Как заблокировать все исходящие соединения от конкретного пользователя, кроме localhost?

Я хочу заблокировать все исходящие соединения от определенного пользователя пользователь после того, как они подключились к моему серверу (под управлением RHEL 7.4), т.е. пользователь не должен иметь возможности подключаться/пинговать другие серверы в сети по ssh.

Я изначально настроил следующее брандмауэр-cmd правило, и это работало.

firewall-cmd --direct --permanent --add-rule фильтр ipv4 ВЫВОД 0 -m owner --uid-owner user -j DROP

Однако, пользователь теперь требуется доступ к Jupyter Notebook, который также работает на том же сервере (http://локальный:8888), но не смог. Произошла ошибка о веб-сокете. Как только вышеприведенное правило брандмауэра было удалено, пользователь может получить доступ к ноутбуку.

я не знаю почему пользователь не смог получить доступ локальный хост, потому что я думал, что правило блокирует только исходящие соединения.

Как я могу разрешить пользователь получить доступ локальный хост на любом порту или определенном диапазоне портов, при этом блокируя доступ к сети везде?

Как упоминал djdomi, вы хотели бы добавить исключение перед тем правилом DROP, которое у вас уже есть. Это может сработать

firewall-cmd --direct --permanent --add-rule фильтр ipv4 ВЫВОД 0 -m owner --uid-owner пользователь --dport=8888 -j ПРИНЯТЬ

Поместите его перед правилом, которое у вас уже есть.

BR