Linux TCP wrappers访问控制和yum仓库部署

最新推荐文章于 2025-09-12 10:31:23 发布

原创最新推荐文章于 2025-09-12 10:31:23 发布 · 405 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#linux #运维 #服务器

本文详细介绍了Linux中的TCP Wrappers访问控制机制，包括如何利用tcpd和libwrap.so保护网络服务，以及如何配置hosts.allow和hosts.deny文件进行策略管理。同时，涵盖了yum仓库的部署，包括不同类型的软件获取方式和RPM源的管理，以及设置yum优先级以优化资源利用。

Linux TCP wrappers访问控制和yum仓库部署

一、TCP Wrappers 访问控制

TCP Wrappers 将TCP服务程序“包裹”起来，代为监听TCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序。

大多数 Linux 发行版，TCP Wrappers 是默认提供的功能。rpm -q tcp_wrappers

TCP Wrapper 保护机制的两种实现方式

直接使用 tcpd 程序对其他服务程序进行保护，需要运行 tcpd程序
由其他网络服务程序调用 libwrap.so.链接库，不需要运行 tcpd 程序。此方式的应用更加广泛，也更有效率。

使用 ldd 命令可以查看程序的 libwrap.so.*链接库

ldd $(which ssh vsftpd)

TCP Wrappers 的访问策略：

TCP Wrappers 机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。

对应的两个策略文件为/etc/hosts.allow 和/etc/hosts.deny，分别用来设置允许和拒绝的策略。

格式：

<服务程序列表>:<客户端地址列表>

服务程序列表

ALL：代表所有的服务。

单个服务程序：如“vsftpd”。

多个服务程序组成的列表：如“vsftpd,sshd”。

客户端地址列表

ALL：代表任何客户端地址。

LOCAL：代表本机地址。（多个地址以逗号分隔）

允许使用通配符 “*” 和 “？” ，前者代表任意长度字符，后者仅代表一个字符
网段地址，如 192.168.80. 或者 192.168.80.0/255.255.255.0
区域地址，如 “.benet.com”匹配 bdqn.com 域中的所有主机。

TCP Wrappers 机制的基本原则

首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问；
否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问；
如果检查上述两个文件都找不到相匹配的策略，则允许访问。

“允许所有，拒绝个别”
只需在/etc/hosts.deny文件中添加相应的拒绝策略

“允许个别，拒绝所有”
除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/hosts.deny文件中设置“ALL:ALL”的拒绝策略。

若只希望从IP地址为12.0.0.1的主机或者位于192.168.80.0/24网段的主机访问sshd服务，其他地址被拒绝。

vi /etc/hosts.allow
sshd:12.0.0.1,192.168.80.*

vi /etc/hosts.deny
sshd:ALL

二、yum仓库部署

软件查看的提供方式

FTP服务：ftp://ftp服务器地址/软件目录
- 能给所有能连接此ftp服务器的用户使用（关闭防火墙）
HTTP服务：http://…
- 通过网络在线使用软件
本地目录：file://…
- 只能给本机使用软件仓库

RPM软件包的来源

CentOS发布的RPM包的集合
第三方组织发布的RPM包集合
用户自定义的RPM包集合

客户机指定yum仓库位置

配置文件：/etc/yum.repos.d/centos7.repo
baseurl=(指定方式)

在线仓库配置步骤

将local.repo文件移动到repo.bak目录下
将可以连网的系统打开，执行wget -O /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-7.repo 将阿里云镜像下载到/etc/yum.repos.d/目录下
刷新缓存，yum clean all && yum makecache