conntrack

type AgentResult struct {
	// Kept は、今の公開に合うので残したフローの数である。
	Kept int
	// Removed は、ポートが宣言から消えたので消したフローの数である。ルールの削除と無効化、
	// エージェントの無効化がこれに当たる。
	Removed int
	// Retargeted は、ポートの実効宛先の宣言が変わったので消したフローの数である。
	Retargeted int
	// NotAllowed は、宣言は変わらないが DNAT の宛先が今の許可一覧の外にあるので消したフローの数である。
	NotAllowed int
	// Failed は、消すべきだったが削除に失敗したフローの数である。
	Failed int
}

type AgentScope struct {
	// Local は wgft0 のアドレス(エージェントのトンネルアドレス)である。
	Local netip.Addr
	// Peer は vpsd のトンネルアドレスである。wgft0 のピアの AllowedIPs はこのアドレスの /32 だけなので、
	// wgft0 から入るパケットの送信元は必ずこのアドレスになる。
	Peer netip.Addr
	// AllowTarget は宛先の許可一覧の判定である(nft.AgentConfig.AllowTarget と同じもの)。nil なら制限しない。
	AllowTarget func(netip.AddrPort) bool
}

type Rule struct {
	Proto      proto.Proto
	ListenPort proto.PortRange
	AgentAddr  netip.Addr // DNAT 先(エージェントのアドレス)
	// Policy は接続元 deny/allow(design.md 7a.9 節)。planner.PortPlan.Policy の写しで、接続元以外の
	// レート等の項目はこの収束の判定に使わない。
	Policy policy.RulePolicy
	// Keep は、nil でなければ Policy の deny/allow の代わりに接続元を判定する。fail-closed に
	// したルールの直前の Active の値を、新しい宣言の接続元制限とあわせて判定するのに使う(設計文書 7a.3 節)。
	Keep func(src netip.Addr) bool
}