можно настроить правила для конкретного приложения (или имени процесса), как в виндовом фаерволе? Не могу загуглить это. Сейчас в журнале ufw куча заблокированных входящих пакетов от qbittorrent вида PROTO=UDP SPT=6771 DPT=6771, но файлы вроде скачиваются. В ufw есть предустановленные правила для некоторых программ sudo ufw app list. В частности:
$ sudo ufw app info qBittorrent
Profile: qBittorrent
Title: qBittorrent
Description: qBittorrent BitTorrent client
Port:
6881/tcp
Но этот порт не соответствует порту заблокированных пакетов.
нет, linux не позволяет совмещать фаерволл с приложением, частично решает задачу apparmor
Спасибо. Сейчас почитаю в эту сторону.
Можно блокировать приложения пользователя/группы https://wiki.nftables.org/wiki-nftables/index.php/Quick_reference-nftables_in_10_minutes meta skuid и meta skgid
iptables - нет. Но ты можешь: 1. apparmor 2. сетевые неймспейсы 3. ...
ufw - это же просто менеджер групп правил для iptables, да? Тогда это просто правило по порту, а не по программе/юзеру.
Докер, кстати. Как раз благодаря сетевым неймспейсам внутри.
И как же docker/podman/.../kubernetes работают, загадка просто
"как в windows" нельзя.
network namespaces.
namespace, нет там никаких загадок, всё описано.
в винде не так.
да, я это выше как раз написал.
Разумеется, вот такого моднявого как в ISA "выбрать аську и разрешить ей ходить, остальным лапу сосать" нету. Но при желании ты можешь разрешить одной приложухе ходить на *:80, а остальным мимо. Именно с помощью сетевых нс
именно об этом я и написал с самого начала.
Мне тоже понравилось ведроидовское решение - все приложения запускать от разных юзеров и из разных хомяков. Чтоб, когда ты случайно запустишь стилер паролей, он тебе куки и сохраненные пароли из гуглохрома не увел.
там апи для увода паролей есть :)
Обсуждают сегодня