Regra de firewall para usuários locais e interativos?

Question

Eu quero adicionar uma regra de firewall que se aplique a um usuário interativo local. A intenção é restringir a caixa e permitir apenas conexões relacionadas à web e ao correio, além de atualizar as conexões de serviço. Ocasionalmente, precisarei abrir um navegador para procurar uma configuração para que eu precise permitir a conexão de saída quando estiver sentado no teclado.

A Referência do Pocket iptables do Linux não aborda o tópico.

Pergunta : É possível adicionar uma regra de firewall que filtre com base em objetos "usuário local" e "usuário interativo"?

    

Answer 1

Você pode filtrar pacotes de saída com base no fluxo do processo de origem. Por exemplo:

iptables -A OUTPUT -m owner --uid-owner some_user -j DROP

O iptables não consegue distinguir entre processos interativos e não interativos. Mas você pode querer olhar para o Linux CGROUP para isso. Especificamente, o subsistema net_cls . Você pode marcar pacotes com o subsistema net_cls e depois filtrá-los com iptables. Portanto, o processo seria primeiro colocar o shell do usuário interativo em um cgroup net_cls, que marca os pacotes de saída, e filtrar esses pacotes com o iptables.