CustomOS3.1 OBSIDIAN
ネットワークサービス
既定のインストール：待ち受けなし、トンネル未設定。
Tor
イメージに含まれ、マスクされています。インストール時（CUSTOMOS_TOR=1）または後から customos-netsvc tor enable でオプトインします。127.0.0.1:9050 の SOCKS プロキシであり、システム全体のトンネルではありません。
WireGuard
wg / wg-quick インストール済み。初期状態ではピアも /etc/wireguard/*.conf もありません。
SSH サーバー
マスク済み、ポート 22 は閉鎖。オプトイン時：ハードニング済み設定 + ハイブリッド耐量子鍵交換。
キルスイッチ
オプトインの nftables プロファイル。wg*/tun* インターフェースが起動したときだけ有効化されます。それまで送信は開いたままです。
DNS
システムリゾルバー。DoH/DoT は設定に宣言されていますが、まだ接続するスクリプトはありません。
トグルは読み取り専用の状態表示であり、スイッチではありません。CustomOS では systemctl、wg-quick、/sys/class/net の状態を反映します。
✓ フェイルクローズの nftables キルスイッチ (設定したトンネルを保護します)
✓ 受信は既定で拒否、公開サービスなし○ 接続ごとの MAC ランダム化 — 宣言済みだが未接続
○ DNS リーク対策 — リゾルバー未接続
○ dVPN / OpenVPN クライアントなし
$ customos-netsvc tor status
tor: masked (not opted in)
$ customos-netsvc ssh status
ssh: masked · port 22 closed
(sample output)