linux中有iptables和tcp_wrappers防火牆，iptables防火牆原理爲三個表（mangle、nat和filter）五個鏈（PREROUTING、INPUT、FORWORDING、OUTPUT、POSTROUTING）控制數據流量。tcp_wrapper防火牆的由hosts.allow和hosts.deny兩個配置文件決定數據轉發。
數據訪問linux系統首先匹配hosts.allow文件，如果源IP及port能夠滿足.allow的條件則直接接收或轉發。如果沒有在hosts.allow中的匹配條目中，則系統檢查hosts.deny配置文件。如果能夠匹配到hosts.deny中的條目，則拒絕。
hosts.allow #service：host(s) [:action] sshd:ALL:allow :allow 可以省略
hosts.deny文件同理。