CustomOS3.1 OBSIDIAN
网络服务
默认安装：无任何监听，未配置隧道。
Tor
镜像中已包含，处于屏蔽状态。可在安装时启用（CUSTOMOS_TOR=1），或之后运行：customos-netsvc tor enable。这是 127.0.0.1:9050 上的 SOCKS 代理，不是系统级隧道。
WireGuard
已安装 wg / wg-quick。开箱即用时没有对等端，也没有 /etc/wireguard/*.conf。
SSH 服务器
已屏蔽，22 端口已关闭。启用后：加固配置 + 混合后量子密钥交换。
Kill switch
可选启用的 nftables 配置。仅当 wg*/tun* 接口启动时才生效 — 在此之前出站保持开放。
DNS
系统解析器。DoH/DoT 已在配置中声明，但尚无脚本将其接入。
开关仅显示只读状态，并非可操作的开关。在 CustomOS 上，它们反映 systemctl、wg-quick 和 /sys/class/net。
✓ 失败即关闭的 nftables kill switch (配置隧道后才会保护该隧道)
✓ 入站默认拒绝，不暴露任何服务○ 每连接 MAC 随机化 — 已声明，未接入
○ DNS 泄漏防护 — 解析器未接入
○ 无 dVPN / OpenVPN 客户端
$ customos-netsvc tor status
tor: masked (not opted in)
$ customos-netsvc ssh status
ssh: masked · port 22 closed
(sample output)