Como desabilitar o acesso à Internet de um processo, mas permitir localhost?

Question

No Ubuntu 17.04, eu tenho tentado usar tabelas IP para bloquear a conexão de internet de um processo, mas permitir localhost, particularmente 127.0.0.1:5500 (um servidor criado pelo processo).

Embora o processo não consiga acessar a Internet, ele também acessa 127.0.0.1:5500. Tentar pingar 127.0.0.1 resulta em "ping: sendmsg: Operation not permitted" .

Eu segui isso abaixo: link .

Meu arquivo de tabelas IP é:

#!/bin/bash
iptables -A OUTPUT -m owner --gid-owner no-internet -d 192.168.1.0/24 -j ACCEPT
iptables -A OUTPUT -m owner --gid-owner no-internet -d 127.0.0.0/8 -j ACCEPT
iptables -A OUTPUT -m owner --gid-owner no-internet -j DROP

Que eu corro com sudo -g no-internet <command> , ou seja, sudo -g no-internet firefox .

Existe alguma coisa que estou fazendo errado ou isso simplesmente não é possível? Existe uma maneira melhor de fazer isso?