CentOS6のTCPラッパーの概要と設定方法

①TCP Wrapperのライブラリのパッケージ
　
私のCentOS6の環境では、xinetdを利用していなかったのでTCP Wrapperも利用していないと思っていたのですが、下記のTCP Wrapperのライブラリのパッケージがインストールされていました。

$ yum info tcp_wrappers-libs
　
Installed Packages
Name        : tcp_wrappers-libs
Arch        : x86_64
Version     : 7.6
Release     : 57.el6
Size        : 128 k
Repo        : installed
From repo   : anaconda-CentOS-201112091719.x86_64
Summary     : Libraries for tcp_wrappers
URL         : ftp://ftp.porcupine.org/pub/security/index.html
License     : BSD
Description : tcp_wrappers-libs contains the libraries of the tcp_wrappers
            : package.

　
②TCP Wrapperのデーモンプログラム
　
上記ライブラリとは別にデーモンプログラム用のパッケージもありましたが、こちらはインストールされていませんでした。
　

$ yum info tcp_wrappers

Available Packages
Name        : tcp_wrappers
Arch        : x86_64
Version     : 7.6
Release     : 57.el6
Size        : 61 k
Repo        : base
Summary     : A security tool which acts as a wrapper for TCP daemons
URL         : ftp://ftp.porcupine.org/pub/security/index.html
License     : BSD
Description : The tcp_wrappers package provides small daemon programs which can
            : monitor and filter incoming requests for systat, finger, FTP,
            : telnet, rlogin, rsh, exec, tftp, talk and other network services.
            :
            : Install the tcp_wrappers program if you need a security tool for
            : filtering incoming network services requests.
            :
            : This version also supports IPv6.

１）TCP Wrapperの設定ファイル
　
・一般的にホストアクセスファイルと呼ばれる、/etc/hosts.allowと/etc/hosts.denyを使用する。
　
・hosts.allowにあるアクセスルールが最初に適用されるので、それらのルールがhosts.denyで指定されたルールよりも優先される。
　そのため、サービスへのアクセスが hosts.allowで許可されると、hosts.denyにある同じサービスへのアクセス拒否ルールは無視される。
　
・各ファイルにあるルールは上から下に読み込まれ、指定されたサービスに最初にマッチするルールのみが適用される。
　
・サービスについてのルールがどのファイルにも見つからないか、またはいずれのファイルも存在しなければ、サービスへのアクセスは許可される。
　
・TCPでラップされたサービスは、ホストのアクセスファイルからのルールをキャッシュしないので、hosts.allowやhosts.denyのすべての変更は、ネットワークサービスを再起動しなくても直ちに有効になる。
　
・ホストのアクセスファイルの最後の行が改行文字(Enterキーを押して作成される）でなければ、ファイルにある最後のルールは失敗して、エラーが /var/log/messagesまたは/var/log/secureのどちらかにログ記録される。
　
①/etc/hosts.allow
　
TCPでラップされたサービスは/etc/hosts.allowファイルを順番に解析し、そのサービスに指定された最初のルールを適用する。
マッチするルールを見つけると、接続を許可し、見つからなければ、次のステップに進む。
　
②/etc/hosts/deny
　
TCPでラップされたサービスは/etc/hosts.denyファイルを順番に解析し、マッチするルールを見つけると、接続を拒否し、見つからなければ、サービスへのアクセスを許可する。
　
２）アクセスルールのフォーマット
　
〇構文
<daemon list> : <client list> [: <option> : <option> : …]
　
・空行またはハッシュ(#)で始まる行は無視される。
　
①daemon list
　
・コンマ区切りのプロセス名(サービス名ではない)の一覧。
・ALLですべてのデーモンにマッチ。
　
②client list
　
・ホスト名、IPアドレス、特別なパターン、またはワイルドカードのコンマ区切りのリスト。
・ALLですべてのホストにマッチ。
　
③option
　
・ルールが起動されたときに実行されるオプションのアクション、またはアクションのコロン区切りのリスト。
・オプションのフィールドは、拡張、シェルコマンドの起動、アクセスの許可または拒否、および他のロギング動作をサポートする。
　
例）オプションを指定した例

sshd : .example.com  \
	: spawn /bin/echo `/bin/date` access denied>>/var/log/sshd.log \
	: deny

※それぞれのオプションフィールドの前にはバックスラッシュ(\)が付けられることに注意。

１）syslogでロギング
　
severity指示文を使用してログファシリティおよびルールの優先レベルを指定できる。
　
①emergの優先度でデフォルトのファシリティ（authpriv）を指定する例
　
sshd : .example.com : severity emerg
　
②alertの優先度でlocal0ファシリティを指定する例
　
sshd : .example.com : severity local0.alert
　
２）1つのファイル（hosts.allowまたはhosts.deny）にまとめてallowとdenyを指定
　
下記例のようにallowまたはdeny指示文を最終オプションとして追加してルールを設定し、一つのファイルで統合することもできる。
　
sshd : client-1.example.com : allow
sshd : client-2.example.com : deny
　
３）シェルコマンド
　
①spawn
　
・子プロセスとしてシェルコマンドを起動。
　
・要求しているクライアントについてのより詳しい情報を得るために/usr/sbin/safe_fingerの使用などのタスクを実行できる。
　
・echoコマンドを使用して特殊なログファイルを作成することもできる。
　
例）カスタムのログを作成する例

in.telnetd : .example.com \
	: spawn /bin/echo `/bin/date` from %h>>/var/log/telnet.log \
	: allow

　
②twist
　
・要求されたサービスを指定したコマンドに置き換える。
　
・この指示文は、侵入者に対するトラップをセットアップするために使用されることが多くある。
また、接続しているクライアントにメッセージを送るためにも使用できる。
　
・twist指示文は、ルール行の末尾に置く必要がある。
　
例）メッセージを通知する例

vsftpd : .example.com \
: twist /bin/echo "421 %h has been banned from this server!"