4.3.1 什么是xinetd
4.3.2 xinetd的特色
1.强大的存取控制功能
2.有效防止DoS攻击
3.强大的日志功能
4.转向功能
5.支持IPv6
6.与客户端的交互功能
7.Xinetd的缺点
4.3.3 使用xinetd启动守护进程
4.3.4 解读/etc/xinetd.conf和/etc/xinetd.d/*
1./etc/xinetd.conf
2./etc/xinetd.d/*
4.3.5 配置xinetd
1.格式
2.配置文件
3.属性列表
属性选项 |
功能描述 |
id |
该属性被
用来唯一地指定一项服务。因为有些服务的区别仅仅在于使用不同的协议,因此需要使用该属性加以区别。默认情况下,id和
服务名相同。如echo同时支持dgram和stream服
务。设置id=echo_dgram和id=echo_stream来
分别唯一标志两个服务 |
type |
可以是下
列一个或多个值。
RPC:RPC类
型的服务。
INTERNAL:
由xinetd自身提供的服务,如echo。
UNLISTED:
没有列在标准系统文件如/etc/rpc或/etc/service中
的服务 |
flags |
可以是以下一个或多个选项的任意组合。
REUSE:设置TCP/IP
socket可重用。也就是在该服务socket中设置SO_REUSEADDR标
志。当中断时重新启动xinetd。
INTERCEPT:
截获数据包进行访问检查,以确定是否来自于允许进行连接的位置。INTERNAL服务和多线程服务不可使用
该属性值。 |
属性选项 |
功能描述 |
flags |
NORETRY:如果fork失
败,不重试。
IDONLY:只有在远程
端识别远程用户时才接受该连接(也就是远程系统必须运行ident服务器),该标记只适用于面向连接的服
务。若没有使用USERID记录选项,则该标记无效,log_on_success或log_on_failure属
性设置USERID值以使该值生效。仅用于多线程的流服务。
NAMEINARGS:允
许server_args属性中的第一个参数是进程的完全合
法路径,此时,server属性采用inetd的方式来指定
(此标签的作用是表明该服务采用tcpd的方式来处理,而不是tcp wrapper,
参见NOLIBWRAP标记)。
NODELAY:若
服务为tcp服务,并且NODELAY标
记被设置,则TCP_NODELAY标记将被设置。若服务不
是tcp服务,则该标记无效。
DISABLE:具有DISABLE标
记的服务表示被禁用。该标记将覆盖enable的指定,即如果你指定了“enable=foo”,
若foo具有DISABLE标记,那么foo仍
将被禁用。使用了该标记的服务不会被提醒。
KEEPALIVE:如果一个tcp服
务设置了KEEPALIVE标记,那么该服务的socket将
被设置SO_KEEPALIVE标记,对非TCP类型的服务
设置该标记无任何作用。 |
flags |
NOLIBWRAP:禁用tcpwrap 库
来决定一个服务的请求访问控制。像xinetd,需要长时间
的运行(系统启动后一直运行),一直调用libwrap函数库是不可取的,这种类型的服务就需要设置该标
记,它们可以直接调用而无须调用libwrap函数库来控制访问请求(参见NAMEINARGS标
记)。
SENSOR:
该标记的作用是使用一个传感器(SENSOR)来代替当前的服务。使用该标记需要注意几个问题:其一,你应
当确认该服务是你不需要的或者是你不想提供该服务;其二,它不能觉察秘密的扫描动作;其三,它将觉察该服务指定端口的请求,并记录到作用于全局的no_access列
表中,这就使得请求过该服务的IP在deny_time指定
的时间过期之前一直都拒绝访问;其四,它还使得xinetd认为该服务的server属
性是INTERNAL;其五,如果使用了该标记的socket_type为stream的
服务设置,你需要设置wait为no |
disable |
可以设置为yes或no,
设置为yes将禁用一个服务,详见flags的disable标
签 |
socket_type |
使用的TCP/IP
socket类型,值可能为stream(TCP),dgram(UDP),raw和seqpacket(可
靠的有序数据包) |
protocol |
指定该服务使用的协议,其值必须是在/etc/protocols中
定义的。如果不指定,使用该项服务的默认协议 |
wait |
这个属性
有两个可能的值。如果是yes,那么xinetd会启动对方
请求的进程,并停止处理该项服务的其他请求直到该进程终止,适合于单线程服务;如果是no,那xinetd会
为每个请求启动的一个进程,而不管先前启动的进程的状态,适合于多线程服务 |
user |
设置服务进程的UID。
若xinetd的有效UID不是0,
该属性无效 |
group |
设置
进程的GID。若xinetd的有效UID不
是0,该属性无效 |
instances |
接受
一个大于或等于1的整数或UNLIMITED。设置可同时运
行的最大进程数。UNLIMITED意味着xinetd对该
数没有限制 |
nice |
指定
进程的nice值。它决定了服务的优先级,参数值是某个数字,可以为负数 |
server |
要激
活的进程,必须指定完整的路径 |
server_args |
指定
传送给该进程的参数,但是不包括服务程序名 |
only_from |
用空
格分开的允许访问服务的客户机列表。如果不为该属性指定一个值,就拒绝任何人访问这项服务。该属性支持所有操作符。访问控制表的语法如下:
a)
用数字表示的IP地址,格式为%d. %d. %d. %d。
如果最右边的一位是0,将被看作通配符。举例来说,10.35.1.0表
示10.35.1段内的任何地址都满足条件;如果地址是0.0.0.0,
则匹配所有的IP地址。
b)
分解列出的IP地址,格式为%d. %d. %d.{ %d.
%d…}。当然,并不是一定要四个部分都列出,例如,%d.
%d.{ %d. %d…},这样的格式也是可以的,然而,被分解列出的部分必须
在最后面,例如,%d.{ %d. %d…}.%d.%d,
这样的格式是不允许的。
c)
网络名。/etc/networks中的网络名。 |
属性选项 |
功能描述 |
only_from |
d)
主机名或域名。当一个IP地址连接到xinetd上的时候,
它会对这个IP进行反向解析,得出相应的主机名,然后与指定的主机名进行比较,查看是否匹配。当然也可以使
用域名,道理是一样的。
e)
网络/子网。格式为IP Address/netmask,
例如,1.2.3.4/32 |
no_access |
用空
格分开的拒绝访问服务的客户机列表。该属性支持所有操作符,访问控制表的语法参见only_from。
Only_from和no_access决
定了一个远程连接能否访问某个服务。如果这两个属性都没有设置,那么任何人都可以请求该服务;如果都设置了,那么,最匹配的那个记录优先。例如,你在only_from中
设定了10.35.1.0可以访问,然后又在no_access中
设定10.35.1.10禁止访问,那么,10.35.1段
内除了10.35.1.10外的IP地址都可以访问 |
access_time |
设置
服务的可用时段,也就是说,在哪一段时间里可以使用本服务。格式是hh:mm_hh:mm;
如08:00-18:00,
意味着从8AM到6PM可使用这项服务 |
log_type |
指定
服务log的记录方式。
SYSLOG
facility[level]:设置facility为daemon,auth,user或local0-7;level是
可选的,可用的level值为emerg,alert,crit,err,warning,notice,info,debug,
默认值为info。
file[soft[hard]]:
指定用file记录log,而不是syslog。
限度soft和hard用KB指
定(可选)。一旦达到soft限,xinetd就登记一条消
息。一旦达到hard限,xinetd就停
止登记使用该文件的所有服务。如果不指定hard限,它为soft加1%,
但默认时不超过20MB,默认soft限是5MB |
log_on_success |
指定
成功时登记的信息,默认时不登记任何信息。该属性支持所有操作符。可能的值有以下几种。
PID:
进程的PID。如果一个新进程没被分叉,PID设置为0。
HOST:
客户机IP地址。
USERID:
通过RFC1413调用捕获客户机用户的UID。只可用于多
线程的流服务。
EXIT:
登记进程终止的状态。
DURATION:
登记会话持续期 |
log_on_failure |
指定
失败时登记的信息。总是登记表明错误性质的消息,默认时不登记任何信息。该属性支持所有操作符。可能的值是有以下几种。
ATTEMPT:
记录一次失败的尝试,所有其他值隐含为这个值。
HOST:
客户机IP地址。
USERID:
通过RFC1413调用捕获客户机用户的UID。只可用于多
线程的流服务。
RECORD:
记录附加的客户机信息,如本地用户、远程用户和终端的类型 |
rpc_version |
指定RPC版
本号或服务号。版本号可以是一个单值或者一个范围,如2~3 |
rpc_number |
如果RPC程
序号不在/etc/rpc中,就指定它 |
env |
用空
格分开的VAR=VALUE表,其中VAR是一个shell环
境变量,VALUE是其设置值。这些设置在服务被激活时被追加到服务的环境变量中。这个属性支持=和+=操
作符 |
passenv |
用空格分开的xinetd环
境中的环境变量表,该表在激活时传递给服务程序。如果设置的值为空就不传送任何变量(除了在env中指定的
变量)。该属性支持所有操作符 |
port |
定义该项服务相关的端口号。如果该服务在/etc/services中
列出,它们必须匹配 |
redirect |
该属性语法为redirect=Ipaddress
port。它把tcp服务重定向到另一个系统。如果使用该属性,就忽略server属
性 |
bind |
把一项服务绑定到一个特定界面。语法是bind=ipaddress/interface。
这意味着你的telnet服务可以监听一个本地的安全的端口,而不是一个外部的界面。或者,同一个端口在某
个网络界面上可以做某件事情,同时,在另一个界面上可以做完全不同的事情 |
interface |
等同于bind |
banner |
无论该连接是否被允许,当
建立连接时就将该文件显示给客户机 |
banner_success |
当连接授权通过时显示banner_success指
定的文件中包含的信息 |
属性选项 |
功能描述 |
banner_fail |
当客
户端的请求违反控制规则时显示banner_fail指定的文件中包含的信息,以告
知用户他们正在试图请求不被允许的服务 |
per_source |
参数值
可以为整数或者UNLIMITED关键字。它表示每一个IP地
址上最多可以建立的实例数目。本属性也可以定义在defaults部分 |
cps |
用来
设定连接速率。它需要两个参数,第一个参数表示每秒可以处理的连接数,如果超过了这个连接数时,之后进入的
连接将被暂时停止处理;第二个参数表示停止处理多少秒后,继续处理先前暂停处理的连接 |
max_load |
用一
个浮点数作为负载系数,当负载达到这个数目的时,该服务将停止处理后续的连接 |
groups |
可以
设置为yes或no。如果设置为yes,
将允许对该服务起作用的组中包含的用户来访问,如果设置为no,将设置服务进程的GID。
如果xinetd的有效GID不是0,
则该属性无效。在BSD类的系统上,很多服务需要设置该属性为yes,
这个属性也可以设置在defaults部分 |
umask |
设置
服务所继承的umask。参数值应该是一个八进制数字,该属
性也可以设置到defaults项中。xinetd自己的umask默
认是022,如果你没有设置umask属性,那么所有xinetd的子
进程的umask将都是022 |
enabled |
其参
数值是一个服务名称的列表,表示该列表中的服务将被启用,其余的则不被启用。然而,如果某个服务设置使用了disable或
者DISABLE 标记(flag),即使该服务被设置在enabled列
表中,也不会被启用。参见disable属性和flags的DISABLE标
记 |
disabled |
只可
用于defaults项,指定被关闭的服务列表,是用空格分开的、不可
用的服务列表来表示的。它和在/etc/xinetd.conf文件中注释掉该服务项
有相同的效果 |
include |
使用
“include /etc/xinetd.d/service_name”这样的格式来引入一个文件。这
跟直接将引入文件的内容放到xinetd.conf中是不同的,因为那里默认已经有了include指
令。需要注意的是,其一,被引入文件的格式应该是跟xined.conf格式相同;其二,不可以在某个服务
的声明部分使用此指令,应当放在声明之外的地方 |
includedir |
使用
“includedir /etc/xinetd.d”这样的格式引入一个目录作为xinetd配
置文件的存放目录。指定目录下除了文件名包括点号(.)或者以引号(“ ”)
结束的文件,都将视作xinetd的服务配置文件。跟include指
令一样,该指令也不可以放在服务的声明部分 |
rlimit_as |
设置
服务的地址资源限制。参数值应该是以字节为单位的正整数或者UNLIMITED关
键字。由于libc malloc的实现机制,在Linux系
统上设置该属性比设置rlimit_rss、rlimit_data和rlimit_stack属
性更有效,这个资源限制的属性只可以在Linux系统上设置 |
rlimit_cpu |
设置
服务最多可占用的CPU秒数。参数值应该是以秒为单位的正整
数或者UNLIMITED关键字 |
rlimit_data |
设置
服务的最大数据量。参数值应该是以字节为单位的正整数或者UNLIMITED关
键字 |
rlimit_rss |
设置
服务的最大常驻内存。参数值应该是以字节为单位的正整数或者UNLIMITED关
键字 |
rlimit_stack |
设置
服务的最大堆栈大小。参数值应该是以字节为单位的正整数或者UNLIMITED关
键字 |
deny_time |
设置
对于所有IP,所有服务的访问被禁用的时间长度。参数值可以是
以分钟为单位的正整数、FOREVER和NEVER。如果你
设置为FOREVER,在xinetd重启之前一直有效;NEVER只
对那些非法的IP地址有效;数字一般设置为60,设置为这个
数值基本就可以防范DoS攻击了。需要注意的是,这个标记必须与SENSOR标
记(flags)结合使用 |
4.基本属性
xinetd设定服务必需的属性 | |
属 性 |
适用范围 |
socket_type |
所有服务 |
user |
Non_internal
service only 非内部服务 |
server |
Non_internal
service only 非内部服务 |
wait |
所有服务 |
protocol |
不在/etc/services中
的所有RPC服务和所有其他服务 |
rpc_vision |
所有RPC服
务 |
rpc_number |
不列在/etc/rpc中
的任何RPC服务 |
port |
不在/etc/services中
的非RPC服务 |
5.支持多操作符的属性
支持多操作符的属性 | |
属 性 |
支持范围 |
only_from |
支持所有
操作符 |
no_access | |
log_on_success | |
log_on_failure | |
passenv | |
env |
不支持-=操
作符 |
6.默认属性
可用的defaults属
性 | |
属
性 |
适用范围 |
log_on_success |
可以用=操作符改写,或用+=或-=操
作符修改 |
log_on_failure | |
only_from | |
no_access | |
passenv | |
instances |
可以用=操作符改写 |
log_type | |
disabled |
注销掉的服务 |
enabled |
指定启用的服务 |