Как заблокировать доступ к интернету для определенных программ в Linux

Недавно я столкнулся с проблемой ограничения доступа в Интернет для определенных программ. Может кто-нибудь порекомендовать хороший способ сделать это без использования какого-либо конкретного программного обеспечения?

Решением для меня оказалось довольно простым.

1. Создайте, подтвердите новую группу; добавьте нужных пользователей в эту группу:
   • Создать: groupadd no-internet
   • Подтвердить: grep no-internet /etc/group
   • Добавить пользователя: useradd -g no-internet username

     Примечание: если вы изменяете уже существующего пользователя, вам следует выполнить: usermod -a -G no-internet userName
     проверьте с помощью: sudo groups userName

2. Создайте скрипт в вашем каталоге и сделайте его исполняемым:

• Создать: nano /home/username/.local/bin/no-internet
• Исполняемый: chmod 755 /home/username/.local/bin/no-internet
• Содержимое:

#!/bin/bash
exec sg no-internet "$@"

3. Добавьте правило iptables для блокировки сетевой активности для группы no-internet:

   • iptables -I OUTPUT 1 -m owner --gid-owner no-internet -j DROP

     Примечание: Не забудьте сделать изменения постоянными, чтобы они применялись автоматически после перезагрузки. Это зависит от вашей версии Linux.

4. Проверьте это, например, в Firefox, запустив: no-internet "firefox"

Если вы хотите сделать исключение и разрешить программе доступ к локальной сети:

• iptables -A OUTPUT -m owner --gid-owner no-internet -d 192.168.1.0/24 -j ACCEPT
• iptables -A OUTPUT -m owner --gid-owner no-internet -d 127.0.0.0/8 -j ACCEPT
• iptables -A OUTPUT -m owner --gid-owner no-internet -j DROP

ПРИМЕЧАНИЕ: В случае создания потомков правила будут соблюдены. Например, если вы запускаете программу с правилом no-internet и эта программа откроет окно браузера, правила все равно будут применены.

Более простой вариант: используйте firejail. Он запускает приложение внутри песочницы. В песочнице вы можете контролировать доступ приложения к любой сети или папке на вашем компьютере.

Чтобы запустить определенное приложение без доступа к сети, выполните следующее:

firejail --net=none <application>

В этом случае “Песочница выглядит как компьютер без каких-либо сетевых интерфейсов.” (См. раздел Сети в документации)

Например, firejail --net=none firefox запустит firefox без какого-либо сетевого соединения.

Установка

См. документацию по установке. Вам следует установить из системы пакетов в вашем дистрибутиве, или лучше получить последнюю версию LTS. (Например, эта последняя версия LTS, 9.56.2, также работает в Ubuntu 16.04.)

Из ответа на Как отключить интернет-соединение для одного процесса и Блокировать сетевой доступ процесса

Затем, запуск процесса без сетевого доступа так же прост, как:

unshare -n программа ...

Это создает пустое сетевое пространство имен для процесса. То есть,
он выполняется без сетевых интерфейсов, включая отсутствие обратной петли. В нижеследующем
примере мы добавляем -r для запуска программы только после того, как текущие эффективные
идентификаторы пользователя и группы были сопоставлены с идентификаторами суперпользователя (избегая
sudo):

unshare -r -n ping google.com

nftables может устанавливать правила файрвола на основе cgroups (они могут быть привязаны к каждой программе), синтаксис:

socket cgroupv2 level NUM PATH

PATH:

‘PATH’ – это путь в /sys/fs/cgroup, учтите, что ‘PATH’ относительный, поэтому вы должны исключить /sys/fs/cgroup/ из абсолютного пути. Например, /sys/fs/cgroup/system.slice/nginx.service это cgroup для nginx и его ‘PATH’ будет system.slice/nginx.service.

Большинство служб systemd ограничены в cgroups. Используйте systemd-cgls для просмотра дерева cgroup и systemd-cgls -u XXX.service для получения cgroup для конкретной службы. Например, systemd-cgls -u nginx.service возвратит /system.slice/nginx.service.

Обратите внимание, что вам следует удалить первый /, так что ‘PATH’ должен быть system.slice/nginx.service. Если в вашем пути содержится символ ‘@’, пожалуйста, используйте nft --interactive для установки правил файрвола, иначе символ будет неправильно интерпретирован.

Хотя cgroups будут настройны для каждой службы systemd автоматически, вы можете изменить или создать файлы единиц systemd для тонкой настройки параметров cgroup, если у вас есть специальные потребности. Теоретически, вы можете установить правила для всех программ в операционной системе с поддержкой systemd. См. systemd.unit(5) и systemd.slice(5) для получения дополнительной информации.

Даже самая базовая единица systemd прикреплена к cgroup:

[Unit]
Description="Моя программа"

[Service]
ExecStart="/usr/bin/my_program"

Если вы не используете systemd, вы также можете добавить программу в cgroups вручную. См. документацию по ядру cgroups для получения дополнительной информации.

NUM:

‘NUM’ указывает уровень cgroups, который будет сопоставлен в правиле файрвола.
В нашем предыдущем примере socket cgroupv2 level 2 "system.slice/nginx.service" точно соответствует службе nginx. Тогда как socket cgroupv2 level 1 "system.slice/nginx.service" соответствует всем cgroups под “system.slice/”, таким образом, не только nginx, но и другие программы в этом каталоге также будут соответствовать, например, “snapd.service”.

Очень простой пример:

Чтобы предотвратить доступ nginx в Интернет (предполагая, что у вас уже есть inet таблица под названием ‘filter’ и цепочка под названием ‘output’):

nft add rule inet filter output socket cgroupv2 level 2 "system.slice/nginx.service" drop