CentOS 7 TCP Wrapper – 古いアクセス制御をどう読むか

CentOS 7 は既にサポートが終了しています。このページは新規構築を推奨するものではなく、過去環境の保守、移行前調査、設定の読み解きに使うためのレガシー Linux 手順です。新規構築では現行の Linux ディストリビューションを利用してください。

参考書籍

CentOS 7 システム管理ガイド

CentOS 7 の systemd、NetworkManager、firewalld などを確認したい場合の参考書籍です。価格や在庫はリンク先で確認してください。

このリンクは Amazon アソシエイトリンクです。

拒否設定

cp -a /etc/hosts.deny /etc/hosts.deny.bak

cat <<'EOF' > /etc/hosts.deny
ALL: ALL
EOF

cp -a /etc/hosts.allow /etc/hosts.allow.bak

cat <<'EOF' > /etc/hosts.allow
sshd: 192.168.0.0/255.255.255.0
EOF

TCP Wrapper は古いアクセス制御の仕組みであり、現在の Firewall やセグメント制御の代替として考えるべきものではありません。既存環境を読む時は、対応サービスにだけ効く制御として位置づけます。

特に注意したいのは、TCP Wrapper の設定が存在していても、それが実際に効いているとは限らない点です。サービスが libwrap に対応していなければ設定は無視されます。古いサーバーを引き継ぐ場合は、設定ファイルの有無ではなく、対象サービスに本当に効く制御なのかを確認する必要があります。

ldd /usr/sbin/sshd | grep libwrap
cat /etc/hosts.allow
cat /etc/hosts.deny

この設定を変更する場合は、変更前の状態、変更理由、変更後の確認結果を残しておくと、後から移行や障害調査を行う時に判断しやすくなります。

CentOS 7 TCP Wrapper – 古いアクセス制御をどう読むか