信息 编号 节点 节点名称 是否必填 数据类型 长度（字节 ） 描述 1 name 姓名 必填 字符串 32 人员姓名 2 certType 证件类型 必填 整型 / 人员的证件类型 ， 见 9.2.3 表 15 3 cardNum 证件号码 必填 字符串 32 对应的证件号码 4 telephone 固定 电话 选填 字符串 32 固定 电话 5 mobile 移动电话 必填 字符串 32 移动电话 6 email 电子邮件 必填 字符串 64 电子邮件地址 9.1.2 解析服务器信息上报数据格式 YD/T XXXXX2017
29、10 解析服务器数据上报包含新增和删除两个操作，操作类型格式如表 5所示。 表 5 新增解析服务器表 编号 节点 节点名称 是否必填 数据类型 长度（字节） 描述 1 new 新增的信息 必填 / / 需要新增的信息描述，格式 见 表 6 2 delete 删除的信息 必填 / / 需要删除的信息描述，格式 见 表 9 3 sn 业务流水号 必填 字符串 128 由企业侧系统生成，生成规 则 ： enterpriseId+Unix 时间戳 （秒） +自增序列 例如： enterpriseId 为 10001 时间戳为 ： 7654321098 自增 序列当前为 1， 则 sn 为： 10001
30、76543210981 9.1.2.1 新增 新增解析服务器数据 ， 如果系统已经存在上报企业的 相同机房 ID 数据 ， 系统会将数据 删除后再进行保存，数据项见 表 6。 表 6 新增解析服务器表 编号 节点 节点名称 子节点 子节点名称 是否 必填 数据类型 长度 （字 节） 描述 1. serverRoomI d 机房 ID / / 必填 字符串 256 机房 机房的 ID， 由 DNS 企业 生成企业内唯一 ID,建议 使用 UUID 2. serverRoom Name 机房名称 / / 必填 字符串 128 机房的名称统一规则为 ： 机房所在街道（路） +自 定义具有实际意义的机
31、 房名称 例：大屯路综合机房 在企业内部机房名称不 可重复 3. serverRoom Type 机房 性质 / / 必填 整型 / 1-租用 2-自建 4. province 机房所在省 或直辖市 / / 必填 整型 / 机房 所在省 Id， 见 9.2.4 表 17 5. city 机房所在市 或区（县） / / 必填 整型 / 机房 所在市 Id， 见 9.2.4 表 17 6. county 机房所在县 / / 选填 整型 / 机房 所在县 Id， 见 9.2.4 表 17 YD/T XXXXX2017 11 7. address 机房 地址 / / 必填 字符串 128 DNS 机房
32、的通信地址 ， 例 如 ： 北京市 海淀区花园路 18 号 linkType 链路类型 必填 整型 / 机房互联网出入口类型 ： 1，电信； 2，联通； 3， 移动 ； 4， 铁通 ； 9，其他 bandwidth 链路 带宽 必填 长整型 / 机房互联网出入口带宽 (单位： Mbit/s) linkTime 链路分配 时间 必填 字符串 10 链路分配时间的时间，采 用 yyyy-MM-dd 的格式 8. gatewayInfo 链路信息 a useType 使用类型 必填 整型 / 1-自用 2-出租 type 服务器类型 必填 整型 / 1-递归 2-缓存 3-递归 和缓存 （即为递归
33、又为缓存） ipVersion DNS服务 IP 地址版本 必填 整型 / 1-IPv1-IPv4 2-IPv6 serviceIpA ddress DNS 服务器 服务 IP地址 选填 字符串 64 DNS DNS 服务器的 互联网 IP 地址，可多个，例如： 223.5.5.5。 当服务器类型 （ type） 为 1-递归时 ， 选 填 ； 当 服 务 器 类 型 （ type） 为 2-缓存时 ， 必 填 ； 当 服 务 器 类 型 （ type） 为 3-递归和缓存 时，必填 outIpAddr ess DNS 服务器 出口 IP 选填 字符串 64 递归递归 服务器的出口 IP 地
34、址 （访问权威服务器的出 口 IP 地址）。 当服务器 类型 （ type） 为 1-递归时 ， 必填；当服务器类型 （ type） 为 2-缓存时 ， 选 填；当服务器类型 （ type） 为 3-递归和缓存 时，必填 ednsEnabl e 服务器是否 开启 EDNS 必填 整型 / EDNS： 一种扩展 DNS 机 制 0-否 1-是 tcpEnable 服务器是否 开启 TCP 必填 整型 / 0-否 1-是 ipv6Suppo rt 服务器是否 支持 IPv6 必填 整型 / 0-否 1-是 9. serverList DNS 服务器 列表 a onlineTim 服务器上线 必填
35、字符串 64 上线提供服务时间 ， 格式 ： YD/T XXXXX2017 12 e 提供服务时 间 yyyy-mm-ddhh:mm:ss 例 如： 2016-10-1 14:30:00 offlineTim e 服务器下线 时间 选填 字符串 64 上线时间，格式： yyyy-mm-ddhh:mm:ss 例 如： 2016-10-1 14:30:00 dnsSoftwa re 服务器所使 用解析软件 及版本 必填 字符串 64 例如 ： Bind1.2； 如果企业 自己研发 ， 请填写 “自研 ” accessLimi t 服务器中是 否设置用户 访问限制 必填 整型 / 0-否 1-是 a
36、ccessLimi tIpAddress s 允许访问服 务器的 IP段 列表 选填 列表 / 当 accessLimit 为 1 时必 填， 例如 ： 该服务器只允 许北京联通用户访问 。 具 体列表数据项见 表 7 forwardEn able 服务器是否 配 置 forward 选 项 必填 整型 / 0-否 1-是 forwardIp Address 服 务 器 forward IP 列表 选填 列表 / 当 forwardEnable 为 1 时 必填 ， 具体列表数据项见 表 8 表 7 允许访问 服务器的 IP 段列表 序号 英文名 中文名 数据类型 长度（字节） 是否 必填 描述 1. ipVersion IP 地址版本 整型 / 必填 1-IPv4 2-IPv6 2. startIpAddress 起始 IP地址 字符串 512 必填 当 ipVersi
