CustomOS3.1 OBSIDIAN
nftables · два профиля
По умолчанию: входящие отбрасываются, открытых сервисов нет; исходящие разрешены, чтобы работали apt и браузер. Opt-in: исходящий трафик только через туннель (kill switch), включается лишь при наличии wg0/tun0. Fail-closed: если основной набор правил не загрузился, загружается резервная таблица.
Правила профиля kill switch с opt-in (примерные счётчики срабатываний):
| Действие | Напр. | Прот. | Порт | Источник → назначение | Срабатывания |
|---|---|---|---|---|---|
| PASS | out | udp | 51820 | wg0 → VPN-туннель (если настроен) | 22.7k |
| PASS | out | tcp | 853 | → шифрованный DNS (DoT) | 9.1k |
| PASS | any | any | — | lo (loopback) | — |
| PASS | in/out | any | — | wg0 (внутри туннеля) | 48.2k |
| BLOCK | in | any | * | * → host | 1.2k |
| BLOCK | out | any | * | вне туннеля (kill switch) | 340 |