適用於 Linux 的 RoamSwitch
架構與安全白皮書

§5

香農熵突發檢測·YARA掃描

寫入事件依 PID 追蹤。若單一行程在 5 秒內產生 20 個以上熵值達 7.92 以上的不同檔案，即視為勒索軟體的批次加密，並以 SIGSTOP 凍結該行程。同時會發出桌面通知、記錄到事件時間軸，並採集證據套件。此項偵測同樣會啟動 Air-Gap（阻斷整個網路），與金絲雀遭竄改、eBPF 高嚴重度事件一樣，屬於高可信度觸發條件。

在真實機器（Ubuntu 24.04，核心 7.0）上，以改寫 40 個檔案的重現程式進行了測量（2026-09-26 的測量，對象是加入部分加密偵測、包含在 1.10.7 中的版本的守護程式）。全量加密在超過 20 個檔案後即被偵測到，並在第 31 個檔案處凍結。即使行程把自己的名稱改成 python3 或 git，也會被偵測到（允許清單現在不只看名稱，還核對可執行檔與腳本名稱是否一致；此前僅憑名稱，40 個檔案全部漏過）。cp -r、rsync -a、tar -x 和 Python 腳本在看到寫入的時刻就完成行程識別，因此即使很快結束也不會誤報（此前在判定時行程已結束，被通知為「未知行程」）。每 32 位元組只加密 16 位元組的部分加密（LockBit 系的寫法），因整體平均熵達不到 7.92，此前無法偵測，但自 1.10.7 起可以偵測。它辨識的是每 16 位元組交替出現類似亂數的區塊與類似文字的區塊的形態，偵測到模擬檔案的 94%，在 19,997 個一般檔案中誤報為 2 件（0.01%）。不在每個檔案之間停頓、全速寫入的重現程式，會在 20 件的判定之前就寫完 40 件，因此停下來時行程已經結束；若每件間隔 0.2 秒，則會在第 20 件停下。只加密開頭、跳著區段加密，以及把加密後內容寫成 Base64 的情況，不計入偵測，只寫入記錄而不凍結（因為可能誤報一般檔案）。用允許清單中的真實程式（如 python3）撰寫的勒索軟體，也無法藉由名稱區分。

• YARA 掃描與熵偵測分離 — YARA 惡意軟體偵測會對所有寫入的檔案執行，包括 ~/.cache/、node_modules/ 與各種壓縮檔，不以副檔名排除（使用者設定的 scan_exclusions、隔離 Vault、/dev/shm 以及記憶體上或已刪除的檔案、/proc・/sys・/dev 等位置，以及守護程式本身、ClamAV、桌面基礎元件等系統行程所寫入的內容除外。讀取的是開頭 256 KB）。另一方面，熵加密突發判定則排除原本就已壓縮的格式（.zip, .tgz, .tar.gz, .gz, .png, .jpg, .mp4, .wasm 等）、開頭仍保持正規壓縮／媒體格式的檔案（1.10.25 起），以及正規套件管理器（npm, npx, cargo, rustc, dpkg, apt, tar 等）的快取作業，以避免展開正規工具時因誤報而被 SIGSTOP 凍結。
• 相同檔案的重複覆蓋 （例如 shred 的三次）算一個事件。
• 關鍵行程保護 — 與寫死的受保護行程清單（PROTECTED_PROCESS_NAMES，含 systemd / dockerd / NetworkManager / sshd / gnome-shell 等）比對，名稱相符且可執行檔位於系統區域（/usr、/opt 等）的行程絕不凍結（防止整台機器當機）。僅名稱相似、位於 /tmp 或 /home 的程式則不受保護。

Web 應用層偵測規則（Web Shell 與注入程式碼）

用專用規則偵測 PHP、JavaScript、JSP、ASP 的 Web Shell、被注入的混淆程式碼、偽裝成圖片的 PHP，以及透過 .htaccess 劫持執行的手法。它與針對 ELF 和 shell 的內建偵測各自獨立，以一種簡單的語言撰寫，只含字面值、帶間隔上限的字面值序列與兩個統計值（極長的單行、巨大的 Base64）。不使用正規表示式，因此處理不會膨脹或卡死，即使規則檔是惡意的，也最多造成誤報。規則不含從真實樣本擷取的簽章，也不綁定任何具名惡意軟體家族：18 條規則只描述公開記載的手法（執行解碼函式的輸出、直接執行請求值、上傳目錄中可執行的 PHP、圖片中的 PHP、.htaccess 處理器對應、用 unescape 組出的注入腳本、瀏覽器內挖礦函式庫）。

規則分三層：產品內建的、由每日更新程式（11.3）在驗證簽章後安裝的，以及 /etc/roamswitch/rules.d/*.json 中的自訂規則（只讀取 root 所有且群組與其他使用者不可寫的檔案）。嚴重度為 critical、high、medium、low；critical 與 high 進入確認或隔離流程，medium 以下僅回報。自動隔離預設僅限 critical（/etc/roamswitch/web_rules.conf 的 quarantine），用戶端版在寫入或執行時的偵測仍由使用者在確認對話框中決定。tests/、fixtures/、.git/ 之下因測試程式碼會使用相同寫法，預設不偵測。

偵測之後，若在 /etc/roamswitch/hooks/post-detection 放置可執行檔，偵測內容（JSON）會透過標準輸入傳給它（僅執行 root 所有、不可寫且父目錄也安全的檔案；不經過 shell，環境變數極少，30 秒後終止）。選用的帳號處置（預設關閉）會停用被隔離檔案擁有者的登入 shell。它不會處理 root、UID 低於 account_min_uid（預設 1000）的帳號、已登入的使用者與常駐程式自身的使用者，並會記錄原 shell，可用 roamswitch web-rules unlock-account 還原。誤報實測：WordPress 核心 2,409 個檔案、phpMyAdmin 3,356 個檔案、npm 相依套件 14,743 個檔案均為 0 筆。限制：只讀取開頭 256 KB（寫入/執行時）與 4 MB（掃描），無法追蹤變數名稱拼接（'ev'.'al'）這類拆分；因沒有真實樣本，未附帶針對已知惡意軟體的個別簽章。

金絲雀（誘餌文件）

誘餌檔案被放置在使用者的文件、桌面、下載和圖片資料夾以及專用目錄中，並以 3 秒為週期與 SHA-256 基線進行比較。任何重新命名、刪除、截斷或內容變更都會立即觸發 Air-Gap。因為守護程式以 root 身分執行，所以它會列舉 /home/* 並將金絲雀部署到每個真實使用者的目錄中。

證據保全包（鑑識自動採集）

只有在勒索軟體的熵突發偵測被觸發，或 eBPF 執行階段威脅感測器的 Critical 嚴重度事件促成了針對單一行程的定點隔離（SIGSTOP + 網路阻斷）時，roamswitch-incident-capture 才會啟動，並將證據套件儲存到 <狀態目錄>/incident-evidence/<時間戳>-<短 ID>/。採集內容包括：於預設路由介面上以 tshark 進行、限定 30 秒的封包擷取（若未安裝 tshark 則記錄為跳過），以及在有傳入 PID 時，目標行程的 /proc/<pid> 快照（status／cmdline／maps，將疑似機密資訊的值替換為 [REDACTED] 的 environ，已開啟檔案描述符的連結目標清單——不採集其內容——以及祖先行程的系譜）。單一證據項採集失敗不會視為致命錯誤，只會記錄該情況並繼續採集其餘內容。eBPF 事件會傳入目標行程的 PID。熵突發偵測在能特定出寫入的行程時會傳入 PID；若在判定突發之前該行程已結束，則以無 PID 的方式啟動，因此只採集封包擷取。當定點隔離無法執行或失敗而回退為整個主機的 Air-Gap 隔離時，以及由 Emergency／Alert 類事件觸發的整個主機隔離，皆不會執行證據採集。截至 1.10.4 的發行套件並未包含執行此功能所需的 roamswitch-incident-capture，因此以套件安裝的環境中該功能並未運作。自 1.10.5 起已隨附。

採集結果彙整於 manifest.json 中，其中也內嵌了包內其他所有檔案的 SHA-256 雜湊（供事後偵測竄改）。證據包不會自動刪除——只有在明確執行 roamswitch-incident-capture prune（預設保留 30 天）時，舊的證據包才會被刪除。

採集到的證據在採集當下並不會被驗證。若需事後確認是否遭竄改，請執行 roamswitch-incident-capture verify <證據包目錄> [--json]。此指令會對證據包內目前的所有檔案重新計算雜湊，並與 manifest.json 中記錄的值比對，將差異分別回報為「已修改」「遺失」或「未記錄」（存在但清單中未記錄的檔案）。

已知限制 — 此驗證會把 manifest.json 的 SHA-256 與保存在證據包之外的記錄進行比對，記錄在兩處：證據包之外的雜湊鏈（evidence_anchor.log，每一行都連接到上一行，並在檔案系統允許時設為僅附加）和系統日誌（標籤 roamswitch-evidence）。採集後改寫 manifest.json 會使 verify 失敗；修改或刪除鏈中的某一行也會因鏈斷裂而失敗。但如果擁有 root 權限的攻擊者能同時改寫這條鏈和系統日誌的轉送目的地，則無法防範。建議把系統日誌轉送到另一台機器。尚未實作簽章。沒有記錄的證據包（由舊版本採集）會顯示為「無記錄」，表示沒有外部佐證。

蜜令牌（憑證誘餌）

守護行程啟動時，會在攻擊者及自動化竊取憑證工具實際會掃描的已知真實路徑——~/.aws/credentials、~/.ssh/id_rsa、~/.docker/config.json・~/.pypirc・~/.env.backup（位於呼叫使用者的主目錄下）——冪等地部署包含 ROAMSWITCH_HONEYTOKEN 標記的偽造憑證檔案。若該路徑下已存在真實檔案，則絕不覆寫（部署前一律先檢查檔案是否存在）。對蜜令牌的實際存取還可能觸發連鎖部署，追加相關的誘餌檔案。截至 1.10.4 的發行套件未包含此功能所需的 roamswitch-honeytokens，因此以套件安裝的環境中該功能並未執行。自 1.10.5 起已隨附。自 1.11.1 起，RoamSwitch 本身執行的 docker 指令，會以空的專用目錄作為 DOCKER_CONFIG 啟動，因此不會對誘餌 ~/.docker/config.json 產生反應。其他程式讀取時，會和以往一樣偵測。

背景監控行程以僅用於通知的 fanotify（以檔案為單位監控對各誘餌的 FAN_OPEN／FAN_ACCESS），監看對各誘餌的讀取與開啟。在無法使用 fanotify 的環境（例如非 root 執行）則切換為 inotify。由於正常行程原本沒有理由讀取這些檔案，因此任何存取都會被視為入侵者得手後偵察（MITRE ATT&CK T1552）的強烈訊號，系統會嘗試識別存取來源行程，並以 Critical 嚴重度記錄到事件時間軸（不會顯示桌面彈出通知；若已啟用事件轉送，則屬於轉送對象）。不過，RoamSwitch 自身可執行檔的存取，以及 OpenSSH 用戶端系列（ssh、scp、sftp、ssh-add、ssh-agent）對 SSH 誘餌的存取，為避免誤報而不記錄。無法特定可執行檔的存取則會記錄。此功能僅用於記錄，不會對存取來源行程進行凍結或阻斷等額外處置。

已知限制 — ~/.ssh/id_rsa 誘餌的主體包含可讀文字，作為正規 OpenSSH 私密金鑰的 base64 主體仍屬無效格式。不過多數機密掃描工具僅憑比對 -----BEGIN ... PRIVATE KEY----- 標頭的正規表示式就會標記，因此我們判斷這對實際運作中的偵測率影響有限。另外，存取來源行程的識別，通常是從 fanotify 事件所帶的 PID 取得。只有在無法使用 fanotify 而切換為 inotify 時才會呼叫 fuser，因此對於讀取後立即結束的極短命行程，可能無法取得其 PID 與行程名稱。此時僅視為未知，不影響對存取本身的偵測（事件觸發與記錄）。

fanotify 監控 · 隔離函式庫 · ClamAV

• 守護程式以 FAN_CLASS_CONTENT（許可模式；不可用時改用 FAN_CLASS_NOTIF），以檔案系統為單位的標記監控 /home・/tmp・/var/tmp・/dev/shm（1.10.18 起；以掛載點為單位的標記，是檔案系統單位不被接受時的替代方式），寫入完成的通知則對整個 / 也以檔案系統為單位設定。自 1.10.4 起，許可事件僅限執行（FAN_OPEN_EXEC_PERM），open 則作為通知處理（可用 fanotify_open_perm 恢復舊行為）。已判定為乾淨的可執行檔會快取 60 秒，守護程式自身的子行程不在監控之列。
• notify-first・確認前不隔離（fanotify 防護）。fanotify 防護對於 YARA／ClamAV 的單純命中，不會在未經確認下隔離，也不會執行 FAN_DENY。偵測到真實特徵碼時，會在 /run/roamswitch/approvals.json 中提出對話請求（隔離／允許／稍後），在使用者確認之前不會進入 Vault。只有實際的 execve，在 pre_exec_blocking_enabled 啟用時才會 FAN_DENY。核准逾時時為 fail-open。下載監控（預設為 ~/Downloads 與 ~/Desktop，可用 watched_folders 追加）是另一條路徑，對於 YARA 或 ClamAV（EICAR 除外）偵測到的檔案，會不經確認直接移入隔離 Vault 並發出通知。
• EICAR 等測試簽章僅記錄至通知歷史 — 業界標準測試字串不會發出通知，只會記錄至通知歷史，並且在 fanotify 防護和下載防護中都不會被隔離或阻止。
• YARA 和 ClamAV 掃描器都遵循使用者配置的 scan_exclusions 路徑清單（絕對路徑，遞歸應用；它包含舊版 clamav_exclusions）。提示上的「允許」和「隔離」標籤中的「復原」都附加到它，因此不會重新標記相同檔案。
• 偵測到的真實惡意軟體（在 fanotify 防護中為使用者已確認者）會退避到僅限 root 存取的 /var/lib/roamswitch/quarantine/（以前是各使用者的 ~/.local/share/roamswitch/quarantine/，啟動時會從舊儲存位置自動遷移）。Vault 目錄為 root 擁有的 0700，樣本為 root 擁有的 0400（唯讀、不可執行）。使用者只能透過守護程式的 IPC 操作，且只能列出、還原、刪除自己隔離的項目。還原時，由降權為呼叫者使用者權限的子行程，以 0644 的檔案寫出（不會覆寫既有檔案）。
• 許可事件迴圈不讀取設定檔——設定由專用的背景執行緒讀取到 Mutex<GuardConfig> 快照中，熱路徑上對設定的處理只有鎖定＋複製（讀取即將執行的檔案開頭來做判定的處理則另當別論）。這是為了避免延遲 FAN_OPEN_EXEC_PERM 而讓機器卡死所設計的不變條件。
• 若有 ClamAV（clamav_enabled，預設啟用），對於出現在下載監控目標資料夾（預設為 ~/Downloads 與 ~/Desktop）中的新檔案，會在內建 YARA 之後再以本機資料庫掃描。.exe 等 Windows 用的可執行格式會發出通知，.sh・.deb・.elf 等 Linux 的發行格式只記錄到歷史紀錄，危險的 AI 模型（.pkl・.pt）則會連同來源一併通知。ClamAV 是可選的相依元件，即使未安裝，其他防禦仍會運作。若已安裝，每日更新程式（§11）會執行 freshclam，讓特徵碼資料庫保持最新。

行程執行記錄器（僅本機）

這是一個僅限本機的記錄功能，透過 netlink 行程連接器（proc connector）記錄 exec 與 uid 變化。記錄內容包括可執行檔路徑、命令列參數（最多 64 個、每個 512 字元、合計 4096 字元，超出截斷，控制字元跳脫）、父行程譜系、uid、目前目錄、容器 ID、可執行檔的 SHA-256 等。預設啟用，但在記憶體不足 1 GiB 的機器上預設關閉（明確設定 exec_recorder_enabled 優先）。其自身 CPU 使用限制在單核的 3% 以內（exec_recorder_cpu_budget_pct），並以 nice 10 執行。無法開啟行程連接器時，會降級為低頻率的 /proc 掃描（會漏掉生命週期很短的行程）。

• 儲存 — 記錄以按 8 MiB 分段的 JSON Lines 形式儲存於 /var/lib/roamswitch/exec_log（0600）。預設保留 200 MB／14 天（exec_recorder_retention_mb／exec_recorder_retention_days）。附帶雜湊鏈，可以偵測竄改，但無法防止竄改（取得 root 的攻擊者可以重寫整條鏈）。檢索使用 roamswitch events search|tree|export|verify，面向 AI 用戶端的唯讀 MCP 工具是 search_exec_events／get_process_tree。
• 僅通知的關聯規則（EXR-001～010） — 共 10 種：由 Web 服務啟動 shell、從 /tmp、記憶體上檔案（memfd）或已刪除檔案執行、下載後立即執行、base64／eval 單行指令、沒有 setuid 路徑卻取得 uid 0、執行緊隨 cron／systemd 設定之後放置的二進位檔、/etc/ld.so.preload 變更後的執行、本機快照（btrfs、LVM）被 snapper 或 timeshift 等已知管理工具以外的對象刪除（EXR-008，1.10.11）、同一個執行來源在 30 秒內以 which 等方式尋找 8 種以上的攻擊工具（EXR-009，1.11.0）、python 或 node 等腳本直譯器在 2 分鐘內啟動 3 種以上的攻擊工具（EXR-010，1.11.0；由人在 sshd・login・終端機之下輸入的情況不在此限），每條規則都標註 MITRE ATT&CK 的技術 ID。規則只發通知，單獨不會隔離；僅當維運人員明確啟用 exec_rules_isolation_optin（預設 false）時，高嚴重度規則才會被當作 Air-Gap 的高確度觸發（§4）。
• 不會傳送到裝置之外 — 原始日誌不會被轉送。僅當啟用事件轉送（§9.4）時，才會把規則通知（嚴重度、規則 ID、行程名稱、摘要）與分段封印雜湊，且僅傳送到維運人員所設定的目的地。

憑證檔案存取監控（預設開啟，僅通知）

預設啟用（credential_access_watch_enabled 為 true；設為 false 即停止，也可以用惡意軟體防護畫面中的開關切換）。當 SSH 私密金鑰（~/.ssh/id_*）、~/.aws/credentials、~/.config/gcloud/ 底下的憑證檔案（credentials.db 等 4 種）以及主流瀏覽器的憑證／Cookie 儲存區被意料之外的程式開啟時，會發出通知（僅通知）。它只是對少數檔案個別設定 fanotify 通知類別的 FAN_OPEN，完全不會阻擋、凍結或拒絕，核心也不等待回應。開啟檔案的程式的可執行檔名稱，會與依類別劃分的允許清單（ssh／git／gpg-agent、瀏覽器、aws／terraform／kubectl 等）比對，同一（程式，檔案）的重複通知會被抑制 10 分鐘。備份工具（restic、borg 等）和索引器（tracker、baloo 等）從一開始就被允許。其他不希望收到通知的程式，請加入 config.json 的 credential_access_watch_allow。針對 AWS 的憑證，像 boto3 腳本或 Ansible 這類以 python／python3／ansible 身分執行的工具也被允許（gcloud 則允許 python／python3）。不過 python -c 這類單行指令仍會通知。這項允許的代價是，以 python 腳本檔形式執行的憑證竊取程式也不會被通知。node、ruby 等其他直譯器，以及 grep、rclone 之類通用的搜尋與同步工具，由於竊取憑證的程式也會以相同形式執行，因此沒有加入允許清單，可能會產生通知。不過，對於 cat 或 head 這類極短的讀取，若程式在 RoamSwitch 識別出其可執行檔之前就已結束，可能不會通知（持續執行一段時間的程式所做的讀取會通知）。RoamSwitch 不會為了避開這項限制而使用權限判定類別的 fanotify，因為這可能導致系統停止運作。變更約 30 秒內生效，不需重新啟動。

附在檔案竄改通知中的入侵路徑

用戶端版的關鍵檔案完整性監控（FIM）與相依鎖定檔監控的通知中，也會附上做出修改的行程（帳號、可執行檔、指令）以及該行程所屬的 SSH 登入（來源、時間、驗證方式）（config.json 中的 fim_intrusion_context_enabled，預設 true，不會向外部傳送任何內容）。憑證檔案存取監控的通知，只有在該行程屬於某個 SSH 登入時才會多出一行。運作方式、信任的值，以及三種答案（找到了／沒有找到 SSH 登入／無法查明登入路徑）的區分，都與伺服器版相同。無法查明的情況，絕不會寫成「不是登入」。記錄保存在 /var/lib/roamswitch/fim_intrusions.json 以及 MCP verify_fim 的 recentIntrusionContext 欄位中。

核心本地權限提升 (LPE) 搶佔與強化

當攻擊者或惡意軟體取得非特權使用者立足點時，深度防禦可防止利用 Linux 核心漏洞取得 root 權限。

• 非特權使用者命名空間的處理方式（Frag Gap CVE-2026-53362 對策） — 許多現代 Linux 核心權限提升漏洞，起因於非特權使用者呼叫 unshare(CLONE_NEWUSER) 建立使用者命名空間後，在其中對未初始化的結構或舊的網路子系統進行非法存取。診斷會檢查並顯示 user.max_user_namespaces 與 kernel.unprivileged_userns_clone 的狀態，但由於可能導致瀏覽器、Flatpak、Electron、rootless 容器等無法運作，Client 版不建議停用，也不納入一鍵強化（若 user.max_user_namespaces = 0，會引導還原為標準值）。停用只是暫時緩解，僅能堵住需要建立使用者命名空間的攻擊路徑，對其他途徑無效。只在不受信任網路期間把 kernel.unprivileged_userns_clone 設為 0 的行為，只有在 guard.yaml 的 adaptive_security.untrusted_network_actions.auto_enable_userns_restriction 明確啟用時才會套用（預設為停用。在沒有此設定項的核心上不會執行任何動作）。Server Edition 預設會永久套用（harden_userns_enabled）。根本的辦法是更新到已修復的核心並重新開機。
• Yama LSM 內存保護 — 強制執行 kernel.yama.ptrace_scope = 1（或 2）可防止未經授權的進程透過 ptrace 附加或透過 /proc/$pid/mem 讀取內存，從而保護瀏覽器會話和 GPG/SSH 私鑰。
• Core Dump Suppression — 設定 fs.suid_dumpable = 0 可防止敏感進程將純文字記憶體轉儲寫入磁碟而導致崩潰。
• /tmp 和 /dev/shm noexec 安裝防禦 — 為了防止有效負載丟棄並執行攻擊，RoamSwitch 在連接到不受信任的網路時會使用 noexec,nosuid,nodev 重新安裝 /tmp 和 /dev/shm。

eBPF 運行時威脅感測器和自主進程凍結（桌面 eBPF Guard）

RoamSwitch 用戶端守護程式包含與核心內現代 eBPF 感測器（Falco / Tetragon / BTF）的本機整合。

# eBPF 執行階段威脅偵測與自主攔截流程
[惡意行程 (LPE/惡意軟體)]
    │ 非法系統呼叫執行 (Frag Gap 利用嘗試)
    ▼
[Linux 核心 (eBPF 探針)]
    │ eBPF 環形緩衝區 (2MB 精簡設計)
    ▼
[Falco (RoamSwitch Optimized)]
    │ 記憶體內 UNIX 套接字直接通訊 (/var/run/roamswitch/events.sock)
    ▼
[roamswitch-daemon (root)]
    ├─► ① 以毫秒級凍結攻擊行程：kill(pid, SIGSTOP) [狀態：Ts]
    ├─► ② 阻斷網路：Critical 僅限該行程的使用者 (roamswitch_isolate)，Emergency／Alert 則為 nftables input/output drop [啟動 Air-Gap]
    └─► ③ 桌面緊急通知：GTK3 模態視窗 ＆ libnotify 通知

• Direct UNIX Domain Socket IPC (/var/run/roamswitch/events.sock) — 來自 Falco 或其他 eBPF 感測器的警報直接透過記憶體中 UNIX 套接字接收，無需寫入磁碟日誌，從而消除磁碟 I/O 延遲並實現亞秒響應切換。
• 毫秒級自主回應（行程凍結＆網路阻斷） — 當收到的事件優先順序為 Critical（核心 LPE、權限提升、勒索軟體加密等）時，守護程式會對該 PID 送出 SIGSTOP 使行程完全停止（狀態：Ts），並以 roamswitch_isolate 表僅阻斷該行程的實際使用者（容器則為其 cgroup）發出的通訊，執行「定點隔離」，同時發出桌面通知。當無法特定 PID、因屬於受保護行程而拒絕凍結、對 root 行程等隔離失敗，以及優先順序為 Emergency／Alert 時，會在 inet roamswitch 表部署 policy drop（Air-Gap），若知道 PID 也會送出 SIGSTOP。低於 Critical 的事件不會阻斷，只記錄到歷史紀錄。
• 面向桌面的低負載及日誌膨脹防止調校（RoamSwitch Optimized） 為了抑制筆記型電腦與工作站的電池消耗、CPU 負載與磁碟耗盡，針對導入 Falco 的環境，提供了最佳化設定檔（99-roamswitch-optimized.yaml）與 logrotate 設定。Client 版的套件與 install.sh 的桌面模式不會安裝 Falco，也不會放置此設定檔（Server Edition 的套件與 install.sh --server 才會放置）。若要在 Client 上使用 Falco，需由使用者自行安裝 Falco，必要時自行放置此設定檔。主要設定如下。
  • 嚴重性過濾 (priority: warning) — 過濾掉 95% 的常規通知/資訊事件。
  • Kernel Early Drop (drop_failed_exit: true) — 直接在核心驅動程式中丟棄失敗的系統呼叫退出，將上下文切換和 CPU 負載減半。
  • 緊湊環形緩衝區 (cpus_for_each_buffer: 2) — 將環形緩衝區大小減少至 2MB，將常駐 RAM 保持在 30–50MB，CPU 使用率 <1%。
  • 強制日誌輪替上限 (/etc/logrotate.d/roamswitch-falco) — 透過 7 代壓縮輪換強制實施嚴格的 50MB 上限。
• 獨立強化與 eBPF 擴充的混合韌性 — 即使未安裝 Falco，也能以核心 sysctl（Yama 的 ptrace 限制、停用核心傾印、網路防護；每次切換設定檔時套用）、nftables 設定檔、fanotify 與金絲雀監控自主防禦。安裝 Falco 後，更加上即時 eBPF 事件的零時差攔截與行程凍結，實現最高強度的防禦。

§6

USB事件被監控；追蹤鍵盤類別 (HID) 裝置和 USB 大容量儲存。 預設為關閉 （出貨 isEnabled = false，與 macOS USBKeyboardGuard / USBStorageGuard 相符）。從首次執行精靈或 USB 標籤中選擇加入；啟用會顯示確認對話方塊。

流氓 USB 鍵盤（擊鍵注入）

• 無核心層級實體連接埠取消授權（重要）。舊的實作（≤1.0.6）將 0 寫入 /sys/bus/usb/devices/*/authorized 對於未註冊的鍵盤，物理上斷開連接。在鍵盤+滑鼠組合接收器（常見於 Raspberry Pi 或迷你 PC）上，這也會斷開滑鼠連接，從而鎖定沒有內建輸入的機器。 RoamSwitch 現在硬拒絕將 authorized=0 寫入任何暴露 HID 介面 (bInterfaceClass 03) 的設備，守護程式在啟動時重新授權任何 authorized==0 HID 設備，以自我修復先前版本變磚的機器。
• 按鍵在軟體中刪除。 在偵測到未註冊的鍵盤時，會在該裝置的 /dev/input/eventN 上取得獨佔的 evdev EVIOCGRAB（僅在 /proc/bus/input/devices 中具有 kbd 處理程序的節點，與 VID:PID 相符）。滑鼠節點未受影響。這是 macOS CGEventTap 的 Linux 版本；裝置保持通電狀態。
• Safety — 只有在有另一個鍵盤可供輸入（內建鍵盤或經批准並連接的 USB 鍵盤）時才會進行抓取，因此具有單一新鍵盤的機器永遠不會被鎖定。
• 核准對話框 — 抓取鍵盤的同時，會將核准請求寫入 /run/roamswitch/approvals.json，GUI 顯示強制回應視窗（允許／拒絕）。允許後將裝置加入白名單並解除抓取。若 3 分鐘內無人核准，預設不再釋放鍵盤（1.10.4 起；更早的版本在 3 分鐘後故障開放，啟用 usb_keyboard_timeout_release 可恢復舊行為）。

流氓 USB 大容量儲存設備

當插入未註冊的 USB 大容量儲存裝置（不含 HID 者）且防護已啟用時，會以 authorized=0 保留（因不含 HID 而安全），並顯示核准對話方塊。是否為受信任網路在所不問。已掛載或正用於 swap 的磁碟（使用中的外接磁碟、Live USB 等），因可能形同被直接拔除而損壞，不會保留，只寫入記錄。選擇允許時會重新授權並登錄到白名單，選擇拒絕則持續保留。macOS 版自 1.7.4 起統一採用這種「唯讀保留＋核准提示」方式。

識別和追溯

HID 的判定依據 bInterfaceClass == "03" 與 /proc/bus/input/devices 的 Handlers= 行。組合接收器（單一 VID:PID 同時具有 kbd 與 mouse 兩個區段）依 VID:PID 合併。把既有鍵盤登錄到允許清單的 grandfathering，是由 GUI 而非守護程式執行。在初次設定精靈中啟用時（以及防護已啟用且已完成初次設定、但連線中的鍵盤在允許清單中一個也沒有的既有環境，首次遷移時），會把當時已連線的鍵盤登錄到允許清單。之後才在 USB 分頁啟用，則不會登錄。守護程式啟動時已連線但未登錄的鍵盤，因可能在啟動前被替換，會視為未登錄，若還有其他可輸入的鍵盤，則成為抓取（grab）對象。

§7

roamswitch-core 的 LinuxHealthChecker 評估 27 個項目，產生 0 至 100 的分數、S／A／B／C 等級（100 分為 S，85 至 99 為 A，70 至 84 為 B，低於此為 C）以及各項目的改善建議。不論從 GTK 儀表板、CLI（roamswitch status）或 MCP（get_security_report）查看，全部 27 個項目的標題、詳細資訊與建議文字都以使用者的語言顯示（支援 10 種語言）。

每次檢查都基於讀取本機檔案和命令輸出（getenforce、mokutil、resolvectl、ss、...）。 沒有任何類型的外部查詢。

信任感知分級. RoamSwitch 故意在受信任（家庭）網路上套用 not 進行強化 — 將網關 MAC 固定為永久（這將在路由器重新啟動時使 LAN 陷入黑洞）、重新安裝 /tmp 和 /dev/shm noexec 下的系統套件顯示為綠色帶有解釋而不是紅色的“未強化”，並指出它會自動應用於不受信任的網路。執行時期真相來自 /run/roamswitch/state.json (active_level / network_trusted / fanotify_ready)，由守護程式在每個週期寫入。 fanotify 項檢查防護是否確實被標記並且正在運作（/run/roamswitch/fanotify.ready），而不僅僅是核心支援它。暴露連接埠項目讀取守護程式的即時設定檔（MCP 硬程式碼已消失）。

每項強化。 具有自動修復功能的失敗項目（核心 sysctl / Yama / 核心轉儲、/tmp noexec、USB 零信任、網關 ARP 固定、威脅保護 DNS、fanotify 防護關閉時重新啟動守護程序）在 GTK 儀表板中帶有「🔧 強化」按鈕。守護程式以 root 身分執行，因此除了守護程式重新啟動之外不需要 pkexec 。

NIST CSF 2.0／CIS Controls v8 對應

為 27 個項目各自標註 NIST CSF 2.0 的功能／類別識別碼（例如 PR.DS-01、DE.CM-09），並僅針對能取得高確度對應的項目，一併標註 CIS Controls v8 的控制編號（例如 3.11、4.1）。對應關係不明確的項目不會被勉強標註，而是維持未對應狀態。MCP（get_security_report）與 CLI 的 JSON 輸出（roamswitch status --json）包含此對應（nistCsf／cisControl）。GUI 以及 Client 版 CLI 的一般顯示不會出現（Server 版 roamswitch status --server 的顯示則會出現）。這項對應是為了讓需要符合法遵要求的維運人員與稽核人員，能將 RoamSwitch 的各項檢查機械式地對應到既有框架。

§8

roamswitch-mcp 是透過 stdio 使用 JSON-RPC 的 MCP 伺服器，由 Claude Desktop、Cursor、Antigravity 等 AI 用戶端啟動。所有工具都是唯讀的，且絕大多數完全在本機完成。唯一可能連線外部主機的是預設關閉的 run_npm_audit_signatures。診斷評估（get_security_report 與 verify_security_findings）不會向區域網路傳送任何內容，閘道也只從 ARP 快取等本機資訊中讀取。只有在重新取得閘道 MAC 的其他處理（常駐程式的 ARP 監控、緊急復原、Sensor 配對、get_guard_status 等）中才可能送出 ping。

實證型弱點檢測也會為每個已確認的探測項記錄自上次實際執行並確認以來經過的天數（pass_age），藉此區分「該檢查存在」與「該檢查確實最近被驗證過」。由於目前尚無排程執行機制，此數值僅反映實際執行掃描的頻率。CLI（roamswitch vuln-status）、GUI 與 MCP（get_vulnerability_scan_history）皆可查看相同的經過天數，讓維運人員或稽核人員能掌握上次實際確認的時間，而非僅憑功能存在就假定近期已確認。

MCP 伺服器本身不開啟任何網路連線。直接連到守護程式 Unix 套接字（/run/roamswitch/roamswitch.sock）的只有 get_sensor_audit_results，其他工具都只是直接呼叫 roamswitch-core 的邏輯，或讀取守護程式寫入的狀態檔（roamswitchkit 方向相反，是供 CLI 等以子行程方式啟動 roamswitch-mcp 的 SDK）。例外是兩個預設關閉的工具：run_active_vuln_scan 會向 127.0.0.1 的主機本身送出非破壞性探測；run_npm_audit_signatures 會啟動 npm 指令，由 npm 向 npm 登錄庫發出查詢（MCP 執行檔本身不含 HTTP / TLS 堆疊）。診斷評估（get_security_report 與 verify_security_findings）不會向區域網路傳送任何內容，閘道的確認也只是參照 ARP 快取等本機資訊。只有在重新取得閘道 MAC 的其他處理（守護程式的 ARP 監控、緊急復原、Sensor 配對、get_guard_status 等）中才會送出 ping。

在本機 LLM 實戰演練中發現並修正的錯誤歸因問題
2026 年 9 月，我們使用本 MCP 伺服器讓本機 LLM（Qwen 3.8 27B）進行一次事件調查實戰演練（fire drill）時，發現模型誤讀了 get_port_anomaly_incidents 回傳的資料，把一個與本次事件無關的舊連接埠阻斷紀錄，錯誤地編入了目前正在發生的事件敘述中。原因在於：不含時間戳記的「目前阻斷連接埠」快照，與含時間戳記的真實事件歷史，在同一個回應中未加區分地一併回傳。修正方案是新增說明欄位，明確標註哪一部分是時間軸資料、哪一部分只是快照。修正後，用同一情境對同一模型重新執行，模型引用了說明欄位中的文字，明確拒絕將舊連接埠歸因於目前事件。我們透過自動迴歸測試與真實本機 LLM 重現兩種方式，驗證了修正的有效性。

§9

RoamSwitch for Linux 預設發出的對外通訊只有一種：每日更新程式對已簽章清單的 GET 請求（§11）。其餘所有診斷、偵測與稽核均在本機完成。只有在維運人員或使用者明確啟用或觸發時才會發生的通訊，列於 9.4。RoamSwitch for Linux 為專有免費軟體，原始碼不公開，因此下列檢查由 lafine 執行，結果見 9.2，附錄 C 的步驟僅憑發行套件即可重現。

9.1 審核方法

1. crate 隔離 — 只允許一個 crate 使用 HTTP 用戶端/TLS 堆疊，即建置計時器驅動更新程式二進位檔的 roamswitch-updater。scripts/audit_no_network.sh（在 CI 中作為閘門執行）在下列情況會使建置失敗：roamswitch-core、roamswitch-daemon、roamswitch-app、roamswitch-mcp、roamswitchkit（以及 CLI 與 Server 系列 crate）引入了 reqwest / ureq / rustls / native-tls / openssl-sys 等 HTTP 用戶端/TLS 堆疊；或 roamswitch-updater 及 9.4 所列檔案之外的 .rs 使用了 TcpStream / TcpListener / UdpSocket / to_socket_addrs / lookup_host。唯一額外的許可是僅在 roamswitch-core 中允許 tonic / hyper，用於經由 UNIX 網域通訊端與 eBPF 感測器（Tetragon）進行 gRPC 通訊；同一腳本禁止將其與 TLS 搭配使用。
2. 依賴樹檢查 — 搜尋完整的 Cargo.lock 以尋找遙測/分析/崩潰報告 SDK（sentry、opentelemetry，...）。
3. roamswitch-updater review — 它的單一請求目標，沒有查詢字串與 cookies，且能表明軟體身分的標頭只有固定的 User-Agent，以及它下載的所有內容的 Ed25519 驗證。
4. 子程序列舉 - 每個Command::new(...)呼叫站點都經過審查。

9.2 結果

9.3 面向外部的操作的完整列表

無論直接或間接，可能使封包離開本機的預設路徑操作（下表；僅在維運人員或使用者啟用或觸發時才發生的操作見 9.4）：

除上述內容外，RoamSwitch 的所有功能（nftables 控制、neigh 表的 ARP/NDP 固定（ip neigh，不傳送封包）、連結防護（NFQUEUE，僅 AF_NETLINK）、連接埠掃描（解析 ss 輸出）、ARP 監控、健康診斷、熵監控、金絲雀、fanotify、USB 監控（evdev 獨占）、隔離、日誌稽核、URL 與機密資訊稽核）均僅透過讀取本機檔案與解析子行程輸出完成。§4 的 VPN 通道屬於「使用者明確設定的對外通訊」，其目的地是使用者自己的 VPN 伺服器，沒有任何資料流向 lafine 的基礎設施。9.4 中各項功能的目的地於 9.4 逐一說明。

9.4　僅在選擇啟用或使用者操作時才會對外接觸的操作

9.3 的表格是預設情況下發生的操作。以下是程式碼中開啟套接字或把通訊委託給外部程式（curl／openssl／npm）的位置，且只有在維運人員或使用者明確啟用或操作時才會執行。scripts/audit_no_network.sh 只允許 event_forward.rs・webhook_guard.rs・active_vuln_scan.rs・web_vuln_scan.rs・sensor_pairing.rs 這 5 個檔案使用套接字 API（webhook_guard.rs 僅在啟用預設關閉的設定 forward_webhook_block_private_addresses 時，才會用系統解析器查詢 Webhook 目的地的名稱，以確認是否為內部位址，並不會建立連線。另有 tests/fleet_roundtrip.rs 僅用於測試，只連線 127.0.0.1 上的模擬伺服器），其他原始碼若使用 TcpStream 等則建置失敗。這些功能同樣不會引入 HTTP／TLS crate：TLS 交給系統的 openssl，HTTP 交給系統的 curl 子行程。

• 事件轉送（event_forward.rs）——預設 OFF（forward_enabled = false），目的地也只有維運人員手動設定的，沒有內建目的地。支援的目的地類型有：syslog（RFC 5424 或 CEF，UDP／TCP／TLS）、JSON Lines 檔案、附 HMAC-SHA256 簽章的 Webhook。TLS syslog 透過系統的 openssl s_client，Webhook 透過系統的 curl（URL、簽章等機密經由標準輸入的設定傳遞，不出現在命令列參數中），常駐程式本身沒有 TLS/HTTP crate。傳送的只有主機名稱、事件 ID、時間、來源、嚴重度、規則、處置、PID、行程名稱與摘要這些欄位（不含檔案內容，也不含執行記錄的原始日誌）。經 TCP／TLS／Webhook 未能送達的事件會存入 0600 的磁碟佇列（預設上限 20 MB／72 小時）並重試。
• Fleet（Business 層，僅裝置端）（roamswitch-core/src/fleet/）——裝置端程式碼包含在主程式中，但未註冊的裝置不會傳送任何內容，也不會解析 Fleet 主機名稱（工作執行緒只讀取一個本機狀態檔案）。只有維運人員執行 roamswitch fleet enroll 時才會註冊。管理服務端尚未部署或發行，目前沒有可連線的對象。程式碼中體現的設計保證如下。(a) 裝置只接收由組織簽章的政策設定資料，並以註冊時固定的組織公開金鑰驗證，驗證未通過的政策不會被套用。設計上組織的簽章金鑰由客戶持有，lafine 不持有。(b) 不存在遠端命令通道（裝置端沒有任何可以命令其隔離、解除、收集或執行的端點、欄位或程式碼路徑）。(c) 政策無法削弱本機下限（停用防護、妨礙解除/緊急復原在綱要中根本無法表達，取值採用「較嚴格的一方」）。政策要變更事件轉送目的地，也只能改為本機 root 允許的主機（fleet_forwarding_allowed_hosts，預設為空）。(d) 裝置傳送的僅是最小狀態摘要——應用程式版本、作業系統類別、隔離狀態（正常/隔離中）、已套用的政策版本、健康評分（0～100）與金鑰世代——以及簽章標頭中的裝置 ID 與組織 ID。通訊使用系統的 curl（TLS），且僅限已註冊的裝置。
• Sensor 配對（sensor_pairing.rs）——預設 OFF（sensor_pairing_enabled）。只會直接連線維運人員輸入的 Sensor 位址，沒有內建目的地。支援 TLS 1.3（透過系統的 openssl，並固定憑證指紋），但沒有指紋的舊式配對會在警告後退回為明文。Sensor 是另一款產品，不在本文件 Zero Telemetry 的適用範圍內。
• 實證型弱點檢測（active_vuln_scan.rs／web_vuln_scan.rs）——預設停用，需要在設定中選擇啟用。本終端版的路徑僅限於對本機已觀測到的監聽連接埠向 127.0.0.1 發出探測（由模組自身的測試固定）。
• GUI 的「檢查更新」按鈕 — 只有使用者按下按鈕時，在 apt 系的發行版中，GUI 才會用系統的 curl 對 https://lafine.net/apt/dists/stable/main/<arch>/Packages 發出一次 GET 以查詢最新版本（逾時 4 秒；不含機密的公開 URL，不附加識別碼或查詢字串）。dnf・zypper・pacman 系則不使用 curl，而是向各自的套件管理器查詢（9.3 的 #5）。
• npm 簽章驗證 — roamswitch audit-npm-signatures <DIR> --confirm 只有在啟用設定 npm_audit_signatures_enabled（預設 false）且使用者加上 --confirm 執行時才會運作，由 npm 本身向 registry.npmjs.org 查詢。

§10

• 沒有帳戶 — 無需用戶註冊，無需登錄，也無需請求電子郵件地址。
• 配置僅在本機 — 以明文形式儲存在 ~/.config/roamswitch/config.json 處，並且永遠不會離開機器。沒有雲端同步。
• 評估結果僅在本機 — 安全性報告和日誌審核結果僅顯示在螢幕上，如果使用者選擇，也可以匯出至本機檔案。
• 許可證金鑰已離線驗證 — Pro / Business 許可證令牌包含 Ed25519 簽章並使用公鑰進行驗證。不會向 lafine 伺服器發出任何查詢。
• 沒有崩潰報告 — 發生緊急情況時，不會向任何地方發送堆疊追蹤。
• 每日更新程式不會傳送任何有關您的資訊 — 沒有查詢字串、沒有cookie、沒有裝置或安裝層級的識別碼，能表明軟體身分的標頭只有固定的 User-Agent: RoamSwitch-Updater。這是下載，不是報告。連結防護判決、封鎖的主機和掃描結果僅寫入本機活動視圖/日誌，從不傳送。
• 使用威脅防護 DNS 期間，DNS 查詢會送達外部解析器。威脅防護 DNS（§4.5。預設開啟，僅針對不受信任的網路）會將作業系統的 DNS 解析器指向 Quad9（9.9.9.9，也可選擇 Cloudflare 的 1.1.1.2）。這段期間的查詢是由作業系統而非 RoamSwitch 送往該解析器，RoamSwitch 本身不會傳送任何內容。若要停止，請將 dns_enabled 設為 false。
• 通知歷史 7 天後自動刪除，且限制長度 — 已傳送通知的歷史儲存在本機，每次寫入時都會刪除超過 7 天的項目。每則標題最多 200 個字元，內文最多 2000 個字元（桌面通知彈窗內文最多 1000 個字元）。除非啟用事件轉送（預設 OFF），該歷史不會離開本機。
• 執行記錄同樣僅限本機 — 行程執行記錄器（§5）的記錄預設也只儲存在本機（/var/lib/roamswitch/exec_log，0600）。由於包含命令列參數，會依保留期限（預設 14 天）與容量（預設 200 MB）自動刪除。

§11

Business 層級開始提供時，方針是向 macOS 版 Pro Lifetime 的購買者免費授予其本人 Linux 電腦上的 Business 功能。目前尚未提供 Business 層級，也沒有管理伺服器。

經銷和供應鏈

• 固定 glibc 地板 — 發行版二進位檔案建置在 Debian 12（書蟲、glibc 2.36）容器內。這可以防止 Debian 12 / Ubuntu 22.04 及更高版本上的符號版本不符。如果引入需要超過 2.36 的依賴項，「驗證 glibc 底層」CI 步驟將導致建置失敗。
• 簽署金鑰管理 — apt/rpm 儲存庫簽署的私鑰僅存在於 GitHub Actions 加密金鑰中；僅將公鑰提交至儲存庫。

11.3 每日更新程序

roamswitch-updater 是由 systemd 計時器（roamswitch-update.timer，開機 15 分鐘後執行，之後每 24 小時一次，最多隨機延遲 3 小時）執行的獨立二進位檔。預設情況下，它是唯一會連向外部發行 URL 的元件（9.4 的選用功能除外）。每次執行：

1. GET https://lafine.net/updates/v1/manifest 及其獨立簽章。
2. 使用專用的威脅來源簽章金鑰驗證清單的 Ed25519 簽章 - 與 Sparkle 應用程式更新金鑰分開。伺服器端 CI 每天都會對 feed 進行重新簽名，以便私鑰存在於 CI 秘密中；將其範圍限定為提要意味著洩漏只會讓攻擊者提供錯誤的阻止清單（污水坑/警告 - 沒有程式碼路徑，沒有應用程式更新路徑）。應用程式更新簽章金鑰永遠不會離開 macOS 鑰匙圈。未驗證的清單將被丟棄 - 更新程式永遠不會回退到未簽署的資料。
3. 如果威脅來源版本發生更改，請下載該來源，驗證其 SHA-256 和 Ed25519 簽名，並為連結防護自動安裝它 (§4)。其他資料只在清單版本更新時取得（實證型弱點檢測的 CVE 對照表和熱門 npm 套件名稱清單）。核心、作業系統套件和語言生態系的 CVE 對照表，只在距上次更新約 30 天後才取得。Ubuntu 的 CVE 對照表只在受支援版本的 Ubuntu 上取得；尚未安裝的裝置不等 30 天，於下一次每日執行時取得。所有資料都在驗證簽章後才安裝。
4. 清單版本更新時，也會取得Web 應用層偵測規則（§5）。先驗證 SHA-256 與 Ed25519 簽章，並確認其可作為規則讀取，然後以原子方式安裝。無法讀取的檔案不會被安裝，正在使用的規則也不會被取代。不會新增連線目標，而是併入同一次清單取得。Server Edition 遵循 cve_kernel_map_updates_enabled，關閉後完全不進行網路通訊。
5. 如果安裝了 ClamAV，則呼叫 freshclam。
6. 記錄最新的應用程式版本以取得通知（更新程式 never 安裝應用程式；在 Linux 上，使用者執行 apt upgrade）。

任何步驟的失敗（離線、簽章不正確、找不到 freshclam）都會記錄在 updates.json 的 lastError，且行程一律以 exit 0 結束，因此計時器執行不會產生 systemd 的失敗通知。整個機制可用 updates.json 的 "enabled": false，或 systemctl disable --now roamswitch-update.timer 停用，此時僅以套件內建的資料運作。威脅情資來源也內建於套件中，因此全新安裝後立即可用，即使停用更新程式，也會隨 apt upgrade 更新。

§12

• OS：Ubuntu 22.04 / 24.04 以上、Debian 12 以上、Linux Mint / Pop!_OS / elementary / Zorin、Fedora / RHEL 系、openSUSE、Arch 系（AUR 準備中，需由 PKGBUILD 安裝）、Raspberry Pi OS 64bit（Bookworm）、Ubuntu for Raspberry Pi
• 架構：x86_64 / aarch64
• 必要：systemd、nftables、iproute2（ip neigh、ARP/NDP 固定）、conntrack、libnotify（桌面通知）（systemd 以外皆由 .deb / .rpm 的相依性自動安裝）
• 選用：clamav（惡意軟體掃描）、nmcli（Wi-Fi 加密判定）、iw（無線資訊的替代方案）、bluez（Bluetooth 防護）、systemd-resolved（威脅防護 DNS 的設定）、lsof（偵測監聽連接埠的替代方案）、nmap（主動式弱點驗證的輔助）、wireguard-tools（VPN 隧道 + 終止開關的 WireGuard 後端，§4）、tailscale（同為 Tailscale 後端，§4）、polkit / pkexec（從 GUI 升級、解除安裝、重新啟動守護程式）
• 不支援：非systemd發行版（Alpine / Void / Devuan）
• Display：1280×720或更大（視窗和字體自動縮放到螢幕尺寸，支援小型Raspberry Pi顯示器）

附錄 A

附錄 B

table inet roamswitch {                 # 設定檔防火牆（open / balanced / lockdown）
    chain input {
        type filter hook input priority 0; policy <accept|drop>;
        ct state established,related accept
        iif "lo" accept
        ip protocol icmp accept            # open 為 policy accept 且無規則。balanced / lockdown 為 policy drop（僅 balanced 允許 ICMP・ICMPv6）
    }
    chain output {
        type filter hook output priority 0; policy accept;
    }
}

table inet roamswitch {                 # Air-Gap（隔離）期間會重建同一個表。input / output 皆為 policy drop，僅允許 lo（已建立的連線也不放行）
    chain input  { type filter hook input  priority -100; policy drop; iif "lo" accept }
    chain output { type filter hook output priority -100; policy drop; oif "lo" accept }
}

table inet roamswitch_linkguard {        # §4.5 — 獨立於設定檔表
    chain output {
        type filter hook output priority 0; policy accept;
        udp dport 443 reject with icmpx type port-unreachable   # 僅在啟用 block_quic 時（預設為關閉）
        meta l4proto udp udp dport 53      queue num 92 bypass
        meta l4proto tcp tcp dport 53      queue num 92 bypass
        meta l4proto tcp tcp dport { 80, 443 } ct state new,established ct original packets 1-14 queue num 92 bypass   # 每個連線只將最初的 14 個封包送去檢查
    }
}

table inet roamswitch_dev_guard {        # §4 連接埠異常防護／手動連接埠隔離，獨立的表
    chain input {
        type filter hook input priority -10; policy accept;
        iif != "lo" tcp dport { … } drop
    }
}

table inet roamswitch_portscan {        # 連接埠掃描的偵測與阻擋（預設開啟）
    chain block  { type filter hook input priority -200; policy accept; ip saddr @blocked_ips ct state new log … drop }
    chain detect { type filter hook input priority -100; policy accept; iifname != "lo" ct state new tcp flags syn log … }
}

table inet roamswitch_egress_block {     # 對惡意 IP 的對外通訊封鎖清單（預設開啟）
    chain output  { type filter hook output  priority -150; policy accept; ip daddr { … } log … drop }
    chain forward { type filter hook forward priority -150; policy accept; ip daddr { … } log … drop }
}

table inet roamswitch_docker_guard {     # 針對 Docker 公開連接埠繞過防火牆的對策（僅在有 Docker 原生 nftables 後端時）
    chain forward { type filter hook forward priority -10; policy accept; … iifname { … } drop }
}

table inet roamswitch_isolate {          # eBPF 偵測時以處理程序為單位的阻斷（以 cgroup / UID 指定）
    chain process_block { type filter hook output priority -100; policy accept; … drop }
}

table inet roamswitch_vpn {              # §4 WireGuard 後端網路阻斷開關
    chain output {
        type filter hook output priority -150; policy drop;
        oifname "lo" accept
        oifname "roamswitch" accept
        meta l4proto { icmp, ipv6-icmp } accept
        udp sport 68 udp dport 67 accept          # DHCP
        ip  daddr { <endpoint v4> } udp dport <port> accept
        ip6 daddr { <endpoint v6> } udp dport <port> accept
        ct state established,related accept
    }
    chain input  { type filter hook input priority -150; policy drop; … }  # 對稱
}

table inet roamswitch_ts {               # §4 Tailscale 後端網路阻斷開關（較寬鬆）
    chain output {
        type filter hook output priority -150; policy drop;
        oifname "lo" accept
        oifname "tailscale0" accept
        meta l4proto { icmp, ipv6-icmp } accept
        udp sport 68 udp dport 67 accept          # DHCP（v6 端同樣對稱）
        ip  daddr 100.64.0.0/10 accept            # tailnet CGNAT
        ip6 daddr fd7a:115c:a1e0::/48 accept
        ip  daddr 100.100.100.100 udp dport 53 accept   # MagicDNS
        ip  daddr 100.100.100.100 tcp dport 53 accept
        udp dport 3478 accept                     # STUN
        udp dport 41641 accept                    # WireGuard 直連
        tcp dport 443 accept                      # DERP 回退
        ct state established,related accept
    }
    chain input  { type filter hook input priority -150; policy drop; … }  # 對稱
}

網關/IPv6 路由器/DNS 解析器 (§4) 的 ARP/NDP 固定是在核心鄰居表 (ip neigh replace … nud permanent) 中完成的，而不是在 nftables 中完成的。固定條目記錄在 /var/lib/roamswitch/arp_lock.json 中。