Olhe - man iptables menciona o módulo owner , que permite selecionar pacotes relacionados a usuários / grupos, mas somente os de saída ( OUTPUT e POSTROUTING ) mas como o netfilter do Linux também tem um excelente suporte de rastreamento de conexão, você pode trazer para o módulo de jogo connmark e também separar o tráfego de entrada correspondente.