Блокируем инет локально

>кидает инет с модема в сеть

по средствам

раздовал

===============> ||

первое, что приходит на ум - "--uid-owner" критерий у iptables: пускать наружу только сквид

>"--uid-owner"

где-то краем уха слышал что оно на SMP-системах не работает должным образом.

кури iptables =)
транзитные пакеты - FORWARD, собственные - INPUT/OUTPUT

iptables -P INPUT DROP
iptables -P OUTPUT DROP
на сервере и радуйся.

и чему он радоваться будет? отвалившемуся сквиду что ли?

>где-то краем уха слышал что оно на SMP-системах не работает должным образом.

Там pid-owner и sid-owner не работали. Так их и выкинули.

круто было бы определенной группе запретить доступ

>круто было бы определенной группе запретить доступ

--gid-owner нормально работает.

А обновляться?

Убери сквид в виртуалку и настрой внутри роутинг в инет. На хост-машине убери сквид и отломай роутинг.

пипец замутили...

iptables -A OUTPUT -m owner --gid-owner 666

и все должно заработать??? жаль что только на цепочку OUTPUT работает :((( скоро замучу, отпишу...

>iptables -A OUTPUT -m owner --gid-owner 666

Надо еще указать, что именно ты хочешь. -j ACCEPT - пропускать, -j DROP - блокировать

Если нужно пропускать, например, только группу 666, делаешь так:
iptables -A OUTPUT -m owner --gid-owner 666 -j ACCEPT
iptables -P OUTPUT DROP

Если же нужно блокировать только эту группу, делаешь
iptables -A OUTPUT -m owner --gid-owner 666 -j DROP