CentOS 5 TCP Wrapper – hosts.allow / hosts.deny によるアクセス制御

TCP Wrapper は、hosts.allow と hosts.deny によって、対応サービスへのアクセスを制御する古い仕組みです。CentOS 5 世代では、sshd や xinetd 経由のサービスで使われることがありました。

現在の新規設計では Firewall やサービス側のアクセス制御を優先することが多いですが、古い CentOS 5 サーバーを読む場合、TCP Wrapper の設定が通信可否に影響していることがあります。

設定ファイルの役割

cat /etc/hosts.allow
cat /etc/hosts.deny

古い環境では、hosts.deny で全拒否し、hosts.allow で必要な接続元だけを許可する構成が使われることがあります。

sudo tee /etc/hosts.deny >/dev/null <<'EOF'
ALL: ALL
EOF

sudo tee /etc/hosts.allow >/dev/null <<'EOF'
sshd: 192.0.2.0/255.255.255.0
EOF

この例では、SSH への接続を特定ネットワークからだけ許可しています。実環境では、管理端末や踏み台のアドレスを正確に指定します。

TCP Wrapper は、すべてのサービスに効くわけではありません。サービスが libwrap に対応していない場合、設定しても効果がありません。

ldd /usr/sbin/sshd | grep libwrap

Firewall と TCP Wrapper の両方で制御している場合、どちらで落ちているのか分かりにくくなることがあります。古いサーバーを調査する時は、Firewall、TCP Wrapper、サービス自身の設定を分けて確認します。

TCP Wrapper は、対応しているデーモンに対して hosts.allow と hosts.deny でアクセス制御を行う仕組みです。ただし、すべての通信を制御できるわけではありません。iptables のようなファイアウォールとは、制御する階層と対象が違います。

CentOS 5 の古い環境では TCP Wrapper が現役で使われていることがありますが、これをファイアウォールの代替として見るのは危険です。基本はネットワーク制御で絞り、対応サービスの追加制御として TCP Wrapper を読むのが自然です。

接続できない場合は、TCP Wrapper、iptables、サービス待ち受け、名前解決を分けて確認します。

cat /etc/hosts.allow
cat /etc/hosts.deny
iptables -L -n
netstat -lntp
getent hosts client.example.local
tail -f /var/log/secure

CentOS 5 の TCP Wrapper は、古いアクセス制御の仕組みとして理解しておく価値があります。ただし、現在の設計では万能な防御策ではありません。既存環境で使われている場合は、どのサービスに効いているのか、Firewall とどう役割分担しているのかを確認することが重要です。

ストーリーで覚えるLinux CLI入門

古い Linux サーバーの操作や設定ファイルを読む前提として、CLI の考え方を確認したい場合の参考書籍です。

このリンクは Amazon アソシエイトリンクです。

CentOS 5 TCP Wrapper – hosts.allow / hosts.deny によるアクセス制御