#!/bin/sh
set -eu

MARKER=/run/mtail/cleanup-required

# ExecStopPost também roda se o preflight falhar. O marcador impede que uma
# recusa por outro tailscaled execute cleanup global de DNS/netfilter.
[ -f "$MARKER" ] || exit 0
rm -f -- "$MARKER"

exec /usr/local/libexec/mtail/tailscaled \
  --cleanup \
  --tun=mtail0 \
  --statedir=/var/lib/mtail \
  --state=/var/lib/mtail/tailscaled.state \
  --socket=/run/mtail/mtaild.sock \
  --syspolicy-file= \
  --no-logs-no-support
