TCP wrappers访问控制

         ~~~~~~~~         因为想要面对一个新的开始，一个人必须有梦想、有希望、有对未来的憧憬。如果没有这些，就不叫新的开始，而叫逃亡。 ​​​​
                                                                                                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~                                                                                                 ————玛丽亚·杜埃尼亚斯

简介

tcp wrappers是一个工作在传输层的安全工具，它可以对有状态连接的特定服务进行安全检测并实现访问控制。tcpwrappers将其他的tcp服务程序“包裹”起来，增加了一个安全检测的过程，外来的连接请求必须先通过这层安全检测，获得许可后，才能够访问真正的服务程序。它的主要功能就是控制谁可以访问，常见的程序有rpcbind、vsftpd、sshd、telnet。

工作原理

tcp wrappers机制的保护对象为各种网络服务程序，针对访问服务的客户机地址进行访问控制。对应的两个策略文件为/etc/hosts.allow和/etc/hosts.deny。分别用来设置允许和拒绝的策略。

TCP_Wrappers有一个TCP的守护进程叫作tcpd。每当有程序请求时，tcpd首先检查/etc/hosts.allow文件，如果匹配则允许访问，否则继续检查/etc/hosts.deny文件，如果匹配则拒绝访问。如果两个文件都没有匹配，则默认允许访问。

tcp wrappers策略配置

配置格式
两个策略文件的作用相反，但是格式是一样的，如下

<服务程序列表>:<客户机地址列表>

服务程序列表、客户机地址列表之间以冒号分隔，在每个表内的多个项之间以逗号分隔。
其中服务程序列表可以分为以下几类：

ALL：代表所有的服务。
单个服务程序：如“sshd”。
多个服务程序组成的列表：如“sshd,vsftpd”。

客户机地址列表可以分为以下几类：

ALL：代表任何客户机地址。
LOCAL：代表本机地址。
单个IP地址：如“192.168.1.20”。
网络地址段：如“192.168.1.0/255.255.255.0”。
以“.”开始的域名：如“.super.com”匹配域中的所有主机。
以“.”结束的网络地址：如192.168.75.匹配整个192.168.75.0/24网段。
嵌入通配符“*” ”?”：前者代表任意长度字符，后者仅代表一个字符，如”10.0.8.2*”匹配以10.0.8.2开头的所有IP地址。不可与以“.”开始或结束的模式混用。
多个客户机地址组成的列表：如“192.168.1.,172.17.17.，.super.com”。

配置举例

在实际应用中，较宽松的策略可以是“允许所有，拒绝个别”，只在hosts.deny文件中添加拒绝策略就可以了。较严格策略是“允许个别，拒绝所有”，除了在hosts.allow中添加允许策略外还需要在hosts.deny文件中设置“ALL：ALL”的拒绝策略。

允许192.168.1.0网段主机访问sshd服务，拒绝其他主机

[root@localhost ~]# vim /etc/hosts.allow 
sshd:192.168.1.
[root@localhost ~]# vim /etc/hosts.deny
sshd:all

利用关键词EXCEPT排除一个网段中某一个ip

[root@localhost ~]# vim /etc/hosts.allow 
sshd:192.168.1. ,EXCEPT 192.168.1.20
[root@localhost ~]# vim /etc/hosts.deny
sshd:all
这样20这台主机就被拒绝了

使用twist拒绝用户访问并返回一个信息

[root@localhost ~]#sshd,in.telnetd:192.168.1.:twist echo "Hello you can't login !"