Blokiranje interneta specifičnemu uporabniku?

Uporabniku z imenom uporabnik1 bi rad onemogočil dostop do interneta, oziroma, rad bi mu omogočil samo dostop do enega IP-ja in do DNS-ov. Kako to naredim z iptables?

Načeloma naj bi delovalo tole:

sudo iptables -A OUTPUT -m owner --uid-owner uporabnik1 -j REJECT

Ampak ne deluje. Kakšna ideja?

Hmm, pogledam UID userja:

egrep -i "^matej" /etc/passwd

... in vidim, da je 1000:

matej:x:1000:1000:Matej,,,:/home/matej:/bin/bash

Torej rečem:

sudo iptables -A OUTPUT -m owner --uid-owner 1000 -j DROP

Internet mi še vedno dela!

sudo iptables -L

mi izpiše:

...
DROP       all  --  anywhere             anywhere             owner UID match matej
...

Ni mi jasno...

Hmm, tega si pa ne želim, ker imam tam nastavljenih cel kup pomembnih stvari. Koeksistenca ni možna?

Mogoče je problem v vrstnem redu izvajanja pravil. Če se ne motim se pravila znotraj posamezne verige izvajajo zaporedno. Probaj zamenjat vrstni red izvajanja pravil in daj pravilo

sudo iptables -A OUTPUT -m owner --uid-owner 1000 -j DROP

na začetek OUTPUT verige.

poweroff je 27. mar 2015 ob 13:13 izjavil:

Jup. Namesto -A je treba uporabiti -I

 sudo iptables -I OUTPUT -m owner --uid-owner 1000 -j DROP

...did the trick.

Jejheta, jejheta... To pomeni, da si pravilo dodajal kot zadnjega v vrsti in je bilo pravilo, ki je promet dovoljevalo nekje pred njim.

Drugič se raje spomni, da se pravila gleda po vrstnem redu, kot so navedena in obveljalo bo tisto, ki prvo izpolni kriterij.