プロセスごとのファイアウォール？

私は読んでいますが、プロセスごとのファイアウォールルールを作成する方法を見つけることができないようです。私は知ってiptables --uid-ownerいますが、それは発信トラフィックに対してのみ機能します。私はスクリプティングnetstatを検討しましたiptablesが、プロセスが短い時間枠でのみアクティブである場合、スクリプトはそれを逃す可能性があるため、これは非常に非効率的なようです。基本的に、他のプロセスに影響を与えずに、プロセスのポートとdstに関する特定の制限を適用したいと思います。何か案は？

参考のために、selinuxはまさにこれを行うことができ、かなりうまく機能します。ただし、セットアップは少し面倒です。

iptables firewall process-management

— s3c
ソース

LXC（Linux Containers）がうまくいくのでしょうか？lxc.sourceforge.net

— nsg

selinuxの何がそんなに難しいのですか？多少の学習曲線がありますが、構成を支援するためのグラフィカルおよびコマンドラインの両方の優れたツールがあります。サポートが#selinux上のIRCなど#fedoraで提供されています

— パンサー

代わりにDouaneを使用してみましたか？askubuntu.com/a/330259/46437

— Aquarius Power

iptablesのfirewalld GUIを使用すると、まさにそれを行うことができ、かなり使いやすいです。

— BKilpat01

回答:

あなたの質問は/programming/5451206/linux-per-program-firewall-similar-to-windows-and-mac-counterpartsに非常に似ています

--cmd-owneriptablesの所有者モジュールがありましたが、正しく機能しなかったため削除されました。Leopard Flowerの最初のベータ版が利用可能になりました。これにより、ユーザースペースデーモンによる問題が解決されます。

一般に、プロセスごとのファイアウォールは、プログラムを実際に隔離および制限しない限り、あまり役に立ちません。このためには、TOMOYO Linux、SELinux、AppArmor、grsecurity、SMACKなどのセキュリティソリューションをご覧ください。

— ジョフェル
ソース

簡単、別のユーザーでプロセスを実行し、「-uid-owner」を使用します:)

— ジリブ
ソース

それも私の最初の考えでしたが、私が述べたように、それはリスニングプロセスには機能しません。

— s3c

まさにあなたの意図は何ですか？特定の所有者/プロセスに着信/発信接続用の独自のオープンポートがあることを確認するには？

— ジリブ