Linux中无法用sudo直接限制用户仅访问固定IP，需结合sudoers命令白名单与iptables按UID过滤OUTPUT链，并加固网络工具权限，因hosts.deny等仅控入站、不适用于用户主动出站场景。
Linux 系统中不能直接用 sudo 限制用户“只能访问固定 IP”——因为 sudo 控制的是命令执行权限，不是网络连接目标。所谓“访问 IP”，实际是用户运行的命令（如 ssh、curl、nc、ping）发起的网络行为。要达成“某用户只能连特定 IP”，需分两层控制：命令白名单 + 网络层拦截，缺一不可。
第一步：用 sudoers 限定可执行的命令及参数
只允许用户通过 sudo 运行带固定目标 IP 的命令，禁止自由指定地址：
- 用绝对路径 + 显式 IP 写死命令，例如：
alice ALL=(root) /usr/bin/ssh -o ConnectTimeout=10 user@192.168.1.100
这样 alice 执行sudo ssh user@192.168.1.200会直接拒绝 - 禁用通配符和 shell 功能：不加
NOPASSWD或显式禁止!/bin/bash、!/usr/bin/sh，防止绕过 - 若需支持多个合法 IP，可用
Cmnd_Alias列出全部组合：Cmnd_Alias SAFE_SSH = /usr/bin/ssh user@192.168.1.100, /usr/bin/ssh user@10.0.5.25
第二步：在网络层阻止该用户访问其他 IP
仅靠 sudo 白名单不够——用户仍可能用 curl、wget、telnet 等非 sudo 命令连任意 IP。必须结合内核级过滤：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 用
iptables或nftables按 UID 限流：sudo iptables -A OUTPUT -m owner --uid-owner alice -d ! 192.168.1.100 -j REJECT
（注意：OUTPUT 链匹配本机发出的包；! 192.168.1.100表示“非此 IP”） - 规则需放在默认策略之前，且保存持久化（如
iptables-save > /etc/iptables/rules.v4） - 验证是否生效：
sudo -u alice curl -I http://example.com应失败；而curl http://192.168.1.100应成功（前提是该 IP 允许 HTTP）
第三步：补充防护，堵住常见绕过路径
用户可能尝试用 Python、nc、socat 等工具绕过限制，需同步加固：
- 移除或限制非必要网络工具对普通用户的可执行权限：
sudo chmod 750 /usr/bin/python3 /usr/bin/nc /usr/bin/socat
再将这些工具的所属组设为专用运维组，仅授权可信用户 - 用
setfacl锁定关键二进制文件：sudo setfacl -m u:alice:--- /usr/bin/wget - 检查用户 shell：若无需交互登录，改用
/sbin/nologin，避免其启动任意进程
为什么不推荐 hosts.deny 或 TCP Wrappers？
它们只作用于少数支持 libwrap 的服务（如老版 sshd），且只控制服务端口的入站连接，无法限制用户主动发起的出站请求（如 curl 访问外部网站）。对“用户能连哪些 IP”这类需求完全无效。
