TCP_Wrappers

1.课程目标

 

• 了解Linux过滤数据包的规则、顺序；

• 了解TCP_Wrappers的过滤机制；

• 掌握TCP_Wrappers的配置；

• 学会判断服务是否能通过TCP_Wrappers过滤；

• 能够熟练运用TCP_Wrappers。

 

 

 

2.TCP_Wrappers简介

 

 

2.1.Linux中数据包的处理过程

 

当一个数据包到达一台Linux服务器之后，处理流程是这样的：

1）    首先经过Firewall的处理(RHEL6中为iptables)，Firewall允许，则到达下一个步骤；Firewall拒绝，则直接拒绝访问请求；

2）    TCP_Wrappers检测，当此检测通过，无策略阻挡时，直接通过，有策略阻挡，拒绝请求；

3）    服务本身的策略，可以在服务本身的配置文件中设置策略；

4）    最后的一道防线就是SELinux的限制，当前面都通过之后，会经过SELinux的严格过滤，通过了SELinux的策略验证才能最终允许访问。

 

 

2.2.为什么需要TCP_Wrappers

 

Firewall包括iptables，大多数是基于IP和端口过滤，这对于很多服务是没有问题的。但是有些服务一开启，端口就是随机分发的，此时在使用firewall或iptables的过滤机制就行不通了。而TCP_Wrappers可以基于服务名称来控制，不用管服务的端口是什么，怎么变都没关系。

 

 

 

3.配置文件

 

TCP_Wrappers有两个配置文件

• /etc/hosts.allow

默认都是注释行，无配置。此文件为allow策略文件，一般所做配置为允许策略。

 

• /etc/hosts.deny

默认全注释，无配置。此文件为deny策略文件，一般所做配置为拒绝策略。

 

注：

• 当数据要经过TCP_Wrappers过滤时，先检查/etc/hosts.allow文件，如果文件中有匹配的话就放行；

• 如果/etc/hosts.allow这个文件没有具体的匹配策略，则检测/etc/hosts.deny这个文件，有匹配策略，则拒绝访问请求；

• 如果两个文件都没有匹配的策略，缺省放行；

• 如果两个文件发生冲突，则允许优先(即按/etc/hosts.allow策略执行)。

 

配置文件的语法格式

Daemon_list：                         client_list                           [:option]

         |                                                   |                                       

进程列表：即那些服务(服务名)    客户端列表：那些客户端             

• Daemon_list：如：vsftpd：、sshd：、in.telnetd：；

• client_list：此处主要写IP地址(192.168.1.0&192.168.1.)、网络地址(1.1.1.0/255.255.255.0、172.16.)、主机名(www.baidu.com、.example.com)；

• 宏定义(MACRO)：

• ALL：匹配所有；

• LOCAL：本地来宾，和本地网卡在同一个网段内的主机；

• KNOWN：主机名可以正常解析；

• UNKNOWN:主机名不可以正常解析；

• PARANOID：主机名的正向解析和反向解析匹配不正常；

• EXCEPT:除了，不包含。

• [：option]：此处可以填写[：DENY]或[：ALLOW]或[：spawn]。如可以在hosts.allow文件里写拒绝策略，如下：

in.telnetd:  192.168.114.  :DENY

但是此方法很少使用，一般直接在hosts.deny里面写拒绝策略。

 

 

 

4.TCP_Wrappers与Firewall的关系

 

我们知道，在RHEL7中，Firewall缺省是拒绝所有(除了缺省选项，如：ssh)。所以，如果针对一个访问请求，要使用TCP_Wrappers进行验证，前提是Firewall放行了此访问请求，否则，根本不用TCP_Wrappers，直接在firewall阶段就过滤掉了。

 

 

 

5.TCP_Wrappers配置

 

 

例1：缺省情况下，frirewall是放行ssh访问请求的，所以，此处可以用TCP_Wrappers来过滤，如：拒绝192.168.10.11访问本机：

[root@freeit etc]# echo sshd:  192.168.10.11 >> /etc/hosts.deny cat: /etc/host: No such file or directory [root@freeit etc]# cat /etc/hosts.deny # # hosts.deny    This file contains access rules which are used to #               deny connections to network services that either use #               the tcp_wrappers library or that have been #               started through a tcp_wrappers-enabled xinetd. # #               The rules in this file can also be set up in #               /etc/hosts.allow with a 'deny' option instead. # #               See 'man 5 hosts_options' and 'man 5 hosts_access' #               for information on rule syntax. #               See 'man tcpd' for information on tcp_wrappers # sshd: 192.168.10.11 ----------------------------------------------------登录主机11验证-------------------------------------------- [root@freeit ~]# ifconfig eth0 |grep "netmask" | cut -d " " -f10 192.168.10.11 [root@freeit ~]# ssh -o StrictHostKeyChecking=no [email protected] ssh_exchange_identification: read: Connection reset by peer //连接失败。

 

例2：在hosts.allow重做上个策略(做之前删除hosts.deny的配置)

[root@freeit etc]# cat /etc/hosts.deny # # hosts.deny    This file contains access rules which are used to #               deny connections to network services that either use #               the tcp_wrappers library or that have been #               started through a tcp_wrappers-enabled xinetd. # #               The rules in this file can also be set up in #               /etc/hosts.allow with a 'deny' option instead. # #               See 'man 5 hosts_options' and 'man 5 hosts_access' #               for information on rule syntax. #               See 'man tcpd' for information on tcp_wrappers # --------------------------------------------------/etc/hosts.allow拒绝策略­------------------------------------- [root@freeit etc]# echo sshd:   192.168.10.11    :DENY >> /etc/hosts.allow [root@freeit etc]# cat /etc/hosts.allow # # hosts.allow   This file contains access rules which are used to #               allow or deny connections to network services that #               either use the tcp_wrappers library or that have been #               started through a tcp_wrappers-enabled xinetd. # #               See 'man 5 hosts_options' and 'man 5 hosts_access' #               for information on rule syntax. #               See 'man tcpd' for information on tcp_wrappers # sshd: 192.168.10.11 :DENY --------------------------------------------------访问测试---------------------------------------------------- [root@freeit ~]# ifconfig eth0 |grep "netmask" | cut -d " " -f10 192.168.10.11 [root@freeit ~]# ssh -o StrictHostKeyChecking=no [email protected] ssh_exchange_identification: read: Connection reset by peer //连接失败。策略同样失效。

但是，在/etc/hosts.allow里面写拒绝策略，一般很少写。如果要做拒绝策略，建议直接在/etc/hosts.deny文件里面做。

 

 

 

6.TCP_Wrappers支持那些服务

 

TCP_Wrappers并不是所有的服务都支持，一些服务是不支持的。常用的有：sshd、vsftpd、in.telnetd等，这些服务都支持TCP_Wrappers。那么，如何验证一个服务是否支持TCP_Wrappers呢？

一个服务能不能通过TCP_Wrappers来过滤，要看此服务是否支持libwrap.so动态连接库。

 

例：查看sshd、vsftpd、httpd服务是否支持libwrap.so动态连接库(需要先安装服务)

[root@freeit etc]# ldd /usr/sbin/sshd |grep libwr           libwrap.so.0 => /lib64/libwrap.so.0 (0x00007fe2f5d6f000) [root@freeit etc]# ldd /usr/sbin/vsftpd |grep libwr         libwrap.so.0 => /lib64/libwrap.so.0 (0x00007fd9d2dc5000) [root@freeit etc]# ldd /usr/sbin/httpd |grep libwr   [root@freeit etc]# //无动态连接库文件

如上：sshd、vsftpd都有动态连接库文件，但是httpd服务没有。也就是说，httpd服务不支持TCP_Wrappers。