TCPWrapper.pptVIP

交通大學資訊科學系 系計算機中心 TCP Wrapper 郭淑芬 交通大學資訊科學系 系計算機中心 sfkuo@.tw 大綱 簡介 安裝TCP Wrapper 編寫設定檔-hosts.allow 檢視Log File 使用TCP Wrapper Utilities Reference 簡介 管制Server上的service允許或是拒絕 限制User連線(只能限制TCP 的service) 記錄Server上的service連線狀況 安裝TCP Wrapper(1/2) tcp_wrappers-7.6.tar.gz 步驟一：修改Makefile #REAL_DAEMON_DIR #STYLE = -DPROCESS_OPTIONS FACILITY= LOG_MAIL 步驟二 ：編譯 make sys-type 產生/usr/sbin/tcpd 安裝TCP Wrapper(2/2) 步驟三：修改/etc/ xinetd.d / xxx 編寫設定檔-hosts.allow(1/5) 搜尋規則：hosts.allow - hosts.deny - 允許連線 語法 daemon_list : client_list : option : option ... first match wins 編寫設定檔-hosts.allow(2/5) daemon list /etc/services內所設定的 ex: telnet 23/Tcp 表示有提供telnet的service，但daemon list是要telnet的daemon，即in.telnetd ALL EXCEPT ex: ALL EXCEPT proftpd 參考hosts_access.5 編寫設定檔-hosts.allow(3/5) client list LOCAL ALL KNOWN/UNKNOW ex: ALL:UNKNOW:DENY username@hostname ex: member@.tw iii.jjj.kkk. ex: 140.113.167. 表示140.113.167.xxx的主機都符合 .subdomain.domain ex: ..tw，表示.tw，.tw主機都符合 net/mask pair ex: /，表示由~55都符合 編寫設定檔-hosts.allow(4/5) option allow deny banners /some/Directory (/tmp/message/in.telnetd) ex: 編寫設定檔-hosts.allow(5/5) keepalive twist/spawn shell_command ex: proftpd : ALL :spawn=(echo `date` - %u@%h -- %d /var/log/deny_tcp) : deny %u client端的使用者名稱 %h client端的host name 或IP %d daemon 名稱. ．．．．． 參考hosts_options.5 檢視Log File /var/log/secure 使用TCP Wrapper Utilities(1/2) tcpdchk : 掃瞄設定檔，並報告各種可能的錯誤設定 使用TCP Wrapper Utilities(2/2) tcpdmatch：模擬進入的連線，並決定目前的設定檔是接受還是拒絕 Reference Internet安全防護，O’Reilly .tw/lab401/WWW/04_security/TCP_wrapper.html /tcpwrapper.php * *