55、FreeBSD网络安全：TCP包装器与数据包过滤详解

FreeBSD网络安全：TCP包装器与数据包过滤详解

1. TCP包装器中的非法字符与日志检查

在shell命令中，空格和反斜杠是非法字符，可能会引发问题。虽然在正常情况下，主机名中不会出现这些字符，但互联网环境复杂多变。TCP包装器会将可能使命令shell产生混淆的字符替换为下划线（_）。因此，我们需要检查日志中的下划线，它们可能暗示着潜在的入侵尝试，也可能只是使用者的误操作。

2. 构建完整的 /etc/hosts.allow 文件

为了保护一个假设的网络系统，我们需要构建一个完整的 /etc/hosts.allow 文件。在此之前，我们要先盘点系统提供的网络资源、网络中的IP地址，以及允许连接的远程系统。这些要求看似复杂，实则可归结为一个简单的规则集：

# 拒绝来自DNS无效的主机和竞争对手的所有连接
ALL : PARANOID 198.51.100.0/24 : deny
# 本地主机可以与自身通信
ALL : localhost : allow
# 本地网络可以访问portmap，但其他服务不行
portmap : ALL EXCEPT 203.0.113.0/24 : allow
# 允许SSH、pop3和ftp，拒绝其他所有服务
sshd, POP3, ftpd : ALL : allow
ALL : ALL : deny

你还可以在 /etc/hosts.allow 或 hosts_allow(5) 和 hosts_access(5