TCP_Wrappers 简介

最新推荐文章于 2023-04-22 19:41:16 发布

linuxbugs

最新推荐文章于 2023-04-22 19:41:16 发布

阅读量1.5k

点赞数 1

分类专栏： linux安全管理

本文链接：https://blog.youkuaiyun.com/Woodrow1994/article/details/79412349

版权

TCP_Wrappers是一个在传输层提供安全控制的工具，通过libwrap.so库控制服务连接。它的工作原理是通过tcpd守护进程拦截请求，根据访问控制文件决定是否允许连接。配置文件/etc/hosts.allow和/etc/hosts.deny用于设置允许或拒绝访问的规则，如IP地址、主机名、网络/掩码等。示例展示了如何设置规则来禁止或允许特定主机的SSH访问。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

TCP_Wrappers

简介

TCP_Wrappers是一个工作在第四层（传输层）的的安全工具，对有状态连接的特定服务进行安全检测并实现访问控制，凡是包含有libwrap.so库文件的的程序就可以受TCP_Wrappers的安全控制。它的主要功能就是控制谁可以访问，常见的程序有rpcbind、vsftpd、sshd，telnet。

工作原理

TCP_Wrappers有一个TCP的守护进程叫作tcpd。以ssh为例，每当有ssh的连接请求时，tcpd即会截获请求，先读取系统管理员所设置的访问控制文件，符合要求，则会把这次连接原封不动的转给真正的ssh进程，由ssh完成后续工作；如果这次连接发起的ip不符合访问控制文件中的设置，则会中断连接请求，拒绝提供ssh服务。

TCP_Wrappers的使用

TCP_Wrappers的使用主要是依靠两个配置文件/etc/hosts.allow, /etc/hosts.deny，用于拒绝和接受具有TCP_Wrappers控制全的程序，详细信息具体可以查看man帮助，这里我们就做简单的演示和使用（man 5 hosts_access， man 5 hosts_options）

要说明的是当我们启动一个受控制的软件的时候，比如ssh，

不过在刚开始的时候，/etc/hosts.allow，/etc/hosts.deny什么都没有添加，此时没有限制，是都可以连接的，现在我们来说如何设置，禁止和允许连接，配置文件格式遵循如下规则：

daemon_list@host: client_list [:options :option…]

daemon_list：是程序的列表，可以是多个，是多个时，使用，隔开
@host：可以没有，是我们的限制的网卡访问接口（自己的），设置允许或禁止他人从自己的那个网口进入。这一项不写，就代表全部。
client_list：是访问者的地址，如果需要控制的用户较多，可以使用空格或，隔开，格式如下：

基于IP地址： 192.168.10.1 192.168.1.
基于主机名： www.magedu.com .magedu.com 较少用
基于网络/掩码： 192.168.0.0/255.255.255.0
基于net/prefixlen: 192.168.1.0/24（CentOS7）
基于网络组（NIS 域）： @mynetwork
内置ACL： ALL， LOCAL， KNOWN， UNKNOWN，PARANOID
ALL：所有主机
LOCAL：本地主机
KNOWN：主机名可解析成ip的
UNKNOWN：主机名无法解析成IP的
PARANOID：正向解析与反向解析不对应的主机

我以三台虚拟机作为示例：
centOS 7：192.168.111.120
centOS 6：192.168.111.110
centOS 5：192.168.111.130

示例1：
现在，我的centOS 6想拒绝centOS 7 的ssh访问：
我在hosts.deny中写：