【RHEL 7】TCP Wrapper によるアクセス制御設定について

インフラサーバ

2020.08.06

作業環境

Red Hat Enterprise Linux では、以下の3つのアクセス制御機能があります。

アクセス制御の適用順は以下画像の通りで、TCP Wrapper については Firewall が適用された後の通信について制御を行います。

TCP Wrapper が制御対象とするサービスは「TCP でラップしたサービス」
「TCP でラップしたサービス」とは、libwrap.so ライブラリにリンクされたもの
libwrap.so ライブラリにリンクされているかどうかを確認するためには以下コマンドを実行する
- ldd binary-name | grep libwrap
  - binary-name の部分をネットワークサービスのバイナリの名前で置き換えて実行する
- sshd サービスについて確認する場合は以下の通り

# ldd /usr/sbin/sshd | grep libwrap
        libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f45f52ea000)

TCP Wrapper のパッケージは以下の2つ。

Red Hat Enterprise Linux 7 ではデフォルトでインストールされています。

インストールされていない場合、インストールコマンドは以下の通りです。

yum -y install tcp_wrappers tcp_wrappers-libs

TCP Wrapper の設定ファイルは以下の2つ。

TCP Wrapper の処理順序は以下の通りです。

/etc/hosts.allow を参照し、制御対象の通信にマッチするルールが存在する場合は対象サービスへのアクセスを許可し、存在しない場合は次のステップに進む
/etc/hosts.deny を参照し、制御対象の通信にマッチするルールが存在する場合はアクセスを拒否し、存在しない場合は対象サービスへのアクセスを許可する

各設定ファイルの記載フォーマットは以下の通りです。

<daemon list> : <client list> [<option>]
- <daemon list> の部分では、対象プロセス名(サービス名ではない)のリストをコンマ区切りで指定、または ALL(すべて) を指定
- <client list> の部分では、対象となるホストを特定するためのホスト名、ホスト IP アドレス、特別なパターン、またはワイルドカードのリストをコンマ区切りで指定、または ALL(すべて) を指定

ALL : .example.com
- example.com ドメイン内のすべてのホスト
ALL : 192.168.
- 192.168.x.x ネットワーク内のすべてのホスト
- 192.168.0.0/16 のようなプレフィックス表記はできないため注意
sshd : 192.168.0.0/255.255.254.0
- 192.168.0.0 から 192.168.1.255 までのアドレス範囲を持つすべてのホストの ssh 接続
ALL : ALL
- すべての通信

例えば、特定の通信のみ許可したい場合は以下のように設定します。