Управление доступом в xinetd

Обозначает узлы, которым разрешено обращаться к службе. Узлы обозначаются при помощи:

• Числовых адресов. Так, адрес 172.16.12.5 обозначает конкретный узел, а номер 129.6.0.0- все узлы, адреса которых начинаются с 129.6. Адрес 0.0.0.0 обозначает все адреса.
• Наборов адресов. Например, 172.16.12.(3,6,8,23} обозначает четыре различных узла: 172.16.12.3,172.16.12.6,172.16.12.8 и 172.16.12.23.
• Имен сетей. Имени сети должно соответствовать определение в файле /etc/networks.
• Канонических имен узлов. Представленный удаленной системой IP- адрес должен отображаться в указанное имя узла.
• Доменных имен. Имя узла, полученное обратным отображением, должно принадлежать указанному домену. Например, значение .wrotethebook.com требует, чтобы узел входил в домен wrotethebook.com. Обратите внимание, что доменные имена должны начинаться с точки.
• IP-адресов в сочетании с адресными масками. Так, записи 172.16.12.128/25 соответствуют все адреса с 172.16.12.128 по 172.16.12.255.

no_access - Обозначает узлы, которым запрещен доступ к службе. Узлы обозначаются способами, описанными выше для атрибута only_f rom.

access_times - Определяет время суток, когда служба доступна, в формате час:мин - час:мин. Используется 24-часовая шкала времени. Часы пронумерованы от 0 до 23, а минуты - от 0 до 59.

В отсутствие атрибутов only_f rom и no_access разрешается доступ всем узлам. Если существуют оба атрибута, используется наиболее точное соответствие. Рассмотрим пример:

no_access = 172.16.12.250 
only_from = 172.16.12.0

Здесь команда only_from разрешает доступ к службе всем системам сети 172.16.12.0. Команда no_access запрещает доступ одной конкретной системе. Порядок следования команд no_access и only_f rom не имеет значения, результат всегда одинаков, поскольку приоритет имеет наиболее точное соответствие. Ниже приводится пример записи для РОРЗ из файла xinetd.conf:

#    default: on
#    описание: Служба РОРЗ позволяет удаленным пользователям обращаться к своей почте\
п посредством клиента РОРЗ, такого как Netscape Communicator, mutt \
#    или fetchmail.
service login
{

socket__type = stream
wait = no
user 
log_on_success 
log_on_failure 
only_from 
no_access = 172.16.12.231
server = /usr/sbin/ipop3d
}

В данном фрагменте команда only_f rom разрешает доступ всем системам сети 172.16.12.0, то есть локальной сети, и запрещает доступ всем остальным системам. Кроме того, существует одна система подсети 17.16.12.0 (узел 172.16.12.231), которая не является настолько доверенной, чтобы получить POP-доступ. Команда no_access запрещает доступ всем пользователям системы 172.16.12.231.

Помните, что wrapper и xinetd позволяют лишь управлять доступом к службам, но не способны ограничивать доступ к данным системы или данным, передаваемым по сети. С этой целью следует использовать шифрование.