1、统一的保护策略
多种TCP服务共用,提高效率
2、检查服务是否支持被TCP WRAPPERS保护
[root@svr1 ~]# ldd which sshd vsftpd
| grep wrap
libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f7e5d72e000)
libwrap.so.0 => /lib64/libwrap.so.0 (0x00007fd7dffd9000)
3、防护规则存放在
/etc/hosts.allow
/etc/hosts.deny
策略应用规律
先检查hosts.allow,有匹配则允许
否则再检查hosts.deny,有匹配则拒绝
若两文件中均无匹配,默认为允许
4、规则的格式
服务列表:客户机列表
关于客户机地址
可使用通配符 ? 和 *
网段地址,如 192.168.4.
或者 192.168.4.0/255.255.255.0
区域地址,如 .tarena.com
5、例:
仅允许以下客户机访问VSFTPD
不支持以下格式:
网段:192.168.4.0/24
IP范围:192.168.7.1-192.168.7.20
[root@svr1 ~]# vim /etc/hosts.allow
vsftpd:192.168.4.*,192.168.7.?,192.168.7.1?,192.168.7.20
[root@svr1 ~]# vim /etc/hosts.deny
vsftpd:ALL