Perguntas Frequentes (FAQ)

O RoamSwitch for Linux é uma solução gratuita de defesa de rede autónoma Zero-Trust e diagnóstico de segurança para Linux com arquitetura Zero Telemetry (sem telemetria externa). Reúne comutação de nftables, isolamento de ransomware, diagnóstico em 27 pontos e integração de IA via MCP num único binário leve.

Enquanto as ferramentas convencionais realizam análises de ficheiros ou verificações periódicas, o RoamSwitch atua em tempo real: adapta regras de nftables instantaneamente consoante o Wi-Fi e isola a máquina de forma autónoma perante ameaças.

O binário principal é freeware proprietário (Community Edition, código fechado). Já os SDKs para programadores (Rust/Python) e as definições do servidor MCP estão disponíveis em código aberto no GitHub.

A Lafine disponibiliza um whitepaper técnico que detalha os métodos de captura de pacotes e chamadas de sistema. Pode verificar com tcpdump ou eBPF que nenhuma informação sobre si ou sobre a sua máquina é enviada para o exterior (a única ligação de saída predefinida é uma atualização diária que se limita a receber dados assinados).

Significa que nenhuns registos de segurança, dados de sistema, histórico de tráfego ou resultados de diagnóstico são enviados para servidores externos (nem para a Lafine). Todo o processamento decorre 100% localmente.

Identifica em milissegundos o endereço MAC do gateway Wi-Fi e aplica automaticamente regras de nftables otimizadas para Casa (Trusted), Escritório (Balanced) ou Wi-Fi público (Lockdown).

Quando é detetada a adulteração de um ficheiro isco (canary), corta de emergência todo o tráfego externo (Air-Gap) e os serviços de partilha, para impedir que o dano se alastre à LAN. Quando o fanotify/inotify com análise de entropia de Shannon deteta padrões de encriptação rápida, congela de imediato o processo responsável (SIGSTOP) e notifica, e corta igualmente de emergência todo o tráfego externo (Air-Gap) e os serviços de partilha.

Ao ligar pens USB não autorizadas, o udev suspende a montagem até confirmação. Para dispositivos BadUSB, o evdev (EVIOCGRAB) captura temporariamente as teclas a nível de software e requer aprovação sem desligamento físico da porta.

Ao ligar-se a redes não confiáveis, inicia automaticamente o túnel WireGuard (.conf) ou Tailscale (Exit Node). O Kill Switch com nftables bloqueia qualquer fuga de tráfego em claro fora do túnel (fail-closed, opcional).

Extrai nomes de anfitrião de consultas DNS locais, TLS SNI e cabeçalhos HTTP Host para avisar ou bloquear ligações fraudulentas através de listas de ameaças assinadas localmente (sem enviar URLs para a nuvem).

Ubuntu 22.04/24.04, Debian 12+, Linux Mint, Pop!_OS, Fedora, RHEL, CentOS Stream, openSUSE, Arch Linux e Raspberry Pi OS (64 bits), abrangendo distribuições com systemd e nftables.

Através dos repositórios oficiais: APT para Ubuntu/Debian (lafine.net/apt), DNF para Fedora/RHEL (lafine.net/rpm), zypper para openSUSE (lafine.net/rpm) e PKGBUILD / tarball assinado para Arch Linux (lafine.net/linux/dl/).

Sim. Além da interface GTK e do ícone de bandeja, todas as funcionalidades estão acessíveis através do daemon de sistema, da linha de comandos 'roamswitch' e da interface MCP.

A versão cliente (este separador) está otimizada para dispositivos em roaming — estações de trabalho e portáteis que se movem entre redes. Para um VPS na cloud ou um servidor de centro de dados, utilize antes o pacote headless dedicado roamswitch-server (também gratuito, distribuído em separado). Inclui funcionalidades específicas para servidores, como Default Drop de entrada, prevenção de bloqueio SSH e deteção de intrusão eBPF. Consulte o separador "🖧 Versão Servidor Linux" para mais detalhes.

Sim, já foi lançada e, tal como a versão cliente, está disponível gratuitamente (Community Edition, todas as funcionalidades incluídas, sem ativação necessária). Instala-se como pacote separado roamswitch-server através do APT / DNF / zypper / AUR.

Use «🧰 Recuperação e desinstalação» → «🗑 Desinstalar o RoamSwitch…» no tabuleiro, o comando sudo roamswitch uninstall ou um gestor de pacotes como apt remove (a partir da versão 1.10.7). Por qualquer via, o RoamSwitch desfaz todas as alterações que fez à rede (tabelas de firewall, bloqueio ARP do gateway, DNS, etc.) antes de remover o que quer que seja, pelo que a ligação não fica cortada. Consulte os passos de desinstalação para os detalhes.

Avalia 27 parâmetros: Secure Boot, encriptação LUKS, LSM (AppArmor/SELinux), atualizações automáticas, segurança SSH/Sudo, sysctl, portas abertas, Safe Browsing, fixação ARP e proteção DNS (0-100 pontos).

No painel de controlo GTK ou executando o comando 'roamswitch status' no terminal para obter um relatório em texto completo.

O roamswitch-mcp é uma interface padrão que permite a agentes de IA como ChatGPT, Claude, Cursor e Antigravity consultar o estado de segurança do seu Linux em total segurança.

Pode perguntar em linguagem natural: 'Qual é a minha pontuação de segurança atual?' ou 'Existem portas perigosas expostas?'. A IA analisa os dados locais e apresenta instruções de resolução claras.

Nenhum. O servidor MCP opera exclusivamente em modo de apenas leitura através de stdio local. A IA não tem permissões para alterar regras de firewall nem ficheiros de sistema.

A. Provavelmente não está avariado — a proteção BadUSB do RoamSwitch pode estar a bloquear temporariamente as teclas de um teclado que não está na lista de permissões, mostrando uma caixa de diálogo de aprovação. Selecione «Permitir» nessa caixa para registar o teclado e restaurar a entrada. Se não houver resposta em 3 minutos, a entrada é libertada automaticamente (para que uma máquina headless nunca fique bloqueada). Se não vir a caixa de diálogo, desligue e volte a ligar o teclado.

A. Sim — o tráfego de saída, como navegação na Web e atualizações de pacotes, nunca é restringido em nenhum nível de proteção. Os três níveis diferem na quantidade de tráfego de entrada não solicitado que o nftables permite. open destina-se a uma rede doméstica e permite tráfego local. balanced é adequado para redes de trabalho ou partilha de ligação — monitoriza portas suspeitas sem interferir na utilização normal. lockdown destina-se a Wi-Fi público e bloqueia todo o tráfego de entrada em modo furtivo. Nenhum nível bloqueia alguma vez o tráfego iniciado por si (navegação, ligações SSH de saída como cliente, etc.).

Em parte sim; uma parte existe apenas na Server Edition.

O que funciona no cliente
O tráfego de entrada é recusado por predefinição (o nível de proteção segue o tipo de rede). Além disso há deteção e bloqueio de análises de portas, deteção de portas em escuta desconhecidas, auditoria dos registos de segurança, as iscas anti-ransomware (canário), as credenciais de isco (honeytokens), a vigilância de adulteração de ficheiros críticos (FIM) e a vigilância de entradas de arranque automático (persistência). As notificações são notificações de ambiente de trabalho e ficam guardadas no histórico. No Mac, a maioria destas funções é do Pro e ativa-se automaticamente quando se ativa o Pro.

Força bruta SSH
O bloqueio imediato só funciona enquanto o início de sessão remoto (sshd) estiver ativado (pf no Mac, nftables no Linux). Num computador em que o sshd não está em execução, não se lê nada e não se altera nada.

Uma pista do FIM
A notificação de um ficheiro crítico adulterado traz uma pista para um início de sessão SSH. No Linux, é associada, a partir do processo que fez a alteração, ao início de sessão SSH a que pertence. O Mac não o consegue fazer, porque o macOS não diz que processo escreveu um ficheiro: apenas enumera os inícios de sessão SSH que começaram em torno da alteração. É uma pista por coincidência de tempos, não uma prova de que esse início de sessão fez a alteração.

O que existe apenas na Server Edition
A deteção por eBPF (quando está instalado um sensor como o Falco) existe no cliente Linux e não no Mac. A deteção de reverse shell própria do RoamSwitch existe apenas na Server Edition.

Um conjunto de segurança de defesa autónoma totalmente headless (sem qualquer dependência de GUI) para VPS na cloud, centros de dados on-premise e hosts de contentores. É fornecido como um pacote e binário separados, roamswitch-server, distinto da versão cliente (roamswitch). Fornece Default Drop de entrada, prevenção de bloqueio SSH, deteção de intrusão eBPF, FIM de caminhos críticos (monitorização de adulteração), bloqueio de Egress/C2 e notificações de emergência, tudo num único daemon systemd leve.

A versão cliente foca-se no «roaming»: deteta alterações no Wi-Fi em uso (pela MAC do gateway) e alterna autonomamente entre três perfis de firewall. A versão servidor não pressupõe mobilidade de rede e assume, em vez disso, uma postura permanente de Default Drop de entrada, com proteção do caminho de administração SSH, prevenção de exposição de portas de contentores e deteção de intrusão ao nível do kernel via eBPF (Falco ou Tetragon) — ameaças específicas de um servidor sempre ativo. Não tem interface gráfica nem ícone na bandeja do sistema; opera-se através da CLI (o comando roamswitch), de ficheiros de configuração e do MCP.

Como a edição Cliente, a Community Edition é gratuita, inclui todos os recursos e não exige ativação. Para organizações que querem gerir de forma centralizada uma frota de servidores, um nível pago RoamSwitch Business (gestão de frota, distribuição de políticas assinadas, suporte com SLA) está planejado, mas ainda não disponível. A defesa do endpoint em si está incluída na edição gratuita.

Sim. O conteúdo do tráfego, o histórico de ligações, os resultados de diagnóstico e semelhantes nunca são enviados para o exterior, nem sequer por predefinição. Por predefinição, as únicas comunicações de saída são as atualizações através do gestor de pacotes do sistema operativo (apt/dnf/zypper) e uma receção anónima de dados assinados (os dados de CVE do kernel, as regras web e, em servidores Ubuntu, os dados de CVE de pacotes do Ubuntu usados pela verificação de CVE dos pacotes do sistema; um HTTPS GET para o lafine.net; o manifesto assinado é verificado todos os dias e os dados de CVE em si, cerca de uma vez a cada 30 dias; não contém informações sobre o anfitrião e pode ser desativado com roamswitch server config set cve_kernel_map_updates_enabled false). As notificações, o reencaminhamento de eventos, a verificação de assinaturas npm e semelhantes só comunicam quando o operador os ativou explicitamente. O daemon não contém nenhuma biblioteca de comunicação externa, e isto é verificado em tempo de compilação por um script de auditoria (audit_no_network.sh). A lista completa de exceções está publicada na secção Zero Telemetry do Livro Branco de Segurança da Server Edition.

Suporta Ubuntu 22.04/24.04, Debian 12+, Fedora, RHEL, Rocky Linux, AlmaLinux, openSUSE e Arch Linux (todos requerem systemd + nftables). São suportadas ambas as arquiteturas x86_64 e aarch64 (incluindo AWS Graviton).

A partir dos mesmos repositórios oficiais da versão cliente, bastando instalar um pacote com nome diferente: sudo apt install roamswitch-server (Ubuntu/Debian), sudo dnf install roamswitch-server (família Fedora/RHEL), sudo zypper install roamswitch-server (openSUSE). Este pacote está em Conflicts mútuo com o da versão cliente (roamswitch), pelo que não podem ser instalados em simultâneo no mesmo anfitrião.

Execute o assistente de configuração interativo com sudo roamswitch server setup. Ele guia-o pela porta de administração SSH, IPs de origem de manutenção, canais de notificação de emergência (Telegram/LINE/Webhook) e a ação a tomar num evento crítico do eBPF (isolate/freeze/alert_only), enviando depois uma notificação de teste e reiniciando o serviço.

Depois de editar /etc/roamswitch/server.conf, execute sudo roamswitch server restart. A unidade roamswitch-server.service não suporta a recarga da configuração via systemctl reload — apenas um restart completo.

É opcional. Criar /etc/roamswitch/guard.yaml permite especificar uma ação de contenção distinta (apenas notificar / isolar o processo / isolar todo o anfitrião) e um temporizador de segurança para cada nível de gravidade do Falco/Tetragon (warning/error/critical/emergency). Se o ficheiro não existir, uma política equivalente é automaticamente sintetizada a partir de action_on_critical em server.conf, pelo que as instalações existentes não são afetadas. Está disponível um modelo em /etc/roamswitch/guard.yaml.example.

Desde o momento da instalação, todas as ligações de entrada são recusadas exceto nas portas explicitamente permitidas em allowed_ports (predefinição 80, 443). Isto evita que uma porta de administração ou depuração seja exposta acidentalmente à Internet.

Existem várias camadas de proteção: (1) as sessões de ligação ESTABLISHED/RELATED existentes são sempre preservadas; (2) ssh_ports (predefinição 22) é sempre permitida incondicionalmente; (3) mesmo durante um isolamento de emergência do anfitrião (Air-Gap), preserve_ssh_on_isolation=true (predefinição) mantém ativa a sessão SSH do administrador; (4) uma sintaxe de configuração inválida ou uma falha ao carregar o nftables reverte automaticamente para o último conjunto de regras válido conhecido. A edição de servidor até à 1.10.4 tinha um defeito. As regras de isolamento descartavam as respostas SSH, pelo que o SSH do operador não funcionava durante o isolamento. Foi corrigido na 1.10.5.

Sim. Por predefinição, a opção -p do Docker cria as suas próprias regras iptables, o que pode contornar a firewall padrão do anfitrião e expor diretamente uma porta do contentor à Internet. Com protect_docker_ports=true (predefinição), o RoamSwitch insere uma regra de inspeção no início da cadeia DOCKER-USER, de modo que o tráfego destinado aos contentores também fique sujeito à política de allowed_ports / whitelist_ips.

Inicie sessão através da consola web do seu fornecedor de cloud (VNC/consola série) e execute sudo roamswitch emergency-restore para restaurar a firewall à última configuração válida conhecida e limpar qualquer isolamento de emergência, ou execute sudo systemctl stop roamswitch-server para parar completamente o serviço.

Interliga-se com sensores eBPF que funcionam no espaço do kernel para detetar em tempo real reverse shells, escaladas de privilégios e fugas de contentores. O sensor predefinido é o Falco (JSONL através de um socket de domínio UNIX), mas definir sensor.type: tetragon em guard.yaml muda para o Cilium Tetragon (gRPC nativo, através do mesmo socket UNIX). Nenhum dos dois adiciona uma nova porta de escuta.

Consoante action_on_critical (ou a política definida em guard.yaml), é acionada automaticamente uma de: isolate (isola da rede o processo em causa), freeze (congela o processo com SIGSTOP e isola-o da rede) ou alert_only (apenas notifica). Definir kill_process: true envia também um SIGKILL além do isolamento. Daemons fundamentais — init, runtimes de contentores, gestores de pacotes, entre outros — estão sempre excluídos de congelamento/terminação através de uma lista de processos protegidos.

É o período de tolerância após o disparo de um isolamento de emergência de todo o anfitrião (Air-Gap), durante o qual o administrador deve confirmar com sudo roamswitch server ack (safety_timer_secs em guard.yaml, predefinição 300 segundos). Se não chegar nenhuma confirmação a tempo, o RoamSwitch restaura automaticamente o acesso à rede, para que um falso positivo não deixe o servidor isolado indefinidamente.

Monitoriza os hashes SHA-256 de mais de 150 binários críticos, configurações de autenticação e unidades systemd. Os ficheiros são monitorizados individualmente através de eventos de conclusão de escrita do fanotify (FAN_CLASS_NOTIF), pelo que a adulteração é detetada no instante em que ocorre, sem esperar pela próxima verificação periódica (que se mantém como salvaguarda). Numa atualização legítima de pacotes do sistema operativo, a linha de base é ressincronizada automaticamente através do gancho DPkg::Post-Invoke no Debian/Ubuntu ou da unidade systemd.path no Fedora/RHEL/openSUSE, evitando alertas falsos positivos.

Ficheiros-isco colocados nas raízes web (/var/www, /srv, etc.) cuja integridade é verificada periodicamente. Se um isco for adulterado ou encriptado, o RoamSwitch identifica o processo que lhe acedeu, congela-o e isola-o, e envia uma notificação de emergência ao administrador.

O bloqueio de saída (egress_ip_blocklist_enabled, predefinição true, a semente incluída contém apenas os três servidores de ataque publicados pelo JPCERT/CC; nada mais é bloqueado até que uma feed seja carregada) bloqueia, através do nftables, as ligações de saída para IPs conhecidos como maliciosos. O sinkhole de DNS (dns_sinkhole_enabled, predefinição false para não interferir com DNS interno ou configurações split-horizon) força a resolução através de um resolvedor DNS de filtragem (Quad9/Cloudflare/AdGuard/CleanBrowsing) para também bloquear a resolução de domínios maliciosos.

Suporta Telegram Bot, LINE Messaging API e Webhooks genéricos (Slack / Discord / Microsoft Teams / a sua própria plataforma de monitorização). Os alertas são enviados de imediato em incidentes graves — exposição indevida de portas, adulteração detetada pelo FIM, deteção de ameaças via eBPF ou disparo de um isolamento de emergência. Execute roamswitch server test-notify para verificar a configuração.

Na maioria dos casos, falta ao ID de chat do supergrupo o prefixo -100 obrigatório (por exemplo: -1001234567890). Confirme o valor correto no campo "chat":{"id":...} da resposta a curl -s "https://api.telegram.org/bot<token>/getUpdates".

Execute-o com roamswitch status --server. Audita 34 itens alinhados com o CIS Benchmark — estado da firewall, mitigação do Frag Gap (desativação de namespaces de utilizador não privilegiados), proteção de memória Yama LSM, permissões de ficheiros críticos, exposição do Docker, entre outros — produzindo uma pontuação de segurança de 0 a 100 e uma classificação por letra (S a C).

Não. O roamswitch-mcp incluído foi concebido para ser estritamente só de leitura (apenas ferramentas de obtenção de estado e auditoria). Mesmo que os registos de uma aplicação web contenham uma injeção de prompt maliciosa, um agente de IA não consegue, através dele, abrir a firewall ou levantar um isolamento. Alterar a política ou libertar um processo congelado requer sempre a execução explícita de um comando a partir de um TTY local (um terminal SSH).

São recursos planejados e não estão disponíveis hoje. Prevê-se a gestão de frota (inscrever vários servidores com um token de organização assinado com Ed25519 e agregar nível de proteção, pontuação de saúde e estado das políticas), a distribuição de políticas assinadas (redes confiáveis e valores impostos de cada guarda em JSON assinado), um repositório APT/RPM privado assinado com uma chave GPG própria da organização e suporte com SLA contratual. Hoje não existe servidor de gestão nem gestão de frota. A defesa do endpoint em si está incluída na edição gratuita e não será reduzida no Business.

Atualmente destina-se a hosts autónomos Docker/Podman. A distribuição de políticas e a auditoria em todo um cluster Kubernetes está a ser considerada como possível extensão futura das funcionalidades de gestão de frota do plano Business. Envie pedidos específicos para o nosso contacto de suporte.

Sim, mas dentro de um alcance. Eis o que consegue detetar e onde pára.

O que deteta e depois pára ou comunica
- Força bruta SSH: lê o registo do sshd no instante em que uma linha é escrita e bloqueia uma origem cujas falhas atingem o limiar (por predefinição 6 em 600 segundos), em cerca de 0,2 segundos segundo as medições. Descarta as novas ligações e, ao mesmo tempo, corta as ligações SSH que essa origem já tinha abertas. Uma sessão autenticada e uma origem isenta nunca são cortadas.
- Atividade após uma intrusão: a guarda de execução eBPF (Falco / Tetragon) deteta reverse shells, escalada de privilégios e fugas de contentores, e responde automaticamente, desde isolar o processo até ao Air-Gap de todo o anfitrião. O RoamSwitch procura também por si, de 2 em 2 segundos, reverse shells para endereços externos (cerca de 2,4 segundos depois da ligação, segundo as medições). O tempo desde a deteção até à resposta fica registado; medido, foi de 42 a 64 ms.
- Adulteração de ficheiros: o FIM deteta de imediato a alteração de um ficheiro crítico, e a notificação indica quem a fez (conta, executável, comando) e através de que início de sessão SSH (IP de origem, hora, método de autenticação). Quando não foi possível verificar, di-lo.
- Além disso: o contacto com o canário anti-ransomware e com as credenciais de isco, a deteção e o bloqueio de análises de portas, a deteção de tunelização DNS, o bloqueio do tráfego de saída para IP maliciosos conhecidos e a deteção de ligações ao endereço de metadados da nuvem (apenas notificação).

Sobre as notificações
Só saem do servidor quando o operador configurou um destino (Telegram, LINE, um webhook ou o reencaminhamento de eventos). Vêm desativadas por predefinição, e o histórico fica sempre registado no próprio servidor.

Limites
- A precisão e a rapidez do isolamento eBPF dependem das regras do Falco ou do Tetragon. De facto, as 29 regras padrão do Falco 0.45.0 não incluem nenhuma que detete um reverse shell no anfitrião. O RoamSwitch compensa com um heartbeat que verifica que o caminho dos alertas está vivo e com a sua própria deteção de reverse shell, mas isso não fecha todas as lacunas das regras.
- O FIM mostra o facto de uma alteração e o processo e o início de sessão por trás dela. Não mostra a porta de entrada em si (por exemplo, a vulnerabilidade explorada).
- O bloqueio SSH conta por origem, pelo que rende pouco contra uma força bruta distribuída que tenta uma só vez a partir de muitos IP. Quando o fail2ban ou o CrowdSec (com a proteção do sshd ativada) está em execução, o RoamSwitch cede-lhe o bloqueio e limita-se a detetar e notificar.
- Como solução de fundo, combine-o com a desativação da autenticação por palavra-passe (apenas chaves) e a restrição das origens permitidas (uma lista de permitidos).