Посоветуйте, как проще всего ограничить доступ к сети для одной программы?

SELinux не так сложен как кажется. Для твоего случая - пара правил в режиме targeted

Нифига себе пара правил - создать отдельный домен, разрешить ему всё кроме доступа в сеть и разрешить unconfined пользователям обращаться к этому домену

и шо тут сложного? сам ответ написал, и сам его боишься

Текущий вариант я назвал в первом пункте, а selinux для данного случая - онанизм

И вопрос заключался не в «напишите за меня», я и сам это могу сделать, а в «не появилось ли чего-нибудь нового, что лучше подойдёт для данной задачи». Про те же namespace я узнал пару лет назад.

Пускай его от отдельного пользователя, сеть режь обычным iptables.

Запускаем приложения в «песочнице» с помощью SELinux

Да, это вариант, останется только копировать xauthority файл

Но я уже сделал через namespace и оказалось, что конкретно gnucash жить не может без d-bus. Придётся и правда через selinux делать.

Через namespace так: ( Вдруг кому понадобится )

router@amalthea:~$ cat /opt/bin/without_net.sh 
#!/bin/bash

netns='scr';
cmd=$1;
user=$(whoami);

if [ -z "$cmd" ]; then
	echo "no command specified";
	exit 1;
fi

ip netns list | grep "$netns" >/dev/null 2>&1;

if [ $? -eq 0 ]; then
	# namespace already exists
	echo ok >/dev/null 2>&1
else
	sudo ip netns add "$netns"
	sudo ip netns exec "$netns" ip l set dev lo up
fi

sudo ip netns exec "$netns" sudo su - "$user" -c "$cmd"

Запуск:

router@amalthea:~$ /opt/bin/without_net.sh "ping ya.ru"
ping: unknown host ya.ru

Спасибо

chown :nonet /bin/gnucash

chmod g+s /bin/gnucash

Правило iptables запрещающее группе nonet лазить в сеть напиши сам :-)

запускай программу от определённого пользователя. Доступ ограничь iptables, критерием --uid.