介绍
对基于tcp协议开发并提供服务的应用程序,所提供的一层访问控制工具
基于库调用实现其功能
* 库名:libwrap
判断服务是否能够由tcp_wrapper进行访问控制
1. 动态编译 ldd命令 ldd `which sshd` 2. 静态编译 strings命令查看应用程序文件,其结果中出现 hosts.allow host.deny
在配置文件中为各服务分别定义访问控制规则实现访问控制
配置文件:/etc/host.allow /etc/host.deny
检查顺序
先检查host.allow文件,有匹配项则放行 后检查host.deny文件,有匹配项则拒绝 如果两者都没有匹配项则默认放行
配置文件语法
daemon_list: client_list [options]
daemon_list:应用程序的文件名,而非服务名
应用服务程序文件名列表,彼此间使用逗号分隔 sshd,vsftpd
client_list:
网络地址:必须使用完整格式的掩码,不使用前缀格式掩码,所以类似于192.168.1.0/24不合法 简短格式的网络地址:192.168.1. ALL:所有主机 KNOWN UNKNOWN PARANOID
EXCEPT
vsftpd: 192.168. EXCEPT 192.168.1.0/255.255.255.0 EXCEPT 192.168.1.1
[:options]
deny:拒绝,主要用于hosts.allow文件中 vsftpd: 192.168. : deny allow:允许,主要用于hosts.deny文件中 spawn:启动额外应用程序,实现其它的管理控制功能 %c client ip %s server ip %d daemon name vsftpd: ALL :spawn /bin/echo `date` login attempt from %c to %s, %d >> /var/log/vsftpd.deny.log