在Unix操作系统中,可以利用两个文件来统一管理客户端的连接。谁可以访问Unix服务器,都有这两个文件说了算。也就是说,这Hosts.allow与Hosts.deny两个文件就好像是Unix服务器的“看门狗”,它决定了哪些客户端可以访问Unix服务器,哪些则不行。
如果Unix操作系统工程师允许某些计算机可以访问这台服务器则可以在Hosts.allow文件中定义允许访问的计算机。反之,如果系统工程师不希望特定的计算机可以访问服务器,则应该在hosts.deny文件中定义拒绝访问服务器的计算机。
当系统的进程在接受来自客户端的服务请求后,Unix操作系统会先检查Hosts.allow文件,看看是否允许此客户端的访问,如果允许访问的话则会将这个请求转送到特定的服务程序。如果在hosts.allow文件中没有这个客户端允许的纪录,则会检查hosts.deny文件的内容。如果这个客户端的IP地址等信息出现在这个文件中,则客户端的这个请求将会被拒绝。
1、 两个文件的优先性问题。
在Unix操作系统眼中这两个文件的地位是不同的。这是系统工程师需要明确的***个内容。Unix操作系统会先检查Hosts.allow文件的内容。如果在这里有符合的纪录,则会马上转发这个客户端的请求,而不会去考虑Hosts.deny中的内容。如果系统工程师以前有Cisco网络产品管理的经验,对于这一点就很好理解。
因为其工作原理跟思科路由器的访问控制列表工作原理类似。只要在前面的纪录中找到符合要求的项目,则会忽略后续的内容。如现在有一个客户端,其IP地址为192.168.0.4。在以上两个文件中,都有这个客户端的信息。即在前面一个文件中允许这个客户端连接到Unix服务器中,而在后面一个文件中却又禁止其连接。
那么这个互相矛盾的设置,哪一个设置更有效力呢?由于Unix服务器是先检查Hosts.allow文件,故最终Unix操作系统允许用户连接到服务器。
系统管理员不要认为这是Unix操作系统中的漏洞。其实Unix操作系统是故意这么设计的。这个特性在实际应用中非常的有效。如某个财务管理软件的服务器,就只允许财务部门的四个员工以及系统管理员可以连接上去。
此时就可以把这五个用户的信息放入到hosts.allow文件中,然后在hosts.deny文件中填入ALL内容即可(表示全部计算机都不能够连接Unix服务器)。因为hosts.allow文件优先,故最终Unix操作系统只允许特定的五个用户可以连接到财务管理软件服务器中,从而提高财务管理软件的安全性。可见这个特性在实际工作中,具有很大的用途。
我们这次关于Unix操作系统就讲解到这里。
【编辑推荐】