sudo tee /usr/local/bin/fix-ts-whitelist.sh << 'EOF'
#!/bin/bash
# 功能：定期检查并修复 tailscale ts-input 链中的白名单规则

CONFIG_FILE="/etc/tailscale/whitelist.conf"
CHAIN="ts-input"
TABLE="filter"

# 如果配置文件不存在，静默退出
if [[ ! -f "$CONFIG_FILE" ]]; then
    exit 0
fi

# 检查 ts-input 链是否存在（tailscale 未运行时可能不存在）
if ! iptables -t $TABLE -L $CHAIN -n >/dev/null 2>&1; then
    # 链不存在，无需修复，直接退出
    exit 0
fi

# 读取配置文件，忽略空行和注释
# 修正1：使用 || [[ -n "$entry" ]] 防止最后一行无换行符时被丢弃
while IFS= read -r entry || [[ -n "$entry" ]]; do
    # 修正2：移除行尾注释（# 及之后的内容），避免非法的 iptables 参数
    entry="${entry%%#*}"
    
    # 去除前后空白
    entry="$(echo "$entry" | sed -e 's/^[[:space:]]*//' -e 's/[[:space:]]*$//')"
    
    # 跳过空行（注释行已被清理或原本就是空行）
    [[ -z "$entry" ]] && continue

    # 检查规则是否已存在
    if ! iptables -t $TABLE -C $CHAIN -s "$entry" -j ACCEPT 2>/dev/null; then
        # 插入到链的最顶部（优先级最高）
        # 注意：若文件中有多条规则，最后读取的条目会成为第一条，
        # 即配置文件中后写的规则会优先匹配，可视需求调整
        iptables -t $TABLE -I $CHAIN 1 -s "$entry" -j ACCEPT 2>/dev/null
        if [[ $? -eq 0 ]]; then
            logger -t "fix-ts-whitelist" "Added ACCEPT rule for $entry"
        fi
    fi
done < "$CONFIG_FILE"

exit 0
EOF
sudo chmod +x /usr/local/bin/fix-ts-whitelist.sh

mkdir root
openssl genrsa -aes256 -out root/ca.key.pem 4096