常见问题解答 (FAQ)

RoamSwitch for Linux 是一款专为 Linux 打造的免费零信任自主网络防御与安全诊断工具，严格遵循 Zero Telemetry 零遥测架构。它以单一轻量二进制文件提供 nftables 防火墙毫秒级自动切换、勒索软件隔离、27 项安全综合诊断以及基于 MCP 的 AI 联动支持。

传统工具多局限于被动文件扫描或周期性手动审计，而 RoamSwitch 专注于实时的主动自动化防御：基于 Wi-Fi 变更毫秒级切换 nftables 规则、威胁检测瞬间自主实施网络隔离，实现无感后台自动防护。

核心二进制程序属于免费专有软件（Community Edition，闭源）。而周边客户端 SDK (Rust/Python) 以及 MCP 服务定义均已在 GitHub 上开源。

为确保透明度，Lafine 在安全白皮书中详尽公开了抓包与系统调用验证方法。用户可使用 tcpdump 或 eBPF 工具随时自主验证没有任何用户或设备信息被发送到外部（默认的对外通信只有每天一次、仅接收签名数据的更新）。

意味着安全日志、系统配置、流量历史与诊断评分绝不向任何外部服务器（包括 Lafine 官方）传输。所有计算与策略均 100% 在本地 Linux 机器上完成。

毫秒级识别当前 Wi-Fi 网关 MAC 地址，自动无缝切换针对家庭 (Trusted)、办公室 (Balanced) 或公共 Wi-Fi (Lockdown) 优化的 nftables 规则集，无需手动管理 iptables/nftables。

检测到金丝雀诱饵文件被篡改时，会紧急切断全部外部通信（Air-Gap）和共享服务，阻断向局域网内蔓延。通过 fanotify/inotify + 香农熵分析检测到异常高速的加密操作时，会立即通过 SIGSTOP 冻结相关进程并发出通知，同样会紧急切断全部外部通信（Air-Gap）和共享服务。

插入未经授权的 USB 存储时，通过 udev 拦截挂载并弹出确认（可选 ClamAV 扫描）。针对伪装成键盘注入恶意指令的 BadUSB 设备，通过 evdev (EVIOCGRAB) 在软件层临时排他独占按键并显示审批弹窗，防止恶意注入（非物理端口切断）。

连入非信任网络时，自动连接用户配置的 WireGuard (.conf) 或 Tailscale (Exit Node) 加密隧道，并通过 nftables Kill Switch 阻断隧道外明文泄漏（fail-closed 机制，用户可选）。

从本地 DNS 查询、TLS SNI、HTTP Host 头提取目标域名，基于本地签名威胁库与仿冒字符判定警告或拦截钓鱼连接（支持 DoH 浏览器，不上传 URL）。

支持 Ubuntu 22.04/24.04、Debian 12+、Linux Mint、Pop!_OS、Fedora、RHEL、CentOS Stream、openSUSE、Arch Linux 及 Raspberry Pi OS (64位) 等所有基于 systemd 与 nftables 的主流发行版。

可通过官方软件源便捷安装：Ubuntu/Debian 使用 APT (lafine.net/apt)，Fedora/RHEL 使用 DNF (lafine.net/rpm)，openSUSE 使用 zypper (lafine.net/rpm)，Arch Linux 支持 PKGBUILD 与签名 tarball (lafine.net/linux/dl/)。

完全支持。除提供 GTK 原生图形界面外，在无头服务器上通过后台守护进程、'roamswitch' 命令行工具及 MCP 接口可完整使用全部功能。

客户端版（本标签页）针对工作站、笔记本电脑等会在不同网络间移动（漫游）的设备进行了优化。若用于云 VPS 或数据中心的服务器，请使用专用的无头版「roamswitch-server」（免费、独立软件包）。它内置了入站默认拒绝、SSH 防锁定、eBPF 入侵检测等面向服务器的功能。详情请参见「🖧 Linux 服务器版」标签页。

是的，该版本已经正式发布，并与客户端版一样免费提供（Community Edition，包含全部功能，无需激活许可证）。可通过 APT / DNF / zypper / AUR 单独安装 roamswitch-server 软件包。

在托盘中选择“🧰 恢复与卸载”→“🗑 卸载 RoamSwitch…”，或使用命令 sudo roamswitch uninstall，或使用 apt remove 等包管理器（1.10.7 及以后版本）。无论哪种方式，在删除之前，RoamSwitch 都会先撤销它对网络所做的全部更改（防火墙表、网关 ARP 固定、DNS 等），因此不会让网络一直不通。详情请参阅卸载步骤。

包含 Secure Boot、LUKS 全盘加密、LSM (AppArmor/SELinux)、安全自动更新、SSH/Sudo 配置、sysctl 内核加固、开放端口、浏览器安全浏览、ARP 绑定及 DNS 威胁防护等 27 个项目并输出标准化评分 (0~100)。

可通过 GTK 仪表盘查看，或直接在终端运行 'roamswitch status' 获取完整的文本格式安全报告。

roamswitch-mcp 是标准的 AI 集成接口，支持 ChatGPT、Claude、Cursor 及 Antigravity 等 AI 助手直接安全地读取 Linux 本地安全状态。

您可以用自然语言询问 AI：“当前系统安全评分是多少？”或“是否存在危险的暴露端口？”，AI 将读取本地诊断数据并自动生成清晰的加固建议与报告。

完全没有。附带的 MCP 服务设计为纯本地 stdio 通信的“完全只读”模式。即使遭遇提示注入，AI 也无法修改防火墙规则或修改系统设置。

A. 很可能不是故障。RoamSwitch的「BadUSB键盘防护」可能正在暂时阻止不在允许列表中的键盘输入，并显示批准对话框。在对话框中选择「允许」即可将该键盘加入允许列表并恢复输入。若3分钟内无响应，输入会自动解除阻止（避免无显示器主机被锁死）。若未看到对话框，重新插拔键盘即可再次显示。

A. 可以，无论处于哪个保护级别，网页浏览、软件包更新等出站通信都不会受到限制。三个级别的区别在于「nftables允许多少来自外部的入站连接」。open面向家庭局域网，允许本地通信。balanced面向办公网络或网络共享，会监控可疑端口但不影响正常使用。lockdown面向公共Wi-Fi，会以隐身方式阻止所有入站连接。在任何级别下，由你自己发起的通信（浏览网页、作为SSH客户端的出站连接等）都不会受到阻碍。

一部分可以检测，一部分是服务器版独有的功能。

客户端上起作用的功能
默认拒绝入站连接（防护级别随网络类型而变）。在此基础上，有端口扫描的检测与阻断、未知监听端口的检测、安全日志审计、勒索软件诱饵（金丝雀）、凭据诱饵（蜜罐令牌）、关键文件篡改监控（FIM）以及自启动（持久化）监控。通知为桌面通知，也会保留在历史记录中。在 Mac 上，这些功能大多属于 Pro 版，启用 Pro 后会自动开启。

SSH 暴力破解
即时阻断仅在远程登录（sshd）开启时工作（Mac 使用 pf，Linux 使用 nftables）。在 sshd 没有运行的设备上，不读取任何内容，也不改动任何内容。

FIM 的线索
通知关键文件被篡改的消息中，会附上与 SSH 登录有关的线索。Linux 会从做出修改的进程出发，关联到它所属的 SSH 登录。Mac 因为 macOS 不告知是哪个进程写入了文件，只能列出修改前后开始的 SSH 登录。这只是时间重合的线索，并不是该登录做出了修改的证据。

仅限服务器版的功能
基于 eBPF 的检测（安装了 Falco 等传感器时）存在于 Linux 客户端版，Mac 上没有。RoamSwitch 自带的反向 shell 检测只有 Server Edition 才有。

完全无头（零 GUI 依赖）的自主防御与安全套件，专为云 VPS、本地数据中心和容器主机设计。软件包名为 roamswitch-server，作为独立的软件包与二进制文件提供，与客户端版（roamswitch）区分开来。通过一个轻量级的 systemd 守护进程，提供入站默认拒绝（Default Drop）、SSH 防锁定、eBPF 入侵检测、关键路径 FIM（篡改监控）、Egress/C2 阻断以及紧急通知等功能。

客户端版的重点在于「漫游（移动）支持」：检测所连接 Wi-Fi（网关 MAC）的变化，并在三套防火墙策略之间自主切换。服务器版则不考虑网络迁移场景，默认采用常驻运行的入站默认拒绝姿态，专注于常驻服务器特有的威胁，包括 SSH 管理通道保护、容器端口暴露防护，以及基于 eBPF/Falco、Tetragon 的内核层入侵检测。没有 GUI 或托盘图标，通过 CLI（roamswitch 命令）、配置文件和 MCP 进行操作。

与客户端版一样，Community Edition 免费、包含全部功能、无需许可证激活。为需要集中管理多台服务器的组织，我们规划推出付费的 RoamSwitch Business（集中式设备管理、签名策略下发、SLA 支持），目前尚未提供。终端侧的防护功能本身包含在免费版中。

是的。通信内容、连接记录、诊断结果等信息，即使在默认状态下也绝不会对外发送。默认的对外通信只有通过操作系统包管理器（apt/dnf/zypper）进行的更新，以及仅接收签名数据（内核 CVE 数据、Web 规则，以及在 Ubuntu 服务器上用于操作系统软件包 CVE 比对的 Ubuntu 软件包 CVE 数据）的匿名获取（对 lafine.net 的 HTTPS GET，签名清单每天确认一次，CVE 数据本体约每 30 天一次，不含本主机的任何信息，可用 roamswitch server config set cve_kernel_map_updates_enabled false 关闭）。通知、事件转发、npm 签名验证等，只有在运维人员明确选择启用后才会通信。守护进程本身不含对外通信库，该点已通过审计脚本（audit_no_network.sh）在构建阶段完成验证。例外的完整列表已在 Server Edition 安全设计文档的 Zero Telemetry 一节中公开。

支持 Ubuntu 22.04/24.04、Debian 12+、Fedora、RHEL、Rocky Linux、AlmaLinux、openSUSE 以及 Arch Linux（均要求具备 systemd + nftables 环境）。同时支持 x86_64 与 aarch64（包括 AWS Graviton 等）架构。

可从与客户端版相同的官方软件仓库安装，仅需更换软件包名称：sudo apt install roamswitch-server（Ubuntu/Debian）、sudo dnf install roamswitch-server（Fedora/RHEL 系）、sudo zypper install roamswitch-server（openSUSE）。由于与客户端版软件包（roamswitch）之间设置了相互 Conflicts，两者无法同时安装在同一主机上。

请执行 sudo roamswitch server setup 启动交互式安装向导。该向导会依次引导您设置 SSH 管理端口、运维来源 IP、紧急通知渠道（Telegram/LINE/Webhook），以及 eBPF 检测到重大事件时的应对动作（isolate/freeze/alert_only），最后发送一条测试通知并重启服务。

编辑 /etc/roamswitch/server.conf 后，请执行 sudo roamswitch server restart。roamswitch-server.service 不支持通过 systemctl reload 重新加载配置（仅支持 restart）。

这是可选设置。创建 /etc/roamswitch/guard.yaml 后，可以针对 Falco/Tetragon 的每个严重级别（warning/error/critical/emergency）分别指定遏制动作（仅通知／隔离进程／全主机断网）与安全定时器。若该文件不存在，系统会根据 server.conf 中的 action_on_critical 自动合成等效策略，因此不会影响现有部署。模板文件位于 /etc/roamswitch/guard.yaml.example。

自安装完成起，除 allowed_ports（默认 80、443）中明确允许的端口外，所有入站连接均被拒绝。这可以防止意外的管理端口或调试端口暴露到公网。

提供多层防护：① 已建立的 ESTABLISHED/RELATED 连接会话始终保留；② ssh_ports（默认 22）始终无条件放行；③ 即使在重大事件触发紧急隔离（Air-Gap）时，preserve_ssh_on_isolation=true（默认）也会保留管理员的 SSH 会话；④ 配置语法错误或 nftables 加载失败时会自动回滚到上一次正常运行的规则集。共四重保障。1.10.4 及之前的服务器版存在缺陷，隔离规则会丢弃 SSH 的应答，因此隔离期间运维人员的 SSH 无法使用。该缺陷已在 1.10.5 中修复。

是的。Docker 在使用 -p 选项时默认会创建自己的 iptables 规则，可能绕过主机的标准防火墙，将端口直接暴露到公网。启用 protect_docker_ports=true（默认）后，RoamSwitch 会在 DOCKER-USER 链的开头插入检查规则，使发往容器的流量同样受 allowed_ports / whitelist_ips 策略的约束。

通过云服务商的网页管理控制台（VNC/串行控制台）登录，执行 sudo roamswitch emergency-restore 将防火墙恢复到上一次正常运行的基线并解除任何紧急隔离，或执行 sudo systemctl stop roamswitch-server 直接停止该服务。

该功能与运行在内核空间的 eBPF 传感器联动，实时检测反弹 shell、权限提升、容器逃逸等行为。默认传感器为 Falco（通过 UNIX 域套接字传输 JSONL），也可在 guard.yaml 中设置 sensor.type: tetragon 切换为 Cilium Tetragon（原生 gRPC，同样通过该 UNIX 套接字）。两者均不会新增监听端口。

系统会根据 action_on_critical（或 guard.yaml 中的策略）自动触发以下动作之一：isolate（将相关进程从网络中隔离）、freeze（通过 SIGSTOP 冻结进程并同时进行网络隔离）、alert_only（仅通知）。若指定 kill_process: true，则在隔离的同时还会发送 SIGKILL。init、容器运行时、包管理器等基础守护进程始终被列入保护列表，不会被冻结或强制终止。

这是主机整体紧急隔离（Air-Gap）触发后，管理员需要通过 sudo roamswitch server ack 确认响应的宽限时间（对应 guard.yaml 中的 safety_timer_secs，默认 300 秒）。如果是误报且在此期间未收到响应，隔离会自动解除，避免服务器因误报而被无限期切断网络。

监控 150 多个关键二进制文件、认证配置和 systemd 单元的 SHA-256 哈希值。通过 fanotify（FAN_CLASS_NOTIF）对文件的写入完成事件进行逐一监视，可在篡改发生的瞬间即时检测，无需等待下一次周期性扫描（周期性扫描仍作为后备手段并存）。在通过 OS 包管理器进行正规更新时，会分别通过 Debian/Ubuntu 的 DPkg::Post-Invoke 钩子或 Fedora/RHEL/openSUSE 的 systemd.path 单元自动重新同步基线，避免误报。

该功能会定期检查放置在 Web 根目录（/var/www、/srv 等）下的诱饵文件的完整性。一旦检测到诱饵文件被非法篡改或加密，会立即定位访问该文件的进程并将其冻结、隔离，同时向管理员发送紧急通知。

Egress 阻断（egress_ip_blocklist_enabled，默认 true，自带的种子仅含 JPCERT/CC 公布的 3 个攻击服务器，未导入情报源时不会阻断其他任何内容）通过 nftables 阻止向已知恶意 IP 发起的出站连接；DNS 沉洞（dns_sinkhole_enabled，默认 false，以避免破坏内部 DNS 或 split-horizon 环境）则强制将 DNS 解析转发至过滤型 DNS 解析服务（Quad9/Cloudflare/AdGuard/CleanBrowsing），同时阻止恶意域名的解析。

支持 Telegram Bot、LINE Messaging API，以及通用 Webhook（Slack / Discord / Microsoft Teams / 自建监控平台）。在发生端口非法暴露、FIM 篡改、eBPF 威胁检测、紧急隔离触发等重大事件时会立即推送通知。可通过 roamswitch server test-notify 验证配置是否正确。

多数情况下是超级群组的 Chat ID 缺少必需的 -100 前缀（例如：-1001234567890）。请通过 curl -s "https://api.telegram.org/bot<token>/getUpdates" 返回结果中的 "chat":{"id":...} 字段确认正确的值。

可通过 roamswitch status --server 执行。该命令会依据 CIS Benchmark 标准，对防火墙状态、Frag Gap 防护（禁用非特权 User Namespace）、Yama LSM 内存保护、关键文件权限、Docker 暴露情况等 34 个项目进行一次性审计，并给出 0～100 分的安全评分及等级评定（S～C）。

没有。随附的 roamswitch-mcp 被设计为「完全只读」（仅提供状态获取与审计类工具）。即使 Web 应用的日志中混入了恶意的提示注入，也无法通过 AI 代理开放防火墙或解除隔离。策略变更以及解除进程冻结，始终要求在本地 TTY（SSH 终端）中显式执行命令。

这些是规划中的功能，目前尚未提供。设想的内容包括：使用 Ed25519 签名的组织令牌登记多台服务器并汇总保护级别、诊断分数和策略应用状态的“集中式设备管理”；以签名 JSON 下发受信网络及各防护强制值的“签名策略下发”；使用组织专用 GPG 密钥签名的内部 APT/RPM 仓库；以及基于合同的 SLA 支持。目前不存在管理服务器或集中式设备管理功能。终端侧的防护功能本身包含在免费版中，Business 不会削减。

目前仅面向独立的 Docker/Podman 主机。针对整个 Kubernetes 集群的策略分发与审计功能，正作为 Business 版舰队管理功能未来可能的扩展方向进行评估。如有具体需求，请通过支持渠道与我们联系。

可以，但能看到的范围是有限的。下面把能检测的内容和限制分开说明。

检测后会阻止或通知的内容
- SSH 暴力破解：在 sshd 日志写入的瞬间读取，对失败次数达到阈值（默认 600 秒内 6 次）的来源进行阻断（实测约 0.2 秒）。丢弃新连接的同时，也会切断该来源已经建立的 SSH 连接。已认证的会话和豁免的来源不会被切断。
- 入侵之后的行为：eBPF 运行时防护（Falco / Tetragon）检测反向 shell、权限提升和容器逃逸，并自动处置，从隔离进程直到整台主机的 Air-Gap。RoamSwitch 自己也每 2 秒查找连向外部的反向 shell（实测在连接后约 2.4 秒）。从检测到处置的时间会被记录，实测为 42～64 毫秒。
- 文件篡改：FIM 会立即检测到关键文件的改动，并在通知中附上是谁（账户、可执行文件、命令）通过哪次 SSH 登录（来源 IP、时间、认证方式）做出的修改。无法查明时，会写明无法查明。
- 另外还有：对勒索软件金丝雀和诱饵凭据的接触、端口扫描的检测与阻断、DNS 隧道检测、对已知恶意 IP 的出站通信阻断，以及对云元数据地址连接的检测（仅通知）。

关于通知
只有在运维人员设置了通知目的地（Telegram、LINE、Webhook、事件转发）时，通知才会发送到外部。默认关闭，历史记录一定会保存在服务器内部。

限制
- eBPF 隔离的准确度和速度取决于 Falco 或 Tetragon 的规则。实际上，Falco 0.45.0 的标准规则（29 条）里没有检测主机上反向 shell 的规则。RoamSwitch 用确认告警通路是否畅通的心跳检测，以及自己的反向 shell 检测来弥补，但并不能填补规则的所有漏洞。
- FIM 显示的是变更这一事实，以及做出变更的进程和登录。入侵的入口本身（例如被利用的漏洞）无法得知。
- SSH 阻断按来源统计，所以对从大量 IP 各尝试一次的分布式暴力破解不太有效。当 fail2ban 或 CrowdSec（已启用 sshd 防护）在运行时，RoamSwitch 会让出阻断，只做检测和通知。
- 作为根本对策，请同时停用密码认证（只用密钥认证），并限制可连接的来源（允许列表）。