xinetd - 台部落

4.3.1 什么是xinetd

xinetd即extended internet daemon，xinetd是新一代的网络守护进程服务程序，又叫超级Internet服务器。经常用来管理多种轻量级Internet服务。xinetd提供类似于inetd+tcp_wrapper的功能，但是更加强大和安全。

4.3.2 xinetd的特色

1．强大的存取控制功能

— 内置对恶意用户和善意用户的差别待遇设定。

— 使用libwrap支持，其效能更甚于tcpd。

— 可以限制连接的等级，基于主机的连接数和基于服务的连接数。

— 设置特定的连接时间。

— 将某个服务设置到特定的主机以提供服务。

2．有效防止DoS***

— 可以限制连接的等级。

— 可以限制一个主机的最大连接数，从而防止某个主机独占某个服务。

— 可以限制日志文件的大小，防止磁盘空间被填满。

3．强大的日志功能

— 可以为每一个服务就syslog设定日志等级。

— 如果不使用syslog，也可以为每个服务建立日志文件。

— 可以记录请求的起止时间以决定对方的访问时间。

— 可以记录试图非法访问的请求。

4．转向功能

可以将客户端的请求转发到另一台主机去处理。

5．支持IPv6

xinetd自xinetd 2.1.8.8pre*起的版本就支持IPv6，可以通过在./configure脚本中使用with-inet6 capability选项来完成。注意，要使这个生效，核心和网络必须支持IPv6。当然IPv4仍然被支持。

6．与客户端的交互功能

无论客户端请求是否成功，xinetd都会有提示告知连接状态。

7．Xinetd的缺点

当前，它最大的缺点是对RPC支持的不稳定性，但是可以启动protmap，使它与xinetd共存来解决这个问题。

4.3.3 使用xinetd启动守护进程

原则上任何系统服务都可以使用xinetd，然而最适合的应该是那些常用的网络服务，同时，这个服务的请求数目和频繁程度不会太高。像DNS和Apache就不适合采用这种方式，而像FTP、Telnet、SSH等就适合使用xinetd模式，系统默认使用xinetd的服务可以分为如下几类。

① 标准Internet服务：telnet、ftp。

② 信息服务：finger、netstat、systat。

③ 邮件服务：imap、imaps、pop2、pop3、pops。

④ RPC服务：rquotad、rstatd、rusersd、sprayd、walld。

⑤ BSD服务：comsat、exec、login、ntalk、shell、talk。

⑥ 内部服务：chargen、daytime、echo、servers、services、time。

⑦ 安全服务：irc。

⑧ 其他服务：name、tftp、uucp。

具体可以使用xinetd的服务在/etc/services文件中指出。这个文件的节选内容如下所示：

# /etc/services:

# $Id: services,v 1.40 2004/09/23 05:45:18 notting Exp $

# service-name port/protocol [aliases ...] [# comment]

tcpmux 1/tcp # TCP port service multiplexer

tcpmux 1/udp # TCP port service multiplexer

rje 5/tcp # Remote Job Entry

rje 5/udp # Remote Job Entry

echo 7/tcp

echo 7/udp

discard 9/tcp sink null

discard 9/udp sink null

………

Internet网络服务文件中，记录网络服务名和它们对应使用的端口号及协议。文件中的每一行对应一种服务，它由4个字段组成，中间用Tab键或空格键分隔，分别表示“服务名称”、“使用端口”、“协议名称”及“别名”。在一般情况下，不要修改该文件的内容，因为这些设置都是Internet标准的设置。一旦修改，可能会造成系统冲突，使用户无法正常访问资源。Linux系统的端口号的范围为0~65 535，不同范围的端口号有不同的意义。

— 0：不使用。

— 1~1 023：系统保留，只能由root用户使用。

— 1 024~4 999：由客户端程序自由分配。

— 5 000~65 535：由服务器程序自由分配。

4.3.4 解读/etc/xinetd.conf和/etc/xinetd.d/*

1．/etc/xinetd.conf

xinetd的配置文件是/etc/xinetd.conf，但是它只包括几个默认值及/etc/xinetd.d目录中的配置文件。如果要启用或禁用某项xinetd服务，编辑位于/etc/xinetd.d目录中的配置文件。例如，disable属性被设为yes，表示该项服务已禁用；disable属性被设为no，表示该项服务已启用。/etc/xinetd.conf有许多选项，下面是RHEL 4.0的/etc/xinetd.conf。

# Simple configuration file for xinetd

# Some defaults, and include /etc/xinetd.d/

defaults

{

instances = 60

log_type = SYSLOG authpriv

log_on_success = HOST PID

log_on_failure = HOST

cps = 25 30

}

includedir /etc/xinetd.d

— instances = 60：表示最大连接进程数为60个。

— log_type = SYSLOG authpriv：表示使用syslog进行服务登记。

— log_on_success= HOST PID：表示设置成功后记录客户机的IP地址的进程ID。

— log_on_failure = HOST：表示设置失败后记录客户机的IP地址。

— cps = 25 30：表示每秒25个入站连接，如果超过限制，则等待30秒。主要用于对付拒绝服务***。

— includedir /etc/xinetd.d：表示告诉xinetd要包含的文件或目录是/etc/xinetd.d。

2．/etc/xinetd.d/*

下面以/etc/xinetd.d/中的一个文件（rsync）为例。

service rsync

{

disable = yes

socket_type = stream

wait = no

user = root

server = /usr/bin/rsync

log_on_failure += USERID

}

下面说明每一行选项的含义。

— disable = yes：表示禁用这个服务。

— socket_type = stream：表示服务的数据包类型为stream。

— wait = no：表示不需等待，即服务将以多线程的方式运行。

— user = root：表示执行此服务进程的用户是root。

— server = /usr/bin/rsync：启动脚本的位置。

— log_on_failure += USERID：表示设置失败时，UID添加到系统登记表。

4.3.5 配置xinetd

1．格式

/etc/xinetd.conf中的每一项具有下列形式：

service service-name

{

……

}

其中service是必需的关键字，且属性表必须用大括号括起来。每一项都定义了由service-name定义的服务。

service-name是任意的，但通常是标准网络服务名，也可增加其他非标准的服务，只要它们能通过网络请求激活，包括localhost自身发出的网络请求。有很多可以使用的属性，稍后将描述必需的属性和属性的使用规则。

操作符可以是=、+=或-=。所有属性可以使用=，其作用是分配一个或多个值，某些属性可以使用+=或-=，其作用分别是将其值增加到某个现存的值表中，或将其值从现存值表中删除。

2．配置文件

3．属性列表

xinetd共有45个属性，你可以通过man xinetd.conf获得英文原文，属性列表如表4-3所示。

表4-3 xinetd的属性列表

^属性选项	^功能描述
^id	^{该属性被用来唯一地指定一项服务。因为有些服务的区别仅仅在于使用不同的协议，因此需要使用该属性加以区别。默认情况下，}^id^{和服务名相同。如}^echo^同时支持^dgram^和^stream^{服务。设置}^{id=echo_dgram}^和^{id=echo_stream}^{来分别唯一标志两个服务}
^type	^{可以是下列一个或多个值。} ^RPC^：^RPC^{类型的服务。} ^INTERNAL^：由^xinetd^{自身提供的服务，如}^echo^。 ^UNLISTED^{：没有列在标准系统文件如}^/etc/rpc^或^/etc/service^中的服务
^flags	^{可以是以下一个或多个选项的任意组合。} ^REUSE^：设置^{TCP/IP socket}^{可重用。也就是在该服务}^socket^中设置^SO_REUSEADDR^{标志。当中断}^时重新^启动^xinetd^。 ^INTERCEPT^{：截获数据包进行访问检查，以确定是否来自于允许进行连接的位置。}^INTERNAL^{服务和多线程服务不可使用该属性值。}

续表

^属性选项	^功能描述
^flags	^NORETRY^：如果^fork^失败，^不^重试。 ^IDONLY^{：只有在远程端识别远程用户时才接受该连接（也就是远程系统必须运行}^ident^{服务器），该标记只适用于面向连接的服务。若没有使用}^USERID^{记录选项，则该标记无效，}^{log_on_success}^或^{log_on_failure}^属性设置^USERID^{值以使该值生效。仅用于多线程的流服务。} ^NAMEINARGS^：允许^server_args^{属性中的第一个参数}^是进程^{的完全合法路径，此时，}^server^属性采用^inetd^{的方式来指定（此标签的作用是表明该服务采用}^tcpd^{的方式来处理，而不是}^tcp^wrapper^，参见^NOLIBWRAP^标记）。 ^NODELAY^：^若服务^为^tcp^{服务，并且}^NODELAY^{标记被设置，则}^TCP_NODELAY^{标记将被设置。}^若服务^不是^tcp^{服务，则该标记无效。} ^DISABLE^：具有^DISABLE^{标记的服务表示被禁用。该标记将覆盖}^enable^{的指定，即如果你指定了}^“^enable=foo^”^，若^foo^具有^DISABLE^{标记，那么}^foo^{仍将被禁用。使用了该标记的服务不会被提醒。} ^KEEPALIVE^{：如果一个}^tcp^{服务设置了}^KEEPALIVE^{标记，那么该服务的}^socket^将被设置^SO_KEEPALIVE^{标记，对非}^TCP^{类型的服务设置该标记无任何作用。}
^flags	^NOLIBWRAP^：禁用^tcpwrap^库来决定^{一个服务的请求访问控制。}^像^xinetd^{，需要长时间的运行（系统启动后一直运行），一直调用}^libwrap^{函数库是不可取的，这种类型的服务就需要设置该标记，它们可以直接调用而无须调用}^libwrap^{函数库来控制}^{访问请求（参见}^NAMEINARGS^标记）。 ^SENSOR^{：该标记的作用是使用一个传感器（}^SENSOR^{）来代替当前的服务。使用该标记需要注意几个问题：其一，你应当确认该服务是你不需要的或者是你不想提供该服务；其二，它不能觉察秘密的扫描动作；其三，它将觉察该服务指定端口的请求，并记录到作用于全局的}^no_access^{列表中，这就使得请求过该服务的}^IP^在^deny_time^{指定的时间过期之前一直都拒绝访问；其四，它还使得}^xinetd^{认为该服务的}^server^属性是^INTERNAL^{；其五，如果使用了该标记的}^socket_type^为^stream^{的服务设置，你需要设置}^wait^为^no
^disable	^{可以设置为}^yes^或^no^，设置为^yes^{将禁用一个服务，详见}^flags^的^disable^标签
^socket_type	^使用的^{TCP/IP socket}^类型，^值可能^为^stream^（^TCP^），^dgram^（^UDP^），^raw^和^seqpacket^{（可靠的有序数据包）}
^protocol	^{指定该服务使用的协议，其值必须是在}^{/etc/protocols}^{中定义的。如果不指定，使用该项服务的默认协议}
^wait	^{这个属性有两个可能的值。如果是}^yes^，那么^xinetd^{会启动对方请求的进程，并停止处理该项服务的其他请求直到该进程终止，适合於单线程服务；如果是}^no^，那^xinetd^{会为每个请求启动的一个进程，而不管先前启动的进程的状态，适合于多线程服务}
^user	^{设置服务进程的}^UID^。若^xinetd^的有效^UID^不是⁰^{，该属性无效}
^group	^{设置进程的}^GID^。若^xinetd^的有效^UID^不是⁰^{，该属性无效}
^instances	^{接受一个大于或等于}¹^的整数或^UNLIMITED^{。设置可同时运行的最大进程数。}^UNLIMITED^意味着^xinetd^{对该数没有限制}
^nice	^{指定进程的}^nice^{值。它决定了服务的优先级，参数值是某个数字，可以为负数}
^server	^{要激活的进程，必须指定完整的路径}
^server_args	^{指定传送给该进程的参数，但是不包括服务程序名}
^only_from	^{用空格分开的允许访问服务的客户机列表。如果不为该属性指定一个值，就拒绝任何人访问这项服务。该属性支持所有操作符。访问控制表的语法如下：} ^a^{）用数字表示的}^IP^{地址，格式为}^{%d. %d. %d. %d}^{。如果最右边的一位是}⁰^{，将被看作通配符。举例来说，}^10.35.1.0^表示^10.35.1^{段内的任何地址都满足条件；如果地址是}^0.0.0.0^{，则匹配所有的}^IP^地址。 ^b^{）分解列出的}^IP^{地址，格式为}^{%d. %d. %d}^.{^{%d. %d}^…^}^{。当然，并不是一定要四个部分都列出，例如，}^{%d. %d.{ %d. %d}^…^}^{，这样的格式也是可以的，然而，被分解列出的部分必须在最后面，例如，}^{%d.{ %d. %d}^…^}.%d.%d^{，这样的格式是不允许的。} ^c^{）网络名。}^{/etc/networks}^{中的网络名。}

续表

^属性选项	^功能描述
^only_from	^d^{）主机名或域名。当一个}^IP^{地址连接到}^xinetd^{上的时候，它会对这个}^IP^{进行反向解析，得出相应的主机名，然后与指定的主机名进行比较，查看是否匹配。当然也可以使用域名，道理是一样的。} ^e^）网络^/^{子网。格式为}^{IP Address/netmask}^，例如，^1.2.3.4/32
^no_access	^{用空格分开的拒绝访问服务的}^{客户机列表}^{。该属性支持所有操作符，访问控制表的语法参见}^only_from^。 ^Only_from^和^no_access^{决定了一个远程连接能否访问某个服务。如果这两个属性都没有设置，那么任何人都可以请求该服务；如果都设置了，那么，最匹配的那个记录优先。例如，你在}^only_from^中设定了^10.35.1.0^{可以访问，然后又在}^no_access^中设定^10.35.1.10^{禁止访问，那么，}^10.35.1^段内除了^10.35.1.10^外的^IP^{地址都可以访问}
^access_time	^{设置服务的可用时段，也就是说，在哪一段时间里可以使用}^本服务^。格式是^hh:mm_hh:mm^;^如⁰⁸^：^00-18^：⁰⁰^{，意味着从}^8AM^到^6PM^{可使用这项服务}
^log_type	^指定服务^log^{的记录方式。} ^{SYSLOG facility[level]}^：设置^facility^为^daemon^，^auth^，^user^或^local0-7^；^level^{是可选的，可用的}^level^值为^emerg^，^alert^，^crit^，^err^，^warning^，^notice^，^info^，^debug^{，默认值为}^info^。 ^{file[soft[hard]]}^：指定用^file^记录^log^，而不是^syslog^。限度^soft^和^hard^用^KB^{指定（可选）。一旦达到}^soft^限，^xinetd^{就登记一条消息。一旦达到}^hard^限，^xinetd^就^{停止登记使用该文件的所有服务。如果不指定}^hard^限，它为^soft^加¹^%^{，但默认时不超过}^20MB^，默认^soft^限是^5MB
^{log_on_success}	^{指定成功时登记的信息，默认时不登记任何信息。该属性支持所有操作符。可能的值有以下几种。} ^PID^：进程的^PID^{。如果一个新进程没被分叉，}^PID^设置为⁰^。 ^HOST^：客户机^IP^地址。 ^USERID^：通过^RFC1413^{调用捕获客户机用户的}^UID^{。只可用于多线程的流服务。} ^EXIT^{：登记进程终止的状态。} ^DURATION^{：登记会话持续期}
^{log_on_failure}	^{指定失败时登记的信息。总是登记表明错误性质的消息，默认时不登记任何信息。该属性支持所有操作符。可能的值是有以下几种。} ^ATTEMPT^{：记录一次失败的尝试，所有其他值隐含为这个值。} ^HOST^：客户机^IP^地址。 ^USERID^：通过^RFC1413^{调用捕获客户机用户的}^UID^{。只可用于多线程的流服务。} ^RECORD^{：记录附加的客户机信息，如本地用户、远程用户和终端的类型}
^rpc_version	^指定^RPC^{版本号或服务号。版本号可以是一个单}^值或者^{一个范围，如}^2~3
^rpc_number	^如果^RPC^{程序号不在}^/etc/rpc^{中，就指定它}
^env	^{用空格分开的}^VAR=VALUE^表，其中^VAR^是一个^shell^{环境变量，}^VALUE^{是其设置值。这些设置在服务被激活时被追加到服务的环境变量中。这个属性支持＝和＋＝操作符}
^passenv	^{用空格分开的}^xinetd^{环境中的环境变量表，该表在激活时传递给服务程序。如果设置的值为空就不传送任何变量（除了在}^env^{中指定的变量）。该属性支持所有操作符}
^port	^{定义该项服务相关的端口号。如果该服务在}^{/etc/services}^{中列出，它们必须匹配}
^redirect	^{该属性语法为}^{redirect=Ipaddress port}^。它把^tcp^{服务重定向到另一个系统。如果使用该属性，就忽略}^server^属性
^bind	^{把一项服务绑定到一个特定界面。语法是}^{bind=ipaddress/interface}^{。这意味着你的}^telnet^{服务可以监听一个本地的安全的端口，而不是一个外部的界面。或者，同一个端口在某个网络界面上可以做某件事情，同时，在另一个界面上可以做完全不同的事情}
^interface	^等同于^bind
^banner	^{无论该连接是否被允许，}^当建立^{连接时就将该文件显示给客户机}
^{banner_success}	^{当连接授权通过}^时显示^{banner_success}^{指定的文件中包含的信息}

续表

^属性选项	^功能描述
^banner_fail	^{当客户端的请求违反控制规则}^时显示^banner_fail^{指定的文件中包含的信息，以告知用户他们正在试图请求不被允许的服务}
^per_source	^参数^值可以^{为整数或者}^UNLIMITED^{关键字。它表示每一个}^IP^{地址上最多可以建立的实例数目。本属性也可以定义在}^defaults^部分
^cps	^{用来设定连接速率。它需要两个参数，第一个参数表示每秒可以处理的连接数，如果超过了这个连接}^{数时，之后}^{进入的连接将被暂时停止处理；第二个参数表示停止处理}^{多少秒后，继续}^{处理先前暂停处理的连接}
^max_load	^用一个^浮^{点数作为负载系数，当负载达到这个数目的时，该服务将停止处理后续的连接}
^groups	^{可以设置为}^yes^或^no^{。如果设置为}^yes^{，将允许对该服务起作用的组中包含的用户来访问，如果设置为}^no^{，将设置服务进程的}^GID^。如果^xinetd^的有效^GID^不是⁰^{，则该属性无效。在}^BSD^{类的系统上，很多服务需要设置该属性为}^yes^{，这个属性也可以设置在}^defaults^部分
^umask	^{设置服务所继承的}^umask^。参数^值应该^{是一个八进制数字，该属性也可以设置到}^defaults^项中。^xinetd^自己的^umask^默认是⁰²²^{，如果你没有设置}^umask^{属性，那么所有}^xinetd^的^子进程^的^umask^将都是⁰²²
^enabled	^{其参数值是一个服务名称的列表，表示该列表中的服务将被启用，其余的则不被启用。然而，如果某个服务设置使用了}^disable^或者^DISABLE^标记（^flag^{），即使该服务被设置在}^enabled^{列表中，也不会被启用。参见}^disable^属性和^flags^的^DISABLE^标记
^disabled	^只可用于^defaults^{项，指定被关闭的服务列表，是用空格分开的、}^不^{可用的服务列表来表示的。它和在}^{/etc/xinetd.conf}^文件中^{注释掉该服务}^{项有相同的效果}
^include	^使用“^{include /etc/xinetd.d/service_name}^{”这样的格式来引入一个文件。这跟直接将引入文件的内容放到}^xinetd.conf^{中是不同的，因为那里默认已经有了}^include^{指令。需要注意的是，其一，被引入文件的格式应该是跟}^xined.conf^{格式相同；其二，不可以在某个服务的声明部分使用此指令，应当放在声明之外的地方}
^includedir	^使用“^includedir^{/etc/xinetd.d}^{”这样的格式引入一个目录作为}^xinetd^{配置文件的存放目录。指定目录下除了文件名包括点号（}^.^{）或者以引号（}^{“ ”}^{）结束的文件，都将视作}^xinetd^{的服务配置文件。跟}^include^{指令一样，该指令也不可以放在服务的声明部分}
^rlimit_as	^{设置服务的地址资源限制。参数}^值应该^{是以字节为单位的正整数或者}^UNLIMITED^{关键字。由于}^libc^malloc^{的实现机制，在}^Linux^{系统上设置该属性比设置}^rlimit_rss^、^rlimit_data^和^rlimit_stack^{属性更有效，这个资源限制的属性只可以在}^Linux^{系统上设置}
^rlimit_cpu	^{设置服务最多可占用的}^CPU^{秒数。参数}^值应该^{是以秒为单位的正整数或者}^UNLIMITED^关键字
^rlimit_data	^{设置服务的最大数据量。参数}^值应该^{是以字节为单位的正整数或者}^UNLIMITED^关键字
^rlimit_rss	^{设置服务的最大常驻内存。参数}^值应该^{是以字节为单位的正整数或者}^UNLIMITED^关键字
^rlimit_stack	^{设置服务的最大堆栈大小。参数}^值应该^{是以字节为单位的正整数或者}^UNLIMITED^关键字
^deny_time	^{设置对于所有}^IP^{，所有服务的访问被禁用的时间长度。参数}^值可以^{是以分钟为单位的正整数、}^FOREVER^和^NEVER^{。如果你设置为}^FOREVER^，在^xinetd^{重启之前一直有效；}^NEVER^{只对那些非法的}^IP^{地址有效；数字一般设置为}⁶⁰^{，设置为这个数值基本就可以防范}^DoS^{***了。需要注意的是，这个标记必须与}^SENSOR^标记（^flags^{）结合使用}

4．基本属性

上面的列表是xinetd可用的所有属性，然而，针对一个服务并不需要指定上面所有的属性，其实必需的属性只有几个，如表4-4所示。

表4-4 xinetd设定服务必需的属性

^xinetd^{设定服务必需的属性}
^属^性	^适用范围
^socket_type	^所有服务
^user	^{Non_internal service only}^{非内部服务}
^server	^{Non_internal service only}^{非内部服务}
^wait	^所有服务
^protocol	^不在^{/etc/services}^中的所有^RPC^{服务和所有其他服务}
^rpc_vision	^所有^RPC^服务
^rpc_number	^不列在^/etc/rpc^中的任何^RPC^服务
^port	^不在^{/etc/services}^中的非^RPC^服务

5．支持多操作符的属性

对于大多数的服务而言，在针对一个服务的设定中操作符只能出现一次，并只支持＝操作符，然而，下面的六个属性可以支持多个操作符，如表4-5所示。

表4-5 支持多操作符的属性

^{支持多操作符的属性}
^属^性	^支持范围
^only_from	^{支持所有操作符}
^no_access
^{log_on_success}
^{log_on_failure}
^passenv
^env	^不支持^-⁼^操作符

6．默认属性

defaults项是实现为所有服务指定某些属性的默认值。这些默认值可被每个服务项取消或修改。表4-6列出可在defaults项中指定的属性。这个表也指明了具体服务项中可以修改哪些属性。

表4-6 可用的defaults属性

^可用的^defaults^属性
^属^性	^适用范围
^{log_on_success}	^可以用⁼^{操作符改写，或用}⁺⁼^或^-⁼^{操作符修改}
^{log_on_failure}
^only_from
^no_access
^passenv
^instances	^可以用⁼^{操作符改写}
^log_type	^可以用⁼^{操作符改写}
^disabled	^{注销掉的服务}
^enabled	^{指定启用的服务}

7．disabled与enabled

前者的参数是禁用的服务列表，后者的参数是启用的服务列表。他们的共同点是格式相同（属性名、服务名列表与服务中间用空格分开，例如disabled = in.tftpd in.rexecd），此外，它们都是作用于全局的。如果在disabled列表中被指定，那么无论包含在列表中的服务是否有配置文件和如何设置，都将被禁用；如果enabled列表被指定，那么只有列表中的服务才可启动，如果enabled没有被指定，那么disabled指定的服务之外的所有服务都可以启动。

8．注意问题

① 在重新配置的时候，下列的属性不能被改变：socket_type、wait、protocol、type；

② 如果only_from和no_access属性没有被指定（无论在服务项中直接指定还是通过默认项指定），那么对该服务的访问IP将没有限制；

③ 地址校验是针对IP地址而不是针对域名地址。

4.3.6 xinetd防止拒绝服务***（Denial of Services）的原因

xinetd能有效地防止拒绝服务***（Denial of Services）的原因如下。

1．限制同时运行的进程数

通过设置instances选项设定同时运行的并发进程数：

instances＝20

当服务器被请求连接的进程数达到20个时，xinetd将停止接受多出部分的连接请求。直到请求连接数低于设定值为止。

2．限制一个IP地址的最大连接数

通过限制一个主机的最大连接数，从而防止某个主机独占某个服务。

per_source＝5

这里每个IP地址的连接数是5个。

3．限制日志文件大小，防止磁盘空间被填满

许多***者知道大多数服务需要写入日志。***者可以构造大量的错误信息并发送出来，服务器记录这些错误，可能就造成日志文件非常庞大，甚至会塞满硬盘。同时会让管理员面对大量的日志，而不能发现***者真正的***途径。因此，限制日志文件大小是防范拒绝服务***的一个方法。

log_type FILE.1 /var/log/myservice.log 8388608 15728640

这里设置的日志文件FILE.1临界值为8MB，到达此值时，syslog文件会出现告警，到达15MB，系统会停止所有使用这个日志系统的服务。

4．限制负载

xinetd还可以使用限制负载的方法防范拒绝服务***。用一个浮点数作为负载系数，当负载达到这个数目的时候，该服务将暂停处理后续的连接。

max_load = 2.8

上面的设定表示当一项系统负载达到2.8时，所有服务将暂时中止，直到系统负载下降到设定值以下。

说明要使用这个选项，编译时应加入“--with-loadavg”，xinetd将处理max-load配置选项，从而在系统负载过重时关闭某些服务进程，来实现防范某些拒绝服务***。

5．限制所有服务器数目（连接速率）

xinetd可以使用cps选项设定连接速率，下面的例子：

cps = 25 60

上面的设定表示服务器最多启动25个连接，如果达到这个数目将停止启动新服务60秒。在此期间不接受任何请求。

6．限制对硬件资源的利用

通过rlimit_as和rlimit_cpu两个选项可以有效地限制一种服务对内存、中央处理器的资源占用：

rlimit_as = 8M

rlimit_cpu=20

上面的设定表示对服务器硬件资源占用的限制，最多可用内存为8MB，CPU每秒处理20个进程。

xinetd的一个重要功能是它能够控制从属服务可以利用的资源量，通过它的以上设置可以达到这个目的，有助于防止某个xinetd服务占用大量资源，从而导致“拒绝服务”情况的出现。