为什么需要限制Telegram的网络访问
Telegram默认可以自由连接互联网，这是其正常工作的前提。但在某些场景下，你可能希望限制它的网络行为：
- 离线使用：只允许查看本地聊天记录，禁止任何网络通信。
- 安全隔离：防止Telegram在后台偷偷发送数据，尤其在多用户或高安全环境中。
- 网络策略：要求应用只能连接到特定端口（如443），以符合企业防火墙规则。
Linux内核的AppArmor模块可以强制限制进程的资源访问，包括网络。本文将带你从零开始，为Telegram配置自定义AppArmor策略。
准备工作：了解你的环境
本教程适用于Ubuntu、Debian及其他使用AppArmor的Linux发行版。操作前请确认：
- AppArmor已启用：
sudo aa-status，如果输出大量profile则正常。 - 安装apparmor-utils工具：
sudo apt install apparmor-utils - 确认Telegram可执行文件的绝对路径。常见路径有：
/usr/bin/telegram-desktop、/opt/Telegram/Telegram。可以用which telegram-desktop或type -a telegram查到。
创建Telegram的AppArmor profile
我们采用手动创建的方式，以获得最大的透明度。首先创建一个新profile文件，文件名建议与可执行文件路径对应，例如：/etc/apparmor.d/usr.bin.telegram-desktop。
用编辑器打开（需要sudo权限）：
sudo nano /etc/apparmor.d/usr.bin.telegram-desktop配置网络访问规则：两种实用方案
根据你的需求，选择以下之一作为profile的核心规则。
方案一：完全禁止所有外网连接（离线模式）
如果只想让Telegram离线运行（可查看本地记录但不收发消息），可这样配置：
#include <tunables/global>
profile telegram /usr/bin/telegram-desktop {
#include <abstractions/base>
#include <abstractions/nameservice>
#include <abstractions/consoles>
#include <abstractions/fonts>
#include <abstractions/audio>
#include <abstractions/dbus>
# 允许Unix socket（本地进程通信必需）
network unix,
# 禁止所有IPv4/IPv6网络通信
deny network inet tcp,
deny network inet6 tcp,
deny network inet udp,
deny network inet6 udp,
}注意：如果Telegram二进制路径不同，请将/usr/bin/telegram-desktop改为实际路径，并设置相同的profile名。
方案二：仅允许连接443和80端口（基本联网模式）
若想保留Telegram联网功能，但仅允许其连接HTTPS和HTTP端口（Telegram服务器主要使用这些端口），可使用如下规则：
#include <tunables/global>
profile telegram /usr/bin/telegram-desktop {
#include <abstractions/base>
#include <abstractions/nameservice>
#include <abstractions/consoles>
#include <abstractions/fonts>
#include <abstractions/audio>
#include <abstractions/dbus>
network unix,
# 允许连接到任意IP的443和80端口
network inet tcp port 443,
network inet6 tcp port 443,
network inet tcp port 80,
network inet6 tcp port 80,
# 显式拒绝其他网络端口
deny network inet tcp,
deny network inet6 tcp,
deny network inet udp,
deny network inet6 udp,
}这里使用了port限定符，要求AppArmor版本至少2.8（主流发行版均已支持）。注意：如果Telegram还依赖UDP（例如用于通话），则需额外开放对应端口，但为了简洁我们暂不包含。
加载并启用AppArmor profile
保存文件后，执行以下命令将规则加载到内核并强制生效：
sudo apparmor_parser -r /etc/apparmor.d/usr.bin.telegram-desktop
sudo aa-enforce /etc/apparmor.d/usr.bin.telegram-desktop验证是否已生效：
sudo aa-status | grep telegram你应该看到类似telegram (enforce)的输出，表示限制已启用。
测试与调试：如何确认限制生效
重新启动Telegram，观察它的行为：
- 在离线模式下，Telegram会显示“无网络连接”，但聊天记录仍可浏览。
- 在端口限制模式下，Telegram可正常收发消息，但无法进行其他非标准端口通信。
如果发现Telegram功能异常，优先查看AppArmor拒绝日志来定位问题：
sudo journalctl -u apparmor --since today | grep DENIED或者直接查看系统日志：sudo grep "apparmor=" /var/log/syslog。
若要临时禁用profile以便调试，可执行：
sudo aa-complain /etc/apparmor.d/usr.bin.telegram-desktop这样AppArmor不会阻止但会记录“允许”和“拒绝”的操作。调试完毕再切换回enforce模式即可。
注意事项与扩展
- 路径适配：本示例使用的是
/usr/bin/telegram-desktop，如果你从官网安装到/opt，请修改profile中的路径，并将文件名改为例如opt.Telegram.Telegram。 - 网络命名空间：AppArmor的
network规则绑定在进程上，无法限制容器的网络命名空间，也不影响Telegram使用VPN等虚拟网卡（VPN产生的连接仍受限制）。 - 系统启动：将profile放在
/etc/apparmor.d/后，重启系统会自动加载。
总结
通过AppArmor，我们成功为Linux版Telegram添加了网络访问限制，实现了完全离线或仅允许标准端口的安全策略。这一方案不仅适用于Telegram，也能推广到其他需要网络隔离的应用。希望你根据自己的实际需求调整规则，在便利与安全之间找到平衡。