iptables -m owner 模块在 OUTPUT 链可用，但仅对普通交互式进程（如 curl、wget）有效；不支持 systemd 服务、setuid 程序、容器进程，且不能用于 INPUT/FORWARD 链。
直接说结论：iptables -m owner 只能在 OUTPUT 链用，且仅对普通交互式进程（如 curl、wget、firefox）有效；它不能限制 systemd 服务、setuid 程序（如 ping、sudo）、容器内进程，也不能用于 INPUT/FORWARD 链。
适用场景与前提条件
- 你的目标是限制某个本地登录用户（比如 UID=1001 的
testuser）主动向外发起的 TCP/UDP 连接（例如访问公网网站、发邮件、连 API）； - 系统使用传统 init 或 systemd，但该用户运行的是常规 shell 启动的程序（非服务托管）；
- 内核已启用
xt_owner模块（主流发行版默认开启），可验证：iptables -m owner --help >/dev/null && echo "支持" || echo "不支持"
- 你有 root 权限（所有 owner 规则必须 root 执行）。
基础操作步骤
-
先放行必要流量（避免锁死自己）：
# 允许本机回环通信 iptables -A OUTPUT -m owner --uid-owner 1001 -d 127.0.0.0/8 -j ACCEPT # 允许 DNS 查询（UDP 53） iptables -A OUTPUT -m owner --uid-owner 1001 -p udp --dport 53 -j ACCEPT # 允许 DNS 查询（TCP 53，部分 DNS 响应超长时用） iptables -A OUTPUT -m owner --uid-owner 1001 -p tcp --dport 53 -j ACCEPT
-
再拒绝其余所有外发连接：
iptables -A OUTPUT -m owner --uid-owner 1001 -j REJECT --reject-with icmp-host-prohibited
用
REJECT而非DROP，能让用户程序快速感知失败（如curl报“Connection refused”），而不是长时间超时。
关键注意事项
-
规则只影响新连接：已建立的连接（如正在下载的文件、保持的 SSH 会话）不受影响。如需清理，可用：
conntrack -D --orig-src 0.0.0.0 --orig-dst 0.0.0.0 --proto 6 2>/dev/null # 清 TCP conntrack -D --orig-src 0.0.0.0 --orig-dst 0.0.0.0 --proto 17 2>/dev/null # 清 UDP
-
systemd 服务不适用：
nginx、redis-server等由 systemd 启动的服务，其 socket 创建上下文与 UID 不一致，--uid-owner大概率不匹配。此时应改用：
Zynq Linux Hardware Debug下载Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
-
systemd-run --scope --scope-property=IPAddressDeny=0.0.0.0/0启动临时受限进程； - 或用
cgroup v1 + tc + iptables -m cgroup实现更底层控制（适合长期策略）。
-
不要混用 GID 和 UID：
--gid-owner行为更不稳定，尤其当用户属多个组时；优先用--uid-owner锁定具体用户。规则顺序很重要：
ACCEPT规则必须在REJECT之前，否则会被拦截。
验证是否生效
-
切换到目标用户：
sudo -u testuser bash
-
测试通断：
curl -I http://example.com # 应失败（被 REJECT） curl -I http://localhost # 应成功（回环放行） nslookup google.com # 应成功（DNS 放行）
-
查看匹配计数确认规则触发：
iptables -L OUTPUT -v -n | grep "1001"
不复杂但容易忽略。
