搜索

[25707] 2016-11-11_在Linux下使用TCP封装器来加强网络服务安全

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-19
2016-11-11_在Linux下使用TCP封装器来加强网络服务安全 - -   G a b r i e l   C á n e p a 1 4 % 5 9 % 在   L i n u x   下 使 用   T C P   封 装 器 来 加 强 网 络 服 务 安 全 原 创   译 者 ： L i n u x B a r s   L i n u x 中 国   2 0 1 6 - 1 1 - 1 1 你 可 以 把 这 个 工 具 看 作 是 一 个 基 于 主 机 的 访 问 控 制 列 表 ， 而 且 并 不 能 作 为 你 的 系 统 的 终 极 安 全 措 施 。 通 过 使 用 一 个 防 火 墙 和   T C P   封 装 器 ， 而 不 是 只 偏 爱 其 中 的 一 个 ， 你 将 会 确 保 你 的 服 务 不 会 被 出 现 单 点 故 障 。 本 文 导 航 - 正 确 理 解   h o s t s . a l l o w   和   h o s t s . d e n y   文 件 - 如 何 使 用   T C P   过 滤 器 来 限 制 服 务 的 权 限 在 这 篇 文 章 中 ， 我 们 将 会 讲 述 什 么 是   T C P   w r a p p e r s T C P   封 装 器 以 及 如 何 在 一 台   L i n u x   服 务 器 上 配 置 他 们 来 限 制 网 络 服 务 的 权 限 。 在 开 始 之 前 ， 我 们 必 须 澄 清   T C P   封 装 器 并 不 能 消 除 对 于 正 确 配 置 防 火 墙 的 需 要 。 就 这 一 点 而 言 ， 你 可 以 把 这 个 工 具 看 作 是 一 个 基 于 主 机 的 访 问 控 制 列 表 [ 1 ] ， 而 且 并 不 能 作 为 你 的 系 统 的 终 极 安 全 措 施 [ 2 ] 。 通 过 使 用 一 个 防 火 墙 和   T C P   封 装 器 ， 而 不 是 只 偏 爱 其 中 的 一 个 ， 你 将 会 确 保 你 的 服 务 不 会 被 出 现 单 点 故 障 。 正 确 理 解 正 确 理 解   h o s t s . a l l o w   和 和   h o s t s . d e n y   文 件 文 件 当 一 个 网 络 请 求 到 达 你 的 主 机 的 时 候 ， T C P   封 装 器 会 使 用     和     （ 按 照 这 样 的 顺 序 ） 来 决 定 客 户 端 是 否 应 该 被 允 许 使 用 一 个 提 供 的 服 务 。 . 在 默 认 情 况 下 ， 这 些 文 件 内 容 是 空 的 ， 或 者 被 注 释 掉 ， 或 者 根 本 不 存 在 。 所 以 ， 任 何 请 求 都 会 被 允 许 通 过   T C P   过 滤 器 而 且 h o s t s . a l l o w h o s t s . d e n y
你 的 系 统 被 置 于 依 靠 防 火 墙 来 提 供 所 有 的 保 护 。 因 为 这 并 不 是 我 们 想 要 的 。 由 于 在 一 开 始 我 们 就 介 绍 过 的 原 因 ， 清 确 保 下 面 两 个 文 件 都 存 在 ： 两 个 文 件 的 编 写 语 法 规 则 是 一 样 的 ： 在 文 件 中 ，   指 当 前 规 则 对 应 的 服 务 ， 是 一 个 逗 号 分 割 的 列 表 。   指 被 规 则 影 响 的 主 机 名 或 者   I P   地 址 ， 逗 号 分 割 的 。 下 面 的 通 配 符 也 可 以 接 受 ：   表 示 所 有 事 物 ， 应 用 于 和 。   表 示 匹 配 在 正 式 域 名 中 没 有 完 全 限 定 主 机 名 （ F Q D N ） 的 机 器 ， 例 如   。   表 示 主 机 名 ， 主 机 地 址 ， 或 者 用 户 是 已 知 的 （ 即 可 以 通 过   D N S   或 其 它 服 务 解 析 到 ） 。   和     相 反 。   如 果 进 行 反 向   D N S   查 找 彼 此 返 回 了 不 同 的 地 址 ， 那 么 连 接 就 会 被 断 开 （ 首 先 根 据   I P   去 解 析 主 机 名 ， 然 后 根 据 主 机 名 去 获 得   I P   地 址 ） 。 3 .   最 后 ， 一 个 冒 号 分 割 的 动 作 列 表 表 示 了 当 一 个 规 则 被 触 发 的 时 候 会 采 取 什 么 操 作 。 你 应 该 记 住     文 件 中 允 许 一 个 服 务 接 入 的 规 则 要 优 先 于     中 的 规 则 。 另 外 还 有 ， 如 果 两 个 规 则 应 用 于 同 一 个 服 务 ， 只 有 第 一 个 规 则 会 被 纳 入 考 虑 。 不 幸 的 是 ， 不 是 所 有 的 网 络 服 务 都 支 持   T C P   过 滤 器 ， 为 了 查 看 一 个 给 定 的 服 务 是 否 支 持 他 们 ， 可 以 执 行 以 下 命 令 ： 1 .   #   l s   - l   / e t c / h o s t s . a l l o w   / e t c / h o s t s . d e n y 1 .   < s e r v i c e s >   :   < c l i e n t s >   [ :   < o p t i o n 1 >   :   < o p t i o n 2 >   :   . . . ] 1 .   s e r v i c e s 2 .   c l i e n t s a .   A L L c l i e n t s s e r v i c e s b .   L O C A L l o c a l h o s t c .   K N O W N d .   U N K N O W N K N O W N e .   P A R A N O I D / e t c / h o s t s . a l l o w / e t c / h o s t s . d e n y
如 果 以 上 命 令 执 行 以 后 得 到 了 以 下 结 果 ， 那 么 它 就 可 以 支 持   T C P   过 滤 器 ，   和     作 为 例 子 ， 输 出 如 下 所 示 。 查 找   T C P   过 滤 器 支 持 的 服 务 如 何 使 用 如 何 使 用   T C P   过 滤 器 来 限 制 服 务 的 权 限 过 滤 器 来 限 制 服 务 的 权 限 当 你 编 辑     和     的 时 候 ， 确 保 你 在 最 后 一 个 非 空 行 后 面 通 过 回 车 键 来 添 加 一 个 新 的 行 。 为 了 使 得   S S H   和   F T P [ 3 ]   服 务 只 允 许     和     并 且 拒 绝 所 有 其 他 用 户 ， 在     添 加 如 下 内 容 ： 而 且 在     文 件 中 添 加 如 下 内 容 ： 1 .   #   l d d   / p a t h / t o / b i n a r y   |   g r e p   l i b w r a p s s h d v s f t p d / e t c / h o s t s . a l l o w / e t c / h o s t s . d e n y l o c a l h o s t 1 9 2 . 1 6 8 . 0 . 1 0 2 / e t c / h o s t s . d e n y 1 .   s s h d , v s f t p d   :   A L L 2 .   A L L   :   A L L / e t c / h o s t s . a l l o w
这 些 更 改 会 立 刻 生 效 并 且 不 需 要 重 新 启 动 。 在 下 图 中 你 会 看 到 ， 在 最 后 一 行 中 删 掉     后 ， F T P   服 务 器 会 对 于     不 可 用 。 在 我 们 添 加 了 通 配 符 以 后 ， 服 务 又 变 得 可 用 了 。 确 认   F T P   权 限 为 了 允 许 所 有 服 务 对 于 主 机 名 中 含 有     都 可 用 ， 在     中 添 加 如 下 一 行 ： 而 为 了 禁 止     的 机 器 访 问     服 务 ， 在     文 件 中 添 加 如 下 一 行 ： 在 最 后 的 两 个 例 子 中 ， 注 意 到 客 户 端 列 表 每 行 开 头 和 结 尾 的 点 。 这 是 用 来 表 示   “ 所 有 名 字 或 者   I P   中 含 有 那 个 字 符 串 的 主 机 或 客 户 端 ” 1 .   s s h d , v s f t p d   :   1 9 2 . 1 6 8 . 0 . 1 0 2 , L O C A L L O C A L l o c a l h o s t e x a m p l e . c o m h o s t s . a l l o w 1 .   A L L   :   . e x a m p l e . c o m 1 0 . 0 . 1 . 0 / 2 4 v s f t p d h o s t s . d e n y 1 .   v s f t p d   :   1 0 . 0 . 1 .
这 篇 文 章 对 你 有 用 吗 ？ 你 有 什 么 问 题 或 者 评 论 吗 ？ 请 你 尽 情 在 下 面 留 言 交 流 。 v i a :   h t t p : / / w w w . t e c m i n t . c o m / s e c u r e - l i n u x - t c p - w r a p p e r s - h o s t s - a l l o w - d e n y - r e s t r i c t - a c c e s s / 作 者 ： G a b r i e l   C á n e p a [ 4 ]   译 者 ： L i n u x B a r s [ 5 ]   校 对 ： w x y 本 文 由   L C T T [ 6 ]   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 推 荐 文 章 滑 动 查 看 更 多 输 入 文 章   I D   或 长 按 二 维 码 直 达 [ 1 ] :   h t t p s : / / l i n u x . c n / a r t i c l e - 3 9 6 6 - 1 . h t m l [ 2 ] :   h t t p : / / w w w . t e c m i n t . c o m / l i n u x - s e r v e r - h a r d e n i n g - s e c u r i t y - t i p s / [ 3 ] :   h t t p : / / w w w . t e c m i n t . c o m / b l o c k - s s h - a n d - f t p - a c c e s s - t o - s p e c i f i c - i p - a n d - n e t w o r k - r a n g e / [ 4 ] :   h t t p : / / w w w . t e c m i n t . c o m / a u t h o r / g a c a n e p a / [ 5 ] :   h t t p s : / / l i n u x b a r . o r g / [ 6 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理