TCP Wrappers配置（上）。

以你之姓@ 2022-04-03 10:14 110阅读 0赞

TCP Wrappers（IP层存取控制过滤）为由inetd生成的服务提供了增强的安全性。TCP Wrappers软件扩展了inetd为受其控[制的服务程序实施控制的能力。通过使用这种方法能够提供日志支持、返回消息给联入的连接、使得服务程序只接受内部连接等等。尽管防火墙也能够完成其中的某些功能，但这不仅增加了一层额外的保护，也][Link 1]提供了防火墙无法提供的功能。然而，由TCP Wrappers提供的一些额外的安全功能，不应被视为好的防火墙的替代品。TCP Wrappers应结合防火墙或其他安全加强设施一并使用。

## TCP Wrappers配置 ##

TCP Wrappers使用访问控制列表来防止欺骗。ACL是/etc/hosts.allow和/etc/hosts.deny文件中的系统列表。在配置为验证主机名到IP地址映射，以及阻止使用IP源路由的软件包时，TCP Wrappers提供某些防止IP欺骗的保护。

### 确认服务是否支持TCP Wrappers ###

Linux系统TCP Wrappers并不是所有的服务都支持（目前支持TCP Wrappers的服务有sendmail、pop3、imap、sshd、telnet等等），可以使用ldd命令查看指定服务是否支持TCP Wrappers。ldd用于查看二进制文件所需动态链接库，如果某服务中含有“libwrap.so”则表示该服务支持TCP Wrappers，如下图所示。

[![110219229.png][]][110219229.png 1]

### TCP Wrappers规则定义 ###

在TCP Wrappers中通过/etc/hosts.allow和/etc/hosts.deny配置规则允许或阻止指定客户端对指定服务的访问，修改保存此文件后配置无须重新启动服务立即生效。TCP Wrappers规则生效原则如下。

1.当/etc/hosts.allow和/etc/hosts.deny无匹配记录访问可通过。

2.当/etc/hosts[.allow][][有匹配记录访问可通过。][.allow]

[3.当/etc/hosts.allow和/etc/hosts.deny都匹配时访问可通过。][.allow]

[在/etc/hosts.allow 和/etc/hosts.deny][.allow]文件定义规则的方法都采用以下格式。

服务:客户端\[:选项\]

1.服务：指定TCP Wrappers需要控制的服务名称。如果是System V服务直接指定服务名称（比如sshd等等），如果是超级服务必须指定超级服务的启动脚本名称（可在对应超级服务的配置文件中找到。比如需要使用TCP Wrappers控制telnet时，/etc/xinetd.d/telnet文件如下图所示内容中所标识的就是telnet的启动脚本名称）。

[![110359993.png][]][110359993.png 1]

2.客户端：指定TCP Wrappers需要控制哪些客户端对指定服务的访问，其指定客户端方法见下表。

<table style="border-bottom:medium none;border-left:medium none;border-collapse:collapse;border-top:medium none;border-right:medium none;"> 
 <thead> 
 <tr> 
 <td style="border-bottom:#000000 2.25pt solid;border-left:#000000 1pt solid;background-color:transparent;border-top:#000000 1pt solid;border-right:#000000 1pt solid;"> 客户端指定方法 </td> 
 <td style="border-bottom:#000000 2.25pt solid;border-left:#f0f0f0;background-color:transparent;border-top:#000000 1pt solid;border-right:#000000 1pt solid;"> 示例 </td> 
 <td style="border-bottom:#000000 2.25pt solid;border-left:#f0f0f0;background-color:transparent;border-top:#000000 1pt solid;border-right:#000000 1pt solid;"> 满足示例的客户端 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td style="border-bottom:#000000 1pt solid;border-left:#000000 1pt solid;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 单一主机 </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 192.168.0.30 </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> IP地址为192.168.0.30。 </td> 
 </tr> 
 <tr> 
 <td style="border-bottom:#000000 1pt solid;border-left:#000000 1pt solid;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 指定网段 </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 192.168.0. </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> IP地址包括在192.168.0.0/24的网段。 </td> 
 </tr> 
 <tr> 
 <td style="border-bottom:#000000 1pt solid;border-left:#000000 1pt solid;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 指定网段 </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 192.168.0.0/255.255.255.0 </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> IP地址包括在192.168.0.0/24的网段。 </td> 
 </tr> 
 <tr> 
 <td style="border-bottom:#000000 1pt solid;border-left:#000000 1pt solid;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 指定DNS后缀 </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> .example.com </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 所有DNS后缀为.example.com的主机 </td> 
 </tr> 
 <tr> 
 <td style="border-bottom:#000000 1pt solid;border-left:#000000 1pt solid;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 指定FQDN </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> client1.example.com </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background:#f2f2f2;border-top:#f0f0f0;border-right:#000000 1pt solid;"> FQDN为client1.example.com的主机 </td> 
 </tr> 
 <tr> 
 <td style="border-bottom:#000000 1pt solid;border-left:#000000 1pt solid;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> 指定所有客户端 </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> ALL </td> 
 <td style="border-bottom:#000000 1pt solid;border-left:#f0f0f0;background-color:transparent;border-top:#f0f0f0;border-right:#000000 1pt solid;"> &nbsp; </td> 
 </tr> 
 </tbody> 
</table>

2.选项：包括[allow、deny以及一些其他参数。allow、deny分别用于允许和阻止指定客户端对指定服务的访问。allow、deny都可以在/etc/hosts.allow和/etc/hosts.deny定义动作时使用，为了避免使用不必要的错误，推荐不使用/etc/hosts.deny][allow_deny_allow_deny_allow_deny_etc_hosts.allow_etc_hosts.deny_etc_hosts.deny][文件配置，如需][allow_deny_allow_deny_allow_deny_etc_hosts.allow_etc_hosts.deny_etc_hosts.deny]要阻止操作时，可直接在/etc/hosts.allow中使用deny动作。

[Link 1]: http://blogold.chinaunix.net/u2/65630/showart.php?id=2162496
[110219229.png]: /images/20220403/7315bd9daa3845a9b0aa6c4d4a9300f2.png
[110219229.png 1]: http://blogold.chinaunix.net/u2/65630/showart.php?id=2516218
[.allow]: http://blogold.chinaunix.net/u2/65630/showart.php?id=2162498
[110359993.png]: /images/20220403/7f14d367b52d46619b65369d92364836.png
[110359993.png 1]: http://blogold.chinaunix.net/u2/65630/showart.php?id=2510187%20target=
[allow_deny_allow_deny_allow_deny_etc_hosts.allow_etc_hosts.deny_etc_hosts.deny]: http://blogold.chinaunix.net/u2/65630/showart.php?id=2510677