iptables: wie User ohne Netzzugang einrichten?

Hallo!

Ich hatte schon den Thread "Anwendung blocken" mit Interesse gelesen... hier geht es prinzipiell um eine ähnliche Frage! Aufgabe: es soll *Benutzer* geben, die unter SuSE 10.0 keinen Netzwerkzugang haben sollen. Überhaupt keinen, jedenfalls keinen über eth0 etc... was mit lokalen Sockets passiert, ist dabei nicht wichtig.

Nach einigem Lesen&Probieren bin ich auf folgende Zeilen gekommen:


wobei _uid_ natürlich die UID des lokalen Benutzers ist. - Dumm nur: es funktioniert nicht. Hilfe!

Folgendes habe ich bereits verifiziert:
(a) die SuSEFirewall läuft wirklich, (b) die Regel wird auch korrekt eingefügt (zeigt "iptables -L"), (c) eine auf die gleiche Art eingefügte Regel der Art
funktioniert auch (danach ist _some_ip_ korrekterweise nicht mehr erreichbar; aber natürlich für alle Benutzer). Also stochere ich wohl an der richtigen Stelle... aber warum nur funktioniert die benutzerspezifische Regel nicht? Wer weiß weiter?

1. -m owner geht auch designtechnischen Gründen im Moment nicht auf SMP- (Dual oder mehr CPU) und SMT-Boxen (Dual oder mehr Core)
2. -m owner ist z.Z. auch etwas problematisch auf UP (Uniprozessor)
3. Anwendungen, die direkt mit dem Socketlayer kommunizieren (PF_RAW - nur als root), wie z.B. ping(setuid!) und nmap, fallen erst gar nicht unter -m owner.

Aaah - das wars!

"setuid" war dafür verantwortlich, die Pakete kamen von tatsächlich root (Parameter -nv zeigt, durch welche Regeln die Pakete gerutscht sind).

Ich setze nun auf das Matching der SID (session id), die wird von der login-Shell scheinbar zuverlässig auch an aufgerufene pings etc. vererbt. Damit klappt es... auch SMP scheint nicht zu stören.

Nochmal vielen Dank für die Hilfe!