TCP_wapper访问控制机制

原创

Nicolo_xuding 2016-01-24 20:11:30 博主文章分类：Linux Basics ©著作权

文章标签 tcp deny wapper 文章分类 运维

©著作权归作者所有：来自51CTO博客作者Nicolo_xuding的原创作品，请联系作者获取转载授权，否则将追究法律责任

一、tcp_wrapper

1.tcp_wrapper

(1)TCP包装器

一个为Unix服务器提供防火墙服务的公共领域计算机程序，通用库文件：libwrap.so。定义配置后无需重启服务，因为基于libwrap.so库动态加载，不会拒绝已经建立的连接，仅在启动该程序时检查。

配置文件：/etc/host.allow(允许)、/etc/hosts.deny(禁止)

(2)判断某服务是否能够由tcp_wrapper进行访问控制

1) 动态编译：ldd命令查看是否存在libwrap.so库；

# ldd $(which COMMAND) | grep libwrap

2) 静态编译：基于符号追踪。strings命令查看应用程序文件，其结果中是否出现了hosts.allow和hosts.deny文件；

注意：

CentOS6主机上的telnet服务托管于xinetd，后者接受libwrap控制；

CentOS7主机上的telnet服务未托管于xinetd，而in.telnetd程序未链接至libwrap；

2.服务基于libwrap完成访问控制流程

首先检查/etc/hosts.allow文件中有没有显式授权当前请求者访问：

是：直接授权客户端访问；

否：接着去检查/etc/hosts.deny文件中有没有显式拒绝当前请求者访问：

是：直接拒绝当前请求者的访问；

否：允许请求者访问；

注意：

1)依次在/etc/hosts.allow和/etc/hosts.deny配置文件中匹配请求，仅某段地址需在allow通行，在deny禁止ALL

2)在allow和deny中均未定义规则，允许请求者访问

二、配置文件

语法格式：服务列表对应主机列表的访问控制

daemon_list：client_list [:options]

1.daemon_list：

(1)单个应用程序的文件名称，而非服务名；

(2)以逗号分隔的应用程序文件名列表；例如：sshd, vsftpd

(3)ALL：所有接受tcp_wrapper控制的程序；

2.client_list：