适用于 Linux 的 RoamSwitch
架构与安全白皮书

§5

香农熵突发检测·YARA扫描

写入事件按 PID 进行跟踪。如果单个进程在 5 秒内创建 20 个或更多熵不低于 7.92 的不同文件，则被视为勒索软件批量加密，并通过 SIGSTOP 冻结该进程。同时发出桌面通知、记录到事件时间线，并采集证据包。此项检测同样会触发 Air-Gap（切断整个网络），与金丝雀被篡改、eBPF 高严重度事件一样，属于高可信度触发条件。

在真实机器（Ubuntu 24.04，内核 7.0）上，用一个改写 40 个文件的复现程序进行了测量（2026-09-26 的测量，对象是加入了部分加密检测、包含在 1.10.7 中的守护进程版本）。全量加密会在超过 20 个文件后被检测到，并在第 31 个文件处冻结进程。即使进程把自己的名字改成 python3 或 git，也会被检测到（允许列表不只看名字，还核对可执行文件与脚本名是否一致；此前仅凭名字，40 个文件全部漏过）。cp -r、rsync -a、tar -x 和 Python 脚本在看到写入的时刻就完成进程识别，因此即使很快结束也不会误报（此前在评估时进程已退出，被报告为“未知进程”）。仅加密每 32 字节中 16 字节的部分加密（LockBit 系的写法），由于整体平均熵达不到 7.92，此前无法检测，从 1.10.7 起可以检测。它通过识别每 16 字节交替出现类似随机数的块和类似文本的块这一形态来判断，检测出了 94% 的模拟文件，在 19,997 个正常文件中误报 2 个（0.01%）。对每个文件不留间隔、全速写入的复现程序，会在 20 个文件的判定之前就写完 40 个，因此被停止时进程已经结束；每个文件间隔 0.2 秒时，则在第 20 个文件处被停止。仅加密开头部分、跳过区间的加密，以及把加密内容写成 Base64 的情况，不计为检测，只记录到日志中，不会冻结（因为有误报正常文件的风险）。用允许列表中的真实程序（如 python3）编写的勒索软件，也无法通过名字区分。

• YARA 扫描与熵检测分离 — YARA 恶意软件检测会对所有写入的文件执行，包括 ~/.cache/、node_modules/ 和各类压缩包，不按扩展名排除（用户设置的 scan_exclusions、隔离 Vault、/dev/shm 以及内存中和已删除的文件、/proc、/sys、/dev 等位置，以及守护进程自身、ClamAV、桌面基础组件等系统进程写入的内容除外。读取的是开头的 256 KB）。另一方面，勒索软件熵加密突发判定会排除：本身就是压缩格式的文件（.zip、.tgz、.tar.gz、.gz、.png、.jpg、.mp4、.wasm 等）、开头仍为正规压缩／媒体格式的文件（1.10.25 起），以及正规包管理器（npm、npx、cargo、rustc、dpkg、apt、tar 等）的缓存操作，以防止正规工具解包时因误报而触发 SIGSTOP 冻结。
• 同一文件的重复覆盖 （例如 shred 的三遍）算作一个事件。
• 关键进程保护 — 将进程与硬编码的受保护进程列表（PROTECTED_PROCESS_NAMES，包含 systemd / dockerd / NetworkManager / sshd / gnome-shell 等）进行比对，名称一致且可执行文件位于系统区域（/usr、/opt 等）的进程绝不会被冻结（防止整台机器挂起）。只是名字相似、位于 /tmp 或 /home 的程序不受保护。

Web 应用层检测规则（Web Shell 与注入代码）

用专用规则检测 PHP、JavaScript、JSP、ASP 的 Web Shell、被注入的混淆代码、伪装成图片的 PHP，以及通过 .htaccess 劫持执行的手法。它与针对 ELF 和 shell 的内置检测相互独立，用一种简单的语言书写，只含字面量、带间隔上限的字面量序列和两个统计值（极长的单行、巨大的 Base64）。不使用正则表达式，因此处理不会膨胀或卡死，即使规则文件是恶意的，也最多造成误报。规则不含从真实样本中提取的签名，也不绑定任何具名恶意软件家族：18 条规则只描述公开记载的手法（执行解码函数的输出、直接执行请求值、上传目录中可执行的 PHP、图片中的 PHP、.htaccess 处理器映射、用 unescape 拼出的注入脚本、浏览器内挖矿库）。

规则分三层：产品内置的、由每日更新程序（11.3）在验证签名后安装的，以及 /etc/roamswitch/rules.d/*.json 中的自定义规则（只读取 root 所有且组和其他用户不可写的文件）。严重度为 critical、high、medium、low；critical 与 high 进入确认或隔离流程，medium 及以下仅报告。自动隔离默认仅限 critical（/etc/roamswitch/web_rules.conf 的 quarantine），客户端版在写入或执行时的检测仍由用户在确认对话框中决定。tests/、fixtures/、.git/ 之下因测试代码会使用相同写法，默认不检测。

检测之后，若在 /etc/roamswitch/hooks/post-detection 放置可执行文件，检测内容（JSON）会通过标准输入传给它（仅执行 root 所有、不可写且父目录也安全的文件；不经过 shell，环境变量极少，30 秒后终止）。可选的账户处置（默认关闭）会停用被隔离文件所有者的登录 shell。它不会处理 root、UID 低于 account_min_uid（默认 1000）的账户、已登录的用户和守护进程自身的用户，并会记录原 shell，可用 roamswitch web-rules unlock-account 恢复。误报实测：WordPress 核心 2,409 个文件、phpMyAdmin 3,356 个文件、npm 依赖 14,743 个文件均为 0 条。局限：只读取开头 256 KB（写入/执行时）和 4 MB（扫描），无法跟踪变量名拼接（'ev'.'al'）这类拆分；因没有真实样本，未附带针对已知恶意软件的个别签名。

金丝雀（诱饵文件）

诱饵文件被放置在用户的文档、桌面、下载和图片文件夹以及专用目录中，并以 3 秒为周期与 SHA-256 基线进行比较。任何重命名、删除、截断或内容更改都会立即触发 Air-Gap。因为守护进程以 root 身份运行，所以它会枚举 /home/* 并将金丝雀部署到每个真实用户的目录中。

取证证据保全包（自动取证采集）

仅当勒索软件熵突增检测被触发，或 eBPF 运行时威胁传感器发出的 Critical 严重度事件促成了针对单个进程的定点隔离（SIGSTOP + 网络阻断）时，roamswitch-incident-capture 才会启动，并将证据包保存到 <状态目录>/incident-evidence/<时间戳>-<短 ID>/。采集内容包括：在默认路由接口上通过 tshark 进行的、限定 30 秒的抓包（若未安装 tshark 则记录为跳过），以及在传入 PID 时，目标进程的 /proc/<pid> 快照（status、cmdline、maps，以及将疑似敏感信息替换为 [REDACTED] 的 environ、已打开文件描述符的链接目标列表——不采集其内容本身——以及祖先进程链）。单个证据项采集失败不会视为致命错误，只会记录该情况并继续采集其余内容。对于 eBPF 事件，会传入目标进程的 PID。对于熵突增检测，能够确定写入进程时会传入 PID；如果在判定突增时该进程已经退出，则不带 PID 启动，因此只采集抓包。当定点隔离不可行或失败而回退为主机级 Air-Gap 隔离时，以及由 Emergency／Alert 级别事件触发的主机级隔离，均不会执行证据采集。截至 1.10.4 的发布软件包未包含此功能所需的 roamswitch-incident-capture，因此通过软件包安装的环境中该功能并未运行。自 1.10.5 起已随附。

采集结果汇总在 manifest.json 中，其中还嵌入了包内其他所有文件的 SHA-256 哈希（用于后续检测篡改）。证据包不会自动删除——只有在显式执行 roamswitch-incident-capture prune（默认保留 30 天）时，旧的证据包才会被删除。

采集到的证据在采集时并不会被校验。若需事后确认是否遭到篡改，请运行 roamswitch-incident-capture verify <证据包目录> [--json]。该命令会对证据包内当前的所有文件重新计算哈希，并与 manifest.json 中记录的值进行比对，将差异分别报告为「已修改」「缺失」或「未记录」（存在但清单中未记录的文件）。

已知局限 — 此验证会把 manifest.json 的 SHA-256 与保存在证据包之外的记录进行比对，记录在两处：证据包之外的哈希链（evidence_anchor.log，每一行都连接到上一行，并在文件系统允许时设为仅追加）和系统日志（标签 roamswitch-evidence）。采集后改写 manifest.json 会使 verify 失败；修改或删除链中的某一行也会因链断裂而失败。但如果拥有 root 权限的攻击者能同时改写这条链和系统日志的转发目的地，则无法防范。建议把系统日志转发到另一台机器。尚未实现签名。没有记录的证据包（由旧版本采集）会显示为“无记录”，表示没有外部佐证。

蜜令牌（凭据诱饵）

守护进程启动时，会在攻击者及自动化窃取凭据工具实际会扫描的已知真实路径——~/.aws/credentials、~/.ssh/id_rsa、~/.docker/config.json・~/.pypirc・~/.env.backup（位于调用用户的主目录下）——幂等地部署包含 ROAMSWITCH_HONEYTOKEN 标记的伪造凭据文件。若该路径下已存在真实文件，则绝不覆盖（部署前始终先检查文件是否存在）。对蜜令牌的真实访问还可能触发级联部署，追加相关的诱饵文件。截至 1.10.4 的发布软件包未包含此功能所需的 roamswitch-honeytokens，因此通过软件包安装的环境中该功能并未运行。自 1.10.5 起已随附。自 1.11.1 起，RoamSwitch 自身执行的 docker 命令，会把一个空的专用目录指定为 DOCKER_CONFIG 后启动，因此不会触发诱饵 ~/.docker/config.json。其他程序读取时，仍会像以前一样检测。

后台监视进程使用仅用于通知的 fanotify（按文件监视每个诱饵文件的 FAN_OPEN／FAN_ACCESS）来监视对每个诱饵文件的读取与打开操作。在无法使用 fanotify 的环境（非 root 运行等）中则切换为 inotify。由于任何合法进程都没有理由读取这些文件，因此任何访问都被视为入侵者在得手后进行侦察（MITRE ATT&CK T1552）的强烈信号；系统会尝试识别访问来源进程，并以 Critical 严重度记录到事件时间线（不会弹出桌面通知；如果启用了事件转发，则会成为转发对象）。不过，RoamSwitch 自身可执行文件的访问，以及 OpenSSH 客户端系列（ssh、scp、sftp、ssh-add、ssh-agent）对 SSH 诱饵的访问，为避免误报不予记录。无法确定可执行文件的访问则会记录。该功能仅用于记录，不会冻结或阻断访问来源进程等采取额外处置。

已知限制 — ~/.ssh/id_rsa 诱饵文件的正文包含可读文本，其 base64 主体仍不是有效的 OpenSSH 私钥格式。不过大多数密钥/凭据扫描工具仅通过匹配 -----BEGIN ... PRIVATE KEY----- 头部的正则表达式来标记文件，因此我们判断这对实际检测率的影响有限。另外，识别访问来源进程通常依靠 fanotify 事件所带的 PID。仅在无法使用 fanotify 而切换为 inotify 时才会调用 fuser，因此对于读取文件后立即退出的极短命进程，可能无法获取其 PID 或进程名；此时仅会记为“未知”，不影响对访问本身的检测（事件仍会触发并记录）。

fanotify 监控 · 隔离库 · ClamAV

• 守护进程通过 FAN_CLASS_CONTENT（许可模式；不可用时用 FAN_CLASS_NOTIF），以文件系统级标记监视 /home、/tmp、/var/tmp、/dev/shm（1.10.18 起。挂载级标记是文件系统级标记不被接受时的替代方案），写入完成的通知也以文件系统级标记覆盖整个 /。自 1.10.4 起，许可事件仅针对执行（FAN_OPEN_EXEC_PERM），open 作为通知处理（fanotify_open_perm 可恢复旧行为）。已判定为干净的可执行文件会缓存 60 秒，守护进程自身的子进程不在监控之列。
• 通知优先，确认前不隔离（fanotify 防护）：fanotify 防护对单纯的 YARA／ClamAV 命中不会在未经确认的情况下隔离，也不会执行 FAN_DENY。真实签名检出时，会在 /run/roamswitch/approvals.json 中提出模态请求（隔离／允许／稍后），在用户确认之前，任何内容都不会进入 Vault。只有实际的 execve 才会 FAN_DENY，并且仅当 pre_exec_blocking_enabled 开启时。批准超时为 fail-open。下载监控（默认为 ~/Downloads 和 ~/Desktop，可通过 watched_folders 追加）走另一条路径：YARA 或 ClamAV 检出的文件（EICAR 除外）会不经确认就地移入隔离 Vault，并发出通知。
• EICAR 等测试签名仅记录到通知历史 — 行业标准测试字符串不会发出通知，只会记录到通知历史中，并且在 fanotify 防护和下载防护中都不会被隔离或阻止。
• YARA 和 ClamAV 扫描仪都遵循用户配置的 scan_exclusions 路径列表（绝对路径，递归应用；它包含旧版 clamav_exclusions）。提示上的“允许”和“隔离”选项卡中的“恢复”都附加到它，因此不会重新标记同一文件。
• 检测到的真正恶意软件（在 fanotify 防护中为用户已确认的）会被转移到仅 root 可访问的 /var/lib/roamswitch/quarantine/（此前为各用户的 ~/.local/share/roamswitch/quarantine/，启动时会自动从旧位置迁移）。Vault 目录为 root 所有的 0700，样本为 root 所有的 0400（只读，不可执行）。用户只能通过守护进程的 IPC 操作，且只能列出、恢复、删除自己隔离的项目。恢复时，由降权至调用用户权限的子进程以 0644 的文件写出（不会覆盖已有文件）。
• 许可事件循环不读取配置文件：配置由专用后台线程读取到 Mutex<GuardConfig> 快照中，热路径上对配置的处理只是加锁和复制（读取待执行文件开头以进行判定的处理除外）。这是一项设计不变量，用于避免延迟 FAN_OPEN_EXEC_PERM 而使机器卡死。
• 当 ClamAV 存在时（clamav_enabled，默认启用），对下载监控目标文件夹（默认为 ~/Downloads 和 ~/Desktop）中出现的新文件，先用内置的 YARA 扫描，再用本地数据库扫描。.exe 等面向 Windows 的可执行格式会发出通知，.sh、.deb、.elf 等 Linux 的分发格式只记录到历史中，危险的 AI 模型（.pkl、.pt）则连同来源一并通知。ClamAV 是可选依赖项，未安装时其他防御措施照常运行。安装后，每日更新程序（§11）会执行 freshclam，使签名数据库保持最新。

进程执行记录器（仅本地）

这是一个仅限本地的记录功能，通过 netlink 进程连接器（proc connector）记录 exec 和 uid 变化。记录内容包括可执行文件路径、命令行参数（最多 64 个、每个 512 字符、总计 4096 字符，超出截断，控制字符转义）、父进程谱系、uid、当前目录、容器 ID、可执行文件的 SHA-256 等。默认启用，但在内存不足 1 GiB 的机器上默认关闭（显式设置 exec_recorder_enabled 优先）。其自身 CPU 使用限制在单核的 3% 以内（exec_recorder_cpu_budget_pct），并以 nice 10 运行。无法打开进程连接器时，会降级为低频的 /proc 扫描（会漏掉生命周期很短的进程）。

• 存储 — 记录以按 8 MiB 分段的 JSON Lines 形式保存在 /var/lib/roamswitch/exec_log（0600）。默认保留 200 MB／14 天（exec_recorder_retention_mb／exec_recorder_retention_days）。附带哈希链，可以检测篡改，但无法防止篡改（取得 root 的攻击者可以重写整条链）。检索使用 roamswitch events search|tree|export|verify，面向 AI 客户端的只读 MCP 工具是 search_exec_events／get_process_tree。
• 仅通知的关联规则（EXR-001～010） — 共 10 种：由 Web 服务启动 shell、从 /tmp、内存文件（memfd）或已删除文件执行、下载后立即执行、base64／eval 单行命令、没有 setuid 路径却获得 uid 0、执行紧随 cron／systemd 配置变更后放置的二进制、/etc/ld.so.preload 变更后的执行、本地快照（btrfs、LVM）被 snapper、timeshift 等已知管理工具以外的程序删除（EXR-008，1.10.11）、同一来源在 30 秒内通过 which 等方式查找 8 种以上攻击工具（EXR-009，1.11.0）、python 或 node 等脚本解释器在 2 分钟内启动 3 种以上攻击工具（EXR-010，1.11.0。由人在 sshd、login、终端之下手动输入的情况除外），每条规则都标注 MITRE ATT&CK 技术 ID。规则只发通知，单独不会隔离；仅当运维人员明确启用 exec_rules_isolation_optin（默认 false）时，高严重度规则才会被当作 Air-Gap 的高置信度触发（§4）。
• 不会发送到设备之外 — 原始日志不会被转发。仅当启用事件转发（§9.4）时，才会把规则通知（严重度、规则 ID、进程名、摘要）和分段封印哈希，且仅发送到运维人员所配置的目的地。

凭据文件访问监控（默认开启，仅通知）

默认启用（credential_access_watch_enabled 为 true；设为 false 即停止，也可以用恶意软件防护界面中的开关切换）。当意料之外的程序打开 SSH 私钥（~/.ssh/id_*）、~/.aws/credentials、~/.config/gcloud/ 下的凭据文件（credentials.db 等 4 种）或主流浏览器的凭据/Cookie 存储时发出通知（仅通知）。它只是对少量文件单独设置 fanotify 通知类事件 FAN_OPEN，不会阻止、冻结或拒绝任何操作，内核也不等待响应。打开文件的程序的可执行文件名会与按类别划分的允许列表（ssh／git／gpg-agent、浏览器、aws／terraform／kubectl 等）比对，同一（程序，文件）的重复通知会被抑制 10 分钟。备份工具（restic、borg 等）和索引器（tracker、baloo 等）从一开始就被允许。其他不希望收到通知的程序，请加入 config.json 的 credential_access_watch_allow。对于 AWS 凭据，以 python／python3／ansible 身份运行的工具（如 boto3 脚本或 Ansible）也被允许（对 gcloud 则允许 python／python3）。但 python -c 之类的单行命令仍会通知。这一允许的代价是，以 python 脚本文件形式运行的凭据窃取程序也不会被通知。node、ruby 等其他解释器，以及 grep、rclone 之类通用的搜索与同步工具，因为窃取凭据的程序看起来完全一样，所以没有加入允许列表，可能会产生通知。但是，像 cat 或 head 这样非常短的读取，如果程序在 RoamSwitch 确定其可执行文件之前就已退出，可能不会被通知（持续运行一段时间的程序的读取会被通知）。为避免这一局限，不使用许可类 fanotify，因为它可能导致系统停住。更改约 30 秒内生效，无需重启。

附在文件篡改通知中的入侵路径

客户端版的关键文件完整性监控（FIM）和依赖锁文件监控的通知中，也会附上做出修改的进程（账户、可执行文件、命令）以及该进程所属的 SSH 登录（来源、时间、认证方式）（config.json 中的 fim_intrusion_context_enabled，默认 true，不会向外部发送任何内容）。凭据文件访问监控的通知，只有在该进程属于某个 SSH 登录时才会多出一行。工作方式、信任的值，以及三种答案（找到了／没有找到 SSH 登录／无法查明登录路径）的区分，都与服务器版相同。无法查明的情况，绝不会写成“不是登录”。记录保存在 /var/lib/roamswitch/fim_intrusions.json 以及 MCP verify_fim 的 recentIntrusionContext 字段中。

内核本地权限提升 (LPE) 抢占和强化

当攻击者或恶意软件获得非特权用户立足点时，深度防御可防止利用 Linux 内核漏洞获取 root 权限。

• 非特权用户命名空间的处理（Frag Gap CVE-2026-53362 缓解） — 许多现代 Linux 内核权限提升漏洞，源于非特权用户调用 unshare(CLONE_NEWUSER) 创建用户命名空间，随后在其中非法访问未初始化的结构或旧的网络子系统。诊断会检查并显示 user.max_user_namespaces 和 kernel.unprivileged_userns_clone 的状态，但由于可能导致浏览器、Flatpak、Electron、无根容器等无法运行，Client 版不建议禁用，也不将其纳入一键强化（如果 user.max_user_namespaces = 0，则会提示恢复为标准值）。禁用只是临时缓解，仅能堵住依赖创建用户命名空间的攻击路径，对其他途径无效。仅在未受信任的网络期间将 kernel.unprivileged_userns_clone 设为 0 的行为，只有在 guard.yaml 的 adaptive_security.untrusted_network_actions.auto_enable_userns_restriction 中明确启用时才会应用（默认禁用；在没有此设置项的内核上不执行任何操作）。Server Edition 默认永久应用（harden_userns_enabled）。根本的办法是更新到已修复的内核并重启。
• Yama LSM 内存保护 — 强制执行 kernel.yama.ptrace_scope = 1（或 2）可防止未经授权的进程通过 ptrace 附加或通过 /proc/$pid/mem 读取内存，从而保护浏览器会话和 GPG/SSH 私钥。
• Core Dump Suppression — 设置 fs.suid_dumpable = 0 可防止敏感进程将纯文本内存转储写入磁盘而导致崩溃。
• /tmp 和 /dev/shm noexec 安装防御 — 为了防止有效负载丢弃并执行攻击，RoamSwitch 在连接到不受信任的网络时会使用 noexec,nosuid,nodev 重新安装 /tmp 和 /dev/shm。

eBPF 运行时威胁传感器和自主进程冻结（桌面 eBPF Guard）

RoamSwitch 客户端守护程序包括与内核内现代 eBPF 传感器（Falco / Tetragon / BTF）的本机集成。

# eBPF 运行时威胁检测与自主拦截流程
[恶意进程 (LPE/恶意软件)]
    │ 非法系统调用执行 (Frag Gap 利用尝试)
    ▼
[Linux 内核 (eBPF 探针)]
    │ eBPF 环形缓冲区 (2MB 精简设计)
    ▼
[Falco (RoamSwitch Optimized)]
    │ 内存中 UNIX 套接字直接通信 (/var/run/roamswitch/events.sock)
    ▼
[roamswitch-daemon (root)]
    ├─► ① 以毫秒级冻结攻击进程：kill(pid, SIGSTOP) [状态：Ts]
    ├─► ② 阻断网络：Critical 仅阻断该进程的用户 (roamswitch_isolate)，Emergency／Alert 为 nftables input/output drop [启动 Air-Gap]
    └─► ③ 桌面紧急通知：GTK3 模态框 & libnotify 通知

• Direct UNIX Domain Socket IPC (/var/run/roamswitch/events.sock) — 来自 Falco 或其他 eBPF 传感器的警报直接通过内存中 UNIX 套接字接收，无需写入磁盘日志，从而消除磁盘 I/O 延迟并实现亚秒级响应切换。
• 毫秒级自主响应（进程冻结 + 网络阻断） — 当收到的事件优先级为 Critical（内核 LPE、权限提升、勒索软件加密等）时，守护进程会向相应 PID 发送 SIGSTOP，使进程完全停止（状态：Ts），并通过 roamswitch_isolate 表仅阻断该进程的实际用户（容器则为其 cgroup）发出的通信，即执行“定点隔离”，同时发出桌面通知。当无法确定 PID、因属于受保护进程而拒绝冻结、对 root 进程等隔离失败，以及事件优先级为 Emergency／Alert 时，会在 inet roamswitch 表中部署 policy drop（Air-Gap），如果已知 PID 也会发送 SIGSTOP。低于 Critical 的事件不会阻断，只记录到历史中。
• 面向桌面的低开销及日志膨胀防止调优（RoamSwitch Optimized） 为抑制笔记本电脑和工作站的电池消耗、CPU 负载和磁盘枯竭，针对部署 Falco 的环境，提供了优化配置文件（99-roamswitch-optimized.yaml）和 logrotate 配置。Client 版的软件包和 install.sh 的桌面模式不会安装 Falco，也不会放置此配置文件（Server Edition 的软件包和 install.sh --server 会放置）。在 Client 上使用 Falco 时，需由用户自行安装 Falco，必要时自行放置此配置文件。主要设置如下。
  • 严重性过滤 (priority: warning) — 过滤掉 95% 的常规通知/信息事件。
  • Kernel Early Drop (drop_failed_exit: true) — 直接在内核驱动程序中丢弃失败的系统调用退出，将上下文切换和 CPU 负载减半。
  • 紧凑环形缓冲区 (cpus_for_each_buffer: 2) — 将环形缓冲区大小减少至 2MB，将常驻 RAM 保持在 30–50MB，CPU 使用率 <1%。
  • 强制日志轮换上限 (/etc/logrotate.d/roamswitch-falco) — 通过 7 代压缩轮换强制实施严格的 50MB 上限。
• 独立强化与 eBPF 扩展的混合弹性 — 即使未部署 Falco，也能通过内核 sysctl（Yama 的 ptrace 限制、核心转储抑制、网络保护，每次切换配置文件时应用）、nftables 配置文件、fanotify 和金丝雀监控实现自主防御。部署 Falco 后，再加上基于实时 eBPF 事件的零日拦截和进程冻结，实现最高强度的防御。

§6

USB事件被监控；跟踪键盘类 (HID) 设备和 USB 大容量存储。 默认关闭 （发货 isEnabled = false，与 macOS USBKeyboardGuard / USBStorageGuard 匹配）。从首次运行向导或 USB 选项卡中选择加入；启用会显示一个确认对话框。

流氓 USB 键盘（击键注入）

• 无内核级物理端口取消授权（重要）。旧的实现（≤1.0.6）将 0 写入 /sys/bus/usb/devices/*/authorized 对于未注册的键盘，物理上断开连接。在键盘+鼠标组合接收器（常见于 Raspberry Pi 或迷你 PC）上，这也会断开鼠标连接，从而锁定没有内置输入的机器。 RoamSwitch 现在硬拒绝将 authorized=0 写入任何暴露 HID 接口 (bInterfaceClass 03) 的设备，并且守护程序在启动时重新授权任何 authorized==0 HID 设备，以自我修复先前版本变砖的机器。
• 按键在软件中被删除。 在检测到未注册的键盘时，会在该设备的 /dev/input/eventN 上获取独占的 evdev EVIOCGRAB（仅在 /proc/bus/input/devices 中具有 kbd 处理程序的节点，与 VID:PID 匹配）。鼠标节点未受影响。这是 macOS CGEventTap 的 Linux 版本；设备保持通电状态。
• Safety — 仅当有另一个键盘可供输入（内置键盘或经批准并连接的 USB 键盘）时才会进行抓取，因此具有单个新键盘的机器永远不会被锁定。
• 批准对话框 — 抓取键盘的同时，会将批准请求写入 /run/roamswitch/approvals.json，GUI 显示模态框（允许／拒绝）。允许后将设备加入白名单并解除抓取。若 3 分钟内无人批准，默认不再释放键盘（1.10.4 起；更早的版本在 3 分钟后故障开放，启用 usb_keyboard_timeout_release 可恢复旧行为）。

流氓 USB 大容量存储设备

当插入未注册的 USB 大容量存储设备（无 HID 接口）且防护已启用时，它会以 authorized=0 保留（对于非 HID 设备来说是安全的），并显示批准对话框。无论是否处于受信任的网络。已挂载或正用作交换分区的驱动器（使用中的外置磁盘、Live USB 等）等同于被拔出，可能导致损坏，因此不予保留，只记录到日志。允许则重新授权并加入白名单，拒绝则继续保留。macOS 版自 1.7.4 起统一为这种“只读保留 + 批准提示”的方式。

身份识别和追溯

HID 由 bInterfaceClass == "03" 和 /proc/bus/input/devices 中的 Handlers= 行确定。组合接收器（一个 VID:PID 同时带有 kbd 和 mouse 两个部分）按 VID:PID 合并。将已有键盘登记到允许列表的 grandfathering 由 GUI 而非守护进程执行。在首次设置向导中启用时（以及防护已启用且已完成首次设置、但当前连接的键盘一个都不在允许列表中的既有环境首次迁移时），会把此时已连接的键盘登记到允许列表。之后在 USB 标签页中启用则不会登记。守护进程启动时已连接但未登记的键盘，由于可能在启动前被替换，会作为未登记处理，如果还有其他可输入的键盘，则成为抓取（grab）对象。

§7

roamswitch-core 中的 LinuxHealthChecker 评估 27 个项目，并生成 0 至 100 的分数、S／A／B／C 等级（100 分为 S，85 至 99 为 A，70 至 84 为 B，低于此为 C）以及每个项目的改进建议。无论从 GTK 仪表板、CLI（roamswitch status）还是 MCP（get_security_report），全部 27 个项目的标题、详细信息和推荐内容均以用户的语言显示（支持 10 种语言）。

每次检查都基于读取本地文件和命令输出（getenforce、mokutil、resolvectl、ss、...）。 没有任何类型的外部查询。

信任感知分级. RoamSwitch 故意在受信任（家庭）网络上应用 not 进行强化 — 将网关 MAC 固定为永久（这将在路由器重新启动时使 LAN 陷入黑洞）、重新安装 /tmp 和 /dev/shm noexec （这会破坏软件包构建和某些安装程序）以及默认范围下的威胁保护 DNS — 显示为绿色带有解释而不是红色的“未强化”，并指出它会自动应用于不受信任的网络。运行时真相来自 /run/roamswitch/state.json (active_level / network_trusted / fanotify_ready)，由守护进程在每个周期写入。 fanotify 项检查防护是否确实被标记并正在运行（/run/roamswitch/fanotify.ready），而不仅仅是内核支持它。暴露端口项读取守护程序的实时配置文件（MCP 硬代码已消失）。

每项强化。 具有自动修复功能的失败项目（内核 sysctl / Yama / 核心转储、/tmp noexec、USB 零信任、网关 ARP 固定、威胁保护 DNS、fanotify 防护关闭时重新启动守护进程）在 GTK 仪表板中带有“🔧 强化”按钮。守护进程以 root 身份运行，因此除了守护进程重新启动之外不需要 pkexec 。

NIST CSF 2.0／CIS Controls v8 映射

为 27 个检查项中的每一项都标注 NIST CSF 2.0 的功能／类别标识符（例如 PR.DS-01、DE.CM-09），并且仅在能够可靠对应的项目上一并标注 CIS Controls v8 的控制编号（例如 3.11、4.1）。对应关系不明确的项目不会被强行映射，而是保持未映射状态。MCP（get_security_report）和 CLI 的 JSON 输出（roamswitch status --json）中包含此映射（nistCsf／cisControl）。GUI 以及 Client 版 CLI 的常规显示中不会出现（Server 版的 roamswitch status --server 显示中会出现）。此对应关系方便需要满足合规要求的运维人员与审计人员，将 RoamSwitch 的各项检查机械式地对应到现有框架。

§8

roamswitch-mcp 是通过 stdio 使用 JSON-RPC 的 MCP 服务器，由 Claude Desktop、Cursor、Antigravity 等 AI 客户端启动。所有工具都是只读的，且绝大多数完全在本地完成。唯一可能连接外部主机的是默认关闭的 run_npm_audit_signatures。诊断评估（get_security_report 与 verify_security_findings）不会向局域网发送任何内容，网关也只从 ARP 缓存等本地信息中读取。只有在重新获取网关 MAC 的其他处理（守护进程的 ARP 监控、紧急恢复、Sensor 配对、get_guard_status 等）中才可能发出 ping。

实证型漏洞检测还会为每个已确认的探测项记录自上次实际运行并确认以来经过的天数（pass_age），从而区分“该检查存在”与“该检查确实最近被验证过”。由于目前尚无定时执行机制，该数值只反映实际执行扫描的频率。CLI（roamswitch vuln-status）、GUI 与 MCP（get_vulnerability_scan_history）均可查看相同的经过天数，使运维人员或审计人员能够了解上次实际核实的时间，而不是仅凭功能存在就假定近期已核实。

MCP 服务器自身不打开任何网络连接。直接连接守护进程 Unix 套接字（/run/roamswitch/roamswitch.sock）的只有 get_sensor_audit_results，其他工具要么直接调用 roamswitch-core 的逻辑，要么只读取守护进程写入的状态文件（roamswitchkit 方向相反，是供 CLI 等将 roamswitch-mcp 作为子进程启动的 SDK）。例外是两个默认关闭的工具：run_active_vuln_scan 会向本机 127.0.0.1 发送非破坏性探测；run_npm_audit_signatures 会启动 npm 命令，由 npm 向 npm 注册表发起查询（MCP 二进制本身不含 HTTP / TLS 栈）。诊断评估（get_security_report 与 verify_security_findings）不会向局域网发送任何内容，网关的确认也只参照 ARP 缓存等本地信息。只有在重新获取网关 MAC 的其他处理（守护进程的 ARP 监控、紧急恢复、Sensor 配对、get_guard_status 等）中才会发出 ping。

在本地 LLM 实战演练中发现并修复的错误归因问题
2026 年 9 月，我们使用本 MCP 服务器让本地 LLM（Qwen 3.8 27B）进行一次事件调查实战演练（fire drill）时，发现模型误读了 get_port_anomaly_incidents 返回的数据，把一个与本次事件无关的旧端口阻断记录，错误地编入了当前正在发生的事件叙述中。原因在于：不带时间戳的「当前阻断端口」快照，与带时间戳的真实事件历史，在同一个响应中未加区分地一并返回。修复方案是新增说明字段，明确标注哪一部分是时间线数据、哪一部分只是快照。修复后，用同一场景对同一模型重新运行，模型引用了说明字段中的文字，明确拒绝将旧端口归因于当前事件。我们通过自动回归测试和真实本地 LLM 复现两种方式，验证了修复的有效性。

§9

RoamSwitch for Linux 默认发出的对外通信只有一种：每日更新程序对已签名清单的 GET 请求（§11）。其余所有诊断、检测和审计均在本地完成。只有在运维人员或用户明确启用或触发时才会发生的通信，列于 9.4。RoamSwitch for Linux 是专有免费软件，源代码不公开，因此下列检查由 lafine 实施，结果见 9.2，附录 C 的步骤仅凭分发软件包即可复现。

9.1 审核方法

1. crate 隔离 — 只允许一个 crate 使用 HTTP 客户端/TLS 栈，即构建定时器驱动更新程序二进制的 roamswitch-updater。scripts/audit_no_network.sh（在 CI 中作为门禁运行）在下列情况下会使构建失败：roamswitch-core、roamswitch-daemon、roamswitch-app、roamswitch-mcp、roamswitchkit（以及 CLI 和 Server 系列 crate）引入了 reqwest / ureq / rustls / native-tls / openssl-sys 等 HTTP 客户端/TLS 栈；或 roamswitch-updater 及 9.4 所列文件之外的 .rs 使用了 TcpStream / TcpListener / UdpSocket / to_socket_addrs / lookup_host。唯一的额外许可是仅在 roamswitch-core 中允许 tonic / hyper，用于通过 UNIX 域套接字与 eBPF 传感器（Tetragon）进行 gRPC 通信；同一脚本禁止将其与 TLS 搭配使用。
2. 依赖树检查 — 搜索完整的 Cargo.lock 以查找遥测/分析/崩溃报告 SDK（sentry、opentelemetry，...）。
3. roamswitch-updater review — 它的单一请求目标，没有查询字符串和 cookies，且能表明软件身份的标头只有固定的 User-Agent，以及它下载的所有内容的 Ed25519 验证。
4. 子进程枚举 - 每个Command::new(...)调用站点都经过审查。

9.2 结果

9.3 面向外部的操作的完整列表

无论直接还是间接，可能使数据包离开本机的默认路径操作（下表；仅在运维人员或用户启用或触发时才发生的操作见 9.4）：

除上述内容外，RoamSwitch 的所有功能（nftables 控制、neigh 表的 ARP/NDP 固定（ip neigh，不发送数据包）、链接防护（NFQUEUE，仅 AF_NETLINK）、端口扫描（解析 ss 输出）、ARP 监控、健康诊断、熵监控、金丝雀、fanotify、USB 监控（evdev 独占）、隔离、日志审计、URL 与机密信息审计）均仅通过读取本地文件和解析子进程输出完成。§4 的 VPN 隧道属于“用户明确配置的对外通信”，其目的地是用户自己的 VPN 服务器，没有任何数据流向 lafine 的基础设施。9.4 中各项功能的目的地在 9.4 中逐一说明。

9.4　仅在选择启用或用户操作时才会对外接触的操作

9.3 的表格是默认情况下发生的操作。以下是代码中打开套接字或把通信委托给外部程序（curl／openssl／npm）的位置，且只有在运维人员或用户明确启用或触发时才会运行。scripts/audit_no_network.sh 只允许 event_forward.rs、webhook_guard.rs、active_vuln_scan.rs、web_vuln_scan.rs、sensor_pairing.rs 这 5 个文件使用套接字 API（webhook_guard.rs 仅在启用默认关闭的设置 forward_webhook_block_private_addresses 时，用系统解析器解析 Webhook 目标的名称以确认其不是内部地址，并不建立连接。另有 tests/fleet_roundtrip.rs 仅用于测试，只连接 127.0.0.1 上的模拟服务器），其他源码若使用 TcpStream 等则构建失败。这些功能同样不会引入 HTTP／TLS crate：TLS 交给系统的 openssl，HTTP 交给系统的 curl 子进程。

• 事件转发（event_forward.rs）——默认 OFF（forward_enabled = false），目的地也只有运维人员手动配置的，没有内置目的地。支持的目的地类型有：syslog（RFC 5424 或 CEF，UDP／TCP／TLS）、JSON Lines 文件、带 HMAC-SHA256 签名的 Webhook。TLS syslog 通过系统的 openssl s_client，Webhook 通过系统的 curl（URL、签名等机密通过标准输入的配置传递，不出现在命令行参数中），守护进程本身没有 TLS/HTTP crate。发送的只有主机名、事件 ID、时间、来源、严重度、规则、处置、PID、进程名和摘要这些字段（不含文件内容，也不含执行记录的原始日志）。经 TCP／TLS／Webhook 未能送达的事件会存入 0600 的磁盘队列（默认上限 20 MB／72 小时）并重试。
• Fleet（Business 层，仅设备端）（roamswitch-core/src/fleet/）——设备端代码包含在主程序中，但未注册的设备不发送任何内容，也不解析 Fleet 主机名（工作线程只读取一个本地状态文件）。只有运维人员执行 roamswitch fleet enroll 时才会注册。管理服务端尚未部署或发布，目前没有可连接的对象。代码中体现的设计保证如下。(a) 设备只接收由组织签名的策略配置数据，并用注册时固定的组织公钥验证，验证不通过的策略不会被应用。设计上组织的签名密钥由客户持有，lafine 不持有。(b) 不存在远程命令通道（设备端没有任何可以命令其隔离、解除、收集或执行的端点、字段或代码路径）。(c) 策略无法削弱本地下限（关闭防护、妨碍解除/紧急恢复在模式中根本无法表达，取值采用“更严格的一方”）。策略要改变事件转发目的地，也只能改为本地 root 允许的主机（fleet_forwarding_allowed_hosts，默认为空）。(d) 设备发送的仅是最小状态摘要——应用版本、操作系统类别、隔离状态（正常/隔离中）、已应用的策略版本、健康评分（0～100）和密钥世代——以及签名标头中的设备 ID 和组织 ID。通信使用系统的 curl（TLS），且仅限已注册的设备。
• Sensor 配对（sensor_pairing.rs）——默认 OFF（sensor_pairing_enabled）。只会直接连接运维人员输入的 Sensor 地址，没有内置目的地。支持 TLS 1.3（通过系统的 openssl，并固定证书指纹），但没有指纹的旧式配对会在警告后回退为明文。Sensor 是另一款产品，不在本文档 Zero Telemetry 的适用范围内。
• 实证型漏洞检测（active_vuln_scan.rs／web_vuln_scan.rs）——默认禁用，需要在设置中选择启用。本终端版的路径仅限于对本机已观测到的监听端口向 127.0.0.1 发起探测（由模块自身的测试固定）。
• GUI 的“检查更新”按钮 — 只有用户按下按钮时，在 apt 系发行版上，GUI 才会用系统的 curl 对 https://lafine.net/apt/dists/stable/main/<arch>/Packages 发起一次 GET 以查询最新版本（超时 4 秒；不含机密的公开 URL，不附加标识符或查询字符串）。dnf、zypper、pacman 系不使用 curl，而是分别向各自的包管理器查询（9.3 的 #5）。
• npm 签名验证 — roamswitch audit-npm-signatures <DIR> --confirm 只有在启用设置 npm_audit_signatures_enabled（默认 false）且用户加上 --confirm 运行时才会执行，由 npm 自身向 registry.npmjs.org 发起查询。

§10

• 没有帐户 — 无需用户注册，无需登录，也无需请求电子邮件地址。
• 配置仅在本地 — 以明文形式存储在 ~/.config/roamswitch/config.json 处，并且永远不会离开机器。没有云同步。
• 评估结果仅在本地 — 安全报告和日志审核结果仅显示在屏幕上，并且如果用户选择，还可以导出到本地文件。
• 许可证密钥已离线验证 — Pro / Business 许可证令牌包含 Ed25519 签名并使用公钥进行验证。不会向 lafine 服务器发出任何查询。
• 没有崩溃报告 — 出现紧急情况时，不会向任何地方发送堆栈跟踪。
• 每日更新程序不会发送任何有关您的信息 — 没有查询字符串、没有cookie、没有设备或安装级别的标识符，能表明软件身份的标头只有固定的 User-Agent: RoamSwitch-Updater。这是下载，而不是报告。链接防护判决、阻止的主机和扫描结果仅写入本地活动视图/日志，从不传输。
• 使用威胁防护 DNS 期间，DNS 查询会发送到外部解析器。威胁防护 DNS（§4.5。默认开启，仅针对不受信任的网络）会将操作系统的 DNS 解析器指向 Quad9（9.9.9.9。也可选择 Cloudflare 的 1.1.1.2）。这期间的查询由操作系统而非 RoamSwitch 发送到该解析器，RoamSwitch 自身不会发送任何内容。要停止，请将 dns_enabled 设为 false。
• 通知历史 7 天后自动删除，且限制长度 — 已发送通知的历史保存在本地，每次写入时都会删除超过 7 天的条目。每条标题最多 200 个字符，正文最多 2000 个字符（桌面通知弹窗正文最多 1000 个字符）。除非启用事件转发（默认 OFF），该历史不会离开本机。
• 执行记录同样仅限本地 — 进程执行记录器（§5）的记录默认也只保存在本机（/var/lib/roamswitch/exec_log，0600）。由于包含命令行参数，会按保留期限（默认 14 天）和容量（默认 200 MB）自动删除。

§11

Business 层级开始提供时，方针是向 macOS 版 Pro Lifetime 的购买者免费授予其本人 Linux 计算机上的 Business 功能。目前尚未提供 Business 层级，也没有管理服务器。

分销和供应链

• 固定 glibc 地板 — 发行版二进制文件构建在 Debian 12（书虫、glibc 2.36）容器内。这可以防止 Debian 12 / Ubuntu 22.04 及更高版本上的符号版本不匹配。如果引入需要超过 2.36 的依赖项，“验证 glibc 底层”CI 步骤将导致构建失败。
• 签名密钥管理 — apt/rpm 存储库签名的私钥仅存在于 GitHub Actions 加密密钥中；仅将公钥提交到存储库。

11.3 每日更新程序

roamswitch-updater 是由 systemd 定时器（roamswitch-update.timer，开机 15 分钟后运行，之后每 24 小时一次，最多随机延迟 3 小时）运行的独立二进制。默认情况下，它是唯一会访问外部分发 URL 的组件（9.4 的可选功能除外）。每次运行：

1. GET https://lafine.net/updates/v1/manifest 及其独立签名。
2. 使用专用的威胁源签名密钥验证清单的 Ed25519 签名 - 与 Sparkle 应用程序更新密钥分开。服务器端 CI 每天都会对 feed 进行重新签名，以便私钥存在于 CI 秘密中；将其范围限定为提要意味着泄漏只会让攻击者提供错误的阻止列表（污水坑/警告 - 没有代码路径，没有应用程序更新路径）。应用程序更新签名密钥永远不会离开 macOS 钥匙串。未验证的清单将被丢弃 - 更新程序永远不会回退到未签名的数据。
3. 如果威胁源版本发生更改，请下载该源，验证其 SHA-256 和 Ed25519 签名，并为链接防护自动安装它 (§4)。其他数据只在清单版本更新时获取（实证型漏洞检测的 CVE 映射和热门 npm 包名列表）。内核、操作系统软件包和语言生态的 CVE 映射，只在距上次更新约 30 天后才获取。Ubuntu 的 CVE 映射只在受支持版本的 Ubuntu 上获取；尚未安装的设备不等 30 天，在下一次每日运行时获取。所有数据都在验证签名后才安装。
4. 清单版本更新时，也会获取Web 应用层检测规则（§5）。先验证 SHA-256 与 Ed25519 签名，并确认其可作为规则读取，然后以原子方式安装。无法读取的文件不会被安装，正在使用的规则也不会被替换。不会新增连接目标，而是并入同一次清单获取。Server Edition 遵循 cve_kernel_map_updates_enabled，关闭后完全不进行网络通信。
5. 如果安装了 ClamAV，则调用 freshclam。
6. 记录最新的应用程序版本以获取通知（更新程序 never 安装应用程序；在 Linux 上，用户运行 apt upgrade）。

任何步骤的失败（离线、签名错误、freshclam 不存在）都会记录到 updates.json 的 lastError，并且进程始终以 exit 0 退出，因此计时器运行永远不会产生 systemd 失败通知。整个机制可通过 updates.json 中的 "enabled": false 或 systemctl disable --now roamswitch-update.timer 禁用；此时产品仅使用软件包内置的数据运行。威胁情报源也随软件包提供，因此全新安装后即可使用，并且即使禁用了更新程序，也会通过 apt upgrade 更新。

§12

• OS：Ubuntu 22.04 / 24.04 及更高版本、Debian 12 及更高版本、Linux Mint / Pop!_OS / elementary / Zorin、Fedora / RHEL 系、openSUSE、Arch 系（AUR 筹备中，通过 PKGBUILD 安装）、Raspberry Pi OS 64 位 (Bookworm)、Ubuntu for Raspberry Pi
• 架构：x86_64 / aarch64
• 必需：systemd、nftables、iproute2（ip neigh、ARP/NDP 固定）、conntrack、libnotify（桌面通知）（systemd 以外的组件通过 .deb / .rpm 依赖项自动安装）
• 可选：clamav（恶意软件扫描）、nmcli（Wi-Fi 加密判定）、iw（无线信息的替代）、bluez（蓝牙防护）、systemd-resolved（威胁防护 DNS 的设置）、lsof（监听端口检测的替代）、nmap（主动漏洞验证的辅助）、wireguard-tools（VPN 隧道 + 终止开关的 WireGuard 后端，§4）、tailscale（其 Tailscale 后端，§4）、polkit / pkexec（从 GUI 执行升级、卸载和重启守护进程）
• 不支持：非systemd发行版（Alpine / Void / Devuan）
• Display：1280×720或更大（窗口和字体自动缩放到屏幕尺寸，支持小型Raspberry Pi显示器）

附录 A

附录 B

table inet roamswitch {                 # 配置文件防火墙（open / balanced / lockdown）
    chain input {
        type filter hook input priority 0; policy <accept|drop>;
        ct state established,related accept
        iif "lo" accept
        ip protocol icmp accept            # open 为 policy accept 且无规则。balanced / lockdown 为 policy drop（仅 balanced 允许 ICMP、ICMPv6）
    }
    chain output {
        type filter hook output priority 0; policy accept;
    }
}

table inet roamswitch {                 # Air-Gap（隔离）期间重建同一张表。input / output 均为 policy drop，仅放行 lo（已建立的连接也不放行）
    chain input  { type filter hook input  priority -100; policy drop; iif "lo" accept }
    chain output { type filter hook output priority -100; policy drop; oif "lo" accept }
}

table inet roamswitch_linkguard {        # §4.5 — 独立于配置文件表
    chain output {
        type filter hook output priority 0; policy accept;
        udp dport 443 reject with icmpx type port-unreachable   # 仅在启用 block_quic 时（默认关闭）
        meta l4proto udp udp dport 53      queue num 92 bypass
        meta l4proto tcp tcp dport 53      queue num 92 bypass
        meta l4proto tcp tcp dport { 80, 443 } ct state new,established ct original packets 1-14 queue num 92 bypass   # 每个连接仅将最初的 14 个数据包送去检查
    }
}

table inet roamswitch_dev_guard {        # §4 端口异常防护／手动端口隔离，独立的表
    chain input {
        type filter hook input priority -10; policy accept;
        iif != "lo" tcp dport { … } drop
    }
}

table inet roamswitch_portscan {        # 端口扫描的检测与阻断（默认开启）
    chain block  { type filter hook input priority -200; policy accept; ip saddr @blocked_ips ct state new log … drop }
    chain detect { type filter hook input priority -100; policy accept; iifname != "lo" ct state new tcp flags syn log … }
}

table inet roamswitch_egress_block {     # 面向恶意 IP 的出站通信封锁列表（默认开启）
    chain output  { type filter hook output  priority -150; policy accept; ip daddr { … } log … drop }
    chain forward { type filter hook forward priority -150; policy accept; ip daddr { … } log … drop }
}

table inet roamswitch_docker_guard {     # 针对 Docker 发布端口绕过防火墙的对策（仅在存在 Docker 原生 nftables 后端时）
    chain forward { type filter hook forward priority -10; policy accept; … iifname { … } drop }
}

table inet roamswitch_isolate {          # eBPF 检测时按进程隔离（按 cgroup / UID 指定）
    chain process_block { type filter hook output priority -100; policy accept; … drop }
}

table inet roamswitch_vpn {              # §4 WireGuard 后端断网开关
    chain output {
        type filter hook output priority -150; policy drop;
        oifname "lo" accept
        oifname "roamswitch" accept
        meta l4proto { icmp, ipv6-icmp } accept
        udp sport 68 udp dport 67 accept          # DHCP
        ip  daddr { <endpoint v4> } udp dport <port> accept
        ip6 daddr { <endpoint v6> } udp dport <port> accept
        ct state established,related accept
    }
    chain input  { type filter hook input priority -150; policy drop; … }  # 对称
}

table inet roamswitch_ts {               # §4 Tailscale 后端断网开关（更宽松）
    chain output {
        type filter hook output priority -150; policy drop;
        oifname "lo" accept
        oifname "tailscale0" accept
        meta l4proto { icmp, ipv6-icmp } accept
        udp sport 68 udp dport 67 accept          # DHCP（v6 一侧同样对称）
        ip  daddr 100.64.0.0/10 accept            # tailnet CGNAT
        ip6 daddr fd7a:115c:a1e0::/48 accept
        ip  daddr 100.100.100.100 udp dport 53 accept   # MagicDNS
        ip  daddr 100.100.100.100 tcp dport 53 accept
        udp dport 3478 accept                     # STUN
        udp dport 41641 accept                    # WireGuard 直连
        tcp dport 443 accept                      # DERP 回退
        ct state established,related accept
    }
    chain input  { type filter hook input priority -150; policy drop; … }  # 对称
}

网关/IPv6 路由器/DNS 解析器 (§4) 的 ARP/NDP 固定是在内核邻居表 (ip neigh replace … nud permanent) 中完成的，而不是在 nftables 中完成的。固定条目记录在 /var/lib/roamswitch/arp_lock.json 中。