Foire aux questions (FAQ)

RoamSwitch pour Linux est une suite gratuite de défense réseau autonome Zero-Trust et de diagnostic de sécurité pour Linux, conçue sans aucune télémétrie externe (Zero Telemetry). Elle rassemble le basculement automatique de pare-feu nftables, l'isolation anti-ransomware, un audit en 27 points et l'intégration IA via MCP dans un binaire léger.

Là où les outils traditionnels se limitent à des analyses de fichiers ou des audits périodiques, RoamSwitch agit en temps réel de façon autonome : adaptation instantanée des règles nftables selon le Wi-Fi et isolation automatique en cas d'attaque.

Le binaire central est un logiciel gratuit propriétaire (Community Edition, code source fermé). En revanche, les SDK clients (Rust/Python) et les définitions de serveur MCP sont publiés en open source sur GitHub.

Lafine publie un livre blanc décrivant les procédures précises de capture de paquets et d'inspection d'appels système. Vous pouvez vérifier avec tcpdump ou eBPF qu'aucune information sur vous ou votre machine n'est envoyée à l'extérieur (la seule connexion sortante par défaut est une mise à jour quotidienne qui ne fait que recevoir des données signées).

Cela garantit qu'aucun journal, information système, historique de trafic ou résultat d'audit n'est transmis à des serveurs tiers ou au cloud de Lafine. Tout s'exécute à 100 % localement sur votre machine Linux.

RoamSwitch identifie en millisecondes l'adresse MAC de la passerelle Wi-Fi et applique automatiquement des règles nftables sur mesure pour Domicile (Trusted), Bureau (Balanced) ou Wi-Fi public (Lockdown).

Quand une altération d'un fichier canari (leurre) est détectée, RoamSwitch coupe en urgence tout le trafic externe (Air-Gap) et les services de partage pour empêcher les dégâts de se propager au réseau local. Quand fanotify/inotify avec analyse d'entropie de Shannon détecte une vague de chiffrement rapide, il gèle immédiatement le processus fautif (SIGSTOP) et vous en informe, et coupe de même en urgence tout le trafic externe (Air-Gap) et les services de partage.

Lors de la connexion d'un stockage USB non autorisé, udev bloque le montage jusqu'à confirmation. Pour les appareils BadUSB, evdev (EVIOCGRAB) intercepte les touches de manière exclusive au niveau logiciel et affiche une invite d'approbation sans déconnexion matérielle du port.

Sur les réseaux non fiables, RoamSwitch active automatiquement votre tunnel WireGuard (.conf) ou Tailscale (Exit Node). Le Kill Switch nftables bloque toute fuite de données en clair hors du tunnel (fail-closed, opt-in).

Les noms de domaines cibles sont extraits localement des requêtes DNS, TLS SNI et en-têtes HTTP Host pour bloquer les connexions frauduleuses à partir de flux de menaces signés locaux (sans envoyer d'URL dans le cloud).

Ubuntu 22.04/24.04, Debian 12+, Linux Mint, Pop!_OS, Fedora, RHEL, CentOS Stream, openSUSE, Arch Linux et Raspberry Pi OS (64 bits), couvrant toutes les distributions majeures avec systemd et nftables.

Via les dépôts officiels : APT pour Ubuntu/Debian (lafine.net/apt), DNF pour Fedora/RHEL (lafine.net/rpm), zypper pour openSUSE (lafine.net/rpm) et PKGBUILD / tarball signée pour Arch Linux (lafine.net/linux/dl/).

Oui. En plus de l'interface GTK et de l'icône de la barre d'état, toutes les fonctionnalités sont accessibles via le démon d'arrière-plan, la CLI 'roamswitch' et le serveur MCP.

L'édition Client (cet onglet) est optimisée pour les appareils mobiles — postes de travail et ordinateurs portables — qui changent de réseau (roaming). Pour un VPS cloud ou un serveur de datacenter, utilisez plutôt le paquet headless dédié roamswitch-server (également gratuit, distribué séparément). Il intègre des fonctions dédiées aux serveurs telles que l'inbound Default Drop, la prévention du verrouillage SSH et la détection d'intrusion eBPF. Voir l'onglet « 🖧 Édition Linux Server » pour plus de détails.

Oui, elle est déjà disponible et, comme l'édition Client, elle est gratuite (Community Edition, toutes les fonctionnalités incluses, aucune activation requise). Installez-la séparément sous forme de paquet roamswitch-server via APT / DNF / zypper / AUR.

Utilisez « 🧰 Récupération et désinstallation » → « 🗑 Désinstaller RoamSwitch… » dans la zone de notification, la commande sudo roamswitch uninstall, ou un gestionnaire de paquets comme apt remove (à partir de la version 1.10.7). Par toutes ces voies, RoamSwitch annule toutes les modifications qu'il a apportées au réseau (tables de pare-feu, verrouillage ARP de la passerelle, DNS, etc.) avant de rien supprimer, de sorte que la connexion ne reste pas coupée. Voir les étapes de désinstallation pour le détail.

Il contrôle 27 paramètres : Secure Boot, chiffrement LUKS, LSM (AppArmor/SELinux), mises à jour automatiques, durcissement SSH/Sudo, paramètres kernel sysctl, ports ouverts, Safe Browsing, verrouillage ARP et filtrage DNS (Score 0-100).

Via le tableau de bord GTK ou en exécutant 'roamswitch status' dans votre terminal pour un rapport textuel complet.

roamswitch-mcp est une interface standard permettant aux assistants IA tels que ChatGPT, Claude, Cursor et Antigravity d'interroger en toute sécurité l'état de santé de votre système Linux.

Posez simplement une question en langage naturel : 'Quel est le niveau de sécurité de mon système ?' ou 'Y a-t-il des ports dangereux ouverts ?'. L'IA analyse les données locales et fournit des recommandations claires.

Aucun. Le serveur MCP inclus fonctionne exclusivement en local via stdio en mode lecture seule stricte. Même en cas d'attaque par injection, l'IA ne peut altérer ni les règles de pare-feu ni la configuration système.

A. Il n'est probablement pas défectueux — la protection BadUSB de RoamSwitch bloque peut-être temporairement les frappes d'un clavier absent de la liste d'autorisation et affiche une boîte de dialogue d'approbation. Sélectionnez « Autoriser » dans cette boîte pour enregistrer le clavier et rétablir la saisie. En l'absence de réponse pendant 3 minutes, la saisie est libérée automatiquement (pour qu'une machine headless ne reste jamais bloquée). Si vous ne voyez pas la boîte de dialogue, débranchez et rebranchez le clavier.

A. Oui — le trafic sortant comme la navigation web et les mises à jour de paquets n'est jamais restreint, quel que soit le niveau de protection. Les trois niveaux diffèrent par la quantité de trafic entrant non sollicité que nftables autorise. open est conçu pour un réseau domestique et autorise le trafic local. balanced convient aux réseaux professionnels ou au partage de connexion — il surveille les ports suspects sans gêner l'utilisation normale. lockdown est conçu pour le Wi-Fi public et bloque tout le trafic entrant en mode furtif. Aucun niveau ne bloque jamais le trafic que vous initiez vous-même (navigation, connexions SSH sortantes en tant que client, etc.).

En partie, oui ; une partie n'existe que dans la Server Edition.

Ce qui fonctionne sur le client
Le trafic entrant est refusé par défaut (le niveau de protection suit le type de réseau). S'y ajoutent la détection et le blocage des scans de ports, la détection des ports en écoute inconnus, l'audit des journaux de sécurité, les leurres anti-ransomware (canari), les identifiants leurres (honeytokens), la surveillance de l'altération des fichiers critiques (FIM) et la surveillance des entrées de démarrage automatique (persistance). Les notifications sont des notifications de bureau et sont conservées dans l'historique. Sur le Mac, la plupart de ces fonctions relèvent de Pro et s'activent automatiquement quand on active Pro.

Force brute SSH
Le blocage immédiat ne fonctionne que si la connexion à distance (sshd) est activée (pf sur le Mac, nftables sous Linux). Sur une machine où sshd ne tourne pas, rien n'est lu et rien n'est modifié.

Une piste issue du FIM
La notification d'altération d'un fichier critique porte une piste vers une connexion SSH. Sous Linux, elle est rattachée à la connexion SSH à laquelle appartient le processus modificateur. Le Mac ne peut pas le faire, car macOS ne dit pas quel processus a écrit un fichier : il se contente de lister les connexions SSH commencées autour de la modification. C'est un indice de simultanéité, pas la preuve que cette connexion a fait le changement.

Ce qui n'existe que dans la Server Edition
La détection par eBPF (quand un capteur comme Falco est installé) existe sur le client Linux et pas sur le Mac. La détection de reverse shell propre à RoamSwitch n'existe que dans la Server Edition.

Une suite de sécurité et de défense autonome entièrement headless (zéro dépendance GUI), conçue pour les VPS cloud, les datacenters on-premise et les hôtes de conteneurs. Elle est fournie sous forme de paquet et de binaire distincts, roamswitch-server, séparé de l'édition Client (roamswitch). Elle assure l'inbound Default Drop, la prévention du verrouillage SSH, la détection d'intrusion eBPF, le FIM des chemins critiques (surveillance des altérations), le blocage Egress/C2 et les notifications d'urgence, le tout dans un seul démon systemd léger.

L'édition Client se concentre sur le roaming : elle détecte les changements de Wi-Fi (via l'adresse MAC de la passerelle) et bascule de façon autonome entre trois profils de pare-feu. L'édition Server, elle, ne suppose aucun déplacement réseau et adopte par défaut un Default Drop entrant permanent, avec protection du chemin d'administration SSH, prévention de l'exposition des ports de conteneurs, et détection d'intrusion au niveau noyau via eBPF (Falco ou Tetragon) — des menaces propres à un serveur en fonctionnement continu. Il n'y a ni GUI ni icône de zone de notification ; l'exploitation se fait via la CLI (la commande roamswitch), les fichiers de configuration et MCP.

Comme l'édition Client, la Community Edition est gratuite, inclut toutes les fonctions et ne nécessite aucune activation. Pour les organisations qui souhaitent gérer un parc de serveurs de façon centralisée, un niveau payant RoamSwitch Business (gestion de flotte, distribution de politiques signées, support SLA) est prévu mais pas encore disponible. La défense de l'endpoint elle-même est incluse dans l'édition gratuite.

Oui. Le contenu du trafic, l'historique des connexions, les résultats de diagnostic et autres ne sont jamais envoyés où que ce soit, même par défaut. Par défaut, les seules communications sortantes sont les mises à jour via le gestionnaire de paquets de votre système (apt/dnf/zypper) et une réception anonyme de données signées (les données CVE du noyau, les règles web et, sur les serveurs Ubuntu, les données CVE des paquets Ubuntu utilisées par la vérification CVE des paquets du système ; un HTTPS GET vers lafine.net ; le manifeste signé est vérifié chaque jour et les données CVE elles-mêmes environ tous les 30 jours ; il ne contient aucune information sur l'hôte et on peut le désactiver avec roamswitch server config set cve_kernel_map_updates_enabled false). Les notifications, le transfert d'événements, la vérification des signatures npm, etc. ne communiquent que si l'opérateur les a explicitement activés. Le démon ne contient aucune bibliothèque de communication externe, ce qui est vérifié à la compilation par un script d'audit (audit_no_network.sh). La liste complète des exceptions est publiée dans la section Zero Telemetry du livre blanc de sécurité de l'édition Server.

Ubuntu 22.04/24.04, Debian 12+, Fedora, RHEL, Rocky Linux, AlmaLinux, openSUSE et Arch Linux sont pris en charge (tous nécessitent systemd + nftables). Les architectures x86_64 et aarch64 (y compris AWS Graviton) sont toutes deux prises en charge.

Installation depuis les mêmes dépôts officiels que l'édition Client, en ne changeant que le nom du paquet : sudo apt install roamswitch-server (Ubuntu/Debian), sudo dnf install roamswitch-server (famille Fedora/RHEL), sudo zypper install roamswitch-server (openSUSE). Ce paquet est en conflit mutuel (Conflicts) avec le paquet de l'édition Client (roamswitch) : les deux ne peuvent donc pas être installés simultanément sur le même hôte.

Lancez l'assistant de configuration interactif avec sudo roamswitch server setup. Il vous guide successivement à travers le port d'administration SSH, les IP sources de maintenance, les canaux de notification d'urgence (Telegram/LINE/Webhook) et l'action à effectuer lors d'un événement eBPF critique (isolate/freeze/alert_only), puis envoie une notification de test et redémarre le service.

Après avoir édité /etc/roamswitch/server.conf, exécutez sudo roamswitch server restart. L'unité roamswitch-server.service ne prend pas en charge le rechargement de sa configuration via systemctl reload — seul un restart complet fonctionne.

C'est une configuration optionnelle. Créer /etc/roamswitch/guard.yaml permet de définir, pour chaque niveau de gravité Falco/Tetragon (warning/error/critical/emergency), une action de confinement distincte (notification seule / isolement du processus / isolement complet de l'hôte) ainsi qu'une minuterie de sécurité propre. En l'absence de ce fichier, une politique équivalente est automatiquement synthétisée à partir de action_on_critical dans server.conf, de sorte que les déploiements existants ne sont pas affectés. Un modèle est fourni dans /etc/roamswitch/guard.yaml.example.

Dès l'installation, toute connexion entrante est refusée, à l'exception des ports explicitement autorisés dans allowed_ports (par défaut 80, 443). Cela évite qu'un port d'administration ou de débogage ne soit exposé accidentellement sur internet.

Plusieurs niveaux de protection sont en place : (1) les sessions de connexion ESTABLISHED/RELATED existantes sont toujours préservées ; (2) ssh_ports (par défaut 22) est toujours autorisé sans condition ; (3) même lors d'un isolement d'urgence de l'hôte (Air-Gap), preserve_ssh_on_isolation=true (valeur par défaut) maintient active la session SSH de l'administrateur ; (4) une syntaxe de configuration invalide ou un échec de chargement de nftables déclenche un retour automatique au dernier jeu de règles fonctionnel. L'édition serveur jusqu'à la 1.10.4 présentait un défaut. Les règles d'isolement abandonnaient les réponses SSH, de sorte que le SSH de l'opérateur ne fonctionnait pas pendant l'isolement. Il est corrigé dans la 1.10.5.

Oui. Par défaut, l'option -p de Docker crée ses propres règles iptables, ce qui peut contourner le pare-feu standard de l'hôte et exposer directement un port de conteneur sur internet. Avec protect_docker_ports=true (valeur par défaut), RoamSwitch insère une règle d'inspection en tête de la chaîne DOCKER-USER, afin que le trafic destiné aux conteneurs soit également soumis à la politique allowed_ports / whitelist_ips.

Connectez-vous via la console web de votre fournisseur cloud (VNC/console série) et exécutez sudo roamswitch emergency-restore pour restaurer le pare-feu à sa dernière configuration fonctionnelle connue et lever tout isolement d'urgence, ou exécutez sudo systemctl stop roamswitch-server pour arrêter complètement le service.

Cette fonction s'appuie sur des capteurs eBPF fonctionnant en espace noyau pour détecter en temps réel les reverse shells, les élévations de privilèges et les évasions de conteneur. Le capteur par défaut est Falco (JSONL via un socket UNIX domain), mais définir sensor.type: tetragon dans guard.yaml permet de basculer vers Cilium Tetragon (gRPC natif, via le même socket UNIX). Aucun des deux n'ouvre de nouveau port en écoute.

Selon action_on_critical (ou la politique définie dans guard.yaml), l'une des actions suivantes se déclenche automatiquement : isolate (isolement réseau du processus incriminé), freeze (gel du processus par SIGSTOP et isolement réseau), ou alert_only (notification seule). Définir kill_process: true envoie également un SIGKILL en plus de l'isolement. Les démons fondamentaux — init, runtimes de conteneurs, gestionnaires de paquets, et d'autres — sont toujours exclus du gel/de l'arrêt forcé grâce à une liste de processus protégés.

C'est le délai de grâce après le déclenchement d'un isolement d'urgence de l'hôte (Air-Gap), pendant lequel l'administrateur doit confirmer via sudo roamswitch server ack (safety_timer_secs dans guard.yaml, 300 secondes par défaut). Si aucune confirmation n'arrive à temps, RoamSwitch restaure automatiquement l'accès réseau afin qu'un faux positif ne laisse pas le serveur coupé du réseau indéfiniment.

Cette fonction surveille les empreintes SHA-256 de plus de 150 binaires critiques, configurations d'authentification et unités systemd. Les fichiers sont surveillés individuellement via les événements de fin d'écriture fanotify (FAN_CLASS_NOTIF), ce qui permet de détecter une altération à l'instant même où elle survient, sans attendre le prochain scan périodique (qui reste en place comme filet de sécurité). Lors d'une mise à jour légitime d'un paquet du système, la référence est resynchronisée automatiquement via le hook DPkg::Post-Invoke sous Debian/Ubuntu ou l'unité systemd.path sous Fedora/RHEL/openSUSE, évitant ainsi les fausses alertes.

Il s'agit de fichiers leurres placés à la racine des sites web (/var/www, /srv, etc.) dont l'intégrité est vérifiée périodiquement. Si un leurre est altéré ou chiffré, RoamSwitch identifie le processus à l'origine de l'accès, le gèle, l'isole, et envoie une notification d'urgence à l'administrateur.

Le blocage Egress (egress_ip_blocklist_enabled, activé par défaut, le seed fourni ne contient que les trois serveurs d'attaque publiés par JPCERT/CC, rien d'autre n'est bloqué tant qu'aucun flux n'est chargé) bloque via nftables les connexions sortantes vers des IP connues comme malveillantes. Le DNS sinkhole (dns_sinkhole_enabled, désactivé par défaut pour ne pas casser un DNS interne ou une configuration split-horizon) force la résolution via un résolveur DNS filtrant (Quad9/Cloudflare/AdGuard/CleanBrowsing) afin de bloquer également la résolution de domaines malveillants.

Telegram Bot, l'API LINE Messaging, ainsi que des Webhooks génériques (Slack / Discord / Microsoft Teams / votre propre plateforme de supervision). Les alertes sont envoyées instantanément lors d'incidents majeurs — exposition non autorisée de port, altération détectée par le FIM, détection de menace eBPF ou isolement d'urgence. Exécutez roamswitch server test-notify pour vérifier votre configuration.

Dans la plupart des cas, il manque le préfixe -100 requis pour l'identifiant de chat d'un supergroupe (par ex. -1001234567890). Vérifiez la valeur correcte dans le champ "chat":{"id":...} de la réponse renvoyée par curl -s "https://api.telegram.org/bot<token>/getUpdates".

Exécutez roamswitch status --server. Cet audit couvre 34 points alignés sur le CIS Benchmark — état du pare-feu, mitigation du Frag Gap (désactivation des espaces de noms utilisateur non privilégiés), protection mémoire Yama LSM, permissions des fichiers critiques, exposition Docker, et plus encore — et produit un score de sécurité de 0 à 100 ainsi qu'une note (S à C).

Aucun. Le roamswitch-mcp fourni est conçu pour être strictement en lecture seule (uniquement des outils de récupération d'état et d'audit). Même si les journaux d'une application web contenaient une injection de prompt malveillante, un agent IA ne pourrait pas ouvrir le pare-feu ou lever un isolement via ce canal. Toute modification de politique ou libération d'un processus gelé exige impérativement l'exécution explicite d'une commande depuis un TTY local (un terminal SSH).

Ce sont des fonctions prévues, non disponibles aujourd'hui. Sont envisagés : la gestion de flotte (enrôler plusieurs serveurs avec un jeton d'organisation signé Ed25519 et agréger niveau de protection, score de santé et état des politiques), la distribution de politiques signées (réseaux de confiance et valeurs imposées de chaque garde en JSON signé), un dépôt APT/RPM privé signé avec une clé GPG propre à l'organisation, et un support SLA contractuel. Aucun serveur de gestion ni fonction de gestion de flotte n'existe aujourd'hui. La défense de l'endpoint elle-même est incluse dans l'édition gratuite et ne sera pas réduite dans Business.

Actuellement, cette fonction cible les hôtes Docker/Podman autonomes. La distribution et l'audit de politiques à l'échelle d'un cluster Kubernetes complet sont à l'étude comme extension possible des futures fonctions de gestion de flotte Business. Envoyez vos demandes spécifiques à notre support.

Oui, mais dans une certaine limite. Voici ce qu'il détecte et où il s'arrête.

Ce qu'il détecte, puis arrête ou signale
- Force brute SSH : il lit le journal de sshd à l'instant où une ligne est écrite et bloque une source dont les échecs atteignent le seuil (par défaut 6 en 600 secondes), en environ 0,2 seconde d'après les mesures. Il rejette les nouvelles connexions et coupe en même temps les connexions SSH que cette source avait déjà ouvertes. Une session authentifiée et une source exemptée ne sont jamais coupées.
- Activité après une intrusion : la garde d'exécution eBPF (Falco / Tetragon) détecte les reverse shells, les élévations de privilèges et les évasions de conteneur, et réagit automatiquement, de l'isolement du processus jusqu'à l'Air-Gap de tout l'hôte. RoamSwitch cherche aussi lui-même, toutes les 2 secondes, les reverse shells vers des adresses extérieures (environ 2,4 secondes après la connexion, d'après les mesures). Le temps entre la détection et la réponse est enregistré ; mesuré, il était de 42 à 64 ms.
- Altération de fichiers : le FIM détecte aussitôt la modification d'un fichier critique, et la notification indique qui l'a faite (compte, exécutable, commande) et par quelle connexion SSH (IP source, heure, méthode d'authentification). Quand cela n'a pas pu être vérifié, elle le dit.
- Aussi : le contact avec le canari anti-ransomware et les identifiants leurres, la détection et le blocage des scans de ports, la détection du tunneling DNS, le blocage du trafic sortant vers des IP malveillantes connues et la détection des connexions vers l'adresse de métadonnées du cloud (notification seulement).

À propos des notifications
Elles ne sortent du serveur que si l'opérateur a configuré une destination (Telegram, LINE, webhook ou transfert d'événements). C'est désactivé par défaut, et l'historique est toujours enregistré sur le serveur même.

Limites
- La précision et la rapidité de l'isolement eBPF dépendent des règles de Falco ou de Tetragon. De fait, les 29 règles standard de Falco 0.45.0 n'en comptent aucune qui détecte un reverse shell sur l'hôte. RoamSwitch compense avec un heartbeat qui vérifie que le chemin d'alerte est vivant et avec sa propre détection de reverse shell, sans pour autant combler toutes les lacunes des règles.
- Le FIM montre le fait d'une modification, ainsi que le processus et la connexion qui l'ont produite. Il ne montre pas la porte d'entrée elle-même (par exemple la vulnérabilité exploitée).
- Le blocage SSH compte par source ; il est donc peu efficace contre une force brute distribuée qui essaie une seule fois depuis de nombreuses IP. Quand fail2ban ou CrowdSec (avec la protection sshd activée) tourne, RoamSwitch lui laisse le blocage et se contente de détecter et de notifier.
- Comme vraie parade, combinez-le avec la désactivation de l'authentification par mot de passe (clés seulement) et la restriction des sources autorisées (liste d'autorisation).