如何阻止导入的代码发起未知网络连接？求有效技术方案

一、代码级网络控制：默认阻断所有连接，仅允许授权请求 #

• 跨语言通用方案：
  • 沙箱框架：使用Sandboxed API这类沙箱工具，为多语言代码提供隔离运行环境，默认拦截所有网络请求，需通过配置显式添加允许的IP/域名白名单，支持C/C++、Python等主流语言，通过底层隔离实现网络调用管控。
  • 系统调用劫持：Linux下通过LD_PRELOAD劫持connect、sendto等网络相关系统调用；Windows下通过DLL注入劫持Win32网络API。默认返回调用失败，仅当目标地址在白名单内时才放行，这种方式能覆盖所有基于系统调用的网络请求，不受编程语言限制。
• 单语言专属方案（以Python为例）：
  重写socket.socket的connect方法，默认拦截所有连接，仅白名单内地址允许通过：

  import socket
  original_connect = socket.socket.connect
  
  WHITELIST = {"192.168.1.100", "api.trustedservice.com"}
  
  def restricted_connect(self, address):
      host, port = address
      if host not in WHITELIST:
          raise PermissionError(f"Connection to {host} is not allowed")
      return original_connect(self, address)
  
  socket.socket.connect = restricted_connect
  

  注意：这种方案仅对Python原生socket有效，无法拦截第三方库通过系统命令、其他语言扩展发起的连接。

二、内核级网络控制：防火墙配置与更优隔离方案 #

Windows防火墙正确配置步骤 #

若之前规则无效，大概率是优先级、路径或权限问题，按以下步骤操作（需管理员权限）：

1. 创建全局拒绝规则：先阻断目标Python程序的所有出站连接：

   New-NetFirewallRule -DisplayName "Block Python All Outbound" -Direction Outbound -Program "C:\Python39\python.exe" -Action Block -Enabled True -Profile Any
   

2. 添加白名单允许规则：创建优先级更高的规则，仅允许连接指定IP/域名：

   New-NetFirewallRule -DisplayName "Allow Python Trusted Connections" -Direction Outbound -Program "C:\Python39\python.exe" -Action Allow -Enabled True -RemoteAddress "192.168.1.100,api.trustedservice.com" -Profile Any -Priority 100
   

   （优先级数值越小，规则越先匹配，需确保允许规则优先级高于拒绝规则）

更优方案：Docker容器隔离 #

相比系统防火墙，Docker隔离更安全且不影响主机其他程序，跨平台通用：

• 启动容器时默认阻断所有出站连接，再添加白名单规则：

  docker run --rm -it --cap-add=NET_ADMIN \
    -v "$(pwd):/app" -w /app \
    python:3.9-slim \
    sh -c "iptables -P OUTPUT DROP; iptables -A OUTPUT -d 192.168.1.100 -j ACCEPT; python your_script.py"
  

• 也可编写Dockerfile或docker-compose.yml固化规则，避免每次启动重复配置。

内容的提问来源于stack exchange，提问作者new