1.TCP Wrappers

1.1 tcp wrappers概述

tcp wrappers為由xinetd這支superdaemon管理的服務提供了安全性。由xinetd super daemon管理的服務以及支持libwrap模塊的服務都可以使用它tcp wrappers進行安全控制。

可以通過使用tcp wrappers結合防火墻（iptables）提供更加安全的系統保護。

1.2tcp wrappers的配置文件

tcp wrappers的配置文件有兩個，一個是/etc/hosts.allow，一個是/etc/hosts.deny。

/etc/hosts.allow：允許指定的客戶端對指定的服務訪問。

/etc/hosts.deny：拒絕指定的客戶端對指定的服務訪問。

1.3確認服務是否支持tcp wrappers

在Linux系統下面并不是所有的服務都支持tcp wrappers，由xinetd管理的服務都支持tcp wrappers，其他的服務可以通過ldd指令來查看。ldd指令用于查看二進制指令所需要的動態鏈接庫，如果服務有支持libwrap.so這個動態鏈接庫，則表示該服務支持TCP Wrappers。

[root@server1 ~]#ldd $(which sshd) | grep libwrap

? ? ? ?libwrap.so.0 => /lib64/libwrap.so.0(0x00002b5edee66000)

[root@server1 ~]#

上述表明sshd這個服務是支持tcp wrappers的。

如果沒有libwrap，則表示該服務不支持tcp wrappers。

1.4tcp wrappers的規則定義

/etc/hosts.allow：允許指定的客戶端對指定的服務訪問。

/etc/hosts.deny：拒絕指定的客戶端對指定的服務訪問。

修改完成之后，不需要重新啟動服務經會立即生效。

匹配規則如下：

1./etc/hosts.allow和/etc/hosts.deny無匹配記錄時，訪問可以通過。

2./etc/hosts.allow有匹配記錄時訪問可以通過。

3./etc/hosts.allow和/etc/hosts.deny都匹配時訪問可以通過。

總結起來就是：

1.默認策略是允許，即沒有在hosts.allow和hosts.deny中出現的，允許通過。

2.先查看hosts.allow，在查看hosts.deny。

訪問控制規則：

每一個控制文件都可以包含多行，按照定義的順序處理每一行，找到匹配后就跳出該規則。以#開始的表示注釋，如果一行寫不完可以使用反斜線(\)，進行脫跳，表示上一行的延續。

hosts.allow和hosts.deny定義格式如下：

daemon_list : client_list [ : shell_command ]：deny|allow

daemon_list：指定由TCP wrappers需要控制的服務名稱。如果該服務是由xinetd管理的服務，要寫啟動腳本的名稱，如/etc/xinetd.d/telnet，否則的話則直接寫服務名稱，如sshd。

下述為tftp服務的配置文件：/etc/xinetd.d/tftp

如果要想使用tcp wrappers控制tftp的話，需要在hosts.allow或hosts.deny文件中，寫上tftp的啟動腳本:/use/sbin/in.tftpd

service tftp

{

? ? ? ?socket_type ? ? ? ? ? ? = dgram

? ? ? ?protocol ? ? ? ? ? ? ? ?= udp

? ? ? ?wait ? ? ? ? ? ? ? ? ? ?= yes

? ? ? ?user ? ? ? ? ? ? ? ? ? ?= root

server ? ? ? ? ? ? ? ? ?= /usr/sbin/in.tftpd

? ? ? ?server_args ? ? ? ? ? ? = -s /tftpboot

? ? ? ?disable ? ? ? ? ? ? ? ? = no

? ? ? ?per_source ? ? ? ? ? ? ?= 11

? ? ? ?cps ? ? ? ? ? ? ? ? ? ? = 100 2

? ? ? ?flags ? ? ? ? ? ? ? ? ? = IPv4

}

client_list：指定tcpwrappers需要控制哪些客戶端對哪些服務的訪問。

可以用如下方法表示：

單一主機：192.168.0.1，表示的是192.168.0.1這臺主機。

指定網段：192.168.0.或者是192.168.0.0/255.255.255.0表示的是192.168.0.0/24整個網段。

指定DNS后綴：.frame.com，所有DNS后綴為.frame.com的主機。

指定FQDN：server.frame.com ，表示的是FQDN為server.frame.com的主機。

所有客戶端：ALL

操作符：

EXCEPT：除……之外。如list1 EXCEPTlist2，匹配list1里面的機器，除了list2.

EXCEPT可以用在daemon_list和client_list中。

shell_command：

shell command最好使用絕對路徑。在執行shellcommand時，系統會啟動一個/bin/sh的子進程去執行這些指令，所有的輸入、輸出、錯誤輸出都被送到/dev/null里面。如果想在背景下執行的話，可以加上&。

shell command中的變量：

%a (%A): The client (server)host address.

? ? ? %c: Client information: user@host,user@address, a host name, or just an address, ?depending ?on ?how ?much information is available.

? ? ? %d:The daemon process name

? ? ? %h (%H):The client (server) host name oraddress, if the host name is unavailable.

? ? ? %n (%N):The client (server) host name(or "unknown" or "paranoid").

? ? ? %p:The daemon process id.

? ? ? %s:Server ?information: daemon@host, daemon@address, or just a daemon name, depending on howmuch information is available.

? ? ? %u:The client user name (or"unknown").

? ? ? %%:Expands to a single ‘%′ character.

執行外部指令：spawn

spawn的格式為：

spawn (shell command)

可以使用spawn執行一些外部指令，可以實現日志的記錄以及其他的一些信息，如：

[root@server1 tmp]#cat /etc/hosts.allow

#

# hosts.allow ? This file describes the names of the hostswhich are

# ? ? ? ? ? ? ? allowed to use the local INETservices, as decided

# ? ? ? ? ? ? ? by the '/usr/sbin/tcpd' server.

#

sshd:172.17.100.1:spawn(/bin/echo %a from %h attempted to access %d >> /tmp/sshd.log ) :allow

[root@server1 tmp]#cat sshd.log

172.17.100.1from 172.17.100.1 attempted to access sshd

[root@server1 tmp]#

twist：使用 twist 選項發送消息給被拒絕的客戶端。twist 選項的基本格式是：

twist ?shell command

Twist 的實際動作是拒絕訪問。Twist 實際上使用指定的操作替換當前服務。在以下示例中，使用 echo 命令將拒絕消息發送給被拒絕的客戶端。如果 IP 為 192.168.9.14 的客戶端試圖用 telnet 或 ssh 連接，那么該示例會發送消息給它。

sshd,telnetd:192.168.9.14:twist /bin/echo "Your connection has been refused\

\nAccess denied andthe event is logged"

注意：twist必須寫在最后，后面不能有allow或deny。

2.Iptables

2.1Iptables工作流程

iptables實現不同的功能，是通過不同的表來實現的。默認情況下有3張表：filter表、nat表、mangle表，每一張表又包含若干鏈（chain）。

filter表：對經過（進出）防火墻的數據包進行過濾。

nat表：進行地址轉換。

mangle表：對數據包進行修改。

每一個chain都是一個檢查清單，它會利用預先設置好的規則對數據包進行檢查，如果判斷的結果與定義的結果不符合，則交由鏈中的下一個規則繼續判斷，如果判斷到最后都沒有與定義的規則進行匹配的話，則與默認的規則進行匹配，從而決定是放行還是拒絕。通常情況下，默認規則都是拒絕。

Iptables的工作流程如下：

NAT表的3條鏈：

PREROUTING：修改即將到來的數據包，路由判斷前，DNAT

OUTPUT：修改在路由之前本地生成的數據包，路由判斷前，DNAT

POSTROUTING：修改即將出去的數據包，路由判斷后，SNAT

2.2Iptables表和鏈的功能

1.filter表

filter表主要用于對數據包進行過濾。可以進行的動作有:ACCEPT/REJECT/DROP/LOG/RETURN，filter表也是默認操作的表。

INPUT鏈：過濾所有目標地址是本機的數據包。

OUTPUT鏈：過濾所有由本地所產生的數據包，源地址是本地的數據包。

FORWARD鏈：過濾所有經過本地的數據包。源地址和目的地址都不是本機的數據包。

2.nat表

nat表用于網絡地址轉換。屬于一個流的數據包只會經過這個表一次，如果第一個數據包被允許進行NAT或masquerade，那么其他的數據包都會自動的進行同樣的動作。

DNAT：改變數據包的目的地址，使數據包重路由到某臺主機。

SNAT：改變數據包的源地址。

MASQUERADE：和SNAT一樣，只有一個可用的IP地址，端口復用。

3條鏈：

PREROUTING：路有前，做的是DNAT

POSTROUTING：路由后，做的是SNAT

OUTPUT：DNAT，改變本地產生數據包的目的地址。

3.mangle表

用于對數據包進行修改，不常用。

2.3Iptables的狀態機制

四種狀態：NEW、ESTABLISHED、RELATED、INVALID

INVALID意味著這個包沒有已知的流或連接與之關聯，也可能是它包含的數據或包頭有問題。

ESTABLISHED意思是包是完全有效的，而且屬于一個已建立的連接，這個連接的兩端都已經有數據發送。

NEW表示包將要或已經開始建立一個新的連接，或者是這個包和一個還沒有在兩端都有數據發送的連接有關。是防火墻收到的第一個數據包。

RELATED說明包正在建立一個新的連接，這個連接是和一個已建立的連接相關的。比如，FTP data transfer，ICMP error 和一個TCP或UDP連接相關。注意NEW狀態并不在試圖建立新連接的TCP包里尋找SYN標記，因此它不應該不加修改地用在只有一個防火墻或在不同的防火墻之間沒有啟用負載平衡的地方。

2.4Iptables的配置

啟動iptables：/etc/init.d/iptables start

[root@server1 ~]#/etc/init.d/iptables start

Flushing firewallrules: [ ?OK ?]

Setting chains topolicy ACCEPT: nat filter [ ?OK ?]

Unloading iptablesmodules: [ ?OK ?]

Applying iptablesfirewall rules: [ ?OK ?]

Loading additionaliptables modules: ip_conntrack_netbios_ns [ OK ?]

[root@server1 ~]#

設置開機自動啟動：chkconfig iptables --level 35 on

[root@server1 ~]#chkconfig iptables --level 35 on

[root@server1 ~]#

定義iptables策略：

iptables [-t table] command [match][target|jump]

-t table：指明需要操作的表。默認為filter表。

command：iptables所做的操作。比如新增一條規則、刪除一條規則等

match：詳細的描述一個數據包的特點，五元組，協議、源IP、目標IP、源端口、目標端口

target|jump：對符合指定的數據包進行的動作，如ACCEPT、REJECT、DROP、LOG、RETURN。

默認情況下，Linux系統是不允許進行數據包的轉發的，如果要啟用該功能的話，可以用如下兩種方式：

1.echo 1 >/proc/sys/net/ipv4/ip_forward

這種方式設置的是臨時有效。

[root@server1 ~]#echo 1 > /proc/sys/net/ipv4/ip_forward

[root@server1 ~]#

2.vim /etc/sysctl.conf

這種方式設置的是永久有效。

將net.ipv4.ip_forward = 0改為net.ipv4.ip_forward= 1，保存退出，并使用sysctl –p使配置生效。

# Controls IPpacket forwarding

net.ipv4.ip_forward= 1

[root@server1 ~]#sysctl -p

net.ipv4.ip_forward = 1

net.ipv4.conf.default.rp_filter= 1

net.ipv4.conf.default.accept_source_route= 0

kernel.sysrq = 0

kernel.core_uses_pid= 1

net.ipv4.tcp_syncookies= 1

kernel.msgmnb =65536

kernel.msgmax =65536

kernel.shmmax =68719476736

kernel.shmall =4294967296

[root@server1 ~]#

iptables所做的操作：

-L：查看所選鏈的所有策略。如果沒有指定鏈，則顯示指定表中的所有鏈。如果沒有指定表，則查看filter表。

常用的是：iptables –L –n --line

-A 鏈名稱：在指定的表的指定鏈末尾增加一條新的規則。

[root@server1 ~]# iptables -t filter -A INPUT -ilo -j ACCEPT

[root@server1 ~]#iptables -t filter -L INPUT -n --line

Chain INPUT (policyACCEPT)

num ?target ? ?prot opt source ? ? ? ? ? ? ?destination ? ? ? ?

1 ? ?ACCEPT ? ?all ?-- ?0.0.0.0/0 ? ? ? ? ? ?0.0.0.0/0 ? ? ? ? ?

[root@server1 ~]#

-D 鏈名稱策略內容|策略序號：從所選表的指定鏈中刪除策略。

[root@server1 ~]#iptables -t filter -L INPUT -n --line

Chain INPUT (policyACCEPT)

num ?target ? ?prot opt source ? ? ? ? ? ? ?destination ? ? ? ?

1 ? ?ACCEPT ? ?all ?-- ?0.0.0.0/0 ? ? ? ? ? ?0.0.0.0/0 ? ? ? ? ?

[root@server1 ~]# iptables -D INPUT 1

[root@server1 ~]#iptables -t filter -L INPUT -n --line

Chain INPUT (policyACCEPT)

num ?target ? ?prot opt source ? ? ? ? ? ? ?destination ? ? ? ?

[root@server1 ~]#

-R 鏈名稱策略序號：替換指定表中指定鏈中的某一條策略。

[root@server1 ~]#iptables -L INPUT -n --line

Chain INPUT (policyACCEPT)

num ?target ? ?prot opt source ? ? ? ? ? ? ?destination ? ? ? ?

1 ? ?ACCEPT ? ?all ?-- ?0.0.0.0/0 ? ? ? ? ? ?0.0.0.0/0 ? ? ? ? ?

[root@server1 ~]# iptables -R INPUT 1 -i lo -j REJECT

[root@server1 ~]#iptables -L INPUT -n --line

Chain INPUT (policyACCEPT)

num ?target ? ?prot opt source ? ? ? ? ? ? ?destination ? ? ? ?

1 ? ?REJECT ? ?all ?-- ?0.0.0.0/0 ? ? ? ? ? ?0.0.0.0/0 ? ? ? ? ? reject-with icmp-port-unreachable

[root@server1 ~]#

-I 鏈名稱策略序號：在指定策略的前面插入一條策略，如果沒有指定策略序號，則默認為1，也就是插入在第一個策略的前面，新插入的策略稱為第一條策略。

[root@server1 ~]#iptables -I INPUT -i eth0 -j ACCEPT

-F 鏈名稱：清空指定鏈中的所有策略，如果沒有指定鏈名稱，則清空所選表中的所有鏈中的策略。

[root@server1 ~]# iptables -F

[root@server1 ~]#iptables -L INPUT -n --line

Chain INPUT (policyACCEPT)

num ?target ? ?prot opt source ? ? ? ? ? ? ?destination ? ? ? ?

[root@server1 ~]#

-Z 鏈名稱：將指定鏈的所有計數器值歸零，如果沒有指定鏈名，則為所選表的所有鏈。

-N 鏈名稱：創建一個新的鏈。新鏈的名字不能和已經存在的鏈的名字相同。

用戶新定義的鏈會被優先匹配。

[root@server1 ~]# iptables -N ZHANG

[root@server1 ~]#iptables-save

# Generated byiptables-save v1.3.5 on Fri Feb ?716:15:33 2014

*filter

:INPUT ACCEPT[919:74594]

:FORWARD ACCEPT[0:0]

:OUTPUT ACCEPT[1118:111592]

:ZHANG - [0:0]

COMMIT

# Completed on FriFeb ?7 16:15:33 2014

[root@server1 ~]#

-X 鏈名稱：刪除用戶自定義的鏈。如果沒有指定鏈名稱，則為所選表中所有自定義的鏈。

[root@server1 ~]#iptables -X

-E old-chain-name new-chain-name：對鏈進行重命名。

[root@server1 ~]# iptables -N ZHANG

[root@server1 ~]# iptables -E ZHANG FRAME

[root@server1 ~]#iptables-save

# Generated byiptables-save v1.3.5 on Fri Feb ?716:18:25 2014

*filter

:INPUT ACCEPT[1025:83322]

:FORWARD ACCEPT[0:0]

:OUTPUT ACCEPT[1200:119484]

:FRAME - [0:0]

COMMIT

# Completed on FriFeb ?7 16:18:25 2014

[root@server1 ~]#

-P 鏈名稱：為鏈設置默認策略。

[root@server1 ~]#iptables -P INPUT DROP

[root@server1 ~]#

match：詳細的描述數據包的特點。

-p tcp|udp|icmp……：匹配指定的協議，如果沒有指定-p，則表示匹配TCP/UDP/ICMP協議。

-p ！tcp：！表示的是排除，除了tcp之外的所有協議。

-s：指定源IP地址。可以是192.168.0.0，192.168.0.0/24，192.168.0.0/255.255.255.0這種格式。

-d：指定目標IP地址。和-s的格式一樣。

-i：指定進來的網絡接口，可用在INPUT、PREROUTING、FORWARD鏈中。如lo表示loopback口，eth0，ppp0等，如果是eth+則表示的是所有的eth接口。

-o：出去的網絡接口。可以用在OUTPUT、POSTROUTING、FORWARD鏈中。

--sport：源端口。表示端口范圍：A:B，表示從A端口到B端口。:B表示從0到B端口。A：表示從A到65535端口.

--dport：指定目標端口，格式和—sport一樣。

-m multiport --sport：指定多個不連續的源端口，最多15個。

-m multiport --dport：指定多個不連續的目標端口，最多15個。

-m multiport --port：指定多個不連續的端口，源端口和目標端口一樣，最多15個。

--tcp-flags 檢查標記列表條件列表：對特定的TCP標記進行匹配。列表內部用逗號隔開，列表之間用空格分開。第一個參數指定需要檢查的TCP標記，第二個參數指定在第一個列表中出現過的，且必須為1的。可以識別SYN/ACK/FIN/RST/PSH/URG標記。還可以用ALL和NONE，ALL表示匹配所有的標記，NONE表示不匹配任何標記。

--syn：匹配syn標記被設置，而ACK和RST沒有設置的數據包。

--icmp-type 數值類型：根據icmp的類型進行匹配。

--limit 匹配次數/時間：需要使用-mlimit。時間可以是/second、/minute、/day、/hour，默認為3/hour。

--limit-burst 次數：定義了—limit的峰值，默認為5.也就是單位時間內匹配的數據包的最大數量，每匹配一個，數值就減去1，知道為0為止。新來的數據包將不會在匹配。

--mac-source：對數據包的源mac地址進行過濾，需要使用-mmac

--uid-owner uid：按生成數據包的UID進行過濾。需要-mowner

--gid-owner gid：按生成數據包的GID進行過濾。需要-mowner

--pid-owner pid：按生成數據包的PID（進程ID）進行過濾。需要-mowner

--sid-owner sid：按生成數據包的SID（會話ID）進行過濾。需要-mowner

--state 狀態列表，對數據包的狀態進行過濾。有四種狀態，NEW/RELATED/INVALID/ESTABLISHED,不同的狀態之間用逗號隔開。需要用-mstate

2.5 Iptables的可用動作

ACCEPT：放行匹配的數據包。

DROP：丟棄匹配的數據包，不會產生任何信息。

REJECT：丟棄匹配的數據包，但是會返回錯誤消息。可以用—reject-with控制返回錯誤消息的類型。

DNAT：用在PREROUTING和OUTPUT鏈中。需要使用--to-dest指定轉換后的目標地址。

如：iptables –t nat –A PREROUTING –p tcp –d 202.102.192.68 –dport 80 –jDNAT –to-dest 192.168.0.1-192.168.0.10

SNAT：用在POSTROUTING鏈中。修改數據包的源IP地址。需要使用—to-source

LOG：匹配的數據包記錄到日志中。有如下幾個參數：

--log-level：指定日志等級。

--log-prefix：指定日志前綴，便于查看。

MASQUERADE：與SNAT相同，用于只有一個IP地址的情況下，為多端口復用。有一個選項，--to-ports指定端口范圍，如：--to-ports 10000：20000.該選項不是必須的。

REDIRECT：重定向。比如把所有去往80端口的數據包去往HTTP代理。本地生成的數據包會被映射到127.0.0.1。只能用在PREROUTING和OUTPUT鏈中，只有一個選項—to-ports，指定端口，可以是一個端口，也可以是一個端口范圍。如—to-ports 8080

2.6Iptables策略配置方法

保存iptables規則：/etc/init.d/iptables save

另一種常用的是將所有的iptables規則寫入到腳本文件中，然后開機的時候，自動執行該腳本就可以了（/etc /rc.d/rc.local）。

如：/bin/bash ?iptables-scripts.sh

iptables策略的導入和導出：

導出：iptables-save –c > 文件名

-c：指定導出數據包和字節計數器的值。

導入：iptables-restore –c –n < 文件名

-c：指定導入數據包和字節計數器的值。

-n：指定在導入時不覆蓋已有的表或表內的策略。

轉載于:https://blog.51cto.com/hezhang/1357197

超強干貨來襲 云風專訪：近40年碼齡，通宵達旦的技術人生

總結

以上是生活随笔為你收集整理的iptables tcp wrappers的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。