70、Linux网络安全：TCP包装器与IP过滤详解

Linux网络安全：TCP包装器与IP过滤详解

1. TCP包装器的使用

TCP包装器常用于限制能够访问服务的主机集合。可以使用IP地址、主机名或基于地址/主机名的模式来指定主机。例如，若要让finger守护进程仅对一小部分受信任的主机可用，可修改 /etc/hosts.allow 文件：

# /etc/hosts.allow
in.fingerd: spaghetti.vpasta.com, .vpizza.com, 192.168.1.

在这个例子中，允许来自 spaghetti.vpasta.com 主机、 vpizza.com 域中的任何主机，以及IP地址以 192.168.1 开头的任何系统的FTP请求。

hosts.allow 和 hosts.deny 中的主机和IP地址匹配规则很重要，其中句点字符的存在和位置至关关键。以句点开头的模式被认为是请求系统必须所属的域名；以句点结尾的模式被认为是指定的IP地址模式。此外，还有其他指定主机组的方法，如NIS网络组和显式IP地址子网掩码，完整的配置语法细节可在 hosts_access 手册页中查看。

2. IP数据包过滤与防火墙

虽然TCP包装器可用于限制能够与机器上的某些服务建立连接的主机集合，但在很多情况下，我们希望对能够进入（或离开）给定系统的数据包进行更细粒度的控