RoamSwitch 伺服器版技術白皮書

§2威脅格局與對手模型

現代面向互聯網的伺服器面臨無情的自動掃描、容器突破向量和零日核心權限升級。

§3系統架構

RoamSwitch 伺服器版作為本機 Rust 二進位檔案運行，旨在實現最小記憶體和零 CPU 開銷。

┌─────────────────────────────────────────────────────────────┐
│  使用者與管理員空間                                         │
│                                                             │
│   roamswitch (CLI)             roamswitch-mcp (AI Agent)    │
│   · server status（30 項診斷）  · 安全稽核工具集            │
│   · server config / setup      · 標準輸入輸出 JSON-RPC      │
│   · fim verify / update                                     │
│        │                               │                    │
└───────┼───────────────────────────────────┼─────────────────┘
         │ (CUI 命令 & 設定生效)          │ (stdio)
┌───────▼───────────────────────────────────▼─────────────────┐
│  系統基座 (systemd + root 權限)                             │
│                                                             │
│   roamswitch-server-daemon                                  │
│   ├── CriticalPathFim (SHA-256 背景巡檢)                    │
│   ├── eBPF / Falco 聯動模組                                 │
│   ├── Notifier (Telegram / LINE / Webhook 即時通知)         │
│   └── Air-Gap Controller (展開 nftables 緊急封鎖規則)       │
│                                                             │
│   設定管理: /etc/roamswitch/server.conf (權限 0600)         │
│   完整性資料庫: /var/lib/roamswitch/fim_baseline.db         │
└─────────────────────────────────────────────────────────────┘

§4核心防衛機制

4.1 邊界安全（入站預設丟棄）

nftables 對入站流量套用 policy drop，允許建立連接、環回以及明確配置的 ssh_ports 和 allowed_ports。

保留 SSH 管理連接埠可防止操作員在緊急氣隙狀態下意外鎖定。

4.2 關鍵路徑檔案完整性監控（FIM）

監控 150 多個關鍵作業系統驗證和管理檔案（/bin/login、/usr/sbin/sshd、/etc/pam.d/* 等）。根據 /var/lib/roamswitch/fim_baseline.db 計算 SHA-256 雜湊值。套件管理器掛鉤 /etc/apt/apt.conf.d/99roamswitch-fim 在授權的 apt upgrade 作業之後自動更新基線。

4.3 內核與容器強化

Frag Gap (CVE-2026-53362) 緩解：透過 sysctl 強制執行 user.max_user_namespaces = 0，中和 LPE 向量。 Yama LSM 保護 強制執行 kernel.yama.ptrace_scope = 2，防止未經授權的記憶體檢查。容器工作負載經過 docker.sock 暴露審計。

Docker 的公開連接埠（-p）存在繞過主機標準防火牆的已知問題，因此 protect_docker_ports=true（預設）會始終在 DOCKER-USER 鏈中插入檢查規則，封鎖未被明確允許的外部流量。此外，還配備一個始終運作的防護，透過 docker events 即時偵測 --privileged 容器的啟動或 /var/run/docker.sock 的掛載（容器逃逸風險）並立即通知（無需設定，僅通知不自動封鎖）。對於處理郵件中繼、共用資料夾等他人檔案的主機，可選擇啟用的 File Scan Guard（內建 YARA + 可選 ClamAV）提供定期掃描與自動隔離。

4.4 eBPF 運轉時威脅遙測和防膨脹調整

利用現代 eBPF (CO-RE / BTF) 偵測器在幾毫秒內攔截權限升級和容器突破嘗試。為了消除 Falco 的標準痛點 — 日誌膨脹、磁碟耗盡和 CPU 開銷 —RoamSwitch 標準化了最佳化設定檔 (/etc/falco/config.d/99-roamswitch-optimized.yaml)：

• 严重性过滤 (priority: warning)：将嘈杂的操作遥测（信息/通知）抑制 95%，暴露严格可操作的安全事件。
• 核心層級預先刪除 (drop_failed_exit: true)：直接在核心偵測中丟棄失敗的系統呼叫退出，將 CPU 上下文切換減少 50% 以上。
• 内存占用优化 (cpus_for_each_buffer: 2)：将环形缓冲区从 8MB 压缩到 2MB，将内存使用严格限制在 30–50MB。
• Direct UNIX Domain Socket IPC：直接流式传输到 /var/run/roamswitch/events.sock 完全消除了磁盘 I/O 抖动。
• 自动日志上限 (/etc/logrotate.d/roamswitch-falco)：每天轮换 maxsize 50M 和 7 个压缩周期，永久防止磁盘容量耗尽。

4.5 帶有預先切斷警報的緊急氣隙隔離

在發生嚴重篡改時切斷網路介面之前，守護程式會同步向 Telegram、LINE 和 Webhooks 發送緊急警報。警报会自动附加服务器 主机名 和 主 IP 地址。

🚨 [RoamSwitch IMMINENT AIR-GAP] CRITICAL: IMMINENT AIR-GAP HOST ISOLATION (cve_2026_53362_lpe)
🚨 CRITICAL SECURITY INCIDENT DETECTED: cve_2026_53362_lpe
Host: production-node-01 (IP: 192.168.1.10)
Process: exploit_payload (PID: 4921)
ACTION: Initiating host Air-Gap network isolation (SSH preservation active).
WARNING: Outbound internet connectivity will be cut immediately after this message.
Timestamp: 2026-09-06 18:00:00

§530 檢查安全診斷套件

伺服器版執行 30 項專門的安全健康審核：

§6自我檢查（Docker 環境下的可重現驗證）

RoamSwitch Server Edition 的各項防護機制（輸入方向預設拒絕、Critical Path FIM、基於 guard.yaml 的嚴重度分級封鎖、受保護程序安全機制、安全計時器、核心 LPE 強化等），針對從官方 APT 儲存庫安裝的真實 roamswitch-server v1.3.2 套件（並非本地建置），透過讓另一個 Docker 容器擔任外部攻擊者，您可以在自己的機器上完全重現並驗證。以下是這 8 個驗證情境，以及各自應觀察到的行為（判定標準）。詳細步驟與指令碼請參閱下方 6.3。

SSH 鎖定防護機制

即使在觸發主機層級 Air-Gap（on_emergency）期間，得益於 preserve_ssh_on_isolation=true（預設值），管理員的 SSH 工作階段也不會被切斷。這項設計從結構上杜絕了因誤判導致伺服器被完全隔離、且在沒有實體/主控台存取的情況下無法觸及的事故。您可以透過上方 Docker 測試套件中相當於 PENT-S7 的步驟自行驗證此行為。

驗證範圍的侷限性（誠實揭露）

自行重現

上述所有驗證結果，均可透過官方支援儲存庫（roamswitch-support）中公開的 Docker 測試套件，僅使用官方發行套件在您自己的機器上 100% 重現（無需存取原始碼，也無需信任我們）。

# 取得並重現驗證套件（從官方 APT 儲存庫自動安裝 roamswitch-server）
git clone https://github.com/lafine1211/roamswitch-support.git
cd roamswitch-support/test/docker/server
./run.sh

在 Docker 的預設橋接網路上建立 Target、Attacker、C2 誘餌共 3 個一次性容器，自動驗證全部 18 個項目並輸出報告。完整執行結果已公開於 RESULTS-PENTEST-SERVER-2026-09-07.md（基於透明原則，亦記載了建置過程中發現並修正的測試工具本身問題）。

§7營運、部署和生命週期

7.1 無頭 CUI 工具和設定精靈

透過 CLI 完成遠端管理：

• roamswitch server status：完整 30 個檢查診斷輸出 (JA/EN)。
• roamswitch server setup：連接埠和通知的互動式終端精靈。
• roamswitch server config show / set <key> <val>：Ansible/Terraform 的可編寫腳本的自動化。
• roamswitch server test-notify [all|telegram|line|webhook]：端對端通知探測。

7.2 包裝

透過官方 Debian/Ubuntu .deb 儲存庫、RHEL/Fedora .rpm 儲存庫和 Arch Linux AUR (roamswitch-server-bin) 分發。

§8結論

RoamSwitch 伺服器版為 Linux 伺服器基礎架構提供了不折不扣的防禦邊界：零遙測隱私、入站預設丟棄、關鍵路徑 FIM 和主動核心權限升級緩解，為現代雲端節點提供統一的自主防禦。

針對網路攻擊者瞄準的攻擊向量全階段（初期偵察、入侵、權限提升、持久化），實現多層防禦與自主封鎖（Air-Gap）的次世代 Linux 伺服器安全標準。