iptables不能直接按进程名限制网络连接，仅能通过uid/gid/pid间接控制，且仅适用于output链的出站流量，不支持input/forward、systemd服务、setuid程序及容器进程。
iptables 本身不能直接按“进程名”限制网络连接，它只能通过进程运行时的运行身份（UID/GID）或当前 PID间接实现。这种限制仅对本机发起的出站流量（OUTPUT 链）有效，不适用于入站、转发、systemd 服务、setuid 程序（如 ping、sudo）或容器内进程。
下面分三种实用方式讲清楚怎么做，每种都说明适用场景和关键细节：
按 PID 临时限制单个正在运行的进程
适合调试、应急封控已知 PID 的脚本或工具（比如一个正在外连的爬虫进程）。
- 先查 PID：
pgrep -f "python3 data_sync.py"或ps aux | grep data_sync - 放行必要目标（如只允许连本地数据库）：
iptables -A OUTPUT -m owner --pid-owner 12345 -d 127.0.0.1 -p tcp --dport 5432 -j ACCEPT - 拒绝其余所有外连：
iptables -A OUTPUT -m owner --pid-owner 12345 -j DROP
⚠️ 注意：PID 重启即变，规则失效；已建立的连接不受影响；必须 root 执行。
按 UID 限制某用户启动的所有进程
这是最常用、最稳定的方案，适用于普通账号（如 devuser、backupuser），本质是“限制该用户全部出站行为”。
- 查 UID：
id -u devuser→ 得到1003 - 必须先放行基础通信（顺序不能错）：
iptables -A OUTPUT -m owner --uid-owner 1003 -d 127.0.0.0/8 -j ACCEPT（本地回环）iptables -A OUTPUT -m owner --uid-owner 1003 -p udp --dport 53 -j ACCEPT（DNS） - 再拒绝其他：
iptables -A OUTPUT -m owner --uid-owner 1003 -j REJECT --reject-with icmp-host-prohibited
✅ 优点：规则长期有效；覆盖该用户后续启动的所有进程（curl、wget、ssh 等）
❌ 不适用：nginx、redis 等 systemd 服务（它们由系统用户启动，但实际运行时 UID 可能被切换）
验证与保存规则
加完规则后别跳过这步，否则可能白配。
- 切换用户测试：
sudo -u "#1003" curl -I http://example.com→ 应失败 - 查看是否命中：
iptables -L OUTPUT -v -n | grep 1003，观察 packets 是否增长 - 规则重启丢失，需保存：
Debian/Ubuntu：iptables-save > /etc/iptables/rules.v4
CentOS 6：service iptables save
CentOS 7+（使用 firewalld）：需改用 nftables 或禁用 firewalld 后操作
不复杂但容易忽略。
