Manual de RoamSwitch for Linux

Para la edición de escritorio de RoamSwitch (icono de la bandeja + ventana principal), esta guía explica uno por uno el menú de la bandeja y todas las pestañas de la ventana principal, en el orden exacto en que aparecen. Se presupone un entorno de escritorio GTK (GNOME, KDE, XFCE, etc.). Para el funcionamiento en un servidor headless, consulte el manual de operaciones de la edición servidor.

1. Acerca de este manual

RoamSwitch for Linux se ejecuta como un icono 🛡️ en la bandeja del sistema de su escritorio. Haga clic en el icono para abrir un menú, desde el que puede acceder a la ventana principal para una configuración más detallada.

Muchas de las funciones más avanzadas llevan la etiqueta Pro. Esto significa que la función solo está disponible tras comprar (o probar) RoamSwitch Pro. Todo lo que no lleva esta etiqueta es gratuito.

2. Menú de la bandeja

Este es el menú que se abre al hacer clic en el icono de la bandeja. A continuación se explica de arriba abajo.

Procedimiento

1. Cambiar el nivel de protección ahora mismo: Haga clic en el icono de la bandeja y, después, haga clic en Lockdown, Balanced u Open. En la lista de duraciones que aparece a continuación (hasta la próxima desconexión / 1 hora / 2 horas / 4 horas / durante hoy / hasta que lo anule manualmente), haga clic en el tiempo que desea mantenerlo para aplicarlo.
2. Volver al modo automático: Haga clic en el icono de la bandeja → «Volver al modo automático».
3. Cambiar el proveedor de DNS seguro: Haga clic en el icono de la bandeja, pase el cursor por el submenú DNS y haga clic en el proveedor que desea usar.
4. Si pierde la conectividad: Haga clic en el icono de la bandeja → submenú Recuperación → «Recuperación de red de emergencia».
5. Cambiar el idioma de visualización: Haga clic en el icono de la bandeja → submenú Idioma, y haga clic en el idioma que desea.

En pantallas pequeñas o con un escalado DPI alto, los tres elementos Lockdown/Balanced/Open pueden agruparse en un único submenú llamado «Nivel de seguridad» (el contenido es el mismo en ambos casos).

3. Cómo abrir la ventana principal

La ventana principal se abre desde «Abrir la ventana principal» en el menú de la bandeja, o haciendo clic en la línea de estado. A diferencia de la versión de macOS, donde cada función abre su propia ventana independiente, aquí toda la configuración vive en una única ventana grande en la que se alterna entre 19 pestañas (secciones) desde la barra lateral izquierda. Los capítulos siguientes recorren esas pestañas exactamente en el orden en que aparecen en la barra lateral.

4. 🌐 Network Management

La primera pestaña de la barra lateral. Gestiona el registro de la red en la que se encuentra y la administración de la lista de redes registradas.

Procedimiento

1. Registrar la red actual: Haga clic en «Registrar» en la tarjeta «Red actualmente conectada», elija un nombre y un nivel de seguridad, y haga clic en «Guardar».
2. Editar o eliminar una red registrada: En la «Lista de redes registradas», seleccione la fila correspondiente y use el icono del lápiz para editarla o el icono de la papelera para eliminarla.
3. Fijar temporalmente un nivel: En la tarjeta «Cambiar manualmente la política de seguridad», elija un nivel y una duración, y haga clic en «Aplicar».

5. 📊 Security Diagnostic Suite

Una pestaña de diagnóstico integral que puntúa la configuración de seguridad de su máquina Linux. Una puntuación y un título aparecen arriba, seguidos debajo de una lista de aprobado/fallido para cada comprobación. Es el equivalente, en Linux, del «Diagnóstico de seguridad completo del Mac» de la versión de Mac. Le recomendamos abrir esta pestaña con regularidad para comprobar que no queden elementos en rojo o en amarillo.

Procedimiento Los elementos mostrados en rojo o amarillo tienen un botón de corrección a su derecha. Al hacer clic, la mayoría de los problemas se resuelven al instante y la puntuación se actualiza automáticamente.

6. 🚪 Ports & DevIsolator

La pestaña con más contenido de todas. Reúne todo lo relacionado con la frontera de red: protección frente a la exposición de puertos de un servidor de desarrollo, detección de anomalías de ARP, emparejamiento con Sensor y análisis de vulnerabilidad.

Procedimiento

1. Aislar el puerto de un servidor de desarrollo: En la tarjeta «Puertos expuestos & aislamiento de servidores de desarrollo», seleccione el puerto correspondiente en la lista y haga clic en «Aislar» o «Bloquear».
2. Emparejar un Sensor: En la tarjeta «Emparejamiento manual con un código de emparejamiento», introduzca el código emitido por el Sensor y haga clic en «Vincular».

7. 🔌 USB & BadUSB Guard

Procedimiento

1. Haga clic en el interruptor de la tarjeta «Protección USB / BadUSB» para activarla.
2. En la lista «Dispositivos USB y HID conectados», seleccione los dispositivos que seguirá usando y haga clic en «Añadir a la lista blanca».

8. 🦠 Malware & Quarantine

Una pestaña que reúne la protección antivirus de ClamAV y las defensas avanzadas de bajo nivel propias de Linux: fanotify, análisis de entropía, reglas YARA y la aplicación de no-exec.

Procedimiento

1. Analizar ahora mismo: En la tarjeta «Análisis de ClamAV bajo demanda», elija una carpeta y haga clic en «Iniciar análisis».
2. Gestionar archivos en cuarentena: En la tarjeta «Bóveda de cuarentena», seleccione un archivo de la lista y haga clic en «Restaurar» o «Eliminar definitivamente».
3. Añadir una carpeta vigilada: En la tarjeta «Carpetas vigiladas», haga clic en «Añadir carpeta», elija una ubicación como su carpeta Descargas y haga clic en «Guardar».

9. 🛡️ DNS Threat Guard

Una función que bloquea a nivel de DNS la resolución de nombres hacia sitios de phishing y hacia los servidores de mando y control (C2) que usa el malware. Elija un proveedor (como Quad9) en el menú desplegable, y defina a qué redes se aplica con «Ámbito de aplicación». Esta función funciona junto con el submenú DNS de la bandeja (capítulo 2).

Procedimiento Después de activar el interruptor, elija un proveedor en el menú desplegable «Proveedor de DNS seguro» y, a continuación, defina el «Ámbito de aplicación» para controlar a qué redes se aplica.

10. 🔒 VPN Tunnel Pro

Una función VPN que cifra las comunicaciones en redes no fiables. La tarjeta de estado muestra el estado actual de la conexión, y la tarjeta de configuración gestiona sus conexiones (por ejemplo, importar una configuración de WireGuard). Al igual que la sección 11.2 del manual de Mac, protege contra la interceptación y la manipulación de las comunicaciones cuando se encuentra en una red en la que no confía.

Procedimiento

1. En la tarjeta de configuración, en «Backend», elija WireGuard o Tailscale.
2. Para WireGuard, seleccione un archivo .conf en «Importar archivo de configuración». Para Tailscale, haga clic en «Iniciar sesión» y autentique su cuenta en el navegador.
3. Una vez configurado, haga clic en «Conectar». La VPN está activa en cuanto la tarjeta de estado muestre «Conectado».

11. 🔑 Secret & API Key Audit

Una herramienta de auditoría que analiza su directorio personal y sus archivos de configuración en busca de datos sensibles (claves API, contraseñas, tokens) que puedan haber quedado por descuido en texto plano. Ayuda a evitar que un desarrollador deje secretos sin querer en un repositorio o un archivo de configuración.

Procedimiento Haga clic en «Iniciar análisis» para comenzar la auditoría. Al finalizar, se muestran en una lista los elementos detectados (ruta del archivo y tipo).

12. 📜 Security Log Audit

Una pestaña para auditar y examinar los registros relacionados con la seguridad, guardados por RoamSwitch y por su sistema Linux. Permite rastrear, en orden cronológico, qué se detectó y cómo se gestionó.

13. 🔔 Notifications

Historial de las notificaciones que RoamSwitch ha mostrado durante los últimos 7 días. Útil para revisar una notificación de la bandeja que se le haya podido pasar por alto.

14. 🕒 Incident Timeline

Una pantalla que permite repasar juntos, en orden cronológico, los eventos de seguridad (detección, respuesta, resolución) (función experimental). Útil cuando quiere hacerse una idea de conjunto de lo ocurrido, en lugar de seguir cada entrada de registro por separado.

15. 🔎 Security Activity Log

Permite buscar y visualizar, en una sola pantalla, todo lo que RoamSwitch ha detectado, notificado o gestionado hasta ahora. Combina el contenido del capítulo 14 «Incident Timeline» y del capítulo 13 «Notifications» en una sola vista, filtrable por intervalo de tiempo, categoría, gravedad y palabra clave. Esta pestaña es distinta del capítulo 12 «Security Log Audit» (que audita registros del propio sistema operativo, como journald); esta sirve para repasar lo que RoamSwitch ya ha detectado, notificado o decidido.

Procedimiento Tras filtrar con los menús desplegables de intervalo de tiempo, categoría y gravedad y el campo de búsqueda por palabra clave, haga clic en un intervalo concreto del gráfico de barras situado en la parte superior de la pantalla para reducir la lista solo a los eventos de ese intervalo. Haga clic en «Borrar filtro» para anular la reducción.

16. 🔗 Link Safety Audit

Una pestaña que reúne los ajustes de protección de enlaces y una herramienta de comprobación manual para pegar una sola URL y verificarla al instante. Corresponde a las secciones 9.5 y 9.6 del manual de Mac.

Procedimiento Para comprobar una URL al instante, péguela en el campo de la tarjeta «Comprobación manual» y haga clic en «Comprobar». El veredicto de seguridad aparece en unos segundos.

17. 📦 Package CVE Scan

Una pestaña de protección frente a vulnerabilidades y ataques a la cadena de suministro, con una cobertura amplia: desde el gestor de paquetes del sistema operativo hasta los paquetes de desarrollo propios de cada lenguaje.

En Ubuntu (20.04, 22.04, 24.04, 26.04), el análisis CVE de los paquetes del sistema usa los datos propios de Ubuntu y compara por nombre y versión del paquete fuente. Solo comprueba las CVE graves (CVSS 7,0 o superior) para las que Ubuntu ya ha publicado una corrección. Las CVE sin corrección publicada, aún no evaluadas o que Ubuntu ha decidido no corregir no se incluyen, por lo que «sin coincidencias» no significa que no haya CVE conocidas. El kernel queda a cargo de los datos de CVE del kernel existentes y no forma parte de esta comprobación. Una corrección que solo ofrece Ubuntu Pro (ESM) se marca con 🔒 y la nota «Esta corrección solo está disponible mediante Ubuntu Pro (ESM)». En derivadas de Ubuntu como Linux Mint y Pop!_OS, y en versiones no compatibles, el análisis indica que este Ubuntu no está cubierto por la comprobación de CVE. Tampoco pasa a los datos de Debian, para evitar falsos positivos. Los datos de Ubuntu están firmados y solo se entregan a equipos Ubuntu (unos 4 MB). Un equipo que aún no los tiene los obtiene en la siguiente actualización diaria y después busca una versión más reciente aproximadamente cada 30 días. La comprobación para Debian, Arch, la familia RHEL y SUSE no cambia.

Procedimiento

1. Haga clic en «Iniciar análisis» en la tarjeta «Análisis CVE de paquetes del sistema» o «Análisis CVE de dependencias de desarrollo».
2. Al finalizar, se listan las vulnerabilidades correspondientes, cada una con una solución sugerida (como un comando de actualización).

18. 💎 Pro License

Reúne la lista de funciones incluidas de forma gratuita, información orientada a empresas para el funcionamiento en servidores, VPS, la nube o bare metal, y el acceso al panel Fleet para gestionar varias máquinas a la vez. La activación de la licencia Pro también se hace aquí.

Procedimiento

1. Pegue su clave de licencia en el campo correspondiente y haga clic en «Activar».
2. Si aún no tiene una clave, haga clic en «Comprar» para completar la compra. Una vez que la activación se realice correctamente, esta pestaña y el menú de la bandeja se actualizarán para reflejarlo.

19. 🧰 Recovery & Uninstall

Una pestaña que reúne la recuperación de emergencia (para cuando el tráfico se ha quedado bloqueado por error) y la desinstalación, con la misma funcionalidad que el submenú «Recuperación» de la bandeja, pero con explicaciones más completas.

Procedimiento

1. Recuperación de emergencia si pierde la conectividad: Haga clic en el botón «Recuperación de red de emergencia» y, después, elija «Recuperar» en el cuadro de diálogo de confirmación.
2. Para desinstalar: Siga las indicaciones de esta pestaña, o ejecute en una terminal el comando correspondiente a su formato de paquete (por ejemplo, sudo apt purge roamswitch). Consulte los pasos de desinstalación para los detalles.

20. 📖 Help & Guide

La pantalla de ayuda integrada en la aplicación. Cubre desde el uso básico hasta notas adicionales sobre cada función. Utilícela junto con este manual web.

21. 🌐 Language

Define el idioma de visualización de la ventana principal. Aquí están disponibles los mismos idiomas que en el ajuste de idioma propio del menú de la bandeja (capítulo 2).

Procedimiento Elija un idioma en el menú desplegable: la visualización de la ventana principal cambia de inmediato.

22. ℹ️ About RoamSwitch

Reúne la información de versión, los ajustes generales, la información del desarrollador, la licencia, la política de seguridad, la política de privacidad, las condiciones de uso (EULA), el descargo de responsabilidad y los avisos de marca y derechos de autor: la información básica y legal de la aplicación. Si contacta con soporte, compruebe primero su número de versión en esta pestaña.

23. 🔄 Upgrade

Una pestaña que muestra el estado de las actualizaciones automáticas de la propia aplicación, el estado de actualización de paquetes, y el estado de actualización de las definiciones de amenazas y la lista de sitios fraudulentos. Si instaló mediante el gestor de paquetes de su distribución, las actualizaciones normalmente se mantienen al día de forma automática junto con las actualizaciones habituales del sistema.

24. 🛟 Recuperación de ransomware (instantáneas y restauración de archivos)

En la pestaña «Recuperación de ransomware» de la barra lateral, para su directorio personal, saque de forma segura solo los archivos o carpetas que necesite de instantáneas tomadas automáticamente antes de cualquier daño. Sus archivos actuales nunca se sobrescriben. (En la edición de escritorio estándar, desde Linux 1.11.21.)

Hay tres tipos de instantáneas. Las «Antes del daño» se toman automáticamente a intervalos fijos (cada 6 horas por defecto), con independencia de cualquier daño. Las «Al detectar» se toman siempre que se detecta un comportamiento propio de ransomware. Las «Manual» son las que usted toma con el comando.

Al restaurar, elija la instantánea «Antes del daño» marcada con «★ Recomendado». Al detectar: ⚠ Se tomó tras la detección, por lo que contiene archivos ya cifrados. No sirve para restaurar el estado previo al cifrado (conserva lo que estaba intacto y sirve de evidencia).

Los archivos extraídos no sobrescriben los actuales. Se colocan en una carpeta aparte (por defecto RoamSwitch-Recovered// dentro de la carpeta de destino).

Las instantáneas previas al daño se toman automáticamente cada 6 horas por defecto (se conservan 4 generaciones en btrfs y 2 en LVM). Puede cambiar el intervalo con el comando sudo roamswitch-ransomware-rollback config set --periodic-interval-secs <N> (0 lo desactiva; en otro caso, 300 segundos o más). Tras una instantánea en el momento de la detección, las instantáneas previas al daño se pausan 7 días para que los datos ya cifrados no desplacen la última generación sana. Las instantáneas en el momento de la detección siempre se toman, sea cual sea este ajuste.

Los destinos admitidos son btrfs y LVM. Si no hay ninguno, se muestra el mensaje siguiente. No se pudo obtener la lista de instantáneas (la reversión de ransomware no está instalada o no hay destino btrfs/LVM).

Revertirlo todo (avanzado, solo por comando): sudo roamswitch-ransomware-rollback restore <ID>. Precaución: el estado actual se sobrescribe con el contenido de la instantánea elegida. Pruebe primero «Sacar archivos» y «Sacar una carpeta». Una instantánea en el momento de la detección se rechaza sin --accept-tampered.

También se puede usar desde la línea de comandos (roamswitch-ransomware-rollback). Consulte la página CLI / operación sin interfaz para más detalles.

25. 🕸️ Detección de web shells y código inyectado (Web Rules)

Reglas específicas encuentran web shells PHP, JavaScript, JSP y ASP, código ofuscado inyectado, PHP oculto en imágenes y abusos de .htaccess. En un equipo donde desarrolla aplicaciones web, también se cubren sus carpetas de proyecto. No hace falta configurar nada: los archivos se comprueban automáticamente al escribirse o abrirse. Las reglas vienen con el producto y se renuevan con la actualización diaria de solo recepción. (A partir de Linux 1.11.23.)

Al detectar algo aparece un cuadro de confirmación («Archivo peligroso detectado») con el nombre y la ubicación del archivo y tres botones: «Más tarde», «Permitir (no analizar en el futuro)» y «Mover a cuarentena». Hasta que elija, no se hace nada con el archivo. «Mover a cuarentena» lo traslada al almacén (podrá restaurarlo después en la pestaña Malware y cuarentena). Si se marca código que está desarrollando, revise su contenido antes de elegir. «Permitir» saca ese archivo de las comprobaciones futuras.

Para revisar carpetas enteras use roamswitch web-scan <carpeta>. Por defecto solo se consulta: no se mueve nada. El resultado muestra la gravedad (CRITICAL / HIGH / MEDIUM), el nombre de la regla y una descripción. El código de salida es 0 sin coincidencias y 2 si hay un resultado critical o high (útil en CI). --json imprime JSON y --no-default-excludes incluye también lo que hay bajo tests/, fixtures/ y .git/, omitido por defecto porque el código de pruebas cita las mismas construcciones. roamswitch web-rules muestra la versión y el estado de las reglas.

Son ajustes avanzados. Ponga sus propias reglas en /etc/roamswitch/rules.d/*.json (solo se leen archivos propiedad de root que otros no puedan escribir; una plantilla se obtiene con roamswitch web-rules example rules y roamswitch web-rules validate <archivo> comprueba uno). Para llamar a su propio script en cada detección, coloque un ejecutable en /etc/roamswitch/hooks/post-detection (el resultado llega como JSON por la entrada estándar; plantilla: roamswitch web-rules example hook). El nivel de cuarentena y otras opciones se fijan en /etc/roamswitch/web_rules.conf (roamswitch web-rules example conf).

Límites: solo se leen los primeros 256 KB de un archivo (al escribir/ejecutar) o 4 MB (análisis), no se siguen nombres fragmentados como 'ev'.'al' y, por falta de muestras reales, no se incluyen firmas de malware concreto. Si sospecha un falso positivo, elija «Permitir» o excluya el archivo con una regla propia.

26. 🤖 Auditoría de la configuración de agentes de IA

Esta pantalla comprueba los archivos de instrucciones y los skills dados a agentes de IA (Claude Code, Codex, Cursor, Gemini, OpenClaw y otros), y el archivo de ajustes de OpenClaw, en busca de contenido de riesgo. Abra «🤖 Auditoría de la configuración de agentes de IA» en el menú de la izquierda y pulse «Ejecutar auditoría»; es de solo lectura. Revisa ~/.claude (CLAUDE.md, commands, agents, skills), ~/.codex, ~/.cursor/rules, ~/.gemini, ~/.agents y ~/.openclaw de su carpeta personal, y CLAUDE.md, AGENTS.md, .cursorrules y similares en las carpetas de proyecto registradas en «Análisis CVE de paquetes». No hace ninguna conexión de red, y ni el contenido de los archivos ni los valores de claves o tokens aparecen en pantalla ni en el resultado.

Busca instrucciones ocultas en caracteres Unicode invisibles, frases como «ignora las instrucciones anteriores» o «no se lo digas al usuario», código que descarga un script y lo ejecuta tal cual (curl … | sh), código que decodifica una cadena y la ejecuta, referencias a archivos secretos (claves SSH, credenciales en la nube y similares) junto a algo que envía datos al exterior, código compilado dentro de un skill, archivos que otros usuarios pueden modificar y, en OpenClaw, la autenticación desactivada, un token de menos de 24 caracteres, un ajuste que permite todos los sitios y los interruptores cuyo nombre empieza por dangerously. Lo que esté dentro de un comentario HTML, que desaparece al mostrar el Markdown, se valora más alto.

El resultado se divide en «Gravedad: alta» y «media», cada una con el archivo, el número de línea y el motivo. Una coincidencia significa «una persona debería leer esta línea», no «malicioso»; un documento que explica ataques o una frase de ejemplo en una advertencia puede coincidir. Los archivos que no se pudieron leer se listan aparte, y la pantalla nunca dice «sin hallazgos» para ellos. En la línea de comandos es roamswitch audit-agent-setup [CARPETA…] [--json]. Un asistente de IA obtiene el mismo resultado con la herramienta MCP audit_agent_setup.

27. 🔐 Bloqueo de fuerza bruta SSH y vía de intrusión en las notificaciones (sin pantalla)

Solo mientras SSH (sshd) esté en marcha en este equipo, vigila los inicios de sesión SSH fallidos y bloquea las conexiones nuevas de un origen que falla repetidamente en poco tiempo. También corta las conexiones SSH que ese origen ya tenía abiertas, pero nunca una sesión autenticada ni un origen de su lista de exenciones. En un equipo donde sshd no está en marcha, no lee nada y no cambia nada. No hay pantalla de ajustes: las 10 claves ssh_guard_* de ~/.config/roamswitch/config.json lo modifican (consulte la tabla de ajustes en CLI / funcionamiento sin pantalla). Las notificaciones son notificaciones de escritorio y se conservan en el historial.

Las fuentes bloqueadas en este momento se listan con sudo roamswitch bans y se levantan con sudo roamswitch unban <IP> (--all las levanta todas). Con los niveles de protección por defecto del cliente el tráfico entrante está cerrado, así que las conexiones pueden no llegar a SSH, y entonces el bloqueo tiene menos que hacer. Cuando fail2ban o CrowdSec ya protege sshd, RoamSwitch le cede el bloqueo y solo detecta y notifica.

Una notificación sobre un archivo crítico manipulado (FIM) indica ahora el proceso que hizo el cambio y el inicio de sesión SSH al que pertenece (origen, hora, método de autenticación). La notificación de un acceso a un archivo de credenciales lo indica solo cuando el proceso pertenece a un inicio de sesión SSH. Cuando no se pudo comprobar, la notificación dice «No se pudo determinar la vía de acceso» y nunca dice que no fuera un inicio de sesión. Para desactivarlo, escriba "fim_intrusion_context_enabled": false en config.json.