nftables 防火墙

适用于 FAU-RBC02-PRO。执行后创建独立的 inet fau_doctor_rbc02pro 表， 只处理本包声明的 TCP/UDP 目标端口，不修改系统其他 nftables 表。

参数均使用英文分号 ; 分隔，分号后允许有空格：

• tcp_ports：需要屏蔽的 TCP 目标端口，例如 22;80;8555
• udp_ports：需要屏蔽的 UDP 目标端口，例如 53;123
• whitelist：白名单 IPv4 或 CIDR，例如 192.168.1.0/24;10.0.0.5

白名单规则先于端口屏蔽规则执行，白名单来源可以访问这些端口。三个参数都 可以留空；端口范围必须是 1 到 65535。脚本会先用 nft -c 校验完整规则， 校验通过后保存到 /etc/nftables.d/fau-doctor-rbc02pro.nft 并加载。

脚本会确保 /etc/nftables.conf 包含：

include "/etc/nftables.d/*.nft"

因此重启时会加载该目录下全部 .nft 规则文件；脚本会启用并重启系统的 nftables.service，修改主配置前会保存一份 /etc/nftables.conf.fau-doctor.bak 备份。没有 systemd 服务时才回退为直接加载规则。stage1/run.sh 支持 root 权限切换：root 直接执行，非 root 会使用包内与 参考升级包一致的 root 密码通过 su 切换。注意：root 密码因此会包含在 源码和 npm 发布包中，发布前应确认这是目标设备的统一临时密码，并在后续版本 中改为安全的凭据注入方式。