Preguntas frecuentes (FAQ)

RoamSwitch for Linux es una suite gratuita de defensa de red autónoma Zero-Trust y diagnóstico de seguridad para Linux con arquitectura Zero Telemetry (cero telemetría externa). Combina conmutación de nftables, aislamiento de ransomware, auditoría en 27 puntos e integración con IA por MCP en un binario ligero.

A diferencia de las herramientas que realizan análisis pasivos o periódicos, RoamSwitch actúa en tiempo real: conmuta reglas de nftables al cambiar de Wi-Fi y aisla el equipo de forma autónoma ante ataques.

El binario principal es freeware propietario (Community Edition, código cerrado). Sin embargo, los SDK para clientes (Rust/Python) y las especificaciones de MCP son de código abierto en GitHub.

Lafine publica un informe técnico detallando cómo capturar paquetes e inspeccionar llamadas al sistema. Con tcpdump o eBPF puede verificar que no se envía al exterior ninguna información sobre usted ni sobre su equipo (la única conexión saliente por defecto es una actualización diaria que solo recibe datos firmados).

Garantiza que ningún registro, configuración, historial de tráfico o puntuación de seguridad se envía a servidores externos (ni a Lafine). Todo se procesa al 100% de forma local en su Linux.

Identifica en milisegundos la MAC de la puerta de enlace Wi-Fi y aplica automáticamente reglas de nftables optimizadas para Hogar (Trusted), Oficina (Balanced) o Wi-Fi público (Lockdown).

Cuando se detecta la manipulación de un archivo canary (señuelo), RoamSwitch corta de emergencia todo el tráfico externo (Air-Gap) y los servicios de uso compartido para evitar que el daño se extienda por la LAN. Cuando fanotify/inotify con análisis de entropía de Shannon detecta una ráfaga de cifrado rápida, congela de inmediato el proceso culpable (SIGSTOP) y se lo notifica, y corta igualmente de emergencia todo el tráfico externo (Air-Gap) y los servicios de uso compartido.

Al conectar un USB no autorizado, udev bloquea el montaje hasta su aprobación. Para dispositivos BadUSB, evdev (EVIOCGRAB) captura temporalmente las pulsaciones a nivel software y muestra un diálogo de aprobación sin desconexión física del puerto.

Al conectarse a redes no confiables, inicia automáticamente el túnel WireGuard (.conf) o Tailscale (Exit Node). El Kill Switch con nftables corta cualquier fuga de datos en claro fuera del túnel (fail-closed, opcional).

Extrae nombres de host de peticiones DNS locales, TLS SNI y cabeceras HTTP Host para advertir o bloquear conexiones fraudulentas con listas de amenazas firmadas localmente (sin enviar URLs a la nube).

Ubuntu 22.04/24.04, Debian 12+, Linux Mint, Pop!_OS, Fedora, RHEL, CentOS Stream, openSUSE, Arch Linux y Raspberry Pi OS (64 bits), cubriendo distribuciones con systemd y nftables.

Mediante repositorios oficiales: APT para Ubuntu/Debian (lafine.net/apt), DNF para Fedora/RHEL (lafine.net/rpm), zypper para openSUSE (lafine.net/rpm) y PKGBUILD / tarball firmado para Arch Linux (lafine.net/linux/dl/).

Sí. Además de la interfaz GTK y el icono de bandeja, todas las funciones están disponibles mediante el demonio de fondo, el comando 'roamswitch' y la interfaz MCP.

La Client Edition (esta pestaña) está optimizada para dispositivos que se desplazan entre redes (roaming) —estaciones de trabajo y portátiles—. Para un VPS en la nube o un servidor de centro de datos, utilice en su lugar el paquete headless dedicado roamswitch-server (también gratuito, distribuido por separado). Incluye funciones específicas para servidores, como Default Drop en el tráfico entrante, prevención de bloqueo por SSH y detección de intrusiones mediante eBPF. Consulte la pestaña «🖧 Linux Server Edition» para más información.

Sí, ya está disponible y, al igual que la Client Edition, es gratuita (Community Edition, con todas las funciones incluidas y sin necesidad de activación de licencia). Se instala como paquete independiente roamswitch-server desde APT / DNF / zypper / AUR.

Use «🧰 Recuperación y desinstalación» → «🗑 Desinstalar RoamSwitch…» en la bandeja, el comando sudo roamswitch uninstall o un gestor de paquetes como apt remove (desde la versión 1.10.7). Por cualquier vía, RoamSwitch deshace todos los cambios que hizo en la red (tablas de cortafuegos, bloqueo ARP de la puerta de enlace, DNS, etc.) antes de eliminar nada, así que la conexión no queda cortada. Consulte los pasos de desinstalación para los detalles.

Revisa 27 aspectos: Secure Boot, cifrado LUKS, LSM (AppArmor/SELinux), actualizaciones automáticas, seguridad SSH/Sudo, sysctl, puertos abiertos, Safe Browsing, fijación ARP y protección DNS (0-100 puntos).

En el panel de control GTK o ejecutando el comando 'roamswitch status' en la terminal para obtener un informe detallado.

roamswitch-mcp es una interfaz estándar que permite a modelos de IA como ChatGPT, Claude, Cursor y Antigravity consultar con seguridad el estado de su Linux.

Puede preguntar en lenguaje natural: '¿Cuál es mi puntuación de seguridad actual?' o '¿Hay puertos peligrosos abiertos?'. La IA analiza los datos locales y ofrece pasos claros de resolución.

Ninguno. El servidor MCP funciona en modo estrictamente de solo lectura a través de stdio local. La IA no tiene capacidad de modificar reglas de cortafuegos ni archivos del sistema.

A. Probablemente no esté averiado: la protección BadUSB de RoamSwitch puede estar bloqueando temporalmente las pulsaciones de un teclado que no está en la lista de permitidos, mostrando un cuadro de diálogo de aprobación. Seleccione «Permitir» en ese cuadro para registrar el teclado y restaurar la entrada. Si no hay respuesta en 3 minutos, la entrada se libera automáticamente (para que una máquina headless nunca quede bloqueada). Si no ve el cuadro de diálogo, desconecte y vuelva a conectar el teclado.

A. Sí: el tráfico saliente, como la navegación web y las actualizaciones de paquetes, nunca se restringe en ningún nivel de protección. Los tres niveles difieren en cuánto tráfico entrante no solicitado permite nftables. open está pensado para una red doméstica y permite el tráfico local. balanced es adecuado para redes de trabajo o anclaje a red — vigila puertos sospechosos sin interferir con el uso normal. lockdown está pensado para Wi-Fi pública y bloquea todo el tráfico entrante en modo sigiloso. Ningún nivel bloquea nunca el tráfico que usted mismo inicia (navegación, conexiones SSH salientes como cliente, etc.).

En parte sí; otra parte existe solo en la Server Edition.

Lo que funciona en el cliente
El tráfico entrante se rechaza por defecto (el nivel de protección sigue el tipo de red). Además hay detección y bloqueo de escaneos de puertos, detección de puertos en escucha desconocidos, auditoría de registros de seguridad, los señuelos antirransomware (canario), las credenciales señuelo (honeytokens), la vigilancia de manipulación de archivos críticos (FIM) y la vigilancia de entradas de inicio automático (persistencia). Las notificaciones son notificaciones de escritorio y se conservan en el historial. En el Mac, la mayoría de estas funciones son de Pro y se activan automáticamente al activar Pro.

Fuerza bruta SSH
El bloqueo inmediato funciona solo mientras el inicio de sesión remoto (sshd) esté activado (pf en el Mac, nftables en Linux). En un equipo donde sshd no está en marcha, no se lee nada y no se cambia nada.

Una pista del FIM
La notificación de un archivo crítico manipulado lleva una pista hacia un inicio de sesión SSH. En Linux se asocia, a partir del proceso que hizo el cambio, al inicio de sesión SSH al que pertenece. El Mac no puede hacerlo, porque macOS no dice qué proceso escribió un archivo: solo enumera los inicios de sesión SSH que empezaron en torno al cambio. Es una pista por coincidencia de tiempos, no una prueba de que ese inicio de sesión hiciera el cambio.

Lo que existe solo en la Server Edition
La detección mediante eBPF (cuando hay instalado un sensor como Falco) está en el cliente Linux y no en el Mac. La detección de reverse shell propia de RoamSwitch existe solo en la Server Edition.

Una suite de defensa autónoma y seguridad completamente headless (sin dependencias de GUI) para VPS en la nube, centros de datos on-premise y hosts de contenedores. Se distribuye como paquete y binario independiente, roamswitch-server, distinto de la Client Edition (roamswitch). Ofrece Default Drop en el tráfico entrante, prevención de bloqueo por SSH, detección de intrusiones mediante eBPF, FIM de rutas críticas (monitorización de manipulaciones), bloqueo de Egress/C2 y notificaciones de emergencia, todo en un único daemon systemd ligero.

La Client Edition se centra en el roaming: detecta los cambios de Wi-Fi a la que está conectado (por la MAC de la puerta de enlace) y cambia de forma autónoma entre tres perfiles de firewall. La Server Edition no asume movilidad de red y adopta como postura por defecto un Default Drop permanente en el tráfico entrante, con protección de la ruta de administración SSH, prevención de exposición de puertos de contenedores y detección de intrusiones a nivel de kernel mediante eBPF/Falco o Tetragon: amenazas propias de un servidor siempre activo. No dispone de GUI ni icono de bandeja; se gestiona mediante la CLI (el comando roamswitch), archivos de configuración y MCP.

Como la edición Cliente, la Community Edition es gratuita, incluye todas las funciones y no requiere activación. Para las organizaciones que quieran gestionar de forma centralizada una flota de servidores, se prevé un nivel de pago RoamSwitch Business (gestión de flota, distribución de políticas firmadas, soporte con SLA), aún no disponible. La defensa del endpoint en sí está incluida en la edición gratuita.

Sí. El contenido del tráfico, el historial de conexiones, los resultados de diagnóstico y similares nunca se envían a ningún destino externo, ni siquiera por defecto. Por defecto, las únicas comunicaciones salientes son las actualizaciones a través del gestor de paquetes del sistema operativo (apt/dnf/zypper) y una recepción anónima de datos firmados (los datos de CVE del kernel, las reglas web y, en servidores Ubuntu, los datos de CVE de paquetes de Ubuntu que usa la comprobación de CVE de los paquetes del sistema; un HTTPS GET a lafine.net; el manifiesto firmado se comprueba cada día y los datos de CVE en sí, aproximadamente cada 30 días; no contiene información sobre el host y se puede desactivar con roamswitch server config set cve_kernel_map_updates_enabled false). Las notificaciones, el reenvío de eventos, la verificación de firmas de npm, etc. solo se comunican cuando el operador los ha activado de forma explícita. El daemon no incluye ninguna biblioteca de comunicación externa, y esto se verifica en tiempo de compilación mediante un script de auditoría (audit_no_network.sh). La lista completa de excepciones se publica en la sección Zero Telemetry del documento de diseño de seguridad de la Server Edition.

Es compatible con Ubuntu 22.04/24.04, Debian 12+, Fedora, RHEL, Rocky Linux, AlmaLinux, openSUSE y Arch Linux (todas requieren systemd + nftables). Admite tanto x86_64 como aarch64 (incluido AWS Graviton).

Se instala desde los mismos repositorios oficiales que la Client Edition, simplemente cambiando el nombre del paquete: sudo apt install roamswitch-server (Ubuntu/Debian), sudo dnf install roamswitch-server (familia Fedora/RHEL), sudo zypper install roamswitch-server (openSUSE). Tiene una relación Conflicts mutua con el paquete de la Client Edition (roamswitch), por lo que ambos no pueden instalarse a la vez en el mismo host.

Ejecute el asistente de configuración interactivo con sudo roamswitch server setup. Le guiará por el puerto de administración SSH, las IP de origen de mantenimiento, los canales de notificación de emergencia (Telegram/LINE/Webhook) y la acción a tomar ante un evento crítico de eBPF (isolate/freeze/alert_only), y al final enviará una notificación de prueba y reiniciará el servicio.

Después de editar /etc/roamswitch/server.conf, ejecute sudo roamswitch server restart. La unidad roamswitch-server.service no admite recargar la configuración mediante systemctl reload; solo admite un restart completo.

Es opcional. Si crea /etc/roamswitch/guard.yaml, puede especificar de forma individual una acción de contención (solo notificar / aislar el proceso / aislar todo el host) y un temporizador de seguridad para cada nivel de gravedad de Falco/Tetragon (warning/error/critical/emergency). Si el archivo no existe, se sintetiza automáticamente una política equivalente a partir de action_on_critical en server.conf, por lo que los despliegues existentes no se ven afectados. La plantilla de distribución se encuentra en /etc/roamswitch/guard.yaml.example.

Desde el momento de la instalación, se deniega toda conexión entrante excepto los puertos explícitamente permitidos en allowed_ports (por defecto 80 y 443). Esto evita que un puerto de administración o depuración quede expuesto a internet de forma accidental.

Existen varias capas de protección: (1) las sesiones de conexión ESTABLISHED/RELATED existentes se preservan siempre; (2) ssh_ports (por defecto 22) se permite siempre de forma incondicional; (3) incluso durante un aislamiento de emergencia del host (Air-Gap), preserve_ssh_on_isolation=true (valor por defecto) mantiene activa la sesión SSH del administrador; (4) una sintaxis de configuración inválida o un fallo al cargar nftables provoca una reversión automática al último conjunto de reglas en buen estado. La edición de servidor hasta la 1.10.4 tenía un defecto. Las reglas de aislamiento descartaban las respuestas SSH, por lo que el SSH del operador no funcionaba durante el aislamiento. Se corrigió en la 1.10.5.

Sí. Por defecto, Docker crea sus propias reglas de iptables al usar la opción -p, lo que puede eludir el firewall estándar del host y exponer directamente un puerto del contenedor a internet. Con protect_docker_ports=true (valor por defecto), RoamSwitch inserta una regla de inspección al principio de la cadena DOCKER-USER para que el tráfico destinado a los contenedores también quede sujeto a la política de allowed_ports / whitelist_ips.

Inicie sesión a través de la consola web de su proveedor de nube (VNC/consola serie) y ejecute sudo roamswitch emergency-restore para restaurar el firewall a su última configuración correcta conocida y eliminar cualquier aislamiento de emergencia, o ejecute sudo systemctl stop roamswitch-server para detener por completo el servicio.

Es una función que se integra con sensores eBPF que operan en el espacio del kernel para detectar en tiempo real reverse shells, escaladas de privilegios y fugas de contenedores (container escapes). El sensor por defecto es Falco (JSONL a través de un socket de dominio UNIX), pero configurando sensor.type: tetragon en guard.yaml se puede cambiar a Cilium Tetragon (gRPC nativo, a través del mismo socket UNIX). Ninguno de los dos añade un nuevo puerto en escucha.

Según action_on_critical (o la política definida en guard.yaml), se activa automáticamente una de las siguientes acciones: isolate (aísla de la red al proceso implicado), freeze (congela el proceso con SIGSTOP y lo aísla de la red) o alert_only (solo notifica). Si se especifica kill_process: true, además del aislamiento se envía SIGKILL. Los daemons fundamentales —init, runtimes de contenedores, gestores de paquetes, entre otros— quedan siempre excluidos de la congelación/terminación forzada gracias a una lista de procesos protegidos.

Es el periodo de gracia tras activarse un aislamiento de emergencia del host (Air-Gap), durante el cual el administrador debe confirmar la acción con sudo roamswitch server ack (safety_timer_secs en guard.yaml, 300 segundos por defecto). Si transcurre ese tiempo sin confirmación, RoamSwitch restaura automáticamente el acceso a la red para evitar que un falso positivo deje el servidor desconectado de forma indefinida.

Monitoriza los hashes SHA-256 de más de 150 binarios críticos, configuraciones de autenticación y unidades systemd. Los archivos se vigilan individualmente mediante eventos de finalización de escritura de fanotify (FAN_CLASS_NOTIF), por lo que la manipulación se detecta en el instante en que ocurre, sin esperar al siguiente análisis periódico (que se mantiene como respaldo). En una actualización legítima de paquetes del sistema operativo, la línea base se resincroniza automáticamente mediante el hook DPkg::Post-Invoke en Debian/Ubuntu o la unidad systemd.path en Fedora/RHEL/openSUSE, evitando así falsas alarmas.

Es una función que verifica periódicamente la integridad de archivos señuelo ubicados en las raíces web (/var/www, /srv, etc.). Si un señuelo es manipulado o cifrado de forma indebida, RoamSwitch identifica el proceso que accedió a él, lo congela, lo aísla y envía una notificación de emergencia al administrador.

El bloqueo de Egress (egress_ip_blocklist_enabled, activado por defecto, la semilla incluida solo contiene los tres servidores de ataque publicados por JPCERT/CC; no se bloquea nada más hasta que se cargue una lista) bloquea mediante nftables las conexiones salientes hacia IPs conocidas como maliciosas. El DNS sinkhole (dns_sinkhole_enabled, desactivado por defecto para no romper el DNS interno ni configuraciones split-horizon) fuerza la resolución a través de un resolutor DNS con filtrado (Quad9/Cloudflare/AdGuard/CleanBrowsing) para bloquear también la resolución de dominios maliciosos.

Es compatible con Telegram Bot, la API de mensajería de LINE y Webhooks genéricos (Slack / Discord / Microsoft Teams / su propia plataforma de monitorización). Las alertas se envían de forma instantánea ante incidentes graves: exposición indebida de puertos, manipulación detectada por FIM, detección de amenazas mediante eBPF o activación de un aislamiento de emergencia. Ejecute roamswitch server test-notify para verificar su configuración.

En la mayoría de los casos, al chat ID del supergrupo le falta el prefijo -100 requerido (por ejemplo: -1001234567890). Compruebe el valor correcto en el campo "chat":{"id":...} de la respuesta de curl -s "https://api.telegram.org/bot<token>/getUpdates".

Se ejecuta con roamswitch status --server. Audita de forma conjunta 34 elementos alineados con el CIS Benchmark —estado del firewall, mitigación de Frag Gap (deshabilitación de espacios de nombres de usuario sin privilegios), protección de memoria de Yama LSM, permisos de archivos críticos, exposición de Docker, entre otros— y muestra una puntuación de seguridad de 0 a 100 junto con una calificación (de S a C).

No la hay. El roamswitch-mcp incluido está diseñado para ser «completamente de solo lectura» (únicamente herramientas de obtención de estado y auditoría). Aunque los registros de una aplicación web contuvieran una inyección de prompt maliciosa, no sería posible abrir el firewall ni levantar un aislamiento a través de un agente de IA. Cualquier cambio de política o la liberación de un proceso congelado exige siempre la ejecución explícita de un comando desde una TTY local (una terminal SSH).

Son funciones previstas y no están disponibles hoy. Se contemplan la gestión de flota (inscribir varios servidores con un token de organización firmado con Ed25519 y agregar nivel de protección, puntuación de salud y estado de políticas), la distribución de políticas firmadas (redes de confianza y valores impuestos de cada guardia en JSON firmado), un repositorio APT/RPM privado firmado con una clave GPG propia de la organización y soporte con SLA por contrato. Hoy no existe servidor de gestión ni gestión de flota. La defensa del endpoint en sí está incluida en la edición gratuita y no se reducirá en Business.

Por el momento está orientado a hosts independientes de Docker/Podman. La distribución y auditoría de políticas en un clúster de Kubernetes completo se está evaluando como una posible ampliación futura de las funciones de gestión de flota para Business. Para solicitudes concretas, contacte con nuestro soporte.

Sí, pero dentro de un alcance. Esto es lo que puede detectar y dónde se detiene.

Lo que detecta y después detiene o comunica
- Fuerza bruta SSH: lee el registro de sshd en el momento en que se escribe una línea y bloquea a un origen cuyos fallos alcanzan el umbral (por defecto 6 en 600 segundos), en unos 0,2 segundos según las mediciones. Descarta las conexiones nuevas y, a la vez, corta las conexiones SSH que ese origen ya tenía abiertas. Una sesión autenticada y un origen exento nunca se cortan.
- Actividad tras una intrusión: la guardia de ejecución eBPF (Falco / Tetragon) detecta reverse shells, escaladas de privilegios y escapes de contenedor, y responde automáticamente, desde aislar el proceso hasta el Air-Gap de todo el host. RoamSwitch también busca por sí mismo, cada 2 segundos, reverse shells hacia direcciones externas (unos 2,4 segundos después de la conexión, según las mediciones). Se registra el tiempo desde la detección hasta la respuesta; medido, fue de 42 a 64 ms.
- Manipulación de archivos: el FIM detecta al instante el cambio de un archivo crítico, y la notificación indica quién lo hizo (cuenta, ejecutable, comando) y mediante qué inicio de sesión SSH (IP de origen, hora, método de autenticación). Cuando no se pudo comprobar, lo dice.
- Además: el contacto con el canario antirransomware y con las credenciales señuelo, la detección y el bloqueo de escaneos de puertos, la detección de tunelización DNS, el bloqueo del tráfico saliente hacia IP maliciosas conocidas y la detección de conexiones a la dirección de metadatos de la nube (solo notificación).

Sobre las notificaciones
Solo salen del servidor cuando el operador ha configurado un destino (Telegram, LINE, un webhook o el reenvío de eventos). Están desactivadas por defecto, y el historial siempre se registra en el propio servidor.

Límites
- La precisión y la rapidez del aislamiento eBPF dependen de las reglas de Falco o Tetragon. De hecho, las 29 reglas estándar de Falco 0.45.0 no incluyen ninguna que detecte un reverse shell en el host. RoamSwitch lo compensa con un heartbeat que comprueba que la vía de alertas está viva y con su propia detección de reverse shell, pero eso no cierra todas las lagunas de las reglas.
- El FIM muestra el hecho de un cambio y el proceso y el inicio de sesión que hay detrás. No muestra la puerta de entrada en sí (por ejemplo, la vulnerabilidad explotada).
- El bloqueo SSH cuenta por origen, así que rinde poco contra una fuerza bruta distribuida que prueba una sola vez desde muchas IP. Cuando fail2ban o CrowdSec (con la protección de sshd activada) está en marcha, RoamSwitch le cede el bloqueo y solo detecta y notifica.
- Como solución de fondo, combínelo con desactivar la autenticación por contraseña (solo claves) y restringir los orígenes permitidos (una lista de permitidos).