CustomOS3.1 OBSIDIAN
nftables · zwei Profile
Standard: eingehend verworfen (drop), keine offenen Dienste; ausgehend erlaubt (accept), damit apt und der Browser funktionieren. Opt-in: Ausgang nur über den Tunnel (kill switch), nur scharfgeschaltet, wenn wg0/tun0 existiert. Fail-closed: Schlägt das Haupt-Regelwerk fehl, wird eine Ersatztabelle geladen.
Regeln des Opt-in-kill-switch-Profils (Beispiel-Trefferzahlen):
| Aktion | Ri. | Proto | Port | Quelle → Ziel | Treffer |
|---|---|---|---|---|---|
| PASS | out | udp | 51820 | wg0 → VPN-Tunnel (falls konfiguriert) | 22.7k |
| PASS | out | tcp | 853 | → verschlüsseltes DNS (DoT) | 9.1k |
| PASS | any | any | — | lo (loopback) | — |
| PASS | in/out | any | — | wg0 (innerhalb des Tunnels) | 48.2k |
| BLOCK | in | any | * | * → host | 1.2k |
| BLOCK | out | any | * | außerhalb des Tunnels (kill switch) | 340 |