如何禁用单个进程的互联网连接？

Question

我知道PID某个特定进程的，并且我想仅禁用该进程的 Internet 访问，以便其他进程可以访问 Internet。

有什么办法可以做到吗？

---

我用谷歌搜索了一些东西，找到了一种禁用可执行程序互联网的方法。但我需要，例如，有两个运行chrome，一个可以访问互联网，另一个不能。

Answer 1

您可以尝试以下操作：

\n

\n

• unshare.\xe2\x80\x82对于终端程序来说似乎工作得很好。\xe2\x80\x82I\无法让它与X11一起工作。

  \n

    unshare -r -n ping google.com\n

  \n
\n

• bubblewrap。这是 Flatpak 使用的沙箱工具。直接使用我觉得比较复杂。

  \n
  \n
  • 泡泡监狱。这是一个前端bubblewrap。据我所知，它目前在 Debian/Ubuntu 存储库或 PPA 中不可用，因此您必须自己构建它。安装后，我发现它比 Firejail 更容易设置和使用。
  \n
  \n
\n

• Firejail .\xe2\x80\x82您可能需要修改配置才能使其正常工作。

  \n

    firejail --noprofile --net=none firefox\n

  \n
\n

\n

Answer 2

我刚刚遇到了同样的问题，并在ubuntuforums.org上找到了一个非常好的解决方案

概括

• 添加一个组“no-internet”并将您的用户添加到其中

  sudo addgroup no-internet
  sudo adduser $USER no-internet
  

• 添加 iptables 规则以阻止该组访问网络：

  iptables -I OUTPUT 1 -m owner --gid-owner no-internet -j DROP
  

• 运行您不想访问互联网的进程sg（以不同的组 ID 执行命令）：

  sg no-internet "process command line"
  

Answer 3

我建议使用防火墙规则来锁定该程序。如果您可以隔离程序正在使用的端口号，则可以阻止这些端口上的流量。您还可以使用 SELinux 或其他安全软件设置“每个进程”防火墙规则。

https://help.ubuntu.com/community/Gufw

如果您正在寻找更直接或更具有挑战性的东西，您可以按照此处记录的方式配置 IPTables 。