4.6.4. 限制访问某些服务端的服务

对系统安全而言，尽可能的禁用服务程序，是一个好的主意。网络服务是危险的。有不使用的服务，不管是直接由后台守护进程（daemon）)激活，还是通过super-server 程序激活，都被认为是安全风险。

许多程序,比如说 sshd(8), 使用基于 PAM 的访问控制。也还有许多方式来限制访问一些服务端的程序。

• 配置文件: “/etc/default/<program_name>“

• 后台守护进程（daemon）)的服务单元配置

• PAM (Pluggable Authentication Modules)

• super-server 使用 “/etc/inetd.conf“

• TCP wrapper 使用 “/etc/hosts.deny“ 和 “/etc/hosts.allow“ , tcpd(8)

• Sun RPC“ 使用 /etc/rpc.conf“

• atd(8) 使用 “/etc/at.allow“ 和 “/etc/at.deny“

• crontab(1) 使用 “/etc/cron.allow“ 和 “/etc/cron.deny“

• Network firewall 或netfilter 框架

参见 第 3.2.6 节 “systemd 下的系统管理”, 第 4.5.1 节 “PAM 和 NSS 访问的配置文件”, 和 第 5.10 节 “Netfilter 网络过滤框架”.

	提示
	NFS 和其它基于 RPC 的程序，需要激活 Sun RPC 服务。

	提示
	如果你远程访问最新的 Debian 系统有问题，看下在”/etc/hosts.deny“里是否存在”ALL: PARANOID”这样讨厌的配置，请把它注释掉。(但是你必须注意这种行为所带来的安全风险。)