Как заблокировать приложению доступ в интернет с помощью брандмауэра на VPS (2026)

---

В современном мире безопасность и контроль за сетевым трафиком — важнейшие аспекты работы любого сервера. Особенно актуально это для владельцев VPS, которым необходимо ограничивать доступ отдельных приложений к интернету. В этой статье мы подробно расскажем, как настроить брандмауэр для блокировки доступа конкретных приложений или процессов, чтобы обеспечить безопасность и управляемость вашей системы.

Почему важно ограничивать доступ приложений к интернету

• Безопасность: предотвращение утечки данных или заражения вредоносным ПО.
• Контроль ресурсов: ограничение расхода пропускной способности или предотвращение нежелательных соединений.
• Соответствие политикам: соблюдение корпоративных правил и стандартов.

Что потребуется для настройки

• VPS-сервер с установленной операционной системой Linux (например, Ubuntu, Debian, CentOS).
• Правила доступа через брандмауэр (iptables, nftables, firewalld).
• Понимание, какие приложения и процессы необходимо блокировать.

Основные подходы к блокировке доступа приложений

1. 01Блокировка по IP-адресам и портам — ограничение доступа с помощью правил на уровне сети.
2. 02Блокировка по идентификатору процесса (PID) — ограничение доступа конкретному приложению.
3. 03Использование cgroups и сетевых фильтров — управление сетевыми возможностями отдельных процессов.

В этом гайде мы сосредоточимся на наиболее универсальном и безопасном способе — использовании nftables и iptables в сочетании с системными механизмами для контроля доступа.

---

Шаг 1. Определение приложения и его характеристик

Перед настройкой необходимо понять, какое приложение нужно заблокировать:

• Название процесса или службы.
• Порт или диапазон портов.
• IP-адреса, с которыми приложение взаимодействует.

Например, предположим, что у вас есть приложение myapp, которое использует порт 8080.

Чтобы найти PID процесса:

`bash ps aux | grep myapp `

или

`bash pidof myapp `

Запомните PID или имя процесса для дальнейших действий.

---

Шаг 2. Настройка правил с помощью nftables

nftables — современный фреймворк для фильтрации трафика в Linux (заменяет iptables). Он более гибкий и производительный.

2.1 Установка и активация nftables

На большинстве дистрибутивов:

`bash sudo apt update sudo apt install nftables sudo systemctl enable nftables sudo systemctl start nftables `

2.2 Создание базовой таблицы и цепочки

Создайте конфигурационный файл /etc/nftables.conf или редактируйте текущий.

`nft table inet filter { chain input { type filter hook input priority 0; policy accept;

} chain output { type filter hook output priority 0; policy accept;

} } `

2.3 Блокировка исходящего трафика для приложения по порту

Добавьте правило, блокирующее исходящие соединения на определённом порту, например, 8080:

`nft add rule inet filter output tcp dport 8080 drop `

Или для входящих соединений:

`nft add rule inet filter input tcp dport 8080 drop `

2.4 Блокировка по PID (использование cgroups)

nftables напрямую по PID не фильтрует, но можно настроить cgroups для разделения приложений и применять правила к определённым группам.

Создайте cgroup:

`bash sudo mkdir /sys/fs/cgroup/net_cls/myapp `

Запустите приложение в этой группе:

`bash sudo cgexec -g net_cls:myapp /path/to/myapp `

Настройте фильтр по net_cls:

`nft add rule inet filter output meta cgroup 0xXXXXX drop `

Где 0xXXXXX — идентификатор cgroup для вашего приложения. Подробнее о настройке cgroups можно найти в документации.

---

Шаг 3. Использование iptables для более простых сценариев

Если ваш сервер использует iptables, можно создать правила для блокировки порта или IP-адреса.

3.1 Блокировка по порту

`bash sudo iptables -A OUTPUT -p tcp --dport 8080 -j DROP `

3.2 Блокировка по PID через iptables (через owner модуль)

iptables поддерживает блокировку по владельцу процесса:

`bash sudo iptables -A OUTPUT -m owner --pid-owner <PID> -j DROP `

Или по пользователю:

`bash sudo iptables -A OUTPUT -m owner --uid-owner <user_id> -j DROP `

Это удобно, если приложение запущено под отдельным пользователем.

3.3 Сохранение правил

После настройки сохраните правила:

`bash sudo iptables-save > /etc/iptables/rules.v4 `

или используйте netfilter-persistent на Debian/Ubuntu.

---

Шаг 4. Автоматизация и контроль

Чтобы правила применялись автоматически при перезагрузке, добавьте их в соответствующие скрипты или используйте системные менеджеры.

Для nftables — убедитесь, что конфигурационный файл /etc/nftables.conf активен:

`bash sudo systemctl enable nftables sudo systemctl restart nftables `

Для iptables — проверьте, что правила загружаются при старте.

---

Шаг 5. Проверка и тестирование

После настройки необходимо убедиться, что доступ к приложению заблокирован:

• Попробуйте подключиться к порту или IP-адресу с другого устройства.
• Используйте curl, telnet или nmap для тестирования.

Например:

`bash telnet your-server-ip 8080 `

Должна отображаться ошибка подключения или соединение должно быть сброшено.

Если блокировка не сработала, проверьте:

• Применены ли правила.
• Не конфликтуют ли правила.
• Правильность настроек и перезагрузка служб.

---

Итог

Заблокировать доступ приложению в интернет — задача, которую можно решить с помощью современных средств фильтрации, таких как nftables или iptables. Важно правильно определить, что именно нужно блокировать, и выбрать подходящий инструмент. Использование cgroups и фильтров по владельцу процессов позволяет добиться granular-level контроля, а автоматизация обеспечит постоянную защиту.

В 2026 году эти инструменты остаются актуальными и позволяют управлять сетевым поведением приложений максимально гибко и безопасно.

---

Если у вас есть вопросы или нужна помощь в настройке, обращайтесь к комьюнити или поддержке SANSARA — мы поможем вам сделать ваш VPS безопаснее!