CustomOS3.1 OBSIDIAN
nftables · deux profils
Par défaut : entrant rejeté (drop), aucun service exposé ; sortant accepté pour que apt et le navigateur fonctionnent. Opt-in : sortie uniquement par le tunnel (kill switch), armé seulement quand wg0/tun0 existe. Fail-closed : une table de repli est chargée si le jeu de règles principal échoue.
Règles du profil kill switch opt-in (compteurs de correspondances d'exemple) :
| Action | Dir. | Proto | Port | Source → destination | Correspondances |
|---|---|---|---|---|---|
| PASS | out | udp | 51820 | wg0 → tunnel VPN (si configuré) | 22.7k |
| PASS | out | tcp | 853 | → DNS chiffré (DoT) | 9.1k |
| PASS | any | any | — | lo (loopback) | — |
| PASS | in/out | any | — | wg0 (dans le tunnel) | 48.2k |
| BLOCK | in | any | * | * → host | 1.2k |
| BLOCK | out | any | * | hors du tunnel (kill switch) | 340 |