Domande Frequenti (FAQ)

RoamSwitch for Linux è una suite gratuita di difesa di rete autonoma Zero-Trust e diagnosi di sicurezza per Linux, sviluppata con architettura Zero Telemetry (nessuna trasmissione esterna). Offre commutazione del firewall nftables, isolamento ransomware, audit in 27 punti e integrazione IA tramite MCP in un binario compatto.

Mentre gli strumenti tradizionali effettuano scansioni di file o controlli manuali periodici, RoamSwitch opera in tempo reale: adatta le regole di nftables in millisecondi al variare della rete e isola automaticamente il sistema in caso di minaccia.

Il binario principale è freeware proprietario (Community Edition, codice chiuso). Gli SDK client (Rust/Python) e le definizioni del server MCP sono invece open source su GitHub.

Lafine pubblica un whitepaper tecnico che illustra le procedure per l'analisi dei pacchetti e il tracciamento delle chiamate di sistema. È possibile verificare con tcpdump o eBPF che nessuna informazione su di te o sulla tua macchina viene inviata all'esterno (l'unica connessione in uscita predefinita è un aggiornamento giornaliero che si limita a ricevere dati firmati).

Significa che nessun log di sicurezza, informazione di sistema, cronologia di traffico o punteggio di diagnostica viene mai inviato a server esterni (nemmeno a Lafine). Tutte le elaborazioni avvengono al 100% in locale.

Rileva in millisecondi l'indirizzo MAC del gateway Wi-Fi e applica automaticamente regole nftables ad hoc per Casa (Trusted), Ufficio (Balanced) o Wi-Fi pubblico (Lockdown).

Quando viene rilevata la manomissione di un file esca (canary), interrompe d'emergenza tutto il traffico esterno (Air-Gap) e i servizi di condivisione, per impedire che il danno si estenda alla LAN. Quando fanotify/inotify con analisi dell'entropia di Shannon rilevano schemi di crittografia massiva, congela subito il processo responsabile (SIGSTOP) e invia una notifica, e interrompe allo stesso modo d'emergenza tutto il traffico esterno (Air-Gap) e i servizi di condivisione.

Al collegamento di memorie USB non autorizzate, udev ne sospende il montaggio richiedendo conferma. Per i dispositivi BadUSB, evdev (EVIOCGRAB) intercetta in modo esclusivo i tasti via software e richiede l'approvazione senza disconnettere la porta fisica.

Quando ci si connette a reti non sicure, attiva automaticamente il tunnel WireGuard (.conf) o Tailscale (Exit Node). Il Kill Switch di nftables impedisce qualsiasi fuga di dati in chiaro fuori dal tunnel (fail-closed, opzionale).

Estrae gli host di destinazione da query DNS locali, TLS SNI e intestazioni HTTP Host per bloccare le connessioni verso siti di phishing tramite elenchi di minacce firmati localmente (senza inviare URL nel cloud).

Ubuntu 22.04/24.04, Debian 12+, Linux Mint, Pop!_OS, Fedora, RHEL, CentOS Stream, openSUSE, Arch Linux e Raspberry Pi OS (64 bit), coprendo tutte le distribuzioni con systemd e nftables.

Tramite i repository ufficiali: APT per Ubuntu/Debian (lafine.net/apt), DNF per Fedora/RHEL (lafine.net/rpm), zypper per openSUSE (lafine.net/rpm) e PKGBUILD / tarball firmati per Arch Linux (lafine.net/linux/dl/).

Sì. Oltre alla GUI GTK e all'icona nella barra di sistema, tutte le funzioni sono utilizzabili tramite il demone di sistema, la CLI 'roamswitch' e l'interfaccia MCP.

La Client Edition (questa scheda) è ottimizzata per i dispositivi in roaming — workstation e laptop che si spostano tra reti diverse. Per un VPS cloud o un server di data center, utilizzare invece il pacchetto headless dedicato roamswitch-server (anch'esso gratuito, distribuito separatamente). Include funzionalità specifiche per server come Default Drop in ingresso, prevenzione del lockout SSH e rilevamento delle intrusioni via eBPF. Per maggiori dettagli, consultare la scheda "🖧 Linux Server Edition".

Sì, è già stata rilasciata ed è disponibile gratuitamente, come la Client Edition (Community Edition, tutte le funzionalità incluse, nessuna attivazione richiesta). Si installa separatamente come pacchetto roamswitch-server tramite APT / DNF / zypper / AUR.

Usa «🧰 Ripristino e disinstallazione» → «🗑 Disinstalla RoamSwitch…» nell'area di notifica, il comando sudo roamswitch uninstall oppure un gestore di pacchetti come apt remove (dalla versione 1.10.7). Con ogni via, RoamSwitch annulla tutte le modifiche fatte alla rete (tabelle del firewall, blocco ARP del gateway, DNS e così via) prima di rimuovere qualsiasi cosa, quindi la connessione non resta interrotta. Per i dettagli consulta i passaggi di disinstallazione.

Esamina 27 parametri: Secure Boot, crittografia LUKS, LSM (AppArmor/SELinux), aggiornamenti automatici, configurazione SSH/Sudo, parametri sysctl, porte aperte, Safe Browsing, blocco ARP e sicurezza DNS (punteggio 0-100).

Dalla dashboard GTK oppure eseguendo il comando 'roamswitch status' nel terminale per un resoconto testuale completo.

roamswitch-mcp è un'interfaccia standard che consente a modelli IA come ChatGPT, Claude, Cursor e Antigravity di consultare in sicurezza lo stato del sistema Linux.

È possibile chiedere in linguaggio naturale: 'Qual è il punteggio di sicurezza attuale?' o 'Ci sono porte aperte pericolose?'. L'IA esamina i dati locali e fornisce istruzioni puntuali.

No. Il server MCP opera esclusivamente in sola lettura tramite stdio locale. L'IA non può modificare le regole del firewall né i file di configurazione del sistema.

A. Probabilmente non è guasta: la protezione BadUSB di RoamSwitch potrebbe bloccare temporaneamente l'input di una tastiera non presente nella lista consentiti, mostrando una finestra di approvazione. Seleziona «Consenti» in quella finestra per registrare la tastiera e ripristinare l'input. Se non c'è risposta entro 3 minuti, l'input viene rilasciato automaticamente (così una macchina headless non resta mai bloccata). Se non vedi la finestra, scollega e ricollega la tastiera.

A. Sì: il traffico in uscita come la navigazione web e gli aggiornamenti dei pacchetti non viene mai limitato a nessun livello di protezione. I tre livelli differiscono per la quantità di traffico in entrata non richiesto che nftables consente. open è pensato per una rete domestica e consente il traffico locale. balanced è adatto a reti di lavoro o tethering — monitora le porte sospette senza ostacolare l'uso normale. lockdown è pensato per il Wi-Fi pubblico e blocca tutto il traffico in entrata in modalità stealth. Nessun livello blocca mai il traffico avviato da te (navigazione, connessioni SSH in uscita come client, ecc.).

In parte sì; una parte esiste solo nella Server Edition.

Cosa funziona sul client
Il traffico in ingresso viene rifiutato per impostazione predefinita (il livello di protezione segue il tipo di rete). In più ci sono il rilevamento e il blocco delle scansioni di porte, il rilevamento delle porte in ascolto sconosciute, l'audit dei log di sicurezza, le esche anti-ransomware (canary), le credenziali esca (honeytoken), il monitoraggio della manomissione dei file critici (FIM) e il monitoraggio delle voci di avvio automatico (persistenza). Le notifiche sono notifiche del desktop e restano nella cronologia. Sul Mac la maggior parte di queste funzioni è di Pro e si attiva automaticamente quando si attiva Pro.

Forza bruta SSH
Il blocco immediato funziona solo finché l'accesso remoto (sshd) è attivo (pf sul Mac, nftables su Linux). Su un computer in cui sshd non è in esecuzione non si legge nulla e non si cambia nulla.

Un indizio dal FIM
La notifica di un file critico manomesso porta un indizio verso un accesso SSH. Su Linux viene collegata, a partire dal processo che ha fatto la modifica, all'accesso SSH a cui appartiene. Il Mac non può farlo, perché macOS non dice quale processo abbia scritto un file: elenca solo gli accessi SSH iniziati intorno alla modifica. È un indizio dato dalla sovrapposizione dei tempi, non la prova che quell'accesso abbia fatto la modifica.

Cosa esiste solo nella Server Edition
Il rilevamento tramite eBPF (quando è installato un sensore come Falco) c'è nel client Linux e non sul Mac. Il rilevamento delle reverse shell proprio di RoamSwitch esiste solo nella Server Edition.

È una suite di difesa autonoma e sicurezza headless (senza alcuna dipendenza da GUI), pensata per VPS cloud, data center on-premise e host di container. Viene distribuita come pacchetto e binario separati, roamswitch-server, distinto dalla Client Edition (roamswitch). Offre Default Drop in ingresso, prevenzione del lockout SSH, rilevamento delle intrusioni via eBPF, FIM (monitoraggio delle manomissioni) sui percorsi critici, blocco egress/C2 e notifiche di emergenza, tutto in un unico demone systemd leggero.

La Client Edition è incentrata sul roaming: rileva le variazioni del Wi-Fi in uso (tramite MAC del gateway) e commuta autonomamente tra tre profili firewall. La Server Edition non presuppone spostamenti di rete e adotta invece come postura predefinita un Default Drop in ingresso sempre attivo, con protezione del percorso di gestione SSH, prevenzione dell'esposizione delle porte dei container e rilevamento delle intrusioni a livello kernel via eBPF (Falco o Tetragon) — minacce specifiche di un server sempre acceso. Non è presente alcuna GUI né icona nella tray; si opera tramite CLI (il comando roamswitch), file di configurazione e MCP.

Come l'edizione Client, la Community Edition è gratuita, include tutte le funzioni e non richiede attivazione. Per le organizzazioni che vogliono gestire centralmente una flotta di server, è pianificato un livello a pagamento RoamSwitch Business (gestione della flotta, distribuzione di policy firmate, supporto SLA), non ancora disponibile. La difesa dell'endpoint in sé è inclusa nell'edizione gratuita.

Sì. Il contenuto del traffico, la cronologia delle connessioni, i risultati diagnostici e simili non vengono mai inviati altrove, nemmeno per impostazione predefinita. Per impostazione predefinita le uniche comunicazioni in uscita sono gli aggiornamenti tramite il gestore di pacchetti del sistema operativo (apt/dnf/zypper) e una ricezione anonima di dati firmati (i dati CVE del kernel, le regole web e, sui server Ubuntu, i dati CVE dei pacchetti Ubuntu usati dal controllo CVE dei pacchetti di sistema; un HTTPS GET verso lafine.net; il manifest firmato viene controllato ogni giorno e i dati CVE veri e propri circa ogni 30 giorni; non contiene informazioni sull'host e si può disattivare con roamswitch server config set cve_kernel_map_updates_enabled false). Notifiche, inoltro degli eventi, verifica delle firme npm e simili comunicano solo se l'operatore li ha abilitati esplicitamente. Il demone non contiene alcuna libreria di comunicazione esterna, e ciò viene verificato in fase di build da uno script di audit (audit_no_network.sh). L'elenco completo delle eccezioni è pubblicato nella sezione Zero Telemetry del documento di progettazione della sicurezza della Server Edition.

Sono supportate Ubuntu 22.04/24.04, Debian 12+, Fedora, RHEL, Rocky Linux, AlmaLinux, openSUSE e Arch Linux (tutte richiedono systemd + nftables). Sono supportate entrambe le architetture x86_64 e aarch64 (inclusa AWS Graviton).

Si installa dagli stessi repository ufficiali della Client Edition, semplicemente con un nome di pacchetto diverso: sudo apt install roamswitch-server (Ubuntu/Debian), sudo dnf install roamswitch-server (famiglia Fedora/RHEL), sudo zypper install roamswitch-server (openSUSE). È in conflitto (Conflicts) con il pacchetto della Client Edition (roamswitch), quindi i due non possono essere installati contemporaneamente sullo stesso host.

Avviare la procedura guidata interattiva con sudo roamswitch server setup. Guida l'utente attraverso la configurazione della porta di gestione SSH, degli IP di manutenzione, dei canali di notifica di emergenza (Telegram/LINE/Webhook) e dell'azione da intraprendere in caso di evento critico eBPF (isolate/freeze/alert_only), per poi inviare una notifica di test e riavviare il servizio.

Dopo aver modificato /etc/roamswitch/server.conf, eseguire sudo roamswitch server restart. L'unit roamswitch-server.service non supporta il ricaricamento della configurazione tramite systemctl reload — è supportato solo il restart completo.

È un'impostazione facoltativa. Creando /etc/roamswitch/guard.yaml è possibile specificare, per ciascun livello di gravità di Falco/Tetragon (warning/error/critical/emergency), un'azione di contenimento distinta (sola notifica / isolamento del processo / isolamento dell'intero host) e un timer di sicurezza dedicato. Se il file non esiste, viene sintetizzata automaticamente una policy equivalente a partire da action_on_critical in server.conf, quindi le installazioni esistenti non ne risentono. Un template è disponibile in /etc/roamswitch/guard.yaml.example.

Dal momento dell'installazione, ogni connessione in ingresso viene negata a eccezione delle porte esplicitamente consentite in allowed_ports (predefinite 80, 443). Questo evita che una porta di gestione o di debug venga esposta accidentalmente a internet.

Sono previsti più livelli di protezione: (1) le sessioni di connessione ESTABLISHED/RELATED esistenti vengono sempre preservate; (2) ssh_ports (predefinita 22) è sempre consentita incondizionatamente; (3) anche durante un isolamento di emergenza dell'host (Air-Gap), preserve_ssh_on_isolation=true (predefinito) mantiene attiva la sessione SSH dell'amministratore; (4) una sintassi di configurazione non valida o un errore di caricamento di nftables provoca il rollback automatico all'ultimo set di regole funzionante. L'edizione server fino alla 1.10.4 presentava un difetto. Le regole di isolamento scartavano le risposte SSH, quindi l'SSH dell'operatore non funzionava durante l'isolamento. È stato corretto nella 1.10.5.

Sì. L'opzione -p di Docker crea per impostazione predefinita proprie regole iptables, che possono bypassare il firewall standard dell'host ed esporre direttamente a internet una porta del container. Con protect_docker_ports=true (predefinito), RoamSwitch inserisce una regola di ispezione in testa alla catena DOCKER-USER, in modo che anche il traffico diretto ai container sia soggetto alle policy allowed_ports / whitelist_ips.

Accedere tramite la console web del provider cloud (VNC/console seriale) ed eseguire sudo roamswitch emergency-restore per ripristinare il firewall all'ultima configurazione funzionante nota e annullare l'isolamento di emergenza, oppure eseguire sudo systemctl stop roamswitch-server per arrestare completamente il servizio.

Si integra con sensori eBPF che operano nello spazio kernel per rilevare in tempo reale reverse shell, escalation dei privilegi ed evasioni dai container. Il sensore predefinito è Falco (JSONL su socket di dominio UNIX), ma impostando sensor.type: tetragon in guard.yaml è possibile passare a Cilium Tetragon (gRPC nativo, sullo stesso socket UNIX). Nessuno dei due aggiunge una nuova porta in ascolto.

In base a action_on_critical (o alla policy definita in guard.yaml), scatta automaticamente una delle seguenti azioni: isolate (isolamento del processo dalla rete), freeze (blocco del processo con SIGSTOP e isolamento dalla rete) oppure alert_only (sola notifica). Impostando kill_process: true, oltre all'isolamento viene inviato anche SIGKILL. I demoni fondamentali — init, runtime dei container, gestori di pacchetti e altri — sono sempre esclusi dal blocco/terminazione tramite una lista di processi protetti.

È il periodo di tolleranza successivo all'attivazione di un isolamento di emergenza dell'host (Air-Gap), durante il quale l'amministratore deve confermare con sudo roamswitch server ack (parametro safety_timer_secs in guard.yaml, predefinito 300 secondi). Se non arriva alcuna conferma entro il tempo previsto, RoamSwitch ripristina automaticamente l'accesso alla rete, così un falso positivo non lascia il server isolato a tempo indeterminato.

Monitora gli hash SHA-256 di oltre 150 binari critici, configurazioni di autenticazione e unit systemd. I file sono monitorati individualmente tramite eventi di completamento scrittura via fanotify (FAN_CLASS_NOTIF), così una manomissione viene rilevata nell'istante in cui avviene, senza attendere la successiva scansione periodica (che resta comunque attiva come rete di sicurezza). Durante un aggiornamento legittimo dei pacchetti di sistema, la baseline viene risincronizzata automaticamente tramite l'hook DPkg::Post-Invoke su Debian/Ubuntu o l'unit systemd.path su Fedora/RHEL/openSUSE, evitando falsi positivi.

File esca posizionati nelle web root (/var/www, /srv, ecc.) la cui integrità viene verificata periodicamente. Se un file esca viene manomesso o cifrato, RoamSwitch identifica il processo che vi ha avuto accesso, lo blocca e lo isola, quindi invia una notifica di emergenza all'amministratore.

Il blocco egress (egress_ip_blocklist_enabled, predefinito true, il seed incluso contiene solo i tre server di attacco pubblicati da JPCERT/CC; nient'altro viene bloccato finché non viene popolato un feed) blocca tramite nftables le connessioni in uscita verso IP noti come malevoli. Il DNS sinkhole (dns_sinkhole_enabled, predefinito false per non interferire con DNS interni o configurazioni split-horizon) forza la risoluzione verso un resolver DNS con filtro (Quad9/Cloudflare/AdGuard/CleanBrowsing), bloccando così anche la risoluzione di domini malevoli.

Sono supportati Telegram Bot, LINE Messaging API e Webhook generici (Slack / Discord / Microsoft Teams / la propria infrastruttura di monitoraggio). Le notifiche vengono inviate immediatamente in caso di incidenti gravi — esposizione non autorizzata di porte, manomissione rilevata dal FIM, rilevamento di minacce via eBPF o attivazione dell'isolamento di emergenza. Eseguire roamswitch server test-notify per verificare la configurazione.

Nella maggior parte dei casi manca il prefisso -100 richiesto per il Chat ID di un supergruppo (es. -1001234567890). Verificare il valore corretto nel campo "chat":{"id":...} della risposta restituita da curl -s "https://api.telegram.org/bot<token>/getUpdates".

Si esegue con roamswitch status --server. Effettua un audit complessivo di 34 elementi allineati al CIS Benchmark — stato del firewall, mitigazione Frag Gap (disattivazione degli user namespace non privilegiati), protezione della memoria Yama LSM, permessi dei file critici, esposizione di Docker e altro ancora — restituendo un punteggio di sicurezza da 0 a 100 e un voto in lettere (da S a C).

No. Il componente roamswitch-mcp incluso è progettato per essere strettamente di sola lettura (solo strumenti di lettura dello stato e di audit). Anche se i log di un'applicazione web contenessero un prompt injection malevolo, un agente AI non potrebbe aprire il firewall né rimuovere un isolamento tramite questo canale. La modifica delle policy o il rilascio di un processo bloccato richiedono sempre l'esecuzione esplicita di un comando da un TTY locale (un terminale SSH).

Sono funzioni pianificate e oggi non disponibili. Sono previste la gestione della flotta (registrare più server con un token di organizzazione firmato Ed25519 e aggregare livello di protezione, punteggio di salute e stato delle policy), la distribuzione di policy firmate (reti fidate e valori imposti di ogni guardia in JSON firmato), un repository APT/RPM privato firmato con una chiave GPG propria dell'organizzazione e supporto SLA contrattuale. Oggi non esiste alcun server di gestione né gestione della flotta. La difesa dell'endpoint in sé è inclusa nell'edizione gratuita e non sarà ridotta in Business.

Attualmente il target sono host standalone Docker/Podman. La distribuzione e l'audit delle policy sull'intero cluster Kubernetes sono in fase di valutazione come possibile estensione futura delle funzionalità di gestione della fleet per Business. Per richieste specifiche, contattare il nostro supporto.

Sì, ma entro certi limiti. Ecco cosa può rilevare e dove si ferma.

Cosa rileva, e poi ferma o segnala
- Forza bruta SSH: legge il log di sshd nell'istante in cui viene scritta una riga e blocca un'origine i cui fallimenti raggiungono la soglia (di default 6 in 600 secondi), in circa 0,2 secondi secondo le misure. Scarta le nuove connessioni e, nello stesso momento, interrompe le connessioni SSH che quell'origine aveva già aperto. Una sessione autenticata e un'origine esente non vengono mai interrotte.
- Attività dopo un'intrusione: la guardia runtime eBPF (Falco / Tetragon) rileva reverse shell, escalation dei privilegi e fughe dai container, e risponde in automatico, dall'isolamento del processo fino all'Air-Gap dell'intero host. RoamSwitch cerca anche da sé, ogni 2 secondi, le reverse shell verso indirizzi esterni (circa 2,4 secondi dopo la connessione, secondo le misure). Il tempo dal rilevamento alla risposta viene registrato; misurato, era di 42-64 ms.
- Manomissione dei file: il FIM rileva subito la modifica di un file critico e la notifica indica chi l'ha fatta (account, eseguibile, comando) e tramite quale accesso SSH (IP di origine, ora, metodo di autenticazione). Quando non si è potuto verificare, lo dice.
- Inoltre: il contatto con il canary anti-ransomware e con le credenziali esca, il rilevamento e il blocco delle scansioni di porte, il rilevamento del tunneling DNS, il blocco del traffico in uscita verso IP malevoli noti e il rilevamento delle connessioni all'indirizzo dei metadati del cloud (solo notifica).

Sulle notifiche
Escono dal server solo quando l'operatore ha configurato una destinazione (Telegram, LINE, un webhook o l'inoltro di eventi). Sono disattivate per impostazione predefinita, e la cronologia viene sempre registrata sul server stesso.

Limiti
- La precisione e la rapidità dell'isolamento eBPF dipendono dalle regole di Falco o Tetragon. In effetti, le 29 regole standard di Falco 0.45.0 non ne includono nessuna che rilevi una reverse shell sull'host. RoamSwitch compensa con un heartbeat che verifica che il percorso degli avvisi sia vivo e con un proprio rilevamento delle reverse shell, ma questo non colma ogni lacuna delle regole.
- Il FIM mostra il fatto di una modifica e il processo e l'accesso che ci sono dietro. Non mostra la porta d'ingresso in sé (per esempio la vulnerabilità sfruttata).
- Il blocco SSH conta per origine, perciò funziona poco contro una forza bruta distribuita che prova una sola volta da molti IP. Quando fail2ban o CrowdSec (con la protezione di sshd attiva) è in esecuzione, RoamSwitch gli lascia il blocco e si limita a rilevare e notificare.
- Come rimedio di fondo, abbinalo alla disattivazione dell'autenticazione con password (solo chiavi) e alla limitazione delle origini consentite (una allowlist).