iptables -m owner 模块仅能在 output 链按 uid 限制普通用户新建出站连接，不支持账号名、systemd服务、容器、setuid程序及input/forward链；需 root 权限，先放行回环和 dns 再 reject 其余，并可加 log 规则实现轻量审计。
iptables 的 -m owner 模块可以限制特定本地普通账号（即非 root、非系统服务用户）的外网访问，但**不是按“账号名”直接控制，而是按其 UID 匹配所有由该用户启动的新建出站连接**。它只在 OUTPUT 链生效，不适用于 systemd 服务、容器、setuid 程序（如 sudo、ping），也不能用于入站或转发流量。
确认环境是否支持
执行以下命令验证基础能力：
- 运行
iptables -m owner --help，若显示--uid-owner选项说明模块可用；否则运行modprobe xt_owner尝试加载 - 检查目标账号 UID：
id -u username（例如id -u devuser返回1003） - 确保你是 root 或拥有
CAP_NET_ADMIN权限——普通用户无法添加规则
放行必要通信再拦截其余外连
避免锁死自己，先允许本地回环和 DNS 查询，再拒绝其他外发连接：
-
iptables -A OUTPUT -m owner --uid-owner 1003 -d 127.0.0.0/8 -j ACCEPT（允许访问本机服务） -
iptables -A OUTPUT -m owner --uid-owner 1003 -p udp --dport 53 -j ACCEPT（允许 DNS 查询） -
iptables -A OUTPUT -m owner --uid-owner 1003 -p tcp --dport 53 -j ACCEPT（兼容 TCP DNS 响应） -
iptables -A OUTPUT -m owner --uid-owner 1003 -j REJECT --reject-with icmp-host-prohibited（拒绝其余所有外连）
注意：ACCEPT 规则必须写在 REJECT 之前；规则仅影响新连接（SYN 包），已建立的 SSH、下载等不受影响。
增强可审计性（轻量日志）
若需事后核查，可在 REJECT 前加一条 LOG 规则：
iptables -A OUTPUT -m owner --uid-owner 1003 -j LOG --log-prefix "USER-1003-OUT: "- 日志默认输出到
/var/log/messages或 journal（取决于 rsyslog/journald 配置），含时间戳、源 IP、目标地址等信息
验证与持久化
添加后立即验证效果：
- 切换用户测试：
sudo -u "#1003" bash -c "curl -I http://example.com"应返回 connection refused 或超时 - 查看匹配计数：
iptables -L OUTPUT -v -n | grep 1003，观察 packets 是否增长 - 保存规则防重启丢失：
iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）或service iptables save（CentOS 6）
不复杂但容易忽略
