如何配置Linux系统中的TCP Wrappers实现双重网络准入-安全-PHP中文网

tcp wrappers 不支持真正的“双重准入”，仅提供基于ip/主机名的单层连接控制；所谓双重网络准入需组合 hosts.allow/hosts.deny 规则、服务自身支持（如 usetcpwrappers yes）、绑定地址限定（如 sshd@192.168.20.100）及日志审计实现。

如何配置linux系统中的tcp wrappers实现双重网络准入

TCP Wrappers 本身不支持“双重准入”这种多层认证逻辑，它只做一次基于 IP/主机名的连接级放行或拒绝判断。所谓“双重网络准入”，实际是指在两个不同维度上叠加控制——比如“仅允许特定网段 + 仅允许特定服务端口绑定的实例”，或“白名单IP + 白名单服务 + 日志审计”。这需要组合配置 hosts.allow / hosts.deny，并辅以服务自身支持（如 sshd 的 UseTCPWrappers）和运行时验证。

确认目标服务真正受 TCP Wrappers 控制

不是所有服务都响应 /etc/hosts.allow 或 /etc/hosts.deny。关键看其二进制是否链接了 libwrap.so：

运行 ldd $(which sshd) | grep libwrap，有输出说明支持；若查 vsftpd，则用 ldd $(which vsftpd) | grep libwrap
对 systemd 管理的服务（如新版 sshd），即使二进制含 libwrap，也需检查其配置文件（如 /etc/ssh/sshd_config）中是否启用：
UseTCPWrappers yes —— 这一步在 SLES12 SP5、RHEL8+ 等系统中常被忽略，不设则规则完全不生效
httpd、nginx、dockerd 等默认不链接 libwrap，无法用 TCP Wrappers 控制

编写精准的 hosts.allow 规则实现“双条件”白名单

单条规则可同时限定服务名与客户端范围，等效于“且”关系。例如：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

sshd: 192.168.10.0/24 : deny —— 错误：语法不支持 CIDR，须转为通配符或掩码形式
sshd: 192.168.10. —— 正确：匹配 192.168.10.x 全部地址（注意末尾点号是通配符）
sshd@192.168.20.100: 192.168.10.50 —— 表示“仅允许从 192.168.10.50 访问本机 192.168.20.100 这个 IP 上监听的 sshd 实例”，这是真正的“双重绑定”
多个条件可用逗号分隔：vsftpd,sshd: 192.168.10.50 192.168.20.0/24 —— 注意：空格分隔客户端，逗号分隔服务

配合 hosts.deny 实现“默认拒绝 + 显式放行”策略

这是最接近“双重准入”的安全实践：先拒绝一切，再按需放开符合条件的组合。

在 /etc/hosts.deny 中写：ALL: ALL : twist /bin/echo "Access denied by TCP Wrappers" —— 拒绝全部并返回提示
在 /etc/hosts.allow 中只写明确许可项，例如：
sshd@10.0.1.10: 172.16.5.0/24
vsftpd@10.0.2.20: .example.com —— 分别约束服务绑定地址 + 客户端网段或域名
规则严格匹配顺序：hosts.allow 优先；一旦匹配即终止判断；未匹配则查 hosts.deny；全不匹配则默认放行 —— 所以 hosts.deny 写 ALL: ALL 是强制兜底的关键