iptables的-m owner模块仅支持在OUTPUT链按UID/GID限制本机出站流量，不适用于INPUT/FORWARD链、systemd服务、setuid程序及容器环境；需内核支持xt_owner且仅root可用。
iptables 的 -m owner 模块**不能直接按“进程”限制外连**，它只支持按**用户 UID 或组 GID** 匹配——前提是该进程以普通用户身份启动、未切换凭证、且运行在宿主机（非容器/非 systemd 服务上下文）中。所谓“限制特定进程”，本质是限制其所属用户的全部出站流量。
适用前提：确认 owner 模块可用且环境匹配
执行以下命令验证基础支持：
- 运行
iptables -m owner --help，若输出帮助信息说明模块已加载；否则尝试modprobe xt_owner - 仅 root 或 CAP_NET_ADMIN 权限用户可添加规则
- 规则只能加在 OUTPUT 链（本机发出的包），INPUT/FORWARD 链不支持 owner 匹配
- 确保目标进程不是 systemd 管理的服务（如 nginx、redis）、不是 setuid 程序（如 ping、sudo）、也不在 Docker/Podman 容器内——这些场景下 UID/GID 常不可靠或被映射失真
按 UID 限制用户级外连（最常用方式）
假设你要限制用户 backupuser（UID=1020）的所有外发连接，但允许本地通信和 DNS：
- 先放行必要流量：
iptables -A OUTPUT -m owner --uid-owner 1020 -d 127.0.0.0/8 -j ACCEPTiptables -A OUTPUT -m owner --uid-owner 1020 -p udp --dport 53 -j ACCEPT - 再拒绝其余所有出站：
iptables -A OUTPUT -m owner --uid-owner 1020 -j REJECT --reject-with icmp-host-prohibited - 注意：规则顺序很重要，ACCEPT 必须在 REJECT 之前；已建立的连接不受影响，如需立即生效可清理 conntrack：
conntrack -D --orig-src 127.0.0.1 --orig-dst 8.8.8.8（按实际地址调整）
按 GID 限制用户组外连（谨慎使用）
限制整个组（如 www-data，GID=33）的外发行为：
- 命令形式为：
iptables -A OUTPUT -m owner --gid-owner 33 -j DROP - ⚠️ 但多数现代内核（CentOS 7+/Ubuntu 18.04+ 等）在 OUTPUT 链上不支持 --gid-owner，会报错或静默失效；--uid-owner 更稳定，建议将目标进程统一改为专用 UID 运行
- 若必须用组，可改用 cgroup v1 + tc + iptables-mangle 方案，但复杂度显著上升
Android 环境下限制 App 网络（UID 映射明确）
Android 应用安装即分配固定 UID，owner 模块在此场景下非常可靠：
- 查 UID：
pm list packages -U | grep com.example.app - 禁止该 App 所有外连：
iptables -A OUTPUT -m owner --uid-owner 10155 -j DROP - 若只禁 Wi-Fi 而不禁移动数据：
iptables -A OUTPUT -o wlan0 -m owner --uid-owner 10155 -j DROP - 白名单模式更安全：先
iptables -P OUTPUT DROP，再-A OUTPUT -m owner --uid-owner 10155 -j ACCEPT，最后加回环和 ESTABLISHED 规则
