iptables 的 --uid-owner 模块可原生限制指定 UID 用户的出站连接，作用于 OUTPUT 链，堵住该用户所有新建立的外连；需 root 权限、内核支持 CONFIG_NETFILTER_XT_MATCH_OWNER，且不适用于转发或容器 UID 映射场景。

可以直接用 iptables 的 --uid-owner 模块限制特定 UID 用户的出站网络行为，这是 Linux 内核原生支持、无需额外代理或应用层改造的底层控制方式。关键在于它作用于网络栈出口，能真正堵住该用户所有进程（无论启动多少个、换什么端口）的外连尝试。

适用前提与注意事项

该方法仅适用于本地用户发起的连接（即 OUTPUT 链），不适用于转发流量或容器内 UID 映射后的场景。要求系统启用 CONFIG_NETFILTER_XT_MATCH_OWNER 内核配置（主流发行版默认开启）。普通用户无法自行添加规则，必须由 root 或具备 NET_ADMIN 能力的用户操作。

• 确认目标用户 UID：运行 id -u username 获取数字 UID，例如 flink 用户可能是 1002
• 规则只影响新建立的连接，已存在的 TCP 连接不受影响
• 若用户通过 sudo 切换身份或使用 setuid 程序，需注意实际执行时的 UID 是否仍匹配

基础限制操作（以阻止全部外连为例）

以下命令将禁止 UID 为 1002 的用户发起任何出站连接：

sudo iptables -A OUTPUT -m owner --uid-owner 1002 -j DROP

如需放行特定目标（比如只允许访问 Kafka 的 9092 端口），可组合条件：

sudo iptables -A OUTPUT -m owner --uid-owner 1002 -d 192.168.10.5/32 -p tcp --dport 9092 -j ACCEPT<br>sudo iptables -A OUTPUT -m owner --uid-owner 1002 -j DROP

• 务必把 ACCEPT 规则放在 DROP 规则之前，iptables 按顺序匹配
• 使用 -d 指定 Kafka 服务 IP，避免误放行其他地址
• 规则持久化需保存到配置文件（如 iptables-save > /etc/iptables/rules.v4），否则重启后失效

配合 ufw 或 firewalld 的简化方式

如果你习惯图形界面或希望降低命令行门槛，ufw 可间接支持 UID 控制：

• 先禁用 ufw 默认策略：sudo ufw default deny outgoing
• 再为指定用户添加例外：sudo ufw allow out from any to 192.168.10.5 port 9092 uid 1002（需 ufw 22.0+ 版本）
• firewalld 不原生支持 UID，但可通过 rich rule + systemd scope 绕行：创建一个以该 UID 启动的服务单元，并在 firewall-cmd 中绑定其 cgroup 路径

验证与调试建议

添加规则后，可用以下方式快速验证是否生效：

• 切换到目标用户：sudo -u "#1002" bash
• 尝试发起连接：curl -v http://example.com 应超时或被拒绝
• 检查匹配计数：sudo iptables -L OUTPUT -v -n | grep 1002，看 packets 数是否增长
• 临时清空测试规则：sudo iptables -D OUTPUT -m owner --uid-owner 1002 -j DROP

不复杂但容易忽略的是日志记录——建议加一条带 LOG 的规则放在 DROP 前，便于审计异常行为。