TCP Wrapperでアクセス制御 hosts.allow, hosts.deny

古くからあるTCP/IPのACLシステム「TCP Wrapper」の設定方法をメモします。
最近はUDPなどにも対応してる模様。

TCP Wrapperの設定ファイル

• /etc/hosts.allow 許可するホストとサービスを記述
• /etc/hosts.deny 拒否するホストとサービスを記述

アクセス可否判定手順

1. /etc/hosts.allowから許可ホスト・サービスを読み取りその時点で許可する
2. /etc/hosts.denyから拒否ホスト・サービスを読み取りその時点で拒否する

hosts.allowとhosts.deny共にマッチしない場合は許可されます。

構文

デーモン1,デーモン2: ホスト1,ホスト2,ネットワーク/ネットマスク

構文例
hosts.deny

ALL: ALL

hosts.allow

sshd: ALL
ftpd,telnetd: 10.0.1.1,10.255.0.1,10.0.0.0/24

使用できる主なワイルドカード

ALL 全て
LOCAL ドットを含まないホスト名
EXCEPT 除外 例えば10.0.0.0/24 EXCEPT 10.0.0.1とすると10.0.0.1を除く10.0.0.0/24がマッチする

tcpdmatchコマンドで模擬チェック

構文: tcpdmatch デーモン[@ホスト] [ユーザ@]ホスト

$ tcpdmatch sshd 10.0.0.1

client:   address  10.0.0.1
server:   process  sshd
access:   granted

$ tcpdmatch telnetd 173.194.117.227

client:   address  173.194.117.227
server:   process  telnetd
access:   denied