[유닉스, 리눅스 공통]Tcp Wrapper 설정 - 부제 : 특정 대상 ssh 허용/차단(ACL)

 

[개요]

실무에서 기본적이면서도 많이 사용되지만 의외로 깜빡하는 분들을 접하는데요,

다음과 같은 경우 의심해 볼만 한 상황입니다.

 

1. ping 은 잘 가는데요?  (물론 상황에 따라 icmp가 차단된 경우는 ping 연결이 안되어도 다른 통신 가능)

2. 어? telnet으로 확인하니까 port도 열려있어요.

3. 서버에서 ssh 활성화는 되어 있고 localhost로 접속도 돼요.

4. 근데 왜 특정 IP에서 ssh 접속하려고 하면 로그인창도 안나오고 연결이 안될까요?

 

TCP Wrapper는 xinetd 또는 inetd 기반의 접근제어로 FTP, Telnet, SSH 등의 서비스의 특정 대상 접근 차단 및 허용을 설정 할 수 있게 합니다. 보안상의 이유로 FTP와 Telnet은 비활성화 하는것이 일반적이므로, 대부분은 SSH 접근 제어를 위하여 설정한다고 보시면 되겠습니다. 설정 방법은 매우 간단합니다.

 

[기본 문법]

1. 양식

(서비스명) : (대상 호스트 IP)

2. 예시

ALL : ALL => 모든 서비스에 대해서 모든 호스트를 허용 또는 차단 (파일에 따라 다르게 적용)

sshd : ALL => ssh 서비스에 대해서 모든 호스트를 접근 제어

sshd : 192.168.0.2 => ssh 서비스에 대해서 192.168.0.2호스트를 접근 제어

sshd : 192.168.0.* => ssh 서비스에 대해서 192.168.0.* 대역의 모든 모스트를 접근 제어

sshd : *.test.com => ssh 서비스에 대해서 *.test.com 의 모든 모스트를 접근 제어

(도메인에 따라 IP가 변경되는 경우에 한하여 사용하되 해당 도메인이 IP로 매칭되도록 사전 DNS 설정 필수)

 

실습 예시로 가장 일반적인 상황을 예로하여,

모든 IP 에 대한 ssh 차단 후 특정 호스트만 접속 가능하도록 설정 해보겠습니다.

 

 

1. 접근 차단 설정

파일 경로 : /etc/hosts.deny

 

 

2. 접근 차단 확인

 

 

3. 접근 허용 설정

파일 경로 : /etc/hosts.allow

 

 

4. 접근 허용 확인

 

 

5. 참고사항

이론만이 아닌 실무 적용하는 분들에게 가장 중요한 요소죠.

별도의 재기동 절차 없이 파일 수정으로 바로 적용됩니다.