CustomOS3.1 OBSIDIAN
nftables · dos perfiles
Predeterminado: entrada descartada (drop), sin servicios expuestos; salida permitida (accept) para que funcionen apt y el navegador. Opt-in: salida solo por el túnel (kill switch), armado únicamente cuando existe wg0/tun0. Fail-closed: se carga una tabla de respaldo si falla el conjunto de reglas principal.
Reglas del perfil kill switch opt-in (recuentos de aciertos de muestra):
| Acción | Dir. | Proto | Puerto | Origen → destino | Aciertos |
|---|---|---|---|---|---|
| PASS | out | udp | 51820 | wg0 → túnel VPN (si está configurado) | 22.7k |
| PASS | out | tcp | 853 | → DNS cifrado (DoT) | 9.1k |
| PASS | any | any | — | lo (loopback) | — |
| PASS | in/out | any | — | wg0 (dentro del túnel) | 48.2k |
| BLOCK | in | any | * | * → host | 1.2k |
| BLOCK | out | any | * | fuera del túnel (kill switch) | 340 |