第9單元 TCP-Wrapper與防火墻

1、 當系統(tǒng)接收到一個外來服務請求的時候，先由TCP Wrapper處理這個請求，TCP Wrapper根據(jù)這個請求所請求的服務和針對這個服務所定制的存取控制規(guī)則來判斷對方是否有使用這個服務的權(quán)限，如果有，TCP Wrapper將該請求按照配置文件定義的規(guī)則轉(zhuǎn)交給相應的守護進程去處理同時記錄這個請求動作，然后自己就等待下一個請求的處理。 tcp_wrapper 配置充許訪問的客戶端 /etc/hosts.allow 配置不充許訪問的客戶端 /etc/hosts.deny 后臺進程列表： 客戶端列表 sshd: 0 #/etc/hosts.deny 訪問是否被明確許可，如果是則

2、直接通過。 否則才會判斷訪問是否被明確禁止，如果是則禁止通過。 如果都沒有，默認許可。 在Linux系統(tǒng)中有許多服務，包括基于 strings 可執(zhí)行工具路徑 grep tcp_wrappers|hosts_access ldd 可執(zhí)行工具路徑grep libwrap 服務的可執(zhí)行工具名（如： in.telnetd NO telnetd） 允許指定多項服務 例如：telnet-server服務的可執(zhí)行工具是in.telnetd，因此在/etc/hosts.allow及/etc/hosts.deny中應該寫in.telnetd，而不是telnet或telnetd。 IP地址（192.168.0.

3、254） 域名或主機名（, ） 子網(wǎng)掩碼（/或192.168.0.） ALL：所有 LOCAL：所有主機名中不包含.的主機 UNKNOWN：無法被解析的主機 KNOWN：可以雙向解析的主機 PARANOID：正向解析與反向解析不匹配的主機 可用于服務列表與客戶端列表 可以層層套用 除了/24網(wǎng)段的主機 可以訪問本機的服務外，其它主機都不能訪問/etc/hosts.deny ALL：ALL EXCEPT / 基于主機 基于時間 先檢查tcp_wrap

4、per 如果tcp_wrapper允許，再檢查xinetd是否也允許 如果tcp_wrapper不允許，則不會再檢查基于xinetd的服務限制。 only_from = 客戶端描述 IP： 網(wǎng)段：/24 或 域： 域名： no_access = 客戶端描述 access_times = 時間 only_from：只有在其后描述的主機才可以使用服務。 no_access：禁止在其后描述的主機使用服務 access_times：客戶允許使用服務的時間 可以保護易受攻擊的服務； 控制內(nèi)外網(wǎng)之間網(wǎng)絡系統(tǒng)的訪問； 集中管理內(nèi)網(wǎng)的安全性，

5、降低管理成本； 提高網(wǎng)絡的保密性和私有性； 記錄網(wǎng)絡的使用狀態(tài)，為安全規(guī)劃和網(wǎng)絡維護提供依據(jù)。 filter：用于一般的數(shù)據(jù)包過濾 NAT：Network Address Translation/網(wǎng)絡地址轉(zhuǎn)換 INPUT /在此鏈中可添加對進來的數(shù)據(jù)包過濾的規(guī)則 OUTPUT/在此鏈中可添加對出去的數(shù)據(jù)包過濾規(guī)則 FORWARD/在此鏈中可添加要轉(zhuǎn)發(fā)的數(shù)據(jù)包過濾規(guī)則 service iptables save 保存后的防火墻配置文件放在/etc/sysconfig/iptables service iptables start service iptables stop iptables -t

6、 table command match target 常見的兩個表即:“filter”與“nat” 常用command選項 -A chain：在chain中增添一條規(guī)則 -D chain：在chain中刪除一條規(guī)則 -I chain：在指定的位置插入1條規(guī)則 -R chain：替換規(guī)則列表中的某條規(guī)則 -L chain：列出chain中的規(guī)則 -F chain：清空chain中的規(guī)則 -X chain：清除預設(shè)表filter中使用者自定鏈中的規(guī)則 -P chain：為chain指定新的默認策略 ACCEPT：未經(jīng)禁止全部許可 DROP：未經(jīng)許可全部禁止 -s ：來源地址 -d ：目標地址 -p ：指定協(xié)議，可以是tcp/udp/icmp -dport ：目標端口，需指定-p -sport ：來源端口，需指定-p -i ：是指進入的方向的網(wǎng)卡設(shè)備 -o：代表出去的方向的網(wǎng)卡設(shè)備 REJECT：拒絕 DROP：忽略 ACCEPT：許可 iptables -t filter -A INPUT s p icmp -j REJECT iptables -A INPUT s ! 192