/etc/hosts.allow和hosts.deny通过TCP Wrappers实现服务访问控制，先匹配allow放行、再匹配deny拒绝、都不匹配则默认放行；需服务链接libwrap.so库才生效，OpenSSH 6.7+等新版已移除支持。

直接用 /etc/hosts.allow 和 /etc/hosts.deny 就能限制服务的IP访问，不用重启服务，改完即生效。核心逻辑是“先匹配 allow，再匹配 deny，都不匹配则默认放行”。关键前提是：目标服务必须调用 libwrap.so 库（如旧版 OpenSSH、vsftpd、telnetd 等），否则配置无效。

确认服务是否支持 TCP Wrappers

不是所有服务都受控。判断方法很简单：

• 查服务主程序路径：which sshd（比如输出 /usr/sbin/sshd）
• 检查是否链接 libwrap：ldd /usr/sbin/sshd | grep libwrap
• 有输出（如 libwrap.so.0 => /lib64/libwrap.so.0）说明支持；无输出则不支持
• 注意：OpenSSH 6.7+ 已移除对 TCP Wrappers 的支持，RHEL/CentOS 8+、Ubuntu 20.04+ 默认不生效

配置文件写法与优先级规则

两个文件语法一致：服务名 : 客户端地址 : 动作，动作可省略（allow 和 deny 是默认行为）：

• /etc/hosts.allow：匹配即放行，不再看 deny —— 优先级最高
• /etc/hosts.deny：仅当 allow 中无匹配时才检查，匹配即拒绝
• 地址支持多种形式：192.168.1.100、192.168.1.（网段前缀）、192.168.1.0/24、.example.com、ALL、LOCAL
• 多个服务或地址用逗号分隔，例如：sshd,vsftpd : 192.168.5.0/24,10.0.0.1

常用安全场景配置示例

以实际需求为导向，直接套用：

• 只允许某 IP 登录 SSH：
  /etc/hosts.allow 中写：sshd : 203.123.45.67
/etc/hosts.deny 中写：sshd : ALL
• 禁止整个网段访问 FTP：
  /etc/hosts.deny 中写：vsftpd : 172.16.0.
• 允许本机及指定内网，其余全拒（推荐白名单模式）：
  /etc/hosts.allow 中写：ALL : 127.0.0.1, 192.168.10.0/24, .mycorp.local
/etc/hosts.deny 中写：ALL : ALL

验证与排错要点

配置后立即生效，但容易因格式或逻辑出错而失效：

• 确保文件无中文标点、多余空格或拼写错误（如 shhd 写成 sshd）
• 地址写法要规范：用 192.168.1. 表示 C 类网段，不要写 192.168.1.0/255.255.255.0（旧式写法已不推荐）
• 测试时用另一台机器尝试连接，同时查看日志：tail -f /var/log/secure 或 /var/log/messages，成功拦截会记录 refused connect from
• 若配置无效，先确认服务版本是否支持；再检查是否被更高层防火墙（如 firewalld）提前拦截