RoamSwitch Icon RoamSwitch by Lafine Systems Design
Edición macOS Linux Sensor

Un nodo sensor dedicado para tu LAN: «RoamSwitch Sensor»

RoamSwitch Sensor es un nodo dedicado a la LAN que audita desde fuera los equipos RoamSwitch de la misma LAN (Mac / Linux Client / Server Edition). Comprueba cómo se ve un host desde otro equipo de la LAN (puertos abiertos, servicios expuestos sin autenticación, puntos de apoyo para el movimiento lateral), algo que el host, por principio, no puede ver con su propio autodiagnóstico. Además ofrece un inventario de dispositivos de la LAN y detección de suplantación ARP.

RoamSwitch Sensor: a dedicated LAN sensor node with ARP sweep and passive ARP monitoring, IoT risk classification, active vulnerability audit of paired RoamSwitch endpoints, and pairing-code (Ed25519, fixed IP) pairing

🛡️ Auditoría de vulnerabilidades activa (solo endpoints emparejados)

Escaneo completo de puertos → comprobaciones de firmas conocidas (exposición sin autenticación de Redis/dockerd/Memcached/MongoDB/Elasticsearch/CouchDB/Jenkins/VNC, SMBv1 y falta de firma SMB, RDP sin NLA, relay SMTP abierto, etc.) → obtención genérica de banners → escaneo complementario con nmap NSE: cuatro fases, totalmente no destructivas.

📋 Composición de la red (barrido ARP activo)

Encuentra los dispositivos de la LAN con un barrido ARP. Crea un inventario con IP, MAC, nombre de host, fabricante, estado en línea, primera/última detección e historial de IP, y permite anotar libremente un nombre o uso por dispositivo. Los dispositivos sin nota se destacan como pendientes de revisión, así que sirve para cotejar con su inventario de activos. Sin nmap, el Sensor vuelve a un modo pasivo que solo muestra los dispositivos con los que él mismo se ha comunicado.

👁️ Eventos ARP con «Qué hacer ahora»

La aparición de nuevos dispositivos y los cambios de MAC en una IP conocida (indicio de suplantación ARP) se presentan con la hora, la gravedad (crítica a informativa), los motivos, los dispositivos implicados y pasos concretos de verificación. Un cambio de MAC en la IP de la puerta de enlace se considera crítico. Con la captura pasiva opcional, también detecta un dispositivo que envía solicitudes ARP a muchas IP (reconocimiento interno).

🔎 Visión de otros dispositivos de la LAN y comportamiento sospechoso (solo detección)

Muestra, como información de referencia: fabricante de la MAC y categoría del dispositivo, identificación del modelo mediante los autoanuncios mDNS/SSDP/DHCP, conexiones a IP maliciosas conocidas o puertos de administración, indicios de participación en botnets/DDoS (conexión a muchos destinos) y de túneles DNS/C2. Casi todo requiere la captura pasiva opcional (p. ej., un puerto espejo) y el Sensor nunca bloquea tráfico.

🔑 Emparejamiento con código (Ed25519, IP fija, certificado fijado)

No confía en nada de forma predeterminada. Al introducir el código de emparejamiento de un solo uso, válido durante 10 minutos, emitido por el operador del Sensor, junto con la dirección IP fija del Sensor y la huella digital del certificado que se muestra en la pantalla del Sensor, se establece confianza mutua en ambas direcciones en un solo paso. Las claves públicas se intercambian automáticamente, por lo que no es necesario conocerlas de antemano. No se requiere cuenta ni registro en la nube.

🔐 Refuerzo de la API de control (TLS 1.3, certificado fijado, protección contra repetición)

El tráfico de control con los endpoints (TCP 50543) se acepta sobre TLS 1.3 (control.tls: off / optional (predeterminado) / required). El certificado es autofirmado; la confianza procede de la huella digital que se muestra en la pantalla del Sensor, que el endpoint fija (pin) y que nunca se obtiene por la red. Las firmas de las solicitudes de auditoría usan el formato v2 con marca de tiempo y nonce, de modo que se rechazan las repeticiones, y los intentos de adivinar el código de emparejamiento y los fallos de firma bloquean la IP de origen. También son configurables la aceptación de firmas v1 heredadas y la IP en la que escucha la API.

🖥️ Una TUI en 10 idiomas que cubre todas las funciones

La TUI interactiva accede a todos los subcomandos de la CLI, a todos los métodos IPC del daemon y a todas las claves de configuración (un editor de configuración, estado de TLS y rotación del certificado, emparejamiento manual, una prueba de notificación), a las operaciones del colector y a todas las vistas de eventos (incluida la monitorización pasiva, el comportamiento de IoT, el tráfico sospechoso y los avisos) en 10 idiomas. La CLI está en japonés e inglés. Los informes de auditoría y las exportaciones también pueden generarse en 10 idiomas.

📅 Auditorías programadas y detección de cambios (opcional)

Audita automáticamente, según un calendario, todos los endpoints emparejados y muestra qué ha cambiado desde la auditoría anterior: hallazgos nuevos, resueltos y puertos recién abiertos. Si de repente dejan de verse todos los puertos que estaban abiertos, se informa como posiblemente inalcanzable, no como resuelto. Incluso sin supervisión, el Sensor confirma antes y después de cada auditoría que la dirección MAC del endpoint sigue siendo aquella con la que se autenticó y omite la auditoría si la IP ha pasado a otro dispositivo. Desactivado por defecto; usted define el intervalo y la franja horaria.

📣 Notificaciones y evidencias de auditoría (opcional)

Envíe regresiones, dispositivos nuevos, suplantación ARP y más a webhooks (Slack, Discord, Teams y otros) y a syslog (RFC 5424). El emparejamiento, la eliminación de emparejamientos, las auditorías y los cambios de configuración se registran, indicando quién los realizó, en un registro de operaciones a prueba de manipulaciones (una cadena de hashes), y los resultados de auditoría, el inventario de dispositivos y el registro pueden exportarse como CSV, JSON o un informe HTML (guárdelo como PDF desde un navegador). Todos los destinos de notificación son los que usted configura; de forma predeterminada no se envía a ningún sitio ningún dato de dispositivos ni resultado de auditoría. Los datos de detección (el mapa de CVE y la base de datos NSE de nmap) se descargan a diario del servicio de actualizaciones; puede desactivarlo con updates.fetch_cve_map, y ese tráfico no contiene datos de dispositivos ni de auditoría.

🗂️ Agregar varios Sensors (colector central, opcional)

Para organizaciones con Sensors en varias sedes, se incluye un colector central que reúne resúmenes firmados (desactivado de forma predeterminada). Ofrece un panel por sede y exportación a CSV, y detecta que el registro de auditoría de un Sensor haya sido truncado o retrocedido. Los dispositivos sin RoamSwitch (dispositivos no administrados) pueden incluirse en el resumen clasificados como «host RoamSwitch sin emparejar» o «dispositivo desconocido» (collector.send_unmanaged_devices; nunca se envía contenido del tráfico). Solo acepta solicitudes firmadas de los Sensors que usted haya registrado y se niega a exponerse más allá de la LAN sin TLS.

🚨 Servidores DHCP y routers IPv6 no autorizados (solo detección)

Cada hora envía un único paquete DHCP discover (DHCPv6 solicit en IPv6) desde una MAC aleatoria y cuenta todos los servidores que responden; no se toma ninguna concesión de dirección. Avisa de servidores que aparecen después, servidores que reparten una puerta de enlace o un DNS que el legítimo no reparte, anuncios de router IPv6 de algo que no sea la puerta de enlace IPv4, un cambio de dueño de una dirección IPv6 (suplantación NDP) y dispositivos visibles solo por IPv6. El inventario de dispositivos también guarda direcciones IPv6. El Sensor nunca bloquea tráfico.

🔎 Auditoría ligera de dispositivos sin RoamSwitch (opcional, solo comprobaciones de conexión)

En impresoras, cámaras, NAS y otros dispositivos que nunca se emparejaron, y solo dentro de los rangos autorizados por el operador, comprueba la conexión a un conjunto fijo de puertos y lee lo que los servicios anuncian por sí mismos. No se intenta iniciar sesión ni se explota ninguna vulnerabilidad; los análisis profundos al estilo de OpenVAS se reservan para los endpoints que aceptaron (emparejados). No se puede activar hasta definir el registro de quien lo aprueba y los rangos permitidos, y la autorización se escribe en el registro de auditoría en cada ejecución.

🔒 Revocación y bloqueo si se pierde, roban o da de baja

Si se revoca un Sensor en el colector, se detiene solo en su próximo envío: sin emparejamientos, auditorías, envíos ni notificaciones, y el bloqueo sobrevive a un reinicio. También puede borrar sus claves y datos, detenerse si pasa demasiado tiempo sin contactar con el colector, o darse de baja con un comando. Se muestra además la lista de endpoints que estaban emparejados con él y cómo desemparejarlos.

Si el propio Sensor necesita protegerse contra ataques, recomendamos instalar por separado RoamSwitch for Linux Server Edition en la misma máquina: ambos se ejecutan como procesos totalmente independientes.

Ejemplo de informe de auditoría

Ejemplo del informe que genera roamswitch-sensor export all --format html (la tecla e en la TUI). Es un único archivo HTML: ábralo en un navegador y elija «Guardar como PDF» para obtener un PDF que entregar a los auditores.

Todos los nombres de equipo, direcciones MAC, direcciones IP y claves mostrados son ficticios. El cuerpo del informe puede generarse en cualquiera de los 10 idiomas; aquí se muestra un ejemplo en japonés y otro en inglés.

Ver la guía de verificación completa →