よくある質問 (FAQ)

外部へのデータ送信を一切行わない「Zero Telemetry（ゼロ・テレメトリ）」を特徴とする、Linux向けの無償ゼロトラスト・ネットワーク自動防御およびセキュリティ診断ツールです。nftablesファイアウォールの自動切替、ランサムウェア隔離、27項目のセキュリティ総合診断、AI連携（MCP）などの機能を1つの軽量なバイナリで提供します。

多くのソフトが「マルウェアの検知」や「手動での診断」に留まるのに対し、RoamSwitchは「検知した瞬間の自律隔離（ネットワーク遮断）」や「Wi-Fiに応じたファイアウォール（nftables）のリアルタイム自動切替」といった、アクティブな自動防御（自動化）に特化している点が異なります。

本体のコアソフトウェアはプロプライエタリ（ソースコード非公開）のフリーウェア（Community Edition）です。ただし、周辺のSDKやAI連携用のMCPインターフェースなどはオープンソースとして公開されています。

開発元のLafine社は透明性を担保するため、「パケットキャプチャやシステム挙動の具体的な検証方法」をホワイトペーパーで全公開しています。ユーザー自身が、利用者・端末の情報が外部へ一切送信されていないこと（Zero Telemetry。既定の外向き通信は、署名付きデータを受信するだけの1日1回の更新だけです）を技術的に検証できる仕組みを整えています。

セキュリティログ、システム情報、通信履歴、診断結果などのデータを、開発元を含む外部のサーバーやクラウドへ一切送信しない仕様のことです。すべての判定と処理が完全にローカルのLinux端末内で完結するため、機密データを扱う環境でも安心して導入できます。

接続中のWi-Fi（ゲートウェイのMACアドレス）をミリ秒単位でリアルタイム識別し、「自宅（オープン）」「職場（標準保護）」「公衆Wi-Fi（最大ロックダウン）」などの環境に合わせた適切なnftablesルールセットへ自動的に切り替える機能です。ユーザーが手動で設定を変更する手間がありません。

カナリア（おとり）ファイルの改ざんを検知すると、全外部通信（Air-Gap化）と共有サービスを緊急遮断して、LAN内への被害拡大を防ぎます。fanotify/inotify＋シャノンエントロピーによる高速な暗号化の動きを検知したときは、該当プロセスをSIGSTOPで即座に凍結して通知し、同じく全外部通信（Air-Gap化）と共有サービスを緊急遮断します。

未承認のUSBストレージが接続された際にudev連携でマウントを保留して確認ダイアログを表示（ClamAVスキャンも実行）します。また、キーボードとして偽装して不正コマンドを高速入力する「BadUSB」に対しては、evdev（EVIOCGRAB）でキー入力をソフトウェア的に一時排他確保し、承認ダイアログを表示して不正入力を抑止します（物理ポート切断ではありません）。

未信頼ネットワーク接続時に、ユーザーが設定したWireGuard（.confファイル）またはTailscale（Exit Node）の暗号化トンネルへ自動接続します。さらに、nftablesキルスイッチによりトンネル外への平文パケット漏洩を瞬時に遮断し、トンネル切断時も平文を素通しにしません（fail-closed、オプトイン）。

外向き接続の宛先ホスト名をDNS質問・TLS SNI・HTTP Hostからローカルで取得し、署名付き脅威フィードとブランドホモグラフ判定によってフィッシングサイトへの接続を警告・遮断します（DoHブラウザにも有効）。宛先URLを外部サーバーに送信することはありません。

Ubuntu 22.04 / 24.04、Debian 12+、Linux Mint、Pop!_OS、Fedora、RHEL、CentOS Stream、openSUSE、Arch Linux、Raspberry Pi OS（64bit）など、systemdおよびnftablesを採用する主要ディストリビューションに幅広く対応しています。

公式リポジトリ経由で導入できます。Ubuntu/Debian系はAPT（lafine.net/apt）、Fedora/RHELはDNF（lafine.net/rpm）、openSUSEはzypper（lafine.net/rpm）、Arch Linuxは同梱PKGBUILDや署名付きtarball（lafine.net/linux/dl/）から導入可能です。

はい、動作します。デスクトップではGTKネイティブGUIやトレイアイコンで操作しますが、ヘッドレス環境でも「バックグラウンドデーモン＋CLI（roamswitch）＋MCPサーバー」の組み合わせで問題なくフル機能を利用できます。

クライアント版（本タブ）はワークステーションやラップトップなど、ネットワーク移動（ローミング）を行う端末向けに最適化されています。クラウドVPSやデータセンターのサーバー機には、専用のヘッドレス版「roamswitch-server」（無償・別パッケージ）をご利用ください。インバウンド既定拒否・SSH締め出し防止・eBPF侵入検知などサーバー向けの機能を搭載しています。詳しくは「🖧 Linuxサーバー版」タブをご覧ください。

はい、既にリリース済みで、クライアント版と同じく無償（Community Edition・全機能同梱・ライセンス認証不要）でご利用いただけます。roamswitch-server パッケージとして APT / DNF / zypper / AUR から個別に導入します。

トレイの「🧰 復旧とアンインストール」→「🗑 RoamSwitchをアンインストール…」、コマンドの sudo roamswitch uninstall、または apt remove などのパッケージマネージャーで行います(1.10.7以降)。どの経路でも、削除の前に、RoamSwitchが行ったネットワークの変更(ファイアウォールのテーブル、ゲートウェイのARP固定、DNSなど)をすべて元に戻すので、通信が止まったままになることはありません。手順の詳細はアンインストールの手順を参照してください。

Secure Boot、LUKSディスク暗号化、LSM（AppArmor/SELinux）、自動セキュリティ更新、SSH/Sudo設定、sysctlカーネル堅牢化、外部公開ポート、ブラウザSafe Browsing、ARP固定、DNS脅威保護など、Linuxシステムがセキュアに保たれているかを27項目で多角的にチェックしスコア化します。

GTK GUIダッシュボードのほか、ターミナルから roamswitch status コマンドを実行することで、テキスト形式（CUI）でいつでも最新の診断結果とセキュリティスコアを確認できます。

ChatGPTやClaude、Cursor、AntigravityなどのAIエージェントが、ローカルのLinux端末のセキュリティ状態やRoamSwitchの診断結果を直接読み取るための安全な標準インターフェース（roamswitch-mcp）です。

AIに「現在のシステムのセキュリティスコアは？」「問題のある設定や外部公開ポートはある？」と自然言語で尋ねるだけで、AIがRoamSwitchのローカル診断データを解析し、分かりやすい監査レポートや具体的な改善手順を自動で提示してくれます。

ありません。同梱されているMCPサーバーは「完全な読み取り専用（完全ローカルのstdio通信）」で動作するように設計されています。そのため、プロンプトインジェクション等によってAIが誤った指示を出したとしても、外部からファイアウォールを変更されたりシステム設定を書き換えられたりするリスクはありません。

A. 故障ではなく、RoamSwitchの「BadUSBキーボードガード」が、許可リストに無いキーボードのキー入力を一時的に遮断し、承認ダイアログを表示している可能性があります。ダイアログで「許可」を選択すると、そのキーボードが許可リストに登録され使えるようになります。3分間操作がない場合は自動的に入力が解放されます（ヘッドレス機での詰まり防止）。ダイアログが見当たらない場合は、キーボードを一度抜き差しすると再表示されます。

A. はい、Webブラウジングやパッケージ更新などの発信通信（アウトバウンド）はどの保護レベルでも制限されません。3段階の違いは「外部からの着信（インバウンド）をnftablesでどこまで許可するか」です。openは自宅LAN向けにローカル通信を許可。balancedは職場・テザリング向けに不審ポートを監視しつつ通常利用は妨げません。lockdownは公衆Wi-Fi向けに全着信をステルス遮断します。いずれの段階でも、自分から開始する通信（ブラウジング、SSHクライアントとしての発信接続等）は妨げられません。

一部は検知でき、一部はサーバー版だけの機能です。

クライアントで働くもの
着信は既定で拒否します（ネットワークの種類に応じた保護レベル）。そのうえで、ポートスキャンの検知と遮断、未知のリスニングポートの検知、セキュリティログの監査、ランサムウェアのおとり（カナリア）、認証情報のおとり（ハニートークン）、重要ファイルの改ざん監視（FIM）、自動起動（永続化）の監視があります。通知はデスクトップ通知で、履歴にも残ります。Mac では、これらの多くが Pro 版の機能で、Pro を有効にすると自動でオンになります。

SSH の総当たり
即時の遮断は、リモートログイン（sshd）が有効なときだけ働きます（Mac は pf、Linux は nftables）。sshd が動いていない端末では、何も読まず、何も変えません。

FIM の手がかり
重要ファイルの改ざんを知らせる通知に、SSH ログインの手がかりを添えます。Linux は、変更したプロセスから、どの SSH ログインに属するかを結び付けます。Mac は、macOS が書き込んだプロセスを教えないため、変更の前後に始まった SSH ログインを並べるだけです。時間が重なっているという手がかりであって、そのログインが書き換えた証拠ではありません。

サーバー版だけのもの
eBPF による検知（Falco などのセンサーを入れたとき）は Linux クライアント版にあり、Mac にはありません。RoamSwitch 自身のリバースシェル検知は、Server Edition だけです。

クラウドVPSやオンプレミスのデータセンター、コンテナホスト向けの、完全ヘッドレス（GUI依存ゼロ）な自律防御・ヘッドレスセキュリティスイートです。パッケージ名は roamswitch-server で、クライアント版（roamswitch）とは別パッケージ・別バイナリとして提供されます。インバウンド既定拒否（Default Drop）、SSH締め出し防止、eBPF侵入検知、クリティカルパスFIM（改ざん監視）、Egress/C2遮断、緊急通知を1つの軽量な systemd デーモンで提供します。

クライアント版はWi-Fi（ゲートウェイMAC）の変化を検知して3段階のファイアウォールプロファイルを自律切替する「ローミング（移動）対応」に主眼を置いています。サーバー版はネットワーク移動を想定せず、常時稼働のインバウンド既定拒否を基本姿勢とし、SSH管理経路の保護、コンテナのポート露出防止、eBPF/Falco・Tetragonによるカーネル層の侵入検知など、常時稼働サーバー特有の脅威に特化しています。GUIやトレイアイコンはなく、CLI（roamswitchコマンド）・設定ファイル・MCPで運用します。

クライアント版と同様、Community Editionは無償・全機能同梱・ライセンス認証不要です。複数台のサーバーを組織で集中管理したい場合に向けて、有償の RoamSwitch Business（フリート管理・署名付きポリシー配布・SLAサポート）を計画中です（現時点では未提供）。エンドポイント側の防御機能自体は無償版に含まれています。

はい。通信内容・接続履歴・診断結果などを外部へ送信することは、既定でも一切ありません。既定で行う外部通信は、OS のパッケージマネージャ（apt/dnf/zypper）経由の更新と、署名付きデータ（カーネル CVE データ、Web ルール、Ubuntu サーバーでは OS パッケージ CVE 照合用の Ubuntu のパッケージ CVE データ）を受信するだけの、匿名の取得（lafine.net への HTTPS GET。署名付きマニフェストの確認は毎日、CVE データ本体は約 30 日に 1 回です。このホストの情報は含まず、roamswitch server config set cve_kernel_map_updates_enabled false で止められます）だけです。通知、イベント転送、npm 署名検証などは、運用者が明示的にオプトインしたときだけ通信します。デーモン本体に外部通信ライブラリは無く、監査スクリプト（audit_no_network.sh）でビルド時に検証されています。例外の一覧は Server Edition セキュリティ設計書の Zero Telemetry の項で公開しています。

Ubuntu 22.04/24.04、Debian 12+、Fedora、RHEL、Rocky Linux、AlmaLinux、openSUSE、Arch Linuxに対応しています（いずれも systemd + nftables が前提）。x86_64 / aarch64（AWS Graviton等）の両方をサポートします。

クライアント版と同じ公式リポジトリから、パッケージ名だけを変えて導入します：sudo apt install roamswitch-server（Ubuntu/Debian）、sudo dnf install roamswitch-server（Fedora/RHEL系）、sudo zypper install roamswitch-server（openSUSE）。クライアント版（roamswitch）とは相互に Conflicts 設定されているため、同一ホストへの同時インストールはできません。

sudo roamswitch server setup で対話型セットアップウィザードを起動してください。SSH管理ポート、保守元IP、緊急通知先（Telegram/LINE/Webhook）、eBPF重大イベント時の動作（isolate/freeze/alert_only）を順に設定し、最後にテスト通知の送信とサービス再起動を行います。

/etc/roamswitch/server.conf を編集した後は sudo roamswitch server restart を実行してください。roamswitch-server.service は systemctl reload による設定再読込には対応していません（restart のみ）。

任意設定です。/etc/roamswitch/guard.yaml を作成すると、Falco/Tetragonの重大度（warning/error/critical/emergency）ごとに封じ込め動作（通知のみ／プロセス隔離／ホスト全遮断）とセーフティタイマーを個別に指定できます。ファイルが存在しない場合は、server.conf の action_on_critical から自動的に等価なポリシーが合成されるため、既存の運用に影響はありません。配布テンプレートは /etc/roamswitch/guard.yaml.example です。

導入直後から、allowed_ports（既定 80,443）で明示的に許可したポート以外のインバウンド接続をすべて拒否する姿勢です。意図しない管理用ポートやデバッグ用ポートの外部露出を未然に防ぎます。

多重の防御策があります。①既存のESTABLISHED/RELATED接続セッションは常に維持、②ssh_ports（既定22）は無条件許可、③重大インシデントでの緊急遮断（Air-Gap）時も preserve_ssh_on_isolation=true（既定）で管理元SSHセッションを温存、④不正な設定構文やnftablesロード失敗時は直前の稼働ルールへ自動ロールバック、という4段階です。1.10.4 以前のサーバー版には、隔離用ルールが SSH の応答を落とし、隔離中は管理者の SSH が通らない不具合がありました。1.10.5 で修正しています。

はい。Dockerは標準で -p オプション使用時に独自のiptablesルールを作成し、ホストの標準ファイアウォールをバイパスして直接ポートを世界に露出させてしまうことがあります。protect_docker_ports=true（既定）にすると、DOCKER-USER チェーンへ検査ルールを挿入し、コンテナ宛てトラフィックにも allowed_ports / whitelist_ips のポリシーを適用します。

クラウド事業者のWeb管理コンソール（VNC/シリアルコンソール）からログインし、sudo roamswitch emergency-restore を実行して緊急隔離・ファイアウォール設定を初期ベースラインへ復旧するか、sudo systemctl stop roamswitch-server でサービス自体を停止してください。

カーネル空間で動作するeBPFセンサーと連携し、リバースシェル、特権昇格、コンテナ脱出などをリアルタイムに検知する機能です。既定のセンサーはFalco（UNIXドメインソケット経由のJSONL）ですが、guard.yaml の sensor.type: tetragon でCilium Tetragon（ネイティブgRPC、同じUNIXソケット越し）に切り替えることもできます。どちらも新規リッスンポートは増えません。

action_on_critical（または guard.yaml のポリシー）に応じて、isolate（該当プロセスをネットワークから隔離）、freeze（SIGSTOPでプロセスを凍結しつつネットワーク隔離）、alert_only（通知のみ）のいずれかが自動発動します。kill_process: true を指定すると隔離に加えて SIGKILL も送信されます。init・コンテナランタイム・パッケージマネージャーなど基盤デーモンは保護リストにより凍結・強制終了の対象から常に除外されます。

ホスト全体の緊急隔離（Air-Gap）が発動した際、管理者が sudo roamswitch server ack で確認応答するまでの猶予時間です（guard.yaml の safety_timer_secs、既定300秒）。誤検知で応答が無いまま時間が経過すると、サーバーが無期限にネットワークから切り離されたままにならないよう自動的に隔離が解除されます。

150以上の重要バイナリ・認証設定・systemdユニットのSHA-256ハッシュを監視します。fanotify（FAN_CLASS_NOTIF）による書き込み完了イベントを個別に監視しており、次回の周期スキャンを待たず改ざん発生の瞬間に検知します（周期スキャンはバックストップとして併存）。OSパッケージの正規アップデート時はDebian/Ubuntuの DPkg::Post-Invokeフック、Fedora/RHEL/openSUSEの systemd.path ユニットにより自動でベースラインを再同期し、誤報を防ぎます。

Webルート（/var/www、/srv等）に配置したおとりファイルの整合性を周期的に検査する機能です。おとりファイルへの不正な書き換え・暗号化を検知すると、アクセス元プロセスを特定して凍結・隔離し、管理者へ緊急通知します。

既知の悪性IPへの発信を nftables でブロックする機能（egress_ip_blocklist_enabled、既定true。同梱のシードは JPCERT/CC が公表した攻撃用サーバー3件だけで、ほかはフィード未投入のうちは何も遮断しない）と、フィルタリングDNSリゾルバ（Quad9/Cloudflare/AdGuard/CleanBrowsing）へ強制振り向けして悪性ドメイン解決も封じるDNSシンクホール（dns_sinkhole_enabled、社内DNS/split-horizon環境を壊さないよう既定false）です。

Telegram Bot、LINE Messaging API、汎用Webhook（Slack / Discord / Microsoft Teams / 自社監視基盤）に対応しています。ポート不正露出、FIM改ざん、eBPF脅威検知、緊急隔離発動などの重大インシデント発生時に即座に配信されます。roamswitch server test-notify で設定を検証できます。

多くの場合、スーパーグループのChat IDに必要な -100 プレフィックスが抜けています（例: -1001234567890）。curl -s "https://api.telegram.org/bot<token>/getUpdates" のレスポンス中の "chat":{"id":...} で正しい値を確認してください。

roamswitch status --server で実行できます。ファイアウォール状態、Frag Gap対策（非特権User Namespace無効化）、Yama LSMメモリ保護、重要ファイルパーミッション、Docker露出など、CIS Benchmark基準に沿った34項目を一括監査し、0〜100のセキュリティスコアと評価等級（S〜C）を表示します。

ありません。同梱の roamswitch-mcp は「完全な読み取り専用（状態取得・監査ツールのみ）」で設計されています。Webアプリのログ等に悪意あるプロンプトインジェクションが含まれていた場合でも、AIエージェント経由でファイアウォールを開放したり隔離を解除したりすることはできません。ポリシー変更やプロセス凍結解除は、ローカルTTY（SSH端末）での明示的なコマンド実行を必須としています。

現時点では未提供の、計画中の機能です。想定しているのは、複数台のサーバーをEd25519署名の組織トークンで登録し保護レベル・診断スコア・ポリシー適用状況を集約する「フリート集中管理」、信頼ネットワークや各ガードの強制値を署名付きJSONで配布する「署名付きポリシー配布」、組織専用GPG鍵で署名した社内APT/RPMリポジトリ、契約ベースのSLAサポートです。管理サーバーやフリート管理機能は現時点で存在しません。エンドポイント側の防御機能自体は無償版に含まれ、Businessで削減する予定はありません。

現時点ではDocker/Podman単体ホストを対象としています。Kubernetesクラスタ全体のポリシー配布・監査は、将来のBusiness向けフリート管理機能の拡張候補として検討中です。個別のご要望は サポート窓口 までお寄せください。

はい。ただし、見える範囲には限りがあります。検知できるものと、限界を分けて書きます。

検知して、止めたり知らせたりするもの
・SSH の総当たりは、sshd のログを書かれた瞬間に読み、失敗が閾値（既定は 600 秒に 6 回）に達した接続元を遮断します（実測で約 0.2 秒）。新しい接続を落とすと同時に、その接続元がすでに張っていた SSH の接続も切ります。認証済みのセッションと、免除した接続元は切りません。
・侵入後の動きは、eBPF ランタイムガード（Falco / Tetragon）がリバースシェル、特権昇格、コンテナ脱出を検知し、プロセスの隔離から、ホスト全体の Air-Gap までを自動で行います。RoamSwitch 自身も、外部へつながったリバースシェルを 2 秒ごとに探します（実測で、接続から約 2.4 秒）。検知から対処までの時間は記録され、実測は 42〜64 ミリ秒でした。
・ファイルの改ざんは、FIM が重要ファイルの書き換えを即時に検知し、誰が（アカウント・実行ファイル・コマンド）、どの SSH ログイン（接続元の IP・時刻・認証方法）から変えたかを通知に添えます。調べられなかったときは、調べられなかったと書きます。
・ほかに、ランサムウェア・カナリアとおとりの認証情報への接触、ポートスキャンの検知と遮断、DNS トンネリングの検知、既知の悪性 IP への外向き通信の遮断、クラウドのメタデータへの接続の検知（通知のみ）があります。

通知について
外へ届くのは、通知先（Telegram・LINE・Webhook・イベント転送）を運用者が設定したときだけです。既定はオフで、履歴はサーバーの中に必ず記録されます。

限界
・eBPF による隔離の精度と速さは、Falco や Tetragon のルールに左右されます。実際、Falco 0.45.0 の標準ルール（29 件）には、ホスト上のリバースシェルを検知するものがありません。RoamSwitch は、警報の経路が生きているかを確かめるハートビートと、自前のリバースシェル検知で補いますが、ルールの穴をすべて埋められるわけではありません。
・FIM が示すのは、変更の事実と、変更したプロセスとログインまでです。侵入の入口そのもの（突かれた脆弱性など）は分かりません。
・SSH の遮断は接続元ごとに数えるので、多数の IP から 1 回ずつ試す分散した総当たりには効きにくいです。fail2ban か CrowdSec（sshd の対策が有効なもの）が動いているときは、RoamSwitch は遮断を譲り、検知と通知だけにします。
・根本の対策として、パスワード認証を無効にして鍵認証だけにすることと、接続元の制限（許可リスト）を併用してください。