CLI / ヘッドレス運用ガイド

1. 構成要素

ヘッドレス構成ではデーモン + roamswitch CLI（+ 必要なら roamswitch-mcp）だけで運用できます。 GUI が無くても自律防御はすべて動作します。

2. デーモン（systemd サービス）

クライアント版

sudo systemctl status  roamswitch.service      # 稼働状態
sudo systemctl enable  roamswitch.service      # 起動時に自動開始（インストール時に有効）
sudo systemctl restart roamswitch.service      # 再起動
journalctl -u roamswitch.service -f            # ログ追尾
journalctl -u roamswitch.service --since "1h ago"

デーモンが起動時・毎サイクル（3 秒間隔）に自律で行う処理:

• 接続中のゲートウェイ MAC を識別し、trusted_networks 設定に照らして nftables プロファイル（open / balanced / lockdown）を切り替え
• ランサムウェア挙動検知（fanotify + シャノンエントロピー + カナリア）
• マルウェアのオンアクセススキャン（fanotify、任意で ClamAV）
• ARP スプーフィング監視、未信頼ネットワークでのゲートウェイ ARP/NDP 予防固定
• カーネル堅牢化（sysctl / Yama / コアダンプ / /tmp noexec）を該当プロファイルで適用
• 脅威保護 DNS の適用/解除（dns_enabled + dns_scope）
• リンクガード（NFQUEUE）でフィッシング接続を警告/遮断
• ランタイム状態を /run/roamswitch/state.json に毎サイクル出力

サーバー版

sudo systemctl status  roamswitch-server.service      # 稼働状態
sudo systemctl restart roamswitch-server.service      # 再起動
sudo systemctl reload  roamswitch-server.service      # 設定ファイル再読込
journalctl -u roamswitch-server.service -f            # ログ追尾

3. CLI コマンドリファレンス

基本構文: roamswitch <コマンド> [オプション]。引数なしで実行した場合は status と同義です。出力言語は OS ロケール（LC_ALL / LC_MESSAGES / LANG、ja* なら日本語、他は英語）に自動適応します。

実行例

roamswitch status                      # クライアント総合診断 (20項目)
roamswitch status --server             # サーバー版総合診断 (25項目)
roamswitch ports -a                    # 全リスニングポート
roamswitch guards                      # ガード稼働状態
roamswitch audit-url https://examp1e-login.com
roamswitch audit-secrets ./deploy.env
roamswitch audit-logs 72               # 直近 72 時間のログ分析
roamswitch sharing on                  # 未信頼ネットで SSH/Samba/RDP を自動停止
roamswitch fim verify                  # FIM ファイル整合性検証
sudo roamswitch fim update             # FIM ベースライン更新
sudo roamswitch emergency-restore      # 緊急遮断の全解除と復旧
roamswitch airgap enable               # 緊急遮断
roamswitch airgap disable              # 解除

4. 設定ファイル

クライアント版 (~/.config/roamswitch/config.json)

デーモンは root で動作し、/home/*/.config/roamswitch/config.json を走査して最初に見つかったものを読みます（root しかいない場合は /root/.config/roamswitch/config.json）。

サーバー版 (/etc/roamswitch/server.conf)

サーバー版は INI 形式の設定ファイルを用い、パーミッション 0600（root 専用）で保護されます。設定項目の詳細は サーバー版 運用マニュアル を参照してください。

5. ログ・ランタイム状態ファイル

IPC ソケットを直接叩く（上級者向け）

デーモンは /run/roamswitch/roamswitch.sock（Unix ストリーム）で改行区切り JSON を受けます。

# プロファイルを強制切替（クライアント版）
printf '{"id":1,"method":"set_security_level","params":{"level":"lockdown"}}\n' \
  | sudo socat - UNIX-CONNECT:/run/roamswitch/roamswitch.sock

# ゲートウェイ ARP 固定を今すぐ照合
printf '{"id":1,"method":"reconcile_gateway_lock","params":null}\n' \
  | sudo socat - UNIX-CONNECT:/run/roamswitch/roamswitch.sock

6. プログラムからの状態取得（MCP）

roamswitch-mcp は stdio の JSON-RPC で読み取り専用ツールを提供します（get_security_report / get_exposed_ports / get_guard_status / get_quarantine_status / get_canary_status / audit_url_safety / audit_secrets / audit_security_logs / get_app_help）。

ネットワークは一切使わず、デーモンの Unix ソケットか roamswitch-core を直接呼びます。設定方法は MCP 連携設定ガイド を参照してください。

7. 自動化レシピ

cron で日次診断 → スコアが閾値未満ならメール通知

#!/usr/bin/env bash
# /etc/cron.daily/roamswitch-health
out=$(runuser -u "$SUDO_USER" -- roamswitch status 2>&1)
score=$(printf '%s\n' "$out" | grep -oE '[0-9]+/100' | head -1 | cut -d/ -f1)
if [ -n "$score" ] && [ "$score" -lt 80 ]; then
  printf '%s\n' "$out" | mail -s "RoamSwitch health: ${score}/100" root
fi

検知イベントを監視（alerts.json をポーリング）

#!/usr/bin/env bash
last=0
while :; do
  ts=$(jq -r 'max_by(.timestamp).timestamp // 0' /run/roamswitch/alerts.json 2>/dev/null || echo 0)
  if [ "$ts" -gt "$last" ]; then
    jq -c ".[] | select(.timestamp > $last)" /run/roamswitch/alerts.json | logger -t roamswitch-alert
    last=$ts
  fi
  sleep 10
done

state.json で「ガードが落ちていないか」を確認

jq -e '.fanotify_ready == true' /run/roamswitch/state.json >/dev/null \
  || echo "WARNING: fanotify guard is not running" >&2

8. トラブルシューティング

9. 関連ドキュメント

• RoamSwitch for Linux 製品トップ
• クライアント版 セキュリティ設計書（ホワイトペーパー）
• サーバー版 セキュリティ設計書（ホワイトペーパー）
• サーバー版 運用マニュアル
• AI アシスタント・MCP 連携設定ガイド
• よくある質問 (FAQ)