27、Linux网络安全与远程访问配置指南

Linux网络安全与远程访问配置指南

1. tcpd访问控制工具

在网络环境中，开放计算机的网络访问权限会带来诸多安全风险，因此应用程序需要防范各种类型的攻击。然而，部分安全特性可能存在缺陷，或者无法区分安全主机和不安全主机。例如，网络管理员通常希望将finger和tftp等服务的访问权限限制在“可信主机”范围内，但常规的设置无法实现这一点，inetd通常要么为所有客户端提供服务，要么不提供服务。

tcpd是一个用于管理特定主机访问权限的实用工具，常被称为守护进程“包装器”。对于需要监控或保护的TCP服务，它会替代服务器程序被调用。tcpd会检查远程主机是否被允许使用该服务，只有在检查通过后，才会执行真正的服务器程序。同时，tcpd会将请求记录到syslog守护进程中。需要注意的是，tcpd不适用于基于UDP的服务。

以下是一个包装finger守护进程的示例，需要将 inetd.conf 文件中相应的行从：

# unwrapped finger daemon
finger
stream tcp nowait bin
/usr/sbin/fingerd in.fingerd

修改为：

# wrap finger daemon
finger
stream
tcp
nowait
root
/usr/sbin/tcpd
in.fingerd

在不添加任何访问控制的情况下，这对客户端来说看起来与普通的finger