如何通过Tcp-Wrapper在Linux系统中精确控制特定服务的物理地址访问权限？

本文共计849个文字，预计阅读时间需要4分钟。

Linux 上 TCP Wrappers 无法控制物理地址（即 MAC 地址）访问的问题，通常是因为它只工作在传输层（TCP），不解析数据链路层（MAC 地址）的信息。具体来说，`libwrap.so` 库本身不读取或匹配 MAC 地址。以下是简化的解释：

为什么 tcpd / hosts.allow 不支持 MAC 地址匹配

TCP Wrappers 的设计定位就是基于主机（IP 或域名）的粗粒度访问控制。它依赖内核交付给用户空间的 socket 连接请求，此时原始以太网帧早已被剥离，只剩 IP+端口信息。所有文档、源码和 man page（man 5 hosts_access）中均无任何关于 MAC、ether、hwaddr 等关键词的语法支持。