linux下禁用某个程序访问网络

1.建个新组, 加成员

sudo addgroup no-internet

sudo adduser $your_user -g no-internet 增加本用户入组，不然运行是提示输入密码

2.加iptables规则来禁止组访问网络

iptables -I OUTPUT 1 -m owner --gid-owner no-internet -j DROP

ip6tables -I OUTPUT 1 -m owner --gid-owner no-internet -j DROP #否则使用ipv6的网络依然可以通过

3.通过sg来跑程序(用其他组ID来执行命令)

sg no-internet "ping www.baidu.com"

在快捷方式中添加EXEC = sg no-internet

4.在/etc/network/if-pre-up.d新建iptables-rules 可执行脚本

#!/bin/sh

/usr/sbin/ip6tables -I OUTPUT 1 -m owner --gid-owner no-internet -j DROP

/usr/sbin/iptables -I OUTPUT 1 -m owner --gid-owner no-internet -j DROP

这样网络启动时规则自动加入

https://www.zhihu.com/question/419420632