TCP анализатор (часть 3)
При контроле доступа могут использоваться групповые операции. Один из способов обозначения групп — ключевые слова all и local.
Назначение ключевого слова all не нуждается в комментариях — находясь в поле сервера, оно обозначает все серверы. Если ключевое слово all указано в поле клиента, TCP-анализатор воспринимает его как обозначение всех клиентов.
Ключевым словом local обозначаются интерфейс обратной петли и узлы, для которых не указано имя домена, т.е. в именах которых отсутствуют точки. Обратите внимание, что tcpd учитывает только первые имена, указанные в файле /etc/hosts, т.е. псевдонимы, содержащиеся в этом файле, не соответствуют ключевому слову local. Компьютеры, принадлежащие внутренней сети, также не удовлетворяют ключевому слову local, так как принадлежат специальному внутреннему домену.
Ключевым словом paranoid обозначаются узлы, чьи доменные имена не соответствуют IP-адресам. По умолчанию в tcpd проверка paranoid включена постоянно. Это означает, что доступ клиента к службе не разрешается до тех пор, пока не будет проверено соответствие доменного имени IP-адресу. Если перекомпилировать tcpd, отключив поддержку paranoid, то, чтобы TCP-анализатор выполнял соответствующую проверку, необходимо явно указать ключевое слово paranoid в составе правила.
Кроме того, в правилах доступа можно задавать группы доменных имен и группы IP-адресов. Точка, за которой следует имя домена, определяет все машины, принадлежащие конкретному домену, а часть IP-адреса, за которой следует точка, — IP-адрес сети.
Ниже приведен пример содержимого файла /etc/hosts.allow
1. ALL LOCAL .internal.Ian
2. in.ftpd friend@trusted.host.net
3. sshd 10.30.27.
4. ipop3d 10.30.27.45 EXCEPT PARANOID
В строке 1 разрешается доступ ко всем службам, контролируемым ТСР-анализатором, с локальной машины и со всех узлов, принадлежащих домену internal.Ian.
В строке 2 дополнительно разрешается доступ к FTP-серверу для пользователя friend, имеющего учетную запись на узле trusted.host.net. Если на удаленном узле не поддерживается служба ident или удаленная машина представляет собой персональный компьютер PC или Macintosh, определить имя пользователя невозможно.
В строке 3 разрешается доступ к серверу SSH для всех пользователей сети 10.30.27.0.
В строке 4 разрешается обращение к POP-серверу для удаленного компьютера с конкретным IP-адресом. Если вы перекомпилировали tcpd, отключив поддержку paranoid, соответствующие проверки будут выполняться только для данного правила. Таким образом, выражение в строке 4 означает, что доступ к POP-серверу компьютера с адресом 10.30.27.45 разрешен лишь в том случае, если адрес выдержит проверку обратным DNS-преобразованием.