Изоляция от сети и unshare -n для процесса от не-root пользователя

Поцоны просили передать вопрос, суть такова: есть некое не вполне доверенное приложение под Вайном. Его нужно огородить от сети. Если не множить сущности с запуском от специально созданного пользователя, для которого нужно создать правило iptables с запретом всего, то очень даже подходит простой и краткий unshare -n. Но unshare требует прав рута, а софт не вполне доверенный и вообще вариации на тему sudo wine %%appname%% не одобрены раввинами и не могут считаться кошерными. Можно ли сделать unshare -n вызываемому процессу и, при этом запустить его от конкретного пользователя, а не от рута? Если да, то как?