20、网络安全防护：构建完整的访问控制与数据包过滤体系

网络安全防护：构建完整的访问控制与数据包过滤体系

1. 构建完整的 /etc/hosts.allow 文件

在网络环境中，为了保护系统安全，我们需要构建一个完整的 /etc/hosts.allow 文件。首先，我们要明确系统提供的网络资源、网络中的 IP 地址以及允许连接的用户。

假设我们的 IP 范围是 192.168.0.0/16 ，系统运行着 telnet 、 ftpd 和 portmap(8) 服务。同时，我们有一个竞争对手，其 IP 地址范围是 10.5.4.0/23 ，我们不希望他们访问我们的系统。另外，我们认为 DNS 服务器信息不正确的主机可能是攻击者，会拒绝来自这些主机的连接。

基于这些需求，我们可以构建如下的 /etc/hosts.allow 文件规则：

#reject all connections from our competitor, and hosts with invalid DNS 
ALL : PARANOID 10.5.4.0/23 : deny 
#allow our network to use portmap, but deny all others 
portmap : ALL EXCEPT 192.168.0.0/16 : deny 
#now that portmap is safe & competition blocked,