域名访问控制方法及装置与流程

1.本技术涉及计算机技术领域，具体涉及一种域名访问控制方法和一种域名访问控制装置。


背景技术：

2.在网络安全和数据安全领域，为了防止访问恶意域名导致感染计算机病毒，或者防止员工使用即时聊天软件、邮箱、网盘等软件将内部资料外发出去，企事业单位的信息安全部门通常会限制计算机域名的访问。传统的产品和解决方案是安装部署软硬件网络防火墙，配置域名访问规则。
3.现有技术下，应用程序访问域名时，使用网络过滤模块，过滤dns请求数据包(dns request packet)，解析出要访问的域名，匹配域名访问规则，如果命中域名拦截规则，将该dns请求数据包扔掉，这样就不能将域名解析成ip地址，达到了域名访问控制的目的。
4.该方案的缺点在于：发送dns请求数据包的进程，是系统进程，不是真正发起dns查询的应用进程(比如浏览器进程)，所以在执行拦截操作时，不能区分不同的应用进程。无论是哪个应用程序访问，只要是访问的相同域名，都会根据针对域名配置的域名访问规则，对应用程序的域名访问执行放行或者拦截操作。例如，域名a的域名访问规则中的处理方式为拦截，则无论应用程序1或应用程序2访问域名a，都执行拦截操作。
5.现有技术下存在域名访问规则的粒度不够细致，不能针对不同的应用程序访问相同的域名时进行不同方式的处理的问题。


技术实现要素：

6.本技术提供一种域名访问控制方法和一种域名访问控制装置，以解决现有技术下存在的域名访问规则的粒度不够细致，不能针对不同的应用程序访问相同的域名时进行不同方式的处理的问题。
7.本技术提供一种域名访问控制方法，包括：
8.从域名系统服务器获得应用程序访问域名时对应的dns应答数据包；
9.根据dns应答数据包，获得目标域名和所述目标域名对应的目标ip地址；
10.根据所述目标域名和所述目标ip地址，得到目标ip访问规则；
11.根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行放行处理或者拦截处理。
12.作为一种实施方式，所述从域名系统服务器获得应用程序访问域名时对应的dns应答数据包，包括：
13.获得系统组件发送的应用程序访问域名时的dns请求数据包；
14.将所述dns请求数据包转发给域名系统服务器；
15.获得域名系统服务器返回的应用程序访问域名时对应的dns应答数据包。
16.作为一种实施方式，所述根据所述目标域名和所述目标ip地址，得到目标ip访问
规则，包括：
17.根据所述目标域名、所述目标ip地址和域名访问规则列表，获得目标ip访问规则。
18.作为一种实施方式，所述根据所述目标域名、所述目标ip地址和域名访问规则列表，获得目标ip访问规则，包括：
19.将所述目标域名与域名访问规则列表进行匹配，获得域名访问规则列表中与目标域名匹配的目标域名访问规则；
20.根据所述匹配的目标域名访问规则，生成目标ip访问规则。
21.作为一种实施方式，所述根据所述匹配的目标域名访问规则，生成目标ip访问规则，包括：
22.将目标域名访问规则中的目标域名替换成所述目标域名对应的目标ip地址，生成包含所述目标ip地址的目标ip访问规则。
23.作为一种实施方式，还包括：将目标ip访问规则插入ip访问规则列表中。
24.作为一种实施方式，所述将目标ip访问规则插入ip访问规则列表中，包括：
25.判断ip访问规则列表中是否存在所述目标ip访问规则；
26.若否，将所述目标ip访问规则插入ip访问规则列表中。
27.作为一种实施方式，所述根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行转发处理或者拦截处理，包括：
28.获得应用程序通过目标域名对应的目标ip地址访问网络服务器时发送的网络数据包；
29.根据所述网络数据包，获得所述目标ip地址和所述应用程序对应的目标进程名称；
30.将所述目标ip地址和所述应用程序对应的目标进程名称与ip访问规则列表进行匹配，得到匹配的ip访问规则；
31.根据匹配的ip访问规则，对所述网络数据包进行转发处理或者拦截处理。
32.作为一种实施方式，所述将所述目标ip地址和所述应用程序对应的目标进程名称与ip访问规则列表进行匹配，得到匹配的ip访问规则，包括：
33.遍历ip访问规则列表；
34.如果当前ip访问规则中的ip地址和目标进程名称分别与所述目标ip地址和所述应用程序对应的目标进程名称一致，则确定当前ip访问规则为匹配的ip访问规则。
35.作为一种实施方式，所述根据匹配的ip访问规则，对所述网络数据包进行放行处理或者拦截处理，包括：
36.根据匹配的ip访问规则，得到对所述网络数据包的处理方式；
37.根据所述处理方式，对所述网络数据包进行放行处理或者拦截处理。
38.作为一种实施方式，所述目标ip访问规则包括：目标ip地址，应用程序对应的进程名称，处理方式。
39.本技术还提供一种域名访问控制装置，包括：
40.应答数据包获得单元，用于从域名系统服务器获得应用程序访问域名时对应的dns应答数据包；
41.目标ip地址获得单元，用于根据dns应答数据包，获得目标域名和所述目标域名对
应的目标ip地址；
42.目标ip访问规则得到单元，用于根据所述目标域名和所述目标ip地址，得到目标ip访问规则；
43.网络数据包处理单元，用于根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行转发处理或者拦截处理。
44.作为一种实施方式，所述应答数据包获得单元具体用于：
45.获得系统组件发送的应用程序访问域名时的dns请求数据包；
46.将所述dns请求数据包转发给域名系统服务器；
47.获得域名系统服务器返回的应用程序访问域名时对应的dns应答数据包。
48.作为一种实施方式，所述目标ip访问规则得到单元具体用于：
49.根据所述目标域名、所述目标ip地址和域名访问规则列表，获得目标ip访问规则。
50.作为一种实施方式，所述目标ip访问规则得到单元具体用于：
51.将所述目标域名与域名访问规则列表进行匹配，获得域名访问规则列表中与目标域名匹配的目标域名访问规则；
52.根据所述匹配的目标域名访问规则，生成目标ip访问规则。
53.作为一种实施方式，所述目标ip访问规则得到单元具体用于：
54.将目标域名访问规则中的目标域名替换成所述目标域名对应的目标ip地址，生成包含所述目标ip地址的目标ip访问规则。
55.作为一种实施方式，所述装置还包括：ip访问规则插入单元，用于将目标ip访问规则插入ip访问规则列表中。
56.作为一种实施方式，所述装置ip访问规则插入单元具体用于：
57.判断ip访问规则列表中是否存在所述目标ip访问规则；
58.若否，将所述目标ip访问规则插入ip访问规则列表中。
59.作为一种实施方式，所述网络数据包处理单元具体用于：
60.获得应用程序通过目标域名对应的目标ip地址访问网络服务器时发送的网络数据包；
61.根据所述网络数据包，获得所述目标ip地址和所述应用程序对应的目标进程名称；
62.将所述目标ip地址和所述应用程序对应的目标进程名称与ip访问规则列表进行匹配，得到匹配的ip访问规则；
63.根据匹配的ip访问规则，对所述网络数据包进行转发处理或者拦截处理。
64.作为一种实施方式，所述网络数据包处理单元具体用于：
65.遍历ip访问规则列表；
66.如果当前ip访问规则中的ip地址和目标进程名称分别与所述目标ip地址和所述应用程序对应的目标进程名称一致，则确定当前ip访问规则为匹配的ip访问规则。
67.作为一种实施方式，所述网络数据包处理单元具体用于：
68.根据匹配的ip访问规则，得到对所述网络数据包的处理方式；
69.根据所述处理方式，对所述网络数据包进行放行处理或者拦截处理。
70.作为一种实施方式，所述目标ip访问规则包括：目标ip地址，应用程序对应的进程
名称，处理方式。
71.本技术还提供一种存储介质，存储有域名访问控制方法的程序，该程序被处理器运行，执行下述步骤：从域名系统服务器获得应用程序访问域名时对应的dns应答数据包；
72.根据dns应答数据包，获得目标域名和所述目标域名对应的目标ip地址；
73.根据所述目标域名和所述目标ip地址，得到目标ip访问规则；
74.根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行放行处理或者拦截处理。
75.与现有技术相比，本技术具有以下优点：
76.本技术提供一种域名访问控制方法，包括：从域名系统服务器获得应用程序访问域名时对应的dns应答数据包；根据dns应答数据包，获得目标域名和所述目标域名对应的目标ip地址；根据所述目标域名和所述目标ip地址，得到目标ip访问规则；根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行转发处理或者拦截处理。本技术提供的域名访问控制方法，不是对dns请求数据包进行拦截，而是根据dns应答数据包，获得目标ip访问规则，根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行转发处理或者拦截处理，实现了针对不同的应用程序访问相同的域名时进行不同方式的处理。
附图说明
77.图1a是本技术第一实施例提供的应用域名访问控制方法访问域名时的场景图。
78.图1是本技术第一实施例提供的一种域名访问控制方法的流程图。
79.图2是本技术第一实施例提供的一种应用域名访问控制方法访问域名时的场景图。
80.图3是本技术第二实施例提供的一种域名访问控制装置的示意图。
具体实施方式
81.在下面的描述中阐述了很多具体细节以便于充分理解本发明。但是本发明能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施的限制。
82.为了使本领域的技术人员更好的理解本技术方案，首先对本技术的一个具体应用场景实施例进行详细描述。
83.如图1a所示，在步骤1中，用户启动浏览器a访问域名www.xxx.com；
84.在步骤2中，系统组件获得域名，根据此域名生成dns请求数据包(dns requet packet)，并将dns请求数据包发送到网络过滤模块，网络过滤模块获得dns请求数据包；
85.在步骤3中，网络过滤模块将其转发给域名系统服务器；
86.在步骤4中，域名系统服务器在获得dns请求数据包后，生成域名对应的dns应答数据包(dns answer packet)，将其返回给网络过滤模块；
87.在步骤5中，网络过滤模块根据dns应答数据包，获得目标域名www.xxx.com和目标域名对应的目标ip地址a.b.c.d；并根据目标域名和目标ip地址，得到目标ip访问规则；
88.在步骤6中，网络过滤模块将dns应答数据包发送给系统组件；
89.在步骤7中，系统组件将目标ip地址返回给浏览器a；
90.在步骤8中，浏览器a通过目标ip地址访问网络服务器；
91.在步骤9中，网络过滤模块获得网络数据包，如果目标ip访问规则中处理方式为block，对网络数据包进行拦截处理；如果目标ip访问规则中处理方式为allow，对网络数据包进行放行处理。
92.本技术第一实施例提供一种域名访问控制方法，其执行主体为网络过滤模块，网络过滤模块指用于检测、修改、拦截特定的网络数据包。linux操作系统上是netfilter驱动模块；windows操作系统上是wfp(windows filter platform，windows个人防火墙)或者tdi(transport driver interface，传输驱动接口)驱动模块。以下结合图1和图2进行介绍。
93.如图1所示，在步骤s101中，从域名系统服务器获得应用程序访问域名时对应的dns应答数据包。
94.域名，是internet网络上的一个计算机或者计算机组的名字，由若干个英文字母或者数字组成，并用“.”分隔成几部分。例如，www.xxx.com。
95.所述应用程序，包括浏览器和其他能访问域名的应用程序。例如，当用户使用浏览器1访问域名www.xxx.com时，浏览器1即为应用程序。
96.dns：全称是domain name system，即域名系统。
97.域名系统服务器，即dns服务器，指负责将域名解析成ip地址的服务器。
98.具体实施时，从域名系统服务器获得应用程序访问域名时对应的dns应答数据包，可以包括下述步骤：
99.获得系统组件发送的应用程序访问域名时的dns请求数据包；
100.将所述dns请求数据包转发给域名系统服务器；
101.获得域名系统服务器返回的应用程序访问域名时对应的dns应答数据包。
102.如图2所示，应用程序访问域名时，步骤1中，应用程序将域名发送到系统组件；步骤2中，系统组件将域名对应的dns请求数据包(dns requet packet)发送到网络过滤模块，网络过滤模块获得dns请求数据包，并将其转发给域名系统服务器(步骤3)，域名系统服务器在获得dns请求数据包后，生成域名对应的dns应答数据包，将其返回给网络过滤模块，如图2中的步骤4所示。
103.网络过滤模块除了采用上述方法从域名系统服务器获得应用程序访问域名时对应的dns应答数据包外，还可以采用下述方法：系统组件将应用程序访问域名时的dns请求数据包直接发送给域名系统服务器；域名系统服务器在获得dns请求数据包后，生成域名对应的dns应答数据包，将其发送给网络过滤模块。
104.如图1所示，在步骤s102中，根据dns应答数据包，获得目标域名和所述目标域名对应的目标ip地址。
105.具体的，网络过滤模块在获得dns应答数据包后，对dns应答数据包进行解析，获得目标域名和目标域名对应的目标ip地址。
106.需要说明的是，如果dns应答数据包对应的dns的类型为dns a record(地址记录)，则网络过滤模块可以直接根据dns应答数据包获得标域名和目标域名对应的目标ip地址。如果dns应答数据包对应的dns的类型为dns cname record(别名记录)，则需要系统组件根据dns应答数据包解析出查询的域名；根据查询的域名，系统组件发送请求数据包到域
名系统服务器，域名系统服务器再次获得请求数据包，生成对应的dns应答数据包，直到对应的dns应答数据包的dns的类型为dns arecord为止。因此，网络过滤模块可能在获得一次dns应答数据包后即可获得目标域名和目标域名对应的目标ip地址，也可能是在获得多次dns应答数据包后，才获得最终的目标域名和目标域名对应的目标ip地址。
107.例如，如果应用程序访问的域名为www.xxx.com，网络过滤模块第一次解析dns应答数据包的类型为dns cname record，解析后得到域名www.xxx.com和对应的域名yyy.zzz.com，则需要系统组件根据dns应答数据包解析出查询的域名yyy.zzz.com；根据查询的域名，系统组件发送请求数据包到域名系统服务器，域名系统服务器再次获得请求数据包，生成对应的dns应答数据包，网络过滤模块获得对应的dns应答数据包，第二次解析dns应答数据包的类型为dns arecord，解析后得到目标域名yyy.zzz.com和目标ip地址a.b.c.d。
108.再如，如果应用程序访问的域名为www.xxx.com，网络过滤模块第一次解析dns应答数据包的类型为dns a record，解析dns应答数据包后直接得到目标域名www.xxx.com和目标ip地址a.b.c.d。
109.如图1所示，在步骤s103中，根据所述目标域名和所述目标ip地址，得到目标ip访问规则。
110.所述目标ip访问规则，包括：目标ip地址，应用程序对应的进程名称，处理方式。其中，处理方式包括拦截(block)处理或者放行(allow)处理。图2中的2
‑
1为一条ip访问规则，其含义是当进程名称为p.exe的应用程序采用a.b.c.d的ip地址访问网络服务器时，对其网络数据包进行拦截。
111.所述根据所述目标域名和所述目标ip地址，得到目标ip访问规则，包括：
112.根据所述目标域名、所述目标ip地址和域名访问规则列表，获得目标ip访问规则。
113.域名访问规则列表，指域名访问规则组成的列表。网络过滤模块会预先设置域名访问规则列表，域名访问规则中包括：域名、应用程序对应的进程名称及处理方式。
114.所述根据所述目标域名、所述目标ip地址和域名访问规则列表，获得目标ip访问规则，包括：
115.将所述目标域名与域名访问规则列表进行匹配，获得域名访问规则列表中与目标域名匹配的目标域名访问规则；
116.根据所述匹配的目标域名访问规则，生成目标ip访问规则。
117.具体的，将所述目标域名与域名访问规则列表进行匹配，获得域名访问规则列表中与目标域名匹配的目标域名访问规则，可以包括下述步骤：
118.获得访问规则列表中的域名访问规则中的域名；
119.将获得的域名与目标域名进行比较，如果二者相同，则将包含此域名的域名访问规则作为与目标域名匹配的目标域名访问规则。
120.例如，如果目标域名为yyy.zzz.com，域名访问规则2中的域名也为yyy.zzz.com，则将域名访问规则2(如图2中的2
‑
2)作为与目标域名匹配的目标域名访问规则。
121.所述根据所述匹配的目标域名访问规则，生成目标ip访问规则，包括：
122.将目标域名访问规则中的目标域名替换成所述目标域名对应的目标ip地址，生成包含所述目标ip地址的目标ip访问规则。
123.仍沿用前面的例子，如果目标域名访问规则中的目标域名为yyy.zzz.com，则将domain:yyy.zzz.com替换成目标ip:a.b.c.d，生成包含目标ip地址的目标ip访问规则。如图2所示的2
‑
1。
124.作为一种实施方式，本技术第一实施例还包括：将目标ip访问规则插入ip访问规则列表中。
125.所述将目标ip访问规则插入ip访问规则列表中，包括：
126.判断ip访问规则列表中是否存在所述目标ip访问规则；
127.若否，将所述目标ip访问规则插入ip访问规则列表中。
128.需要说明的是，具体实施时，运维人员可以管理域名访问规则，设置某个应用程序访问某个域名时应该拦截还是放行。
129.作为一种实施方式，本技术实施例还可以统计每个应用程序访问每个域名的拦截/放行次数，并且能够将统计的结果提供给运维人员查看。
130.如图1所示，在步骤s104中，根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行放行处理或者拦截处理。
131.如果目标ip访问规则中的处理方式是拦截(block)处理，则对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行拦截处理；如果目标ip访问规则中的处理方式是放行(allow)处理，则对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进放行处理。
132.所述根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行转发处理或者拦截处理，包括：
133.获得应用程序通过目标域名对应的目标ip地址访问网络服务器时发送的网络数据包；
134.根据所述网络数据包，获得所述目标ip地址和所述应用程序对应的目标进程名称；
135.将所述目标ip地址和所述应用程序对应的目标进程名称与ip访问规则列表进行匹配，得到匹配的ip访问规则；
136.根据匹配的ip访问规则，对所述网络数据包进行转发处理或者拦截处理。
137.所述将所述目标ip地址和所述应用程序对应的目标进程名称与ip访问规则列表进行匹配，得到匹配的ip访问规则，包括：
138.遍历ip访问规则列表；
139.如果当前ip访问规则中的ip地址和目标进程名称分别与所述目标ip地址和所述应用程序对应的目标进程名称一致，则确定当前ip访问规则为匹配的ip访问规则。
140.所述根据匹配的ip访问规则，对所述网络数据包进行转发处理或者拦截处理，包括：
141.根据匹配的ip访问规则，得到对所述网络数据包的处理方式；
142.根据所述处理方式，对所述网络数据包进行转发处理或者拦截处理。
143.下面结合图2介绍两个具体场景实施例。
144.第一个场景实施例：域名www.xxx.com的dns协议的类型为dns cname record。
145.在步骤1中，用户启动浏览器a(即应用程序)访问域名www.xxx.com；
146.在步骤2中，系统组件获得域名，根据此域名生成dns请求数据包(dns requet packet)，并将dns请求数据包发送到网络过滤模块，网络过滤模块获得dns请求数据包；
147.在步骤3中，网络过滤模块将其转发给域名系统服务器；
148.在步骤4中，域名系统服务器在获得dns请求数据包后，生成域名对应的dns应答数据包(dns answer packet)，将其返回给网络过滤模块；
149.在步骤5中，网络过滤模块根据dns应答数据包，第一次解析dns应答数据包的类型为dns cname record，解析后得到域名www.xxx.com和对应的域名yyy.zzz.com，将域名www.xxx.com与域名访问规则列表进行匹配，域名www.xxx.com与第一条域名访问规则中的域名相同，则将第一条域名访问规则中的域名www.xxx.com替换成yyy.zzz.com，生成新的域名访问规则，将新的域名访问规则加入域名访问规则列表中，作为第二条域名访问规则。系统组件再次发送请求数据包(域名为yyy.zzz.com)到域名系统服务器，域名系统服务器再次获得请求数据包，生成对应的dns应答数据包，网络过滤模块获得对应的dns应答数据包，第二次解析dns应答数据包的类型为dns a record，解析后得到目标域名yyy.zzz.com和目标ip地址a.b.c.d；然后将域名yyy.zzz.com与域名访问规则列表进行匹配，域名yyy.zzz.com与第二条域名访问规则中的域名相同，则将第二条域名访问规则中的域名domain:yyy.zzz.com替换成ip:a.b.c.d，生成ip访问规则，将ip访问规则加入ip访问规则列表中；
150.在步骤6中，网络过滤模块将dns应答数据包发送给系统组件；
151.在步骤7中，系统组件将目标ip地址返回给浏览器a；
152.在步骤8中，浏览器a通过目标ip地址访问网络服务器；
153.在步骤9中，网络过滤模块获得网络数据包，由于目标ip访问规则中处理方式为block，根据目标ip访问规则，对网络数据包进行拦截处理。
154.第二个场景实施例：域名www.xxx.com的dns协议的类型为dns a record。
155.在步骤1中，用户启动浏览器a(即应用程序)访问域名www.xxx.com；
156.在步骤2中，系统组件获得域名，根据此域名生成dns请求数据包(dns requet packet)，并将dns请求数据包发送到网络过滤模块，网络过滤模块获得dns请求数据包；
157.在步骤3中，网络过滤模块将其转发给域名系统服务器；
158.在步骤4中，域名系统服务器在获得dns请求数据包后，生成域名对应的dns应答数据包(dns answer packet)，将其返回给网络过滤模块；
159.在步骤5中，网络过滤模块根据dns应答数据包，获得目标域名www.xxx.com和目标域名对应的目标ip地址a.b.c.d；将域名www.xxx.com与域名访问规则列表进行匹配，域名www.xxx.com与第一条域名访问规则中的域名相同，则将第一条域名访问规则中的域名domain:www.xxx.com替换成ip:a.b.c.d，生成ip访问规则，将ip访问规则加入ip访问规则列表中；
160.在步骤6中，网络过滤模块将dns应答数据包发送给系统组件；
161.在步骤7中，系统组件将目标ip地址返回给浏览器a；
162.在步骤8中，浏览器a通过目标ip地址访问网络服务器；
163.在步骤9中，网络过滤模块获得网络数据包，由于目标ip访问规则中处理方式为block，根据目标ip访问规则，对网络数据包进行拦截处理。
164.需要说明的是，在步骤5中，由于dns协议的类型为dns a record，因此解析dns应答数据包可以直接得目标域名和目标域名对应的目标ip地址。
165.至此，完成了对本技术第一实施例的介绍。本技术提供的域名访问控制方法，不是对dns请求数据包进行拦截，而是根据dns应答数据包，获得目标ip访问规则，根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行转发处理或者拦截处理，实现了针对不同的应用程序访问相同的域名时进行不同方式的处理。
166.与本技术第一实施例提供的域名访问控制方法相对应的，本技术第二实施例提供一种域名访问控制装置。
167.所述域名访问控制装置，包括：
168.应答数据包获得单元301，用于从域名系统服务器获得应用程序访问域名时对应的dns应答数据包；
169.目标ip地址获得单元302，用于根据dns应答数据包，获得目标域名和所述目标域名对应的目标ip地址；
170.目标ip访问规则得到单元303，用于根据所述目标域名和所述目标ip地址，得到目标ip访问规则；
171.网络数据包处理单元304，用于根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行放行处理或者拦截处理。
172.作为一种实施方式，所述应答数据包获得单元具体用于：
173.获得系统组件发送的应用程序访问域名时的dns请求数据包；
174.将所述dns请求数据包转发给域名系统服务器；
175.获得域名系统服务器返回的应用程序访问域名时对应的dns应答数据包。
176.作为一种实施方式，所述目标ip访问规则得到单元具体用于：
177.根据所述目标域名、所述目标ip地址和域名访问规则列表，获得目标ip访问规则。
178.作为一种实施方式，所述目标ip访问规则得到单元具体用于：
179.将所述目标域名与域名访问规则列表进行匹配，获得域名访问规则列表中与目标域名匹配的目标域名访问规则；
180.根据所述匹配的目标域名访问规则，生成目标ip访问规则。
181.作为一种实施方式，所述目标ip访问规则得到单元具体用于：
182.将目标域名访问规则中的目标域名替换成所述目标域名对应的目标ip地址，生成包含所述目标ip地址的目标ip访问规则。
183.作为一种实施方式，所述装置还包括：ip访问规则插入单元，用于将目标ip访问规则插入ip访问规则列表中。
184.作为一种实施方式，所述装置ip访问规则插入单元具体用于：
185.判断ip访问规则列表中是否存在所述目标ip访问规则；
186.若否，将所述目标ip访问规则插入ip访问规则列表中。
187.作为一种实施方式，所述网络数据包处理单元具体用于：
188.获得应用程序通过目标域名对应的目标ip地址访问网络服务器时发送的网络数据包；
189.根据所述网络数据包，获得所述目标ip地址和所述应用程序对应的目标进程名
称；
190.将所述目标ip地址和所述应用程序对应的目标进程名称与ip访问规则列表进行匹配，得到匹配的ip访问规则；
191.根据匹配的ip访问规则，对所述网络数据包进行转发处理或者拦截处理。
192.作为一种实施方式，所述网络数据包处理单元具体用于：
193.遍历ip访问规则列表；
194.如果当前ip访问规则中的ip地址和目标进程名称分别与所述目标ip地址和所述应用程序对应的目标进程名称一致，则确定当前ip访问规则为匹配的ip访问规则。
195.作为一种实施方式，所述网络数据包处理单元具体用于：
196.根据匹配的ip访问规则，得到对所述网络数据包的处理方式；
197.根据所述处理方式，对所述网络数据包进行放行处理或者拦截处理。
198.作为一种实施方式，所述目标ip访问规则包括：目标ip地址，应用程序对应的进程名称，处理方式。
199.需要说明的是，对于本技术第二实施例提供的装置的详细描述可以参考对本技术第一实施例的相关描述，这里不再赘述。
200.与本技术第一实施例提供的域名访问控制方法相对应的，本技术第三实施例提供一种存储介质，存储有域名访问控制方法的程序，该程序被处理器运行，执行下述步骤：
201.从域名系统服务器获得应用程序访问域名时对应的dns应答数据包；
202.根据dns应答数据包，获得目标域名和所述目标域名对应的目标ip地址；
203.根据所述目标域名和所述目标ip地址，得到目标ip访问规则；
204.根据目标ip访问规则，对应用程序通过目标ip地址访问网络服务器时发送的网络数据包进行放行处理或者拦截处理。
205.需要说明的是，对于本技术第三实施例提供的存储介质的详细描述可以参考对本技术第一实施例的相关描述，这里不再赘述。
206.本技术虽然以较佳实施例公开如上，但其并不是用来限定本技术，任何本领域技术人员在不脱离本技术的精神和范围内，都可以做出可能的变动和修改，因此本技术的保护范围应当以本技术权利要求所界定的范围为准。
207.在一个典型的配置中，计算设备包括一个或多个处理器(cpu)、存储器映射输入/输出接口、网络接口和内存。
208.内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(ram)和/或非易失性内存等形式，如只读存储器(rom)或闪存(flash ram)。内存是计算机可读介质的示例。
209.计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(pram)、静态随机存取存储器(sram)、动态随机存取存储器(dram)、其他类型的随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、快闪记忆体或其他内存技术、只读光盘只读存储器(cd
‑
rom)、数字多功能光盘(dvd)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算
机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
210.本领域技术人员应明白，本技术的实施例可提供为方法、系统或计算机程序产品。因此，本技术可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本技术可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd
‑
rom、光学存储器等)上实施的计算机程序产品的形式。