>>128168

>Томойо умеет контролировать сетевой трафик програм (разрешать, запрещать) по из полному пути (/usr/bin/program) ?

Да.

Например

<kernel>
use_profile 10
use_group 0

network inet stream connect 127.0.0.1 9050
network inet dgram bind 0.0.0.0 68 task.uid=0

Дети корня ходят в тор, остальной трафик запрещен.

<kernel> /usr/bin/tor
use_profile 10
use_group 0

network inet stream connect 0.0.0.0-255.255.255.255 1-65535 task.uid=110
network inet stream bind/listen 127.0.0.1 9050

- тор ходит куда угодно.

На русском документации, естественно, пока нет, но скоро будет, работаю над этим. Позже выкачу гайд.
https://habrahabr.ru/post/224335/ - обзор.

Сетевые возможности:
CONFIG::network::inet_dgram_bind
UDP socket local address restriction
CONFIG::network::inet_dgram_send
UDP socket remote address restriction for outgoing packets
CONFIG::network::inet_stream_bind
TCP socket bind() operation
CONFIG::network::inet_stream_listen
TCP socket listen() operation
CONFIG::network::inet_stream_connect
TCP socket connect() operation
CONFIG::network::inet_raw_bind
RAW socket local address restriction
CONFIG::network::inet_raw_send
RAW socket remote address restriction for outgoing packets
CONFIG::network::unix_dgram_bind
UNIX domain datagram socket local address restriction
CONFIG::network::unix_dgram_send
UNIX domain datagram socket remote address restriction for outgoing packets
CONFIG::network::unix_stream_bind
UNIX domain stream socket bind() operation
CONFIG::network::unix_stream_listen
UNIX domain stream socket listen() operation
CONFIG::network::unix_stream_connect
UNIX domain stream socket connect() operation
CONFIG::network::unix_seqpacket_bind
UNIX domain seqpacket socket bind() operation
CONFIG::network::unix_seqpacket_listen
UNIX domain seqpacket socket listen() operation
CONFIG::network::unix_seqpacket_connect
UNIX domain seqpacket socket connect() operation

https://tomoyo.osdn.jp/2.5/chapter-9.html.en