Закрыть выход компа в Интернет

Для параноиков есть filter/OUTPUT.

И как это будет выглядеть практицки? Боюсь ошибиться.
Надеюсь, вы меня не обманете :)

Кому ты нафиг нужен, божечки-кошечки.

И как это будет выглядеть практицки?

Точно так же, как и filter/INPUT, только исправить входящие интерфейсы на исходящие.
Пример см. в /etc/sysconfig/{ip6tables,iptables} в пакете iptables-services из CentOS/Fedora.
Или можно взять firewalld и там через интерфейс direct добавить аналогичные правила.

Это я понял, но только iptables я знаю только на уровне что он сушествует :)
Т.е ничего. И если в CentOS знаю что его конфиг находится в /etc/sysconfig/iptables и умею вносить в него строки, которые мне кто-то укажет, то в Дебе и этого не умею.
Если не трудно, помоги Чукче конкретными указаниями.

Вернее, конкретными правилами для моего случая.

Вот костыль для деба:
https://github.com/gronke/systemd-iptables
Тут можно взять «болванки» правил:
https://dl.fedoraproject.org/pub/fedora/linux/releases/24/Everything/x86_64/o...

Вернее, конкретными правилами для моего случая.

Берёте строки в INPUT, копипастите, меняете на OUTPUT и добавляете, чего не хватает.

Пойдет ?

iptables -t mangle -A PREROUTING -s 192.168.1.40 -j ACCEPT
iptables -t mangle -A POSTROUTING -d 192.168.1.40 -j ACCEPT
iptables -t mangle -A PREROUTING -j DROP
iptables -t mangle -A POSTROUTING -j DROP

apt-get install gufw

Откуда же я знаю, чего не хватает, говорю же, я в этом не бум-бум :)
2-я ссылка, кстати, не того, не фурычит...

О! Это уже веселее! :) Только пойдет или нет, вам ведь лучше знать ;)
(кстати, впервые вижу в правилах эту фишку - 'mangle', но это не важно).

Гуй никак не пойдет, патому што он неустновится - сети-то нету :)
И помнится, gufw сильно захламляет правила для понимания.

Ладно, в какой конфиг втыкать в Jessie эти правила?
И это, IP самой Jessie в них никак не нужен?

Откуда же я знаю, чего не хватает

Это будет видно, когда что-нибудь перестанет работать после закрытия OUTPUT.

2-я ссылка, кстати, не того, не фурычит...

У меня для вас плохие новости, чините браузер.

впервые вижу в правилах эту фишку - 'mangle', но это не важно

С таким подходом лучше вообще не трогать iptables, целее будет.

Фильтровать через mangle — дурной тон.

У меня для вас плохие новости, чините браузер.

В самом деле тогда не работала, сейчас порядок.

С таким подходом лучше вообще не трогать iptables, целее будет.

Оно-то так, но если умный человек подскажет правила для этого случая, то я впишу их куда надо.
Вы же пытаетесь меня научить премудростям iptables - это бесполезно, кто только не брался :))

Лучше скажите - озвученные выше правила годятся?

iptables -t mangle -A PREROUTING -s 192.168.1.40 -j ACCEPT
iptables -t mangle -A POSTROUTING -d 192.168.1.40 -j ACCEPT
iptables -t mangle -A PREROUTING -j DROP
iptables -t mangle -A POSTROUTING -j DROP

Так напишите же плиз, нормальные рабочие правила, сколько уже прошу!...

vnc незнаю какой порт, так что вместо порта написал vnc.
Разрешит входящее соединение с указаного адреса (и опционально по мак адресу) по портам ssh и vnc. Все остальные входящие соединения отклонить.

iptables -A INPUT -s 192.168.1.40 [-m --mac-source [здесь можно указать mac адрес]] -p tcp -m multiport --dports 22,vnc -j ACEPT
iptables -A INPUT -j REJECT
iptables -A OUTPUT -d 192.168.1.40 -j ACCEPT
iptables -A OUTPUT -j REJECT

Или не ограничиваться портами, а только разрешить входящий доступ с одного адреса, и исходящий на один адрес.

iptables -A INPUT -s 192.168.1.40 -j ACCEPT
iptables -A INPUT -j REJECT
iptables -A OUTPUT -d 192.168.1.40 -j ACCEPT
iptables -A OUTPUT -j REJECT

И еще желательно не забыть

iptables -I INPUT -i lo -j ACCEPT
iptables -I OUTPUT -o lo -j ACCEPT

Еще можно для надежности оставить машину без default gateway, тогда она не сможет никуда дальше локалки ходить.

только с определенного локального адреса типа 192.168.1.40

Это не сработает. Что мне мешает установить на любом компе в сети этот адрес?

Просто настрой ssh/vnc и дропай все остальные порты. Не забудь также выключить udp/icmp/snmp и т.д. по списку.

Подними сетку /30 на других адресах. Даже можно /31, сейчас, наверное, уже все умеют.

Соедини отдельным кабелем с рабочим компом, без маршрутизации в интернет.

Кредитки с вкладами - это как?

Вооот, совсем другое дело! :)
Парни, только советов, т.е. правил здесь уже несколько, как их объединить в одно такое, что бы вы все его одобрили и не имели к нему замечаний?

Это не сработает. Что мне мешает установить на любом компе в сети этот адрес?

В локалке - пожалуйста, меня заботит только, чтобы из Тырнета не смоги войти с подельниым айпишником.

Дааааа, не справились вы с простейшим домашним заданием :(
Простейшим для вас, конечно.
Ждал от вас законченного решения, но получил только отдельные фрагменты, которые непонятно как склеивать да и нужно ли.
И опять все куда-то разбежались....

На какой стадии работа?
Сервис создали? Запускается? Правила подгружаются?

Дааааа, не справились вы с простейшим домашним заданием :( Простейшим для вас, конечно.

Какая милая, уютненькая манипуляция... Иди как ты в Job.

Самым важным искусством для нас является интернет.