§1概述和核心原则
RoamSwitch 服务器版 是一款无头、常驻自主网络安全和完整性保护套件，专为跨云提供商（AWS、GCP、Azure、裸机 VPS）和本地数据中心的 Linux 服务器基础设施而构建。
与专注于移动性和 Wi-Fi 周边适应的客户端工作站版本不同，服务器版本建立在五个毫不妥协的原则之上：入站默认丢弃、关键路径文件完整性监控 (FIM)、抢占式内核 LPE 和权限升级强化、eBPF 运行时威胁遥测 和带有断线前紧急警报的自主气隙主机隔离。
该软件以严格的零遥测保证构建，包含零外部HTTP/TLS分析或跟踪库。所有管理机密和令牌均在严格的 0600 权限下以加密方式受到保护。
1.1 比较：客户端版与服务器版
| 尺寸 | 客户端版（桌面/移动） | 服务器版（无头/基础设施） |
|---|---|---|
| 部署 | 笔记本电脑、移动开发者工作站 | 云虚拟机、裸机节点、容器主机 |
| 网络行为 | 基于 Wi-Fi SSID/网关 MAC 的动态配置文件切换 | 静态入站默认丢弃。仅公开明确允许的端口 |
| 用户界面 | GTK3 桌面 GUI + 托盘指示器 | 纯无头 CUI。 CLI 命令 + 交互式向导 |
| 事件通知 | 桌面通知 (libnotify) | 直接推送到 Telegram Bot、LINE Messaging API 和 Webhooks (Slack/Discord) |
| 主要防御 | 公共 Wi-Fi ARP 欺骗、BadUSB、勒索软件文档加密 | 外部侦察投放、FIM 篡改检测、容器逃逸、内核 LPE (CVE-2026-53362) |
1.2 核心架构原则
- 零遥测：该软件从不将遥测、指标或遥测传输到外部服务器。外部网络调用严格针对通过子进程
curl执行的用户配置的事件警报发生。 默认情况下不包含任何外部通信库。唯一的例外是：仅当运维人员明确启用cve_kernel_map_updates_enabled（默认 false）后，roamswitch-updater才会每天一次从 lafine.net 匿名获取容器隔离审计所需的内核 CVE 数据库。 - 入站默认丢弃：未发往显式声明的服务端口或管理 SSH 维护端口的入站数据包将在
nftables内核级别被丢弃，而不生成 ICMP RST 数据包。 - 故障关闭自主遏制：紧急气隙规则在守护程序重新启动和进程崩溃后仍然存在。如果外部参与者尝试刷新 nftables 表，守护进程会检测到偏差并在几秒钟内恢复隔离。
- 0600 加密秘密保护：
/etc/roamswitch/server.conf在创建和每次更新时强制执行严格的0600权限（仅可由 root 读取）。
§2威胁格局和对手模型
现代面向互联网的服务器面临着无情的自动扫描、容器突破向量和零日内核权限升级。
- 自动侦察和数据库暴露：互联网范围内的扫描仪定位无意暴露的内部数据库端口（MySQL 3306、Redis 6379、Postgres 5432）.
- 关键路径篡改和后门插入：入侵者通过修改核心身份验证二进制文件（
/bin/login、/usr/bin/sudo、/etc/pam.d/*、/etc/shadow）建立持久性。 - 内核权限升级 (CVE-2026-53362 Frag Gap)：非特权攻击者武器化用户命名空间 (
unshare -U -r) 以触发内核内存损坏并升级到 root. - Container Socket Breakout：配置错误的容器，已安装
/var/run/docker.sock或--privileged标志，在主机操作系统上执行 root 操作. - 进程内存窥探：攻击者跨进程附加
ptrace或读取/proc/$pid/mem以提取私钥或凭据。
§3系统架构
RoamSwitch 服务器版作为本机 Rust 二进制文件运行，旨在实现最小内存和零 CPU 开销。
┌─────────────────────────────────────────────────────────────┐
│ 用户与管理员空间 │
│ │
│ roamswitch (CLI) roamswitch-mcp (AI Agent) │
│ · server status（30 项诊断） · 安全审计工具集 │
│ · server config / setup · 标准输入输出 JSON-RPC │
│ · fim verify / update │
│ │ │ │
└───────┼───────────────────────────────────┼─────────────────┘
│ (CUI 命令 & 配置生效) │ (stdio)
┌───────▼───────────────────────────────────▼─────────────────┐
│ 系统基座 (systemd + root 权限) │
│ │
│ roamswitch-server-daemon │
│ ├── CriticalPathFim (SHA-256 后台巡检) │
│ ├── eBPF / Falco 联动模块 │
│ ├── Notifier (Telegram / LINE / Webhook 即时通知) │
│ └── Air-Gap Controller (展开 nftables 紧急封锁规则) │
│ │
│ 配置管理: /etc/roamswitch/server.conf (权限 0600) │
│ 完整性数据库: /var/lib/roamswitch/fim_baseline.db │
└─────────────────────────────────────────────────────────────┘
§4核心防御机制
4.1 边界安全（入站默认丢弃）
nftables 对入站流量应用 policy drop，允许建立连接、环回以及显式配置的 ssh_ports 和 allowed_ports。
保留 SSH 管理端口可防止操作员在紧急气隙状态下意外锁定。
4.2 关键路径文件完整性监控（FIM）
监控 150 多个关键操作系统身份验证和管理文件（/bin/login、/usr/sbin/sshd、/etc/pam.d/* 等）。根据 /var/lib/roamswitch/fim_baseline.db 计算 SHA-256 哈希值。包管理器挂钩 /etc/apt/apt.conf.d/99roamswitch-fim 在授权的 apt upgrade 操作之后自动更新基线。
4.3 内核和容器强化
Frag Gap (CVE-2026-53362) 缓解：通过 sysctl 强制执行 user.max_user_namespaces = 0，中和 LPE 向量。 Yama LSM 保护 强制执行 kernel.yama.ptrace_scope = 2，防止未经授权的内存检查。容器工作负载经过 docker.sock 暴露审计。
Docker 的公开端口（-p）存在绕过主机标准防火墙的已知问题，因此 protect_docker_ports=true（默认）会始终在 DOCKER-USER 链中插入检查规则，阻止未被明确允许的外部流量。此外，还配备了一个始终运行的防护，通过 docker events 实时检测 --privileged 容器的启动或 /var/run/docker.sock 的挂载（容器逃逸风险）并立即通知（无需配置，仅通知不自动阻止）。对于处理邮件中继、共享文件夹等他人文件的主机，可选启用的 File Scan Guard（内置 YARA + 可选 ClamAV）提供定期扫描与自动隔离。
4.4 eBPF 运行时威胁遥测和防膨胀调整
利用现代 eBPF (CO-RE / BTF) 探测器在几毫秒内拦截权限升级和容器突破尝试。为了消除 Falco 的标准痛点 — 日志膨胀、磁盘耗尽和 CPU 开销 —RoamSwitch 标准化了优化配置文件 (/etc/falco/config.d/99-roamswitch-optimized.yaml)：
- 严重性过滤 (
priority: warning)：将嘈杂的操作遥测（信息/通知）抑制 95%，暴露严格可操作的安全事件。 - 内核级预删除 (
drop_failed_exit: true)：直接在内核探测中丢弃失败的系统调用退出，将 CPU 上下文切换减少 50% 以上。 - 内存占用优化 (
cpus_for_each_buffer: 2)：将环形缓冲区从 8MB 压缩到 2MB，将内存使用严格限制在 30–50MB。 - Direct UNIX Domain Socket IPC：直接流式传输到
/var/run/roamswitch/events.sock完全消除了磁盘 I/O 抖动。 - 自动日志上限 (
/etc/logrotate.d/roamswitch-falco)：每天轮换maxsize 50M和 7 个压缩周期，永久防止磁盘容量耗尽。
4.5 带有预切断警报的紧急气隙隔离
在发生严重篡改时切断网络接口之前，守护进程会同步向 Telegram、LINE 和 Webhooks 发送紧急警报。警报会自动附加服务器 主机名 和 主 IP 地址。
🚨 [RoamSwitch IMMINENT AIR-GAP] CRITICAL: IMMINENT AIR-GAP HOST ISOLATION (cve_2026_53362_lpe)
🚨 CRITICAL SECURITY INCIDENT DETECTED: cve_2026_53362_lpe
Host: production-node-01 (IP: 192.168.1.10)
Process: exploit_payload (PID: 4921)
ACTION: Initiating host Air-Gap network isolation (SSH preservation active).
WARNING: Outbound internet connectivity will be cut immediately after this message.
Timestamp: 2026-09-06 18:00:00§530 检查安全诊断套件
服务器版执行 30 项专门的安全健康审核：
| # | 类别 | 检查标题 | 标准与逻辑 |
|---|---|---|---|
| 1 | 授权和访问 | SSH Root 登录和密码验证 | 验证 PermitRootLogin no 和密码身份验证已禁用 |
| 2 | 授权和访问 | 空密码帐户 | 确保 /etc/shadow 中没有用户具有空白密码哈希 |
| 3 | 授权和访问 | Sudoers 特权卫生 | 验证不存在未经授权的 NOPASSWD 指令 |
| 4 | 网络 | 入站默认拒绝 | 审核 nftables 的默认入站丢弃策略 |
| 5 | 核心与完整性 | 非特权用户命名空间（碎片间隙） | 确保 user.max_user_namespaces = 0 (CVE-2026-53362) |
| 6 | 核心与完整性 | eBPF BTF 支持 | 通过 /sys/kernel/btf/vmlinux 验证内核 BTF 类型信息 |
| 7 | 核心与完整性 | eBPF LSM 活动 | 检查内核 lsm= 启动参数中的 bpf |
| 8 | 核心与完整性 | eBPF 运行时安全代理 | 验证与 Falco / Tetragon 代理的遥测链接 |
| 9 | 集装箱 | Docker Socket 安装审核 | 检测 /var/run/docker.sock 的容器安装 |
| 10 | 集装箱 | Docker 特权容器 | 高风险 --privileged 容器工作负载的审核 |
| 11 | 诚信 | 关键路径文件完整性 (FIM) | 验证 150 多个核心操作系统二进制文件的 SHA-256 哈希值 |
| 12 | 核心与完整性 | Yama过程保护 | 验证 kernel.yama.ptrace_scope = 2 |
| 13 | 网络 | IP 转发已禁用 | 验证 net.ipv4.ip_forward = 0 |
| 14 | 网络 | TCP SYN Cookie 保护 | 验证 net.ipv4.tcp_syncookies = 1 |
| 15 | 网络 | 反向路径过滤（rp_filter） | 验证严格的反向路径过滤 (rp_filter = 1) |
| 16 | 核心与完整性 | 核心转储限制 | 通过 fs.suid_dumpable = 0 防止进程内存泄漏 |
| 17 | 运营 | 自动安全更新 | 验证 unattended-upgrades 的配置 |
| 18 | 运营 | NTP时间同步 | 通过 chrony 或 systemd-timesyncd 检查同步 |
| 19 | 运营 | SSH 暴力保护 | 通过 fail2ban 或 crowdsec 验证主动监控 |
| 20 | 核心与完整性 | 禁用非特权 eBPF | 检查kernel.unprivileged_bpf_disabled = 1 |
| 21 | 网络 | 忽略 ICMP 重定向 | 通过 accept_redirects = 0 防止路由中毒 |
| 22 | 网络 | 忽略 ICMP 回显广播 | 缓解 Smurf 放大器 DoS 攻击 |
| 23 | 核心与完整性 | 共享内存强化 | 确保 /dev/shm 具有 nodev,nosuid 安装选项 |
| 24 | 授权和访问 | 不存在遗留的不安全协议 | 验证是否存在明文守护进程（telnet、rsh、tftp） |
| 25 | 核心与完整性 | SUID 进程核心转储受限 | 防止 SUID 二进制崩溃时的凭证泄漏 |
§6自查（Docker 环境下的可复现验证）
RoamSwitch Server Edition 的各项防护机制（入站默认拒绝、Critical Path FIM、基于 guard.yaml 的严重度分级封锁、受保护进程安全机制、安全计时器、内核 LPE 加固等），针对从官方 APT 仓库安装的真实 roamswitch-server v1.3.2 软件包（并非本地构建），通过让另一个 Docker 容器充当外部攻击者，您可以在自己的机器上完全复现并验证。以下是这 8 个验证场景，以及各自应观察到的行为（判定标准）。具体步骤和脚本请参见下文 6.3。
| # | 场景 | 攻击向量 | 通过标准 |
|---|---|---|---|
| PENT-S1 | Nmap SYN 隐形扫描 | 跨端口 22、80、443、3306、8080 进行探测 | PASS（100% 隐秘） |
| PENT-S2 | 不允许的端口探测 | 卷曲直接连接到端口 3306 和 8080 | 通过 |
| PENT-S3 | Egress / C2 阻止清单 | 尝试向恶意 IP 情报源中登记的地址发起出站连接 | 通过 仅阻止已登记的地址；与未登记主机的通信不受影响（并非一律阻止） |
| PENT-S4 | FIM 篡改攻击 | 将后门有效负载注入 /bin/login |
PASS（即时检测） |
| PENT-S5 | guard.yaml 按严重程度分级的遏制 |
注入引用真实进程的 Falco Critical 事件 | 通过 将相关进程进行网络隔离后再执行 SIGKILL |
| PENT-S6 | 受保护进程安全机制 | 注入引用真实 sshd PID 的同类事件 |
通过sshd 持续运行；仅记录一条拒绝日志作为误报 |
| PENT-S7 | 安全定时器 | 让 Air-Gap 事件保持未确认状态（无操作员 ACK） | 通过 无响应时自动恢复；一旦已确认（ACK），则隔离将持续至执行 emergency-restore |
| PENT-S8 | 内核 LPE 碎片间隙 | 以非特权用户身份执行 unshare -U -r |
PASS（拒绝） |
SSH 锁定防护机制
即使在触发主机级 Air-Gap（on_emergency）期间，得益于 preserve_ssh_on_isolation=true（默认值），管理员的 SSH 会话也不会被切断。这一设计从结构上杜绝了因误报导致服务器被完全隔离、且在没有物理/控制台访问的情况下无法触及的事故。您可以通过上文 Docker 测试套件中相当于 PENT-S7 的步骤自行验证此行为。
验证范围的局限性（如实披露）
内核加固（禁用非特权 User Namespace、提升 Yama ptrace_scope）无法在容器内进行端到端验证。由于这些 sysctl 并非按容器命名空间隔离，特权容器（--privileged）中的写入操作影响的并非验证用的沙箱，而是正在运行本次验证的真实机器本身。因此，本次验证仅确认该 sysctl 写入操作在（面对只读文件系统时）能够优雅降级而不崩溃，至于其值是否真正生效，则需要在本产品实际运行的真实机器或虚拟机上进行确认。
自行复现
上述所有验证结果，均可通过官方支持仓库（roamswitch-support）中公开的 Docker 测试套件，仅使用官方发行包在您自己的机器上 100% 复现（无需访问源代码，也无需信任我们）。
# 获取并复现验证套件（从官方 APT 仓库自动安装 roamswitch-server）
git clone https://github.com/lafine1211/roamswitch-support.git
cd roamswitch-support/test/docker/server
./run.sh在 Docker 的默认桥接网络上构建 Target、Attacker、C2 诱饵共 3 个一次性容器，自动验证全部 18 个项目并输出报告。完整执行结果已公开于 RESULTS-PENTEST-SERVER-2026-09-07.md（出于透明考虑，也记录了搭建过程中发现并修复的测试工具自身问题）。
§7运营、部署和生命周期
7.1 无头 CUI 工具和设置向导
通过 CLI 完成远程管理：
roamswitch server status：完整 30 个检查诊断输出 (JA/EN)。roamswitch server setup：端口和通知的交互式终端向导。roamswitch server config show / set <key> <val>：Ansible/Terraform 的可编写脚本的自动化。roamswitch server test-notify [all|telegram|line|webhook]：端到端通知探测。
7.2 包装
通过官方 Debian/Ubuntu .deb 存储库、RHEL/Fedora .rpm 存储库和 Arch Linux AUR (roamswitch-server-bin) 分发。
§8结论
RoamSwitch 服务器版为 Linux 服务器基础设施提供了不折不扣的防御边界：零遥测隐私、入站默认丢弃、关键路径 FIM 和主动内核权限升级缓解，为现代云节点提供统一的自主防御。
针对网络攻击者瞄准的攻击向量全阶段（初期侦察、入侵、权限提升、持久化），实现多层防御与自主封锁（Air-Gap）的次世代 Linux 服务器安全标准。