Allow all private IPv4 traffic by default in Debian initialization firewall

README.md

@@ -56,7 +56,7 @@ Headscale 0.29.6 从预授权 key 授予节点标签，拒绝预授权注册请
 
 所有运行服务的 Docker 模板使用 host 网络，业务服务监听 `0.0.0.0`，由 Debian nftables 控制输入端口。`host-init.sh` 安装 nftables，不自动开放端口或替换现有防火墙。通过固定 release 的 `firewall.sh --check|--apply --policy /run/platform-secrets/firewall.json` 应用已登记的主机策略；文件必须为 root 0600，策略包含准确主机名、恢复 SSH 来源、公网端口和 Tailnet 来源/端口。
 
-规则仅管理 `inet platform_host`，INPUT 默认拒绝、同时校验 `tailscale0` 与精确源 IPv4；不清空全局规则。`--apply` 安排 180 秒自动回退，从新的 SSH transport 验证后执行 `--confirm --sha256 <apply输出摘要>` 才持久化，并建立 Docker/Tailscale 的防火墙启动依赖。通过 sudo 确认时保留 `SSH_CONNECTION` 环境变量。详细 JSON 格式、端口矩阵、Headscale 标签关系与现有集群迁移约束在 platform 的 `docs/network.md`。
+规则仅管理 `inet platform_host`，INPUT 默认拒绝公网未声明来源；本机回环、RFC1918（10/8、172.16/12、192.168/16）和 tailscale0 上的完整 100.64/10 默认允许所有端口/协议；不清空全局规则。`--apply` 安排 180 秒自动回退，从新的 SSH transport 验证后执行 `--confirm --sha256 <apply输出摘要>` 才持久化，并建立 Docker/Tailscale 的防火墙启动依赖。通过 sudo 确认时保留 `SSH_CONNECTION` 环境变量。详细 JSON 格式、端口矩阵、Headscale 标签关系与现有集群迁移约束在 platform 的 `docs/network.md`。
 
 ## 独立手工升级
 
@@ -98,3 +98,6 @@ Caddy 同时提供 /install.sh 稳定入口与 /releases/<40位小写Git提交>/
 ## Headplane 准备与凭据
 
 `headplane-prepare.sh --mode prepare|key --hostname NAME --root /srv/platform/headscale --port 3000 --project PROJECT` 在已有 Headscale 准备根目录内创建持久目录和独立 cookie，或按项目/服务标签和数据目录核对唯一健康 Headscale 容器后签发 90 天管理 key。凭据仅写 root 0600 文件，不输出值；重跑保留原值，未知或中断状态停止检查。Komodo Stack 负责服务启动，控制端回收凭据并验证登录。完整顺序见 platform 的 `docs/headscale-repeatable-install.md`。
+
+
+Debian 初始化时，固定 release 的 `host-init.sh --apply` 支持 `--firewall-policy /run/platform-secrets/firewall.json --firewall-script /已校验的固定release/firewall.sh`，直接调用同一个防火墙事务。脚本不再另写一套内网规则。策略仍需明确主机名、现有 SSH 端口/公网恢复来源和公网服务端口；内网全部放行由通用 firewall.sh 自动生成。新建 SSH 验证后，用 apply 返回的准确摘要执行 firewall.sh --confirm。未传防火墙输入的旧调用仅准备包和主机名，不能宣称已完成防火墙初始化。