麒麟系统中阻止进程联网有三种方法：一是通过防火墙新建出站规则精准拦截指定程序；二是用unshare命令临时隔离进程网络命名空间；三是用iptables+tc或systemd限速至1kbit实现等效阻断。
您需要在麒麟操作系统中阻止特定进程联网，防止其上传数据、连接远程服务器或消耗带宽，这必须绕过应用层伪装，直接作用于内核网络栈或进程上下文。
通过高级防火墙新建出站阻止规则
该方法基于系统内建的iptables/firewalld机制，对指定可执行文件的所有出站连接实施精准拦截，不依赖图形界面开关，策略持久生效。
1、点击【开始菜单】→【控制面板】→【系统和安全】→【防火墙】；
2、点击左侧【高级设置】，进入“高级安全银河麒麟防火墙”窗口；
3、在左侧选择【出站规则】，右侧点击【新建规则】；
4、向导中选择【程序】，点击【下一步】；
5、点击【浏览】，定位并选中需禁止联网的软件可执行文件（如/opt/fehelper/fehelper或/usr/bin/qbittorrent）；
6、在规则操作页选择【阻止连接】，点击【下一步】；
7、在配置配置文件页，确保【域】、【专用】、【公用】三项均被勾选；
8、为规则命名（如“禁用FeHelper联网”），点击【完成】。
终端命令临时隔离进程网络命名空间
利用Linux内核的网络命名空间隔离能力，可对正在运行的进程即时切断网络，无需重启、不修改系统策略，适用于调试与应急场景。
1、打开终端，执行ps aux | grep 软件名查出目标进程PID；
2、执行sudo unshare --net /bin/bash创建无网络命名空间；
3、在新命名空间中执行exec -a $(basename /path/to/binary) /path/to/binary启动软件；
4、验证效果：ping -c 1 www.baidu.com应返回“网络不可达”；
【注意：此方式仅对当前shell会话有效，关闭终端即失效】
用iptables标记+tc filter实现按进程限速（间接阻断）
当无法完全禁止某进程联网但需使其失去实用价值时，可将其出口带宽压至极低水平，等效于阻断。此法需配合cgroup或进程名匹配，适合长期驻留服务。
方法一：基于进程名标记流量
1、加载xt_owner模块：sudo modprobe xt_owner；
2、用iptables标记该进程所有出站包：sudo iptables -t mangle -A OUTPUT -m owner --pid-owner $(pgrep -f "进程名") -j MARK --set-mark 0x100；
3、确认网卡名：ip link show | awk '/state UP/ {print $2}' | tr -d ':'；
4、在对应网卡上挂载htb队列并绑定filter：sudo tc qdisc add dev ens33 root handle 1: htb default 10；
5、添加极低速率class：sudo tc class add dev ens33 parent 1: classid 1:100 htb rate 1kbit ceil 1kbit；
6、关联标记包到该class：sudo tc filter add dev ens33 parent 1: protocol ip handle 0x100 fw flowid 1:100。
方法二：使用systemd NetworkMaxRate（仅限systemd服务）
1、确认进程由systemd管理：systemctl list-units --type=service | grep -i 进程关键词；
2、编辑服务单元：sudo systemctl edit 服务名.service；
3、输入[Service]段落：NetworkMaxRate=1K；
4、重载并重启：sudo systemctl daemon-reload && sudo systemctl restart 服务名.service。
