hosts.allow 优先于 hosts.deny 执行：匹配 hosts.allow 则立即放行，不查 hosts.deny；未匹配 hosts.allow 才检查 hosts.deny；均未匹配则默认允许。
hosts.allow 和 hosts.deny 的匹配优先级怎么判断
这两个文件不是“谁写在后面谁生效”，而是 hosts.allow 一定先于 hosts.deny 执行，只要某条连接匹配了 hosts.allow 中的任一规则，就直接放行，根本不会去查 hosts.deny；只有没匹配上 hosts.allow，才会继续看 hosts.deny 是否拒绝。
常见错误是只改了 hosts.deny 加 sshd: ALL，却忘了 hosts.allow 里必须显式放行你自己的 IP，否则连自己都会被锁在外面。
-
hosts.allow中每行一条规则，格式为服务名: 地址模式，比如sshd: 192.168.1.100或sshd: 192.168.1.0/24 - 地址支持单 IP、CIDR 网段、域名（但不推荐用域名，解析失败会导致规则失效）
- 规则中不能有空格分隔多个地址，要写多条独立行
- 修改后无需重启任何服务，
sshd进程会实时读取这两个文件
为什么加了规则还是能连上 SSH
最常见原因是规则写错服务名 —— 必须用 sshd，不是 ssh、openssh 或 sshd-server。Linux 的 TCP Wrappers 机制只认 sshd 这个服务标识符。
另一个高频问题是路径或权限：两个文件必须存在且权限为 644（root:root），如果被误删、改名、或 chmod 成了 600，TCP Wrappers 会静默跳过它们，相当于没设规则。
PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。
- 检查是否启用 TCP Wrappers：
ldd $(which sshd) | grep libwrap，无输出说明未编译支持，规则无效 - 确认 sshd 编译时带
--with-libwrap（主流发行版默认开启，但某些精简镜像可能裁掉） - 测试规则是否生效：临时加
sshd: ALL : deny到hosts.deny，然后从另一台机器ssh -o ConnectTimeout=5 user@server，应立刻断连
AllowUsers @IP 和 hosts.allow 哪个更可靠
AllowUsers user@192.168.1.100 是 SSH 协议层控制，由 sshd 进程自己解析；而 hosts.allow 是内核网络栈之后、服务进程之前的 TCP Wrappers 层控制。两者不冲突，但生效位置不同。
关键区别在于：如果攻击者绕过 SSH 认证（比如利用已知漏洞），hosts.allow 仍能拦住连接；但若系统没编译 libwrap 支持，hosts.* 就完全失效。反过来，AllowUsers 更精准（可限定用户+IP组合），但依赖 sshd 正常运行。
- 生产环境建议双管齐下：用
AllowUsers做主控，hosts.allow做兜底防火墙 -
AllowUsers修改后必须systemctl restart sshd，而hosts.*修改后立即生效 -
AllowUsers不支持通配符或网段（user@192.168.1.*无效），hosts.allow支持 CIDR
iptables 和 hosts.allow/deny 能否共存
可以共存，但顺序很重要：iptables 在网络层过滤，hosts.allow/deny 在传输层之后、应用层之前。也就是说，iptables 先决定“包能不能到 sshd 进程”，hosts.* 再决定“sshd 是否受理这个连接”。
典型组合是：用 iptables 拒绝所有非白名单 IP 的 22 端口入向流量，再用 hosts.allow 对漏过的连接做二次校验。这样既减轻 sshd 负担，又保留一层逻辑隔离。
- iptables 规则需注意插入顺序：
iptables -I INPUT -p tcp --dport 22 -j DROP必须在放行规则之前，否则会被覆盖 - iptables 规则重启后丢失，CentOS/RHEL 用
service iptables save，Debian/Ubuntu 需手动保存到/etc/iptables.rules并配置开机加载 - 若同时启用 firewalld，不要混用 iptables 命令，优先用
firewall-cmd管理
hosts.allow 的最小必要放行 —— 很多人加完 sshd: 192.168.1.100 就以为万事大吉，结果忘了自己运维跳板机的 IP 也在变化，或者没测试 DNS 解析失败场景下的 fallback 行为。
