谁可以访问由Unix系统说了算
表示.如192.168.1.0就表示所有以192.168.1 开头的主机.这里要注意一点,如果想通过IP地址来控制Unix服务器的访问,那么客户端最好就不能够使用DHCP服务器来获得IP地址,即要采用固定的IP地址方案.如笔者企业现在就使用的是IP地址与Mac地址绑定的方案.这虽然刚开始初始化的时候工作量会大一点,但是后续网络维护的工作量到底可以减少很多. 采用固定IP的话,有很多针对IP地址的安全解救方案也比较容易实现.
故笔者在给企业部署Unix服务器的时候,如果企业有安全方面的要求,那么笔者都会见以企业采用固定IP地址分配方案.
3、 注意默认规则是全部允许访问. 笔者在描述这两个文件的工作流程时,各位读者不知道有没有注意一个问题.当客户端的信息在两个文件中都没有定义的时候,Unix服务器最终是否允许连接呢?答案是可以连接.也就是说,Unix服务器有一个默认的策略,当在以上两个文件中都找不到相关的纪录时,则服务器最终是允许客户端进行连接的.这就会造成一个安全的隐患.如上面财务管理软件这个案例.企业可能只允许四个财务人员与系统管理员可以连接到财务管理软件服务器.为此系统管理员就只在Hosts.allow文件中定义了这五个用户的信息.而在hosts.deny文件中没有定义其他信息.此时采购部的某个用户其能否访问这台Unix服务器呢? 笔者上面谈到过,这两个文件的处理机制跟思科防火墙的访问控制列表类似.但是在这方面则是一个最大的不同.在思科路由器等网络设备中的防火控制列表,其默认情况下是全部拒绝的.也就是说,如果其前面没有匹配选项的话,则其 而对于像文件服务器这种多个部门需要用到的管理软件,则不能够这么设置.
|
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
系统会查询hosts.allow文件,发现没有这个客户端的相关信息.此时Unix服务器就会去查询hosts.deny文件的信息.
在这个文件中也没有明确定义用户不能够访问Unix服务器,故Unix操作系统又会放行.
的结果就是采购用户可以访问财务管理软件的服务器系统.这个结果显然跟系统管理员的本意不符.
其默认情况下是所有客户端都可以连接到文件服务器,故要把hosts.deny文件中的ALL:ALL参数去掉.如果需要限制某些客户端的连接(如某个员工要离职了,为了防止其对文件服务器中的文件进行故意损坏,就会中断这个员工跟服务器的连接),则可以以显示的方式在hosts.deny这个文件中加入这个信息.拒绝这个客户端再次连接到Unix服务器中.
