sshdは、inetd, xinetd経由で起動していないデーモンなのに、なぜtcp_wrapperの設定が反映されるのかと疑問に思ったら、起動時に、/etc/hosts.{allow|deny}を読込んでいるらしい。

やり方によっては、xinetd経由でも起動できるらしいが。