LMGTFY

https://wiki.nftables.org/wiki-nftables/index.php/Matching_packet_metainforma...

Но зачем?

А вот для nftables что-то не гуглится ничего подобного.

Я не специалист в nftables, но вроде как заявлялось, что данная система поддерживает старый синтаксис iptables (там есть исключения, но вроде Ваш случай под них не попадает). Так что Ваше правило должно продолжать работать, если просто iptables заменить на nftables.

Блин, как-то пролистал мимо этой страницы. Хотя был у них на вики. Спасибо.

Благодарю. То, что надо.

Надоело запускать оригинальный keepass под моно (жрет много проца - 2-5 нагрузка именно этим процессом, а разбираться схрена ли так - лень). Решил все же пользовать keepassxc, но не люблю васяносборки - поэтому хочу пускать его под отдельным урезанным пользователем, без доступа к сети вообще.

Ну и не только ради keepass это. 1. Еще и для других целей сгодится. 2. Узнать, как это делается для самоудовлетворения.

Выше уже указали и ссылку и сразу команду, как можно добиться нужного

Это делается через, например, nsjail.

Этого даже в репе дебиана нет. А в openSUSE (официальных) появится чуть позже, чем никогда.

Потом и хочу сделать из того, что есть в базовой поставке (ну или тем, что уже пользую)

Не забудь пользователя огородить от файлов и процессов других пользователей.

Разумеется. Хомяк отгордил. А лиса от дргуого пользователя пускается, в отдельных иксах.

А firejail есть?

В Leap 15.1 - нет :) Тут вообще нихрена нет в офрепах, по-моему.

Хотя если таки сменю дистр, то остановлюсь на firejail, наверное, да

Ну ОК. Всё равно же можно через ip netns провернуть.

Изначально так и хотел. Но если добавить новый ns то гуй уже не запускается. А разбираться не захотелось

Ну вот как-то не знаю. Сейчас протестил, и гуй запустился. Да, через sudo, но всё же:

[~]$ sudo ip netns add test
[~]$ sudo ip netns exec test sudo -u pf konsole

И потом в самом Konsole написал ip a и получил только лупбек.

Сегодня выбросил openSUSE окончательно. Там точно не запускалось. В дебиане проверил сейчас - работает. Либо в сусе секурней все, либо глючней. ХЗ.

Спасибо. Пожалуй да, тогда просто запихну в отдельный ns