За процесс брандмауэр?

Я читал вокруг, но не могу найти способ создать правила межсетевого экрана для каждого процесса. Я знаю, iptables --uid-ownerно это работает только для исходящего трафика. Я рассмотрел сценарии netstatи , iptablesно это кажется очень неэффективно , так как если процесс активен только в течение небольшого времени кадра сценарий может пропустить. По сути, я хочу применить определенные ограничения в отношении порта и dst для процесса, оставляя другие процессы без изменений. Есть идеи?

Для справки selinux может сделать именно это, и это работает довольно хорошо. Установка немного боли, хотя.

iptables firewall process-management

— S3C
источник

Может быть, LXC (Linux Containers) подойдет? lxc.sourceforge.net

— nsg

Что такого сложного в selinux? Конечно, есть немного кривой обучения, но есть отличные инструменты, как графические, так и командной строки, чтобы помочь с настройкой. Поддержка доступна на IRC на #selinux, а также на #fedora

— Panther

Вы пытались использовать вместо Дуан? askubuntu.com/a/330259/46437

— Водолей Сила

Firewalld GUI для iptables позволяет вам делать это, и его довольно просто использовать.

— BKilpat01

Ответы:

Ваш вопрос очень похож на /programming/5451206/linux-per-program-firewall-s Similar- to- windows-and-mac-counterparts

Был --cmd-ownerмодуль для владельца iptables, но он был удален, потому что он работал не правильно. Теперь доступна первая бета-версия Leopard Flower , которая решает проблему с помощью демона пользовательского пространства.

В целом межсетевой экран для каждого процесса не очень полезен, если вы действительно не изолируете и не ограничиваете программы. Для этого вам следует взглянуть на решения безопасности, такие как TOMOYO Linux, SELinux, AppArmor, grsecurity, SMACK, ...

— jofel
источник

Легко, запустите ваш процесс под другим пользователем и используйте «--uid-owner» :)

— jirib
источник

Это была моя первая мысль, но, как я заметил, она не работает для процессов прослушивания.

— s3c

Каково именно ваше намерение? Чтобы быть уверенным, что конкретный владелец / процесс имеет свои открытые порты для входящего / исходящего соединения?

— Джириб