---

table inet vless_killswitch {
    chain output {
        type filter hook output priority -10; policy drop;

        oifname "lo" accept
        oifname "tun0" accept

        # Разрешить VLESS-сервер (замени адрес и порт)
        ip daddr 203.0.113.10 tcp dport 443 accept

        # DHCPv4 для обновления сетевой аренды
        udp sport 68 udp dport 67 accept

        # Необходимые исходящие ICMPv6 для IPv6-сетевого соседства
        meta l4proto ipv6-icmp icmpv6 type {
            nd-neighbor-solicit,
            nd-router-solicit,
            nd-neighbor-advert
        } accept
    }
}