当一个系统被用作公开网络的服务器时,这个系统就成为被攻击的目标。对网络服务进行访问控制，是一个服务器管理员面临的最重要的安全任务之一,例如,Linux内核使用一个基于iptables的防火墙来将不受欢迎的网络数据包过滤在内核网络之外。对于使用这种防火墙的网络服务,TCP Wrappers又增加了一层保护,这层保护通过定义哪些主机允许或不允许连接到”wrapped”网络服务上来实现.大多数现代网络服务系统,像SSH,Telnet和FTP,都可以利用Xinetd进程服务来管理，这个Xinetd被称为超级守护进程，在这个服务里可以直接设置访问控制，从而在网络层可以进行三层防护。
1.iptables网络防护
你可以用命令添加的方式一条一条增加规则，也可以直接编辑文件。
vim /etc/iptables.firewall.rules
*filter
# Allow all loopback (lo0) traffic and drop all traffic to 127/8 that doesn’t use lo0
-A INPUT -i lo -j ACCEPT
-A INPUT -d 127.0.0.0/8 -j REJECT
# Accept all established inbound connections
-A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
# Allow all outbound traffic – you can modify this to only allow certain traffic
-A OUTPUT -j ACCEPT
# Allow HTTP and HTTPS connections from anywhere (the normal ports for websites and SSL).
-A INPUT -p tcp –dport 80 -j ACCEPT
-A INPUT -p tcp –dport 443 -j ACCEPT
# Allow SSH connections
#
# The -dport number should be the same port number you set in sshd_config
#
-A INPUT -p tcp -m state –state NEW –dport 22 -j ACCEPT
# Allow ping
-A INPUT -p icmp -j ACCEPT
# Log iptables denied calls
-A INPUT -m limit –limit 5/min -j LOG –log-prefix “iptables denied: ” –log-level 7
# Drop all other inbound – default deny unless explicitly allowed policy
-A INPUT -j DROP
-A FORWARD -j DROP
COMMIT
读取防火墙规则使其生效：
iptables-restore < /etc/iptables.firewall.rules
这些规则将允许以下的服务和端口：HTTP（80），HTTPS（443），SSH（22）和ping功能，其他访问将被拒绝。
2.Tcp wrappers访问控制
Tcp wrapper：又叫TCPD网络资源访问控制器，工作在TCP层，通常情况下只能对基于TCP协议的某些访问做控制的，其实它对应的是一个库文件，由glibc提供的，工作于用户空间用户请求之间。
客户端–>iptables–>TCP_wrapper–>Service本身的访问控制
如果客户端IP通过了iptables防火墙后想访问我们的服务器资源，这时将会按照以下步骤判断：
当某个ip想访问你的Linux下的特定服务时，系统首先会检查/etc/hosts.alllow文件，如是有的话就放行，
没有的话继续检查/etc/hosts.deny文件，有的话拒绝，没有的就放行，不过一般的做法就直接在/etc/hosts.allow里放允许通行的ip，/etc/hosts.deny里放不允许通行的ip。
检查一个服务是否受tcp wrapper控制，如telent：
#ldd `which in.telnetd` | grep “libwrap.so”
有些程序在编译时是通过静态的方式链接库，用如下命令检查：
#strings `which in.telnetd` | grep hosts
如果要控制访问，编辑/etc/hosts.allow，/etc/hosts.deny文件，格式为，程序名：主机网络。
如对telnet，允许192.168.1.网段访问，但是主机192.168.1.100除外
in.telnetd: 192.168.1. EXCEPT 192.168.1.100
还可以记录访问日志
in.telnetd: 192.168.1. :spawn echo “connect `date`” >>/var/log/tcpwrapper.log
记住规则生效顺序：
/etc/hosts.allow –> /etc/hosts.deny –> 默认规则(allow)
3.Xinetd超级守护进程访问控制
在linux中服务有两类：独立守护进程和瞬时守护进程。
独立守护进程，自己管理自己，不受其他的限制与影响，响应速度快。比如httpd。
瞬时守护进程又称非独立守护进程：按需启动，无需关闭，节省资源。比如Xinetd。
当客户端试图连接到由xinetd控制的网络服务，超级服务接收请求，并检查是否有TCP封装的访问控制规则。
通过编辑两个配置文件，以telnet为例：
/etc/xinetd.conf — 全局配置文件
defaults
{
instances = 60 ; 能处理的最大的并发请求数
log_type = SYSLOGauthpriv ; 记录日志类型
log_on_success = HOST PID ; 记录成功连接的主机iP和进程id
log_on_failure = HOST ; 记录失败连接的主机ip
cps = 25 30 ; 允许任何给定服务每秒25次连接，超过则禁用30秒
}
includedir /etc/xinetd.d
/etc/xinetd.d/ — 对应服务的配置文件
service telnet
{
disable = no ; 启用
flags = REUSE ; 连接属性为REUSE套接字
socket_type = stream ; 套接字类型为strem
wait = no ; 指定服务为多线程，yes为单线程
user = root ; 指定服务的用户为root
server = /usr/sbin/in.telnetd ; 服务的可执行程序
only_from = 172.16.0.0/16 ; 仅允许176.16网段访问
log_on_failure += USERID ; 登陆失败记录用户id
no_access = 172.16.45.0/24 ; 不允许访172.16.45网段访问
log_on_success += PID HOST EXIT ; 登陆成功记录主机ID，主机名，直到登出信息
access_times = 09:45-16:15 ; 可以访问的时间段
bind = 172.16.100.1 ; 只允许网卡ip为172.16.100.1访问
per_source = 1 ; 每个ip每次只能访问一个服务
cps = 10 60 ; 每秒10次，超过禁用60秒，和全局那个范围小取那个
banner =/etc/telnet.banner ; 设置登陆欢迎信息
}
通过防火墙，即TCP wrapper访问过滤，加上SELinux安全控制机制，加上文件权限等访问控制，让Linux系统安全性得到极大的提升！