hosts.allow hosts.denyの反映方法について

centOS 6.9で接続できるIPを制限したいです、調べた結果以下のように設定ファイルに追記いたしました。

hosts.allowのファイルに以下を追記
ALL: ALL
hosts.denyのファイルに以下を追記
ALL: 220.158.10.62

知識不足で恐縮でございますが以下お分かりになる方がいらっしゃいましたら、ご回答よろしくお願いいたします。

・接続するIPを制限をする場合上記で設定で制限可能でしょうか？
・何かの再起動は必要でしょうか→この場合どうしたら設定が反映されるでしょうか？
・その他設定方法がありましたらご教授お願いいたします。（GUIでの方法もしくわ参考URLなど）

すいませんが、よろしくお願いいたします。

ockeghem

2017/11/08 09:27

これだと、ブラックリストとして 220.158.10.62 を禁止したいように見受けますが、意図は逆ではないでしょうか? allowとdenyの優先度から、現実にはブラックリストとしても働かないでしょうが…

haskins2341

2017/11/10 04:10

ockeghem様　ご回答ありがとうございました。ご指摘の通り記載を間違えておりました、ありがとうございます。

行動規範の内容に同意します

回答2件

ベストアンサー

優先順については、他の回答のとおりです。
1つ注意点をコメントします。

hosts.allow, hosts.deny で制御できるのは libwrap.so.* をリンクしているプログラムだけです。

[centos7]$ ldd /usr/sbin/sshd | grep libwrap
        libwrap.so.0 => /lib64/libwrap.so.0 (0x00007fdcdd530000)

    CentOS 7 の sshd は libwrap.so.0 をリンクしている。
    hosts.allow, hosts.deny で制御できる。

[centos7]$ ldd /usr/sbin/httpd | grep libwrap

    CentOS 7 の httpd は libwrap.so.0 をリンクしていない。(static リンクの可能性もあるけど)
    hosts.allow, hosts.deny で制御できない。

投稿2017/11/08 14:50

TaichiYanagiya

総合スコア12146

haskins2341

2017/11/10 06:48

TaichiYAnagiya様、ご回答まことにありがとうございます、自分の知識不足で申し訳ないです。・sshdのリンクが確認できたのですがhttpdのリンクは確認できませんでした、sataticの設定とはどこに記載されていいますでしょうか。 ldd /usr/sbin/sshd | grep libwrap libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f641cdd1000) ・疎通確認をするためにPCまた自分のスマホでpingを打ったのですが、hosts.denyにALL:ALLを書き込んだにのですが、全ての端末から疎通ができてしまいました、何か他（iptables）などの設定が邪魔をしている可能性などありますでしょうか？度々申し訳ありませんが、わかれば教えていただきたいです。

TaichiYanagiya

2017/11/10 08:24

> sataticの設定とはどこに記載されていいますでしょうか。ソースコード(libwrap を使うかどうか)およびコンパイルオプション(libwrap をリンクするかどうか)を調べないとわからないと思います。 ping(ICMP)は kernel レベルで扱われるので、hosts.allow, hosts.deny では制御できません。

haskins2341

2017/11/14 07:41

Taichiさんありがとうございます！！！！よくわかりました！！！！！！！！

haskins2341

2017/11/14 08:21

Taichiさんお世話になっております！！ TCP wrapperのwikiのページに以下のようなことが書いてあったのですが TCPとICMPではレイヤーが異なるので制御できないのでしょうか、それともプロトコルが違うからでしょうか？ >>元々は、TCPおよびUDPのサービスを対象としていたが、例えば特定のICMPパケット（例えば、pingd を使う ping 要求）をフィルタリングすることもできる。

TaichiYanagiya

2017/11/14 09:31

https://en.wikipedia.org/wiki/TCP_Wrapper からリンクされている http://www.apposite-tech.com/blog/wp-content/uploads/2017/09/P52-07.txt のことを指しているようです。 kernel に手を加えて、ユーザー空間で稼働する pingd で ICMP ECHO を受け取るようにするもののようです。

行動規範の内容に同意します