como fazer corretamente o firewall bloquear qualquer aplicativo por grupo?

Question

para bloquear o aplicativo eu segui este , mas como:

groupadd nonet
adduser $USER nonet
iptables -A OUTPUT -m owner --gid-owner nonet -j REJECT #put at /etc/rc.local

sudo -k iptables --list |grep nonet #to confirm
#REJECT all -- anywhere anywhere owner GID match nonet reject-with icmp-port-unreachable

para testar (após a reinicialização):

sg nonet "ping www.google.com" #was blocked
sg nonet "google-chrome" #was able to connect, why?
sg nonet "links2" #was able to connect, why?

# showed all properly being on group nonet
ps --forest -A -o pid,ppid,user,group,cmd |egrep "links|chrome"

Portanto, não funcionou para alguns aplicativos.
Como é a maneira correta de permitir que a regra de firewall (por grupo) funcione para todos os aplicativos (ao usar sg nonet )?

ps .: ubuntu 16.04 aqui