4.3.5 配置xinetd
1．格式
/etc/xinetd.conf中的每一项具有下列形式：
service service-name
{
……
}
其中service是必需的关键字，且属性表必须用大括号括起来。每一项都定义了由service-name定义的服务。
service-name是任意的，但通常是标准网络服务名，也可增加其他非标准的服务，只要它们能通过网络请求激活，包括localhost自身发出的网络请求。有很多可以使用的属性，稍后将描述必需的属性和属性的使用规则。
操作符可以是 、 、或 。所有属性可以使用 ，其作用是分配一个或多个值，某些属性可以使用 或 ，其作用分别是将其值增加到某个现存的值表中，或将其值从现存值表中删除。
2．配置文件
相关的配置文件如下：
/etc/xinetd.conf
/etc/xinetd.d/* //该目录下的所有文件
/etc/hosts.allow
/etc/hosts.deny
3．属性列表
xinetd共有45个属性，你可以通过man xinetd.conf获得英文原文，属性列表如表4-3所示。
表4-3 xinetd的属性列表
属性选项 | 功能描述 |
id | 该属性被用来唯一地指定一项服务。因为有些服务的区别仅仅在于使用不同的协议，因此需要使用该属性加以区别。默认情况下，id和服务名相同。如echo同时支持dgram和stream服务。设置id=echo_dgram和id=echo_stream来分别唯一标志两个服务 |
type | 可以是下列一个或多个值。 RPC：RPC类型的服务。 INTERNAL：由xinetd自身提供的服务，如echo。 UNLISTED：没有列在标准系统文件如/etc/rpc或/etc/service中的服务 |
flags | 可以是以下一个或多个选项的任意组合。 REUSE：设置TCP/IP socket可重用。也就是在该服务socket中设置SO_REUSEADDR标志。当中断时重新启动xinetd。 INTERCEPT：截获数据包进行访问检查，以确定是否来自于允许进行连接的位置。INTERNAL服务和多线程服务不可使用该属性值。 |
属性选项 | 功能描述 |
flags | NORETRY：如果fork失败，不重试。 IDONLY：只有在远程端识别远程用户时才接受该连接（也就是远程系统必须运行ident服务器），该标记只适用于面向连接的服务。若没有使用USERID记录选项，则该标记无效，log_on_success或log_on_failure属性设置USERID值以使该值生效。仅用于多线程的流服务。 NAMEINARGS：允许server_args属性中的第一个参数是进程的完全合法路径，此时，server属性采用inetd的方式来指定（此标签的作用是表明该服务采用tcpd的方式来处理，而不是tcp wrapper，参见NOLIBWRAP标记）。 NODELAY：若服务为tcp服务，并且NODELAY标记被设置，则TCP_NODELAY标记将被设置。若服务不是tcp服务，则该标记无效。 DISABLE：具有DISABLE标记的服务表示被禁用。该标记将覆盖enable的指定，即如果你指定了“enable=foo”，若foo具有DISABLE标记，那么foo仍将被禁用。使用了该标记的服务不会被提醒。 KEEPALIVE：如果一个tcp服务设置了KEEPALIVE标记，那么该服务的socket将被设置SO_KEEPALIVE标记，对非TCP类型的服务设置该标记无任何作用。 |
flags | NOLIBWRAP：禁用tcpwrap 库来决定一个服务的请求访问控制。像xinetd，需要长时间的运行（系统启动后一直运行），一直调用libwrap函数库是不可取的，这种类型的服务就需要设置该标记，它们可以直接调用而无须调用libwrap函数库来控制访问请求（参见NAMEINARGS标记）。 SENSOR：该标记的作用是使用一个传感器（SENSOR）来代替当前的服务。使用该标记需要注意几个问题：其一，你应当确认该服务是你不需要的或者是你不想提供该服务；其二，它不能觉察秘密的扫描动作；其三，它将觉察该服务指定端口的请求，并记录到作用于全局的no_access列表中，这就使得请求过该服务的IP在deny_time指定的时间过期之前一直都拒绝访问；其四，它还使得xinetd认为该服务的server属性是INTERNAL；其五，如果使用了该标记的socket_type为stream的服务设置，你需要设置wait为no |
disable | 可以设置为yes或no，设置为yes将禁用一个服务，详见flags的disable标签 |
socket_type | 使用的TCP/IP socket类型，值可能为stream（TCP），dgram（UDP），raw和seqpacket（可靠的有序数据包） |
protocol | 指定该服务使用的协议，其值必须是在/etc/protocols中定义的。如果不指定，使用该项服务的默认协议 |
wait | 这个属性有两个可能的值。如果是yes，那么xinetd会启动对方请求的进程，并停止处理该项服务的其他请求直到该进程终止，适合于单线程服务；如果是no，那xinetd会为每个请求启动的一个进程，而不管先前启动的进程的状态，适合于多线程服务 |
user | 设置服务进程的UID。若xinetd的有效UID不是0，该属性无效 |
group | 设置进程的GID。若xinetd的有效UID不是0，该属性无效 |
instances | 接受一个大于或等于1的整数或UNLIMITED。设置可同时运行的最大进程数。UNLIMITED意味着xinetd对该数没有限制 |
nice | 指定进程的nice值。它决定了服务的优先级，参数值是某个数字，可以为负数 |
server | 要激活的进程，必须指定完整的路径 |
server_args | 指定传送给该进程的参数，但是不包括服务程序名 |
only_from | 用空格分开的允许访问服务的客户机列表。如果不为该属性指定一个值，就拒绝任何人访问这项服务。该属性支持所有操作符。访问控制表的语法如下： a）用数字表示的IP地址，格式为%d. %d. %d. %d。如果最右边的一位是0，将被看作通配符。举例来说，10.35.1.0表示10.35.1段内的任何地址都满足条件；如果地址是0.0.0.0，则匹配所有的IP地址。 b）分解列出的IP地址，格式为%d. %d. %d.{ %d. %d…}。当然，并不是一定要四个部分都列出，例如，%d. %d.{ %d. %d…}，这样的格式也是可以的，然而，被分解列出的部分必须在最后面，例如，%d.{ %d. %d…}.%d.%d，这样的格式是不允许的。 c）网络名。/etc/networks中的网络名。 |
属性选项 | 功能描述 |
only_from | d）主机名或域名。当一个IP地址连接到xinetd上的时候，它会对这个IP进行反向解析，得出相应的主机名，然后与指定的主机名进行比较，查看是否匹配。当然也可以使用域名，道理是一样的。 e）网络/子网。格式为IP Address/netmask，例如，1.2.3.4/32 |
no_access | 用空格分开的拒绝访问服务的客户机列表。该属性支持所有操作符，访问控制表的语法参见only_from。 Only_from和no_access决定了一个远程连接能否访问某个服务。如果这两个属性都没有设置，那么任何人都可以请求该服务；如果都设置了，那么，最匹配的那个记录优先。例如，你在only_from中设定了10.35.1.0可以访问，然后又在no_access中设定10.35.1.10禁止访问，那么，10.35.1段内除了10.35.1.10外的IP地址都可以访问 |
access_time | 设置服务的可用时段，也就是说，在哪一段时间里可以使用本服务。格式是hh:mm_hh:mm; 如08：00-18：00，意味着从8AM到6PM可使用这项服务 |
log_type | 指定服务log的记录方式。 SYSLOG facility[level]：设置facility为daemon，auth，user或local0-7；level是可选的，可用的level值为emerg，alert，crit，err，warning，notice，info，debug，默认值为info。 file[soft[hard]]：指定用file记录log，而不是syslog。限度soft和hard用KB指定（可选）。一旦达到soft限，xinetd就登记一条消息。一旦达到hard限，xinetd就停止登记使用该文件的所有服务。如果不指定hard限，它为soft加1%，但默认时不超过20MB，默认soft限是5MB |
log_on_success | 指定成功时登记的信息，默认时不登记任何信息。该属性支持所有操作符。可能的值有以下几种。 PID：进程的PID。如果一个新进程没被分叉，PID设置为0。 HOST：客户机IP地址。 USERID：通过RFC1413调用捕获客户机用户的UID。只可用于多线程的流服务。 EXIT：登记进程终止的状态。 DURATION：登记会话持续期 |
log_on_failure | 指定失败时登记的信息。总是登记表明错误性质的消息，默认时不登记任何信息。该属性支持所有操作符。可能的值是有以下几种。 ATTEMPT：记录一次失败的尝试，所有其他值隐含为这个值。 HOST：客户机IP地址。 USERID：通过RFC1413调用捕获客户机用户的UID。只可用于多线程的流服务。 RECORD：记录附加的客户机信息，如本地用户、远程用户和终端的类型 |
rpc_version | 指定RPC版本号或服务号。版本号可以是一个单值或者一个范围，如2~3 |
rpc_number | 如果RPC程序号不在/etc/rpc中，就指定它 |
env | 用空格分开的VAR=VALUE表，其中VAR是一个shell环境变量，VALUE是其设置值。这些设置在服务被激活时被追加到服务的环境变量中。这个属性支持＝和＋＝操作符 |
passenv | 用空格分开的xinetd环境中的环境变量表，该表在激活时传递给服务程序。如果设置的值为空就不传送任何变量（除了在env中指定的变量）。该属性支持所有操作符 |
port | 定义该项服务相关的端口号。如果该服务在/etc/services中列出，它们必须匹配 |
redirect | 该属性语法为redirect=Ipaddress port。它把tcp服务重定向到另一个系统。如果使用该属性，就忽略server属性 |
bind | 把一项服务绑定到一个特定界面。语法是bind=ipaddress/interface。这意味着你的telnet服务可以监听一个本地的安全的端口，而不是一个外部的界面。或者，同一个端口在某个网络界面上可以做某件事情，同时，在另一个界面上可以做完全不同的事情 |
interface | 等同于bind |
banner | 无论该连接是否被允许，当建立连接时就将该文件显示给客户机 |
banner_success | 当连接授权通过时显示banner_success指定的文件中包含的信息 |
属性选项 | 功能描述 |
banner_fail | 当客户端的请求违反控制规则时显示banner_fail指定的文件中包含的信息，以告知用户他们正在试图请求不被允许的服务 |
per_source | 参数值可以为整数或者UNLIMITED关键字。它表示每一个IP地址上最多可以建立的实例数目。本属性也可以定义在defaults部分 |
cps | 用来设定连接速率。它需要两个参数，第一个参数表示每秒可以处理的连接数，如果超过了这个连接数时，之后进入的连接将被暂时停止处理；第二个参数表示停止处理多少秒后，继续处理先前暂停处理的连接 |
max_load | 用一个浮点数作为负载系数，当负载达到这个数目的时，该服务将停止处理后续的连接 |
groups | 可以设置为yes或no。如果设置为yes，将允许对该服务起作用的组中包含的用户来访问，如果设置为no，将设置服务进程的GID。如果xinetd的有效GID不是0，则该属性无效。在BSD类的系统上，很多服务需要设置该属性为yes，这个属性也可以设置在defaults部分 |
umask | 设置服务所继承的umask。参数值应该是一个八进制数字，该属性也可以设置到defaults项中。xinetd自己的umask默认是022，如果你没有设置umask属性，那么所有xinetd的子进程的umask将都是022 |
enabled | 其参数值是一个服务名称的列表，表示该列表中的服务将被启用，其余的则不被启用。然而，如果某个服务设置使用了disable或者DISABLE 标记（flag），即使该服务被设置在enabled列表中，也不会被启用。参见disable属性和flags的DISABLE标记 |
disabled | 只可用于defaults项，指定被关闭的服务列表，是用空格分开的、不可用的服务列表来表示的。它和在/etc/xinetd.conf文件中注释掉该服务项有相同的效果 |
include | 使用“include /etc/xinetd.d/service_name”这样的格式来引入一个文件。这跟直接将引入文件的内容放到xinetd.conf中是不同的，因为那里默认已经有了include指令。需要注意的是，其一，被引入文件的格式应该是跟xined.conf格式相同；其二，不可以在某个服务的声明部分使用此指令，应当放在声明之外的地方 |
includedir | 使用“includedir /etc/xinetd.d”这样的格式引入一个目录作为xinetd配置文件的存放目录。指定目录下除了文件名包括点号（.）或者以引号（“ ”）结束的文件，都将视作xinetd的服务配置文件。跟include指令一样，该指令也不可以放在服务的声明部分 |
rlimit_as | 设置服务的地址资源限制。参数值应该是以字节为单位的正整数或者UNLIMITED关键字。由于libc malloc的实现机制，在Linux系统上设置该属性比设置rlimit_rss、rlimit_data和rlimit_stack属性更有效，这个资源限制的属性只可以在Linux系统上设置 |
rlimit_cpu | 设置服务最多可占用的CPU秒数。参数值应该是以秒为单位的正整数或者UNLIMITED关键字 |
rlimit_data | 设置服务的最大数据量。参数值应该是以字节为单位的正整数或者UNLIMITED关键字 |
rlimit_rss | 设置服务的最大常驻内存。参数值应该是以字节为单位的正整数或者UNLIMITED关键字 |
rlimit_stack | 设置服务的最大堆栈大小。参数值应该是以字节为单位的正整数或者UNLIMITED关键字 |
deny_time | 设置对于所有IP，所有服务的访问被禁用的时间长度。参数值可以是以分钟为单位的正整数、FOREVER和NEVER。如果你设置为FOREVER，在xinetd重启之前一直有效；NEVER只对那些非法的IP地址有效；数字一般设置为60，设置为这个数值基本就可以防范DoS攻击了。需要注意的是，这个标记必须与SENSOR标记（flags）结合使用 |
4．基本属性
上面的列表是xinetd可用的所有属性，然而，针对一个服务并不需要指定上面所有的属性，其实必需的属性只有几个，如表4-4所示。
表4-4 xinetd设定服务必需的属性
xinetd设定服务必需的属性 | |
属 性 | 适用范围 |
socket_type | 所有服务 |
user | Non_internal service only 非内部服务 |
server | Non_internal service only 非内部服务 |
wait | 所有服务 |
protocol | 不在/etc/services中的所有RPC服务和所有其他服务 |
rpc_vision | 所有RPC服务 |
rpc_number | 不列在/etc/rpc中的任何RPC服务 |
port | 不在/etc/services中的非RPC服务 |
5．支持多操作符的属性
对于大多数的服务而言，在针对一个服务的设定中操作符只能出现一次，并只支持＝操作符，然而，下面的六个属性可以支持多个操作符，如表4-5所示。
表4-5 支持多操作符的属性
支持多操作符的属性 | |
属 性 | 支持范围 |
only_from | 支持所有操作符 |
no_access | |
log_on_success | |
log_on_failure | |
passenv | |
env | 不支持-=操作符 |
6．默认属性
defaults项是实现为所有服务指定某些属性的默认值。这些默认值可被每个服务项取消或修改。表4-6列出可在defaults项中指定的属性。这个表也指明了具体服务项中可以修改哪些属性。
可用的defaults属性 | |
属 性 | 适用范围 |
log_on_success | 可以用=操作符改写，或用+=或-=操作符修改 |
log_on_failure | |
only_from | |
no_access | |
passenv | |
instances | 可以用=操作符改写 |
log_type | |
disabled | 注销掉的服务 |
enabled | 指定启用的服务 |
表4-6 可用的defaults属性
7．disabled与enabled
前者的参数是禁用的服务列表，后者的参数是启用的服务列表。他们的共同点是格式相同（属性名、服务名列表与服务中间用空格分开，例如disabled = in.tftpd in.rexecd），此外，它们都是作用于全局的。如果在disabled列表中被指定，那么无论包含在列表中的服务是否有配置文件和如何设置，都将被禁用；如果enabled列表被指定，那么只有列表中的服务才可启动，如果enabled没有被指定，那么disabled指定的服务之外的所有服务都可以启动。
8．注意问题
① 在重新配置的时候，下列的属性不能被改变：socket_type、wait、protocol、type；
② 如果only_from和no_access属性没有被指定（无论在服务项中直接指定还是通过默认项指定），那么对该服务的访问IP将没有限制；
③ 地址校验是针对IP地址而不是针对域名地址。
