iptables -m owner 的 --gid-owner 在 OUTPUT 链不可用，因内核 netfilter 不保存 socket 的 GID 信息；推荐用 cgroup v1 + tc + iptables 或 systemd-run 隔离服务网络。
不能直接用 iptables -m owner 在 OUTPUT 链上限制用户组发包。这不是配置错误，而是内核机制决定的——OUTPUT 链无法稳定获取进程的 GID/UID，尤其在 setuid、容器或 capability 场景下，--gid-owner 会报错或静默失效。
为什么 owner 模块在 OUTPUT 链不支持 gid-owner
原因很明确：
- 内核 netfilter 架构在 OUTPUT 链不保存 socket 所属的用户组信息
-
xt_owner模块仅对 UID/GID 的匹配做了有限支持，且仅限部分内核路径；GID 匹配在 OUTPUT 链基本不可靠 - 你执行
iptables -A OUTPUT -m owner --gid-owner www-data -j DROP很可能提示 "No chain/target/match by that name" 或规则完全不生效
可行替代方案：用 cgroup v1 + tc + iptables
这是目前最稳定、生产环境可用的用户组级出口控制方式：
Linux Ai Server
下载
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
- 启用并挂载
net_clscgroup：mount -t cgroup -o net_cls none /sys/fs/cgroup/net_cls - 创建组目录并写入 classid（如 0x00110011）：
echo 0x00110011 > /sys/fs/cgroup/net_cls/www-group/net_cls_classid - 将目标用户组的进程 PID 加入该 cgroup：
echo $PID > /sys/fs/cgroup/net_cls/www-group/tasks - 用
tc在出网卡打标记：tc class add dev eth0 parent 1: classid 1:1 htb rate 1mbit - 最后在 mangle 表匹配 classid：
iptables -t mangle -A OUTPUT -m cgroup --cgroup 0x00110011 -j DROP
更轻量的选择：systemd-run 隔离服务网络
如果你实际想管的是某个服务（比如 nginx、git-daemon），推荐用 systemd 原生机制：
- 启动时禁用外网：
systemd-run --scope -p "IPAddressDeny=0.0.0.0/0" --uid=www-data --gid=www-data /usr/bin/nginx - 或通过 service 文件配置：
IPAddressDeny=0.0.0.0/0+RestrictAddressFamilies=AF_UNIX AF_INET - 无需加载额外模块，不依赖 cgroup v1，兼容 systemd v240+
注意事项与常见误区
别踩这些坑：
- 不要尝试在 INPUT/FORWARD 链用 owner 模块——这些链根本没用户上下文，规则无效
-
不要混用 cgroup v2 和 net_cls——v2 不提供
net_cls_classid接口，必须用 v1 - 普通用户无法使用 owner 模块，必须 root 或 CAP_NET_ADMIN 权限
- ufw、firewalld 等前端工具不支持 owner 规则，需直接调用 iptables
