CustomOS3.1 OBSIDIAN
nftables · dois perfis
Padrão: entrada descartada (drop), sem serviços expostos; saída permitida (accept) para que o apt e o navegador funcionem. Opt-in: saída somente pelo túnel (kill switch), armado apenas quando wg0/tun0 existe. Fail-closed: uma tabela de reserva é carregada se o conjunto de regras principal falhar.
Regras do perfil kill switch opt-in (contagens de ocorrências de exemplo):
| Ação | Dir. | Proto | Porta | Origem → destino | Ocorrências |
|---|---|---|---|---|---|
| PASS | out | udp | 51820 | wg0 → túnel VPN (se configurado) | 22.7k |
| PASS | out | tcp | 853 | → DNS criptografado (DoT) | 9.1k |
| PASS | any | any | — | lo (loopback) | — |
| PASS | in/out | any | — | wg0 (dentro do túnel) | 48.2k |
| BLOCK | in | any | * | * → host | 1.2k |
| BLOCK | out | any | * | fora do túnel (kill switch) | 340 |