Cum să blochezi toate conexiunile de ieșire de la un anumit utilizator, cu excepția localhost?

Doresc să blochez toate conexiunile de ieșire de la un anumit utilizator utilizator după ce s-au introdus în serverul meu (care rulează RHEL 7.4), adică utilizator nu ar trebui să poată trimite ssh în/ping alte servere din rețea.

Am configurat inițial următoarele firewall-cmd regula și a funcționat.

firewall-cmd --direct --permanent --add-rule filtru ipv4 OUTPUT 0 -m proprietar --uid-owner utilizator -j DROP

In orice caz, utilizator acum trebuie să acceseze Jupyter Notebook care rulează și pe același server (http://localhost:8888), dar nu a putut. A apărut o eroare la websocket. Odată ce regula firewall de mai sus a fost eliminată, utilizator poate accesa Notebook-ul.

Nu sunt sigur de ce utilizator nu a putut accesa gazdă locală, pentru că am crezut că regula blochează doar conexiunile de ieșire.

Cum permit utilizator a accesa gazdă locală pe orice port sau într-un anumit interval de porturi, blocând în același timp accesul la rețea peste tot în altă parte?

După cum a menționat djdomi, ați dori să adăugați o excepție înainte de regula DROP pe care o aveți deja. Acest lucru ar putea funcționa

firewall-cmd --direct --permanent --add-rule filtru ipv4 OUTPUT 0 -m proprietar --uid-owner utilizator --dport=8888 -j ACCEPT

Puneți-l înaintea regulii pe care o aveți deja.

BR