мониторинг и разграничение доступа к сетевым ресурсам виртуальной машине qemu

ты определись: надо ограничить доступные домены или доступные подсети?

Если пользователь винды, не может/не-имеет-права менять сетевые настройки, то самое простое это dns.

ЗЫ

с помощью ufw

Я не знаю как работает ufw но учитывая что это надстройка могу предположить, что при указании domain.tld он так же создает несколько правил по всем адресам из резолва. Хотя кто его знает. Проверять негде. Да и тут есть нюансы если ip адреса меняются часто то и правила перегружать с такой же частотой, что не красиво.

Нужно ограничить виртуализацию. Виртуализация откатывается из снапшота при каждом ребуте, но если юзверь каким-то образом выхватит малварь - то малварь бекконектнется на сервер. А так - нет.

Я вот и думаю. Как бы его так. Входящие все реджектятся, без исключений. А вот исходящие там идут на разные гос. сервера, топологию которых изучать особо никто не даёт…..

малварь
гос. сервера

Это братья.

Я в хохландии, тут это старший брат и младшая сестра

Чем отличается от «этой страны» ? Или есть какой то цимес вопроса?

На самом деле отличия есть. Тут куда меньше тоталитаризма, да и сама страна меньше. Это как разница между мегаполисом и обычным городом. Ну и в последствии весь цимес в том, что тут можно что-то сказать так, что бы тебя услышали раньше, чем уехать хрен знает на сколько.