適用於 Linux 的 RoamSwitch
架構與安全白皮書

§1

RoamSwitch for Linux 是一種常駐網路安全和系統診斷應用程序，它將 macOS RoamSwitch 的零信任網路防禦模型引入 Linux（systemd + nftables 環境）。

此版本針對客戶端電腦（工作站、筆記型電腦、單板電腦），並假設機器在網路之間移動時遵循機器的自主行為。強化伺服器/無頭基礎設施版本（RoamSwitch 伺服器版本 - 始終在線預設拒絕、關鍵路徑 FIM 完整性、遠端 Webhooks 和靜態策略實作）作為專用伺服器版本提供。

它透過網關 MAC 位址識別連接的 Wi-Fi/有線網絡，並自動切換活動的 nftables 防火牆設定檔。除此之外，它在不受信任的網路上提供三層中間人防禦 - VPN 隧道 + 終止開關（WireGuard 或 Tailscale，主要防禦）、預防性 ARP/NDP 鎖定 和 ARP 欺騙檢測 - 勒索行為軟體偵測（fanotify + Shannon formroprop） (NFQUEUE + SNI)、連接埠異常防護、BadUSB 緩解、核心本地權限升級 (LPE) 搶佔（Frag Gap CVE-2026-53362 緩解）、eBPF 運行時威脅感測器 (Falco /tra__p) 與亞秒碼項安全健康評估和內建模型上下文協定 (MCP) 伺服器。

table inet roamswitch {
    chain input {
        type filter hook input priority -100; policy <accept|drop>;
        iif "lo" accept
        ct state established,related accept
        # balanced/lockdown：其餘全部 drop
    }
    chain output {
        type filter hook output priority -100; policy <accept|drop>;
        # 僅在 Air-Gap 時 policy drop，僅允許 lo 與 ct established
    }
}

• 不提供 VPN 伺服器 — 使用使用者提供的 WireGuard 設定：來自 Mullvad、IVPN 或 Proton VPN 等提供者的 .conf，或使用者自己的 WireGuard 伺服器（VPS 或家庭伺服器）。没有提供默认配置。
• Config — 守護程序驗證 .conf 並將其儲存在 /etc/wireguard/roamswitch.conf（0600，介面 roamswitch）。它不能存在於其他地方：Ubuntu 24.04+ / Debian 13 上的 AppArmor wg-quick 設定檔拒絕 wg-quick 讀取 /etc/wireguard/ 之外的 .conf — 即使作為 root 也是如此。分割隧道配置（AllowedIPs 不是 0.0.0.0/0 / ::/0）被標記為「並非所有流量都受到保護」。
• Kill-switch — 專用的 nftables 表 inet roamswitch_vpn（policy drop，兩個鉤子） 丟棄除環回、隧道介面（roamswitch，與 oifname 相符）、固定端點 IP、DHCP 和 ICMP 之外的所有內容。它是在 之前安裝的 隧道啟動（首先透過 getent ahosts 解析到固定 IP 的端點），因此不存在洩漏視窗。如果 wg-quick up 失敗，終止開關將保持開啟狀態。

(B) Tailscale 後端

• 对于已经运行 Tailscale 的用户。 RoamSwitch not 執行 tailscale up / 登入 / 安裝 tailscaled — 它讀取 tailscale status --json 並執行 tailscale set --exit-node=<node> / --exit-node= （清除）。
• 需要出口節點 — 反 MITM 保護僅適用於路由所有流量的出口節點。如果未配置任何內容，則不會啟用保護，且 UI 會警告「未受保護」。如果所選節點離線，保護會自動解除並通知使用者（透過死節點路由所有內容將使連線陷入黑洞）。
• Kill-switch (inet roamswitch_ts, policy drop) — Tailscale 的傳輸無法固定到單一端點 IP（DERP 中繼 + 漫遊對等點），因此這比 WireGuard 更寬鬆 X12__。它允許：環回、隧道介面 (tailscale0)、CGNAT 範圍 100.64.0.0/10 和 fd7a:115c:a1e0::/48、STUN (udp/3478)、DERP (tcp/443)、udp/41641、DHCP、ICMP、MagicDNS (100.100.100.100:53)、已建立的連接。 其他所有內容 — 任意 UDP、本機解析器的 DNS、SMB、mDNS、純文字 HTTP、任意 TCP — 均丟棄。
• Kill-switch 警告 — (1) 比 WireGuard 後端更廣泛的允許清單（udp/3478、tcp/443、整個 CGNAT /10）。 (2) 路徑上的攻擊者仍然可以看到元資料（Tailscale 正在使用、DERP 區域、計時）並且可以丟棄/延遲 — 但無法讀取隧道有效負載。 (3) 當直接 UDP 被阻止時，機密性將依賴 Tailscale 自己的固定憑證 DERP TLS。 (4) 在 MagicDNS 關閉 + 本機解析器的情況下，DNS 在武裝時中斷（UI 警告）。 (5) 啟用前必須先登入強制門戶。

寫入事件依照 PID 進行追蹤。如果單一進程在 5 秒內建立 20 個或更多 distinct 文件，且熵≥ 7.92，則會被視為勒索軟體批次加密：該進程會被 SIGSTOP 凍結，並觸發 Air-Gap。

• YARA 掃描與熵追蹤完全分離 — YARA 惡意軟體檢查無例外地應用於所有寫入檔案（零繞過、掃描 ~/.cache/、node_modules/、/tmp/ 和存檔）。同時，勒索軟體熵爆發分析排除了自然壓縮格式（.zip、.tgz、.tar.gz、.gz、.png、.jpg、.mp4、.wasm）和經過驗證的包管理器（npm、npx、cargo、rustc、dpkg SIGSTOP 凍結。
• 相同檔案的重複覆蓋 （例如 shred 的三次）算一個事件。
• 關鍵程序保護 — PID 根據硬編碼的 NEVER_FREEZE 清單（systemd、dockerd、NetworkManager、sshd、gnome-shell、...）進行檢查，並且永遠不會凍結，從而防止機器範圍內的掛起。

金絲雀（誘餌文件）

誘餌檔案被放置在使用者的文件、桌面、下載和圖片資料夾以及專用目錄中，並以 3 秒為週期與 SHA-256 基線進行比較。任何重新命名、刪除、截斷或內容變更都會立即觸發 Air-Gap。因為守護程式以 root 身分執行，所以它會列舉 /home/* 並將金絲雀部署到每個真實使用者的目錄中。

fanotify 監控 · 隔離函式庫 · ClamAV

• 守護程式在掛載層級監視 /home、/var/tmp、/dev/shm，並透過 FAN_CLASS_CONTENT（後備 FAN_CLASS_NOTIF）在檔案系統層級監視 /。
• 通知優先，無靜默隔離。 裸露的 YARA / ClamAV 命中是 絕不會靜默隔離或 FAN_DENY’d。真實簽名在 /run/roamswitch/approvals.json 中提出模式請求（隔離/允許/稍後）；在使用者確認之前，任何內容都不會進入保管庫。只有實際的 execve 是 FAN_DENY，只有當 pre_exec_blocking_enabled 開啟時。批准超時失敗開放。
• EICAR 等測試簽章僅記錄至通知歷史 — 業界標準測試字串不會發出通知，只會記錄至通知歷史，並且在 fanotify 防護和下載防護中都不會被隔離或阻止。
• YARA 和 ClamAV 掃描器都遵循使用者配置的 scan_exclusions 路徑清單（絕對路徑，遞歸應用；它包含舊版 clamav_exclusions）。提示上的「允許」和「隔離」標籤中的「復原」都附加到它，因此不會重新標記相同檔案。
• 偵測到並確認的真正惡意軟體已轉移到 ~/.local/share/roamswitch/quarantine/。金庫是0700；每個樣本都是 0400 （唯讀，不可執行）。復原時，檔案會返回 0644 並被 chowned 到目標目錄的擁有者。
• 權限事件循環執行零檔案系統 I/O — 配置由專用後台執行緒讀取到 Mutex<GuardConfig> 快照中；熱路徑存取器只是鎖定和複製。這是一個設計不變性：阻塞 FAN_OPEN_PERM 會凍結機器。
• 當 ClamAV 存在時，會根據本機資料庫掃描新下載的執行檔（.sh、.deb、.elf、...）和危險的 AI 模型（.pkl、.pt）。 ClamAV 是 可選依賴項 ；沒有它，其他防禦措施也能發揮作用。安裝後，每日更新程式 (§11) 會呼叫 freshclam，以便簽章資料庫保持最新狀態。

核心本地權限提升 (LPE) 搶佔與強化

當攻擊者或惡意軟體取得非特權使用者立足點時，深度防禦可防止利用 Linux 核心漏洞取得 root 權限。

• 停用非特權使用者命名空間（Frag Gap CVE-2026-53362 緩解） — 許多現代 Linux 核心 LPE 漏洞依賴非特權使用者呼叫 unshare(CLONE_NEWUSER) 來建立隔離的使用者命名空間，隨後存取未初始化的核心結構或具有提升的命名空間功能的舊網路子系統。 RoamSwitch 透過一鍵強化或設定精靈評估並實施 user.max_user_namespaces = 0（或 kernel.unprivileged_userns_clone = 0）。即使使用未修補的核心零日漏洞，這也可以關閉非特權程序的攻擊面。
• Yama LSM 內存保護 — 強制執行 kernel.yama.ptrace_scope = 1（或 2）可防止未經授權的進程透過 ptrace 附加或透過 /proc/$pid/mem 讀取內存，從而保護瀏覽器會話和 GPG/SSH 私鑰。
• Core Dump Suppression — 設定 fs.suid_dumpable = 0 可防止敏感進程將純文字記憶體轉儲寫入磁碟而導致崩潰。
• /tmp 和 /dev/shm noexec 安裝防禦 — 為了防止有效負載丟棄並執行攻擊，RoamSwitch 在連接到不受信任的網路時會使用 noexec,nosuid,nodev 重新安裝 /tmp 和 /dev/shm。

eBPF 運行時威脅感測器和自主進程凍結（桌面 eBPF Guard）

RoamSwitch 用戶端守護程式包含與核心內現代 eBPF 感測器（Falco / Tetragon / BTF）的本機整合。

# eBPF 執行時威脅偵測與自主攔截流程
[惡意程序 (LPE/惡意軟體)]
    │ 非法系統呼叫執行 (Frag Gap 利用嘗試)
    ▼
[Linux 核心 (eBPF 探針)]
    │ eBPF 環形緩衝區 (2MB 精簡設計)
    ▼
[Falco (RoamSwitch Optimized)]
    │ 記憶體內 UNIX 通訊端直接通訊 (/var/run/roamswitch/events.sock)
    ▼
[roamswitch-daemon (root)]
    ├─► ① 以毫秒級凍結攻擊程序：kill(pid, SIGSTOP) [狀態：Ts]
    ├─► ② 完全切斷網路：nftables input/output drop [啟動 Air-Gap]
    └─► ③ 桌面緊急通知：GTK3 模態視窗 & libnotify 通知

• Direct UNIX Domain Socket IPC (/var/run/roamswitch/events.sock) — 來自 Falco 或其他 eBPF 感測器的警報直接透過記憶體中 UNIX 套接字接收，無需寫入磁碟日誌，從而消除磁碟 I/O 延遲並實現亞秒響應切換。
• 自主多層緩解（處理凍結和氣隙） — 當收到優先順序為 Critical 或 Emergency 的事件（例如核心 LPE、命名空間逃逸或勒索軟體執行）時，守護程序在違規 PID 上執行 SIGSTOP 以立即暫停進程執行（狀態：13__3__），跨隙 inet roamswitch5__ 部署。
• 面向桌面的低負載及日誌膨脹防止調校（RoamSwitch Optimized） — 為抑制筆記型電腦與工作站的電池消耗、CPU 負載與磁碟耗盡，隨附了最佳化設定檔（99-roamswitch-optimized.yaml）：
  • 嚴重性過濾 (priority: warning) — 過濾掉 95% 的常規通知/資訊事件。
  • Kernel Early Drop (drop_failed_exit: true) — 直接在核心驅動程式中丟棄失敗的系統呼叫退出，將上下文切換和 CPU 負載減半。
  • 緊湊環形緩衝區 (cpus_for_each_buffer: 2) — 將環形緩衝區大小減少至 2MB，將常駐 RAM 保持在 30–50MB，CPU 使用率 <1%。
  • 強制日誌輪替上限 (/etc/logrotate.d/roamswitch-falco) — 透過 7 代壓縮輪換強制實施嚴格的 50MB 上限。
• 混合彈性（獨立與 eBPF 模式） — 沒有 Falco，RoamSwitch 透過核心 sysctl (user.max_user_namespaces = 0)、nftables 漫遊設定檔、fanotify 熵追蹤和金絲雀來保護系統。透過 Falco，深層核心行為遙測可攔截進階零日漏洞並即時凍結攻擊者進程。

§6

USB事件被監控；追蹤鍵盤類別 (HID) 裝置和 USB 大容量儲存。 預設為關閉 （出貨 isEnabled = false，與 macOS USBKeyboardGuard / USBStorageGuard 相符）。從首次執行精靈或 USB 標籤中選擇加入；啟用會顯示確認對話方塊。

流氓 USB 鍵盤（擊鍵注入）

• 無核心層級實體連接埠取消授權（重要）。舊的實作（≤1.0.6）將 0 寫入 /sys/bus/usb/devices/*/authorized 對於未註冊的鍵盤，物理上斷開連接。在鍵盤+滑鼠組合接收器（常見於 Raspberry Pi 或迷你 PC）上，這也會斷開滑鼠連接，從而鎖定沒有內建輸入的機器。 RoamSwitch 現在硬拒絕將 authorized=0 寫入任何暴露 HID 介面 (bInterfaceClass 03) 的設備，守護程式在啟動時重新授權任何 authorized==0 HID 設備，以自我修復先前版本變磚的機器。
• 按鍵在軟體中刪除。 在偵測到未註冊的鍵盤時，會在該裝置的 /dev/input/eventN 上取得獨佔的 evdev EVIOCGRAB（僅在 /proc/bus/input/devices 中具有 kbd 處理程序的節點，與 VID:PID 相符）。滑鼠節點未受影響。這是 macOS CGEventTap 的 Linux 版本；裝置保持通電狀態。
• Safety — 只有在有另一個鍵盤可供輸入（內建鍵盤或經批准並連接的 USB 鍵盤）時才會進行抓取，因此具有單一新鍵盤的機器永遠不會被鎖定。
• 核准對話方塊 — 在抓取旁邊，核准請求在 /run/roamswitch/approvals.json 中排隊，GUI 顯示模式（允許/拒絕）。允許將裝置列入白名單並釋放抓取。 3 分鐘後失效打開。

流氓 USB 大容量儲存設備

當插入未註冊的 USB 大容量儲存裝置（無 HID 介面）、啟用防護且網路不受信任/處於鎖定狀態時，它會以 authorized=0（對於非 HID 裝置來說是安全的）儲存，並顯示核准對話方塊。允許重新授權和白名單；拒絕保留。 macOS 版本與 1.7.4 中的「保留唯讀 + 核准提示」模型保持一致。

識別和追溯

HID 由 bInterfaceClass == "03" 和 /proc/bus/input/devices 中的 Handlers= 行決定。組合接收器（一個 VID:PID 帶有 kbd 和滑鼠部分）由 VID:PID 合併。 守護程式啟動時出現的未註冊鍵盤是祖父；僅抓取事後熱插拔的鍵盤。

§7

roamswitch-core 中的 LinuxHealthChecker 評估 24 個項目，並產生 0-100 分、A-F 等級和每個項目的建議。從 GTK 儀表板、CLI (roamswitch status) 和 MCP (get_security_report) 中， 所有 24 個項目的標題、詳細資訊和推薦均以使用者的語言 （10 種語言）顯示。

每次檢查都基於讀取本機檔案和命令輸出（getenforce、mokutil、resolvectl、ss、...）。 沒有任何類型的外部查詢。

信任感知分級. RoamSwitch 故意在受信任（家庭）網路上套用 not 進行強化 — 將網關 MAC 固定為永久（這將在路由器重新啟動時使 LAN 陷入黑洞）、重新安裝 /tmp 和 /dev/shm noexec 下的系統套件顯示為綠色帶有解釋而不是紅色的“未強化”，並指出它會自動應用於不受信任的網路。執行時期真相來自 /run/roamswitch/state.json (active_level / network_trusted / fanotify_ready)，由守護程式在每個週期寫入。 fanotify 項檢查防護是否確實被標記並且正在運作（/run/roamswitch/fanotify.ready），而不僅僅是核心支援它。暴露連接埠項目讀取守護程式的即時設定檔（MCP 硬程式碼已消失）。

每項強化。 具有自動修復功能的失敗項目（核心 sysctl / Yama / 核心轉儲、/tmp noexec、USB 零信任、網關 ARP 固定、威脅保護 DNS、fanotify 防護關閉時重新啟動守護程序）在 GTK 儀表板中帶有「🔧 強化」按鈕。守護程式以 root 身分執行，因此除了守護程式重新啟動之外不需要 pkexec 。

§8

roamswitch-mcp 透過 stdio 進行 JSON-RPC，由 Claude Desktop、Cursor 和 Antigravity 等 AI 用戶端產生。每個工具都是只讀且完全本地。

MCP 伺服器自身不開啟任何網路連線，僅透過 roamswitchkit 連線守護行程的 Unix 通訊端，或直接呼叫 roamswitch-core 的邏輯。唯一的例外是預設關閉的 run_active_vuln_scan，它會向本機 127.0.0.1 送出非破壞性探測。

在本機 LLM 實戰演練中發現並修正的錯誤歸因問題
2026 年 9 月，我們使用本 MCP 伺服器讓本機 LLM（Qwen 3.8 27B）進行一次事件調查實戰演練（fire drill）時，發現模型誤讀了 get_port_anomaly_incidents 回傳的資料，把一個與本次事件無關的舊連接埠阻斷紀錄，錯誤地編入了目前正在發生的事件敘述中。原因在於：不含時間戳記的「目前阻斷連接埠」快照，與含時間戳記的真實事件歷史，在同一個回應中未加區分地一併回傳。修正方案是新增說明欄位，明確標註哪一部分是時間軸資料、哪一部分只是快照。修正後，用同一情境對同一模型重新執行，模型引用了說明欄位中的文字，明確拒絕將舊連接埠歸因於目前事件。我們透過自動迴歸測試與真實本機 LLM 重現兩種方式，驗證了修正的有效性。

§9

RoamSwitch for Linux 讓 恰好是一種出站請求 ：簽署清單的每日更新者 GET (§11)。其他一切——每項評估、檢測和審計——都在本地完成。 RoamSwitch for Linux 是專有的免費軟體，其原始碼未公開，因此以下檢查由 lafine 執行；結果在 9.2 中，並且附錄 C 中的步驟可以單獨從分散式套件中重現。

9.1 審核方法

1. Crate 隔離 — HTTP/TLS 堆疊僅允許在 一個 crate 、roamswitch-updater 中使用，它建立獨立的計時器驅動的更新程式二進位檔案。如果 roamswitch-core、roamswitch-daemon、roamswitch-app、roamswitch-mcp 或 roamswitchkit 引入 reqwest / hyper / ureq / rustls / native-tls / openssl，或 roamswitch-updater 之外的任何 .rs中運行，門控）將導致建置失敗TcpListener / UdpSocket / to_socket_addrs / lookup_host。
2. 依賴樹檢查 — 搜尋完整的 Cargo.lock 以尋找遙測/分析/崩潰報告 SDK（sentry、opentelemetry，...）。
3. roamswitch-updater review — 它的單一請求目標，沒有查詢字串/cookies/識別標頭，以及它下載的所有內容的 Ed25519 驗證。
4. 子程序列舉 - 每個Command::new(...)呼叫站點都經過審查。

9.2 結果

9.3 面向外部的操作的完整列表

每個可能導致資料包直接或間接離開本機的操作：

所有其他 RoamSwitch 功能 — nftables 控制、鄰居表的 ARP/NDP 固定（ip neigh，無資料包出口）、連結保護（NFQUEUE，僅 AF_NETLINK）、連接埠掃描（解析 ss 輸出）、ARP 監控、健康評估、熵監控、金絲雀、fanotify、USB 監控本機檔案讀取來完成以及子程序輸出的分析。 §4 VPN 隧道是唯一的“用戶明確配置的出站通訊”，其目的地是用戶自己的 VPN 伺服器 - 沒有資料流向 lafine 的基礎設施。

§10

• 沒有帳戶 — 無需用戶註冊，無需登錄，也無需請求電子郵件地址。
• 配置僅在本機 — 以明文形式儲存在 ~/.config/roamswitch/config.json 處，並且永遠不會離開機器。沒有雲端同步。
• 評估結果僅在本機 — 安全性報告和日誌審核結果僅顯示在螢幕上，如果使用者選擇，也可以匯出至本機檔案。
• 許可證金鑰已離線驗證 — Pro / Business 許可證令牌包含 Ed25519 簽章並使用公鑰進行驗證。不會向 lafine 伺服器發出任何查詢。
• 沒有崩潰報告 — 發生緊急情況時，不會向任何地方發送堆疊追蹤。
• 每日更新程式不會傳送任何有關您的資訊 — 沒有查詢字串、沒有cookie、沒有裝置或安裝識別碼、通用User-Agent。這是下載，不是報告。連結防護判決、封鎖的主機和掃描結果僅寫入本機活動視圖/日誌，從不傳送。

§11

macOS RoamSwitch Pro Lifetime 的購買者可以在自己的 Linux 電腦上免費獲得商業功能。

經銷和供應鏈

• 固定 glibc 地板 — 發行版二進位檔案建置在 Debian 12（書蟲、glibc 2.36）容器內。這可以防止 Debian 12 / Ubuntu 22.04 及更高版本上的符號版本不符。如果引入需要超過 2.36 的依賴項，「驗證 glibc 底層」CI 步驟將導致建置失敗。
• 簽署金鑰管理 — apt/rpm 儲存庫簽署的私鑰僅存在於 GitHub Actions 加密金鑰中；僅將公鑰提交至儲存庫。

11.3 每日更新程序

roamswitch-updater 是由 systemd 計時器（roamswitch-update.timer、具有隨機 3 小時延遲的 OnCalendar=daily 和 Persistent=true）運行的獨立二進位。它是到達網路的唯一組件。每次運行：

1. GET https://lafine.net/updates/v1/manifest 及其獨立簽章。
2. 使用專用的威脅來源簽章金鑰驗證清單的 Ed25519 簽章 - 與 Sparkle 應用程式更新金鑰分開。伺服器端 CI 每天都會對 feed 進行重新簽名，以便私鑰存在於 CI 秘密中；將其範圍限定為提要意味著洩漏只會讓攻擊者提供錯誤的阻止清單（污水坑/警告 - 沒有程式碼路徑，沒有應用程式更新路徑）。應用程式更新簽章金鑰永遠不會離開 macOS 鑰匙圈。未驗證的清單將被丟棄 - 更新程式永遠不會回退到未簽署的資料。
3. 如果威脅來源版本發生更改，請下載該來源，驗證其 SHA-256 和 Ed25519 簽名，並為連結防護自動安裝它 (§4)。
4. 如果安裝了 ClamAV，則呼叫 freshclam。
5. 記錄最新的應用程式版本以取得通知（更新程式 never 安裝應用程式；在 Linux 上，使用者執行 apt upgrade）。

任何步驟的失敗（離線、錯誤簽署、freshclam 遺失）都會記錄為 updates.lastError 並且程序仍然退出 0，因此計時器運行永遠不會產生 systemd 失敗通知。整個機制被 updates.json 中的 updates.enabled = false 或 systemctl disable --now roamswitch-update.timer 停用；然後，該產品將根據套件中捆綁的資料運作。威脅來源也在 套件內 中提供，因此全新安裝在更新程式運行之前就有一個工作來源，並且 apt upgrade 即使在禁用更新程式的情況下也會刷新它。

§12

• OS：Ubuntu 22.04 / 24.04 及更高版本、Debian 12 及更高版本、Linux Mint / Pop!_OS / Primary / Zorin、Raspberry Pi OS 64 位元 (Bookworm)、Ubuntu for Raspberry Pi
• 架構：x86_64 / aarch64
• Required：systemd、nftables、iproute2（ip neigh — ARP/NDP 鎖定）（由 .deb / .rpm 依賴項自動拉入）
• ：clamav（惡意軟體掃描）、nmcli（Wi-Fi 加密檢測）、libnotify（桌面通知）、wireguard-tools（VPN 隧道的 WireGuard 後端 + 終止開關，§4）、tailscale（其 Tailscale 後端，§4）、polkit / GUI__ 運行從 GUI 14）、polkit / GUI__ 運行升級/ GUI__4）、polkit/ GUI__ 運行從
• 不支援：非systemd發行版（Alpine / Void / Devuan）
• Display：1280×720或更大（視窗和字體自動縮放到螢幕尺寸，支援小型Raspberry Pi顯示器）

附錄 A

附錄 B

table inet roamswitch {                 # 設定檔防火牆（Air-Gap / balanced / lockdown）
    chain input {
        type filter hook input priority -100; policy <accept|drop>;
        iif "lo" accept
        ct state established,related accept
        # balanced/lockdown：其餘全部 drop
    }
    chain output {
        type filter hook output priority -100; policy <accept|drop>;
        # 僅在 Air-Gap 時 policy drop，僅允許 lo 與 ct established
    }
}

table inet roamswitch_linkguard {        # §4.5 — 獨立於設定檔表
    chain output {
        type filter hook output priority 0; policy accept;
        udp dport 53                       queue num 92 bypass
        tcp dport 53                       queue num 92 bypass
        tcp dport { 80, 443 } ct state new,established queue num 92 bypass
    }
}

table inet roamswitch_dev_guard {        # §4 連接埠異常防護／手動連接埠隔離，獨立的表
    chain input {
        type filter hook input priority -10; policy accept;
        iif != "lo" tcp dport { … } drop
    }
}

table inet roamswitch_vpn {              # §4 WireGuard 後端網路阻斷開關
    chain output {
        type filter hook output priority -150; policy drop;
        oifname "lo" accept
        oifname "roamswitch" accept
        meta l4proto { icmp, ipv6-icmp } accept
        udp sport 68 udp dport 67 accept          # DHCP
        ip  daddr { <endpoint v4> } udp dport <port> accept
        ip6 daddr { <endpoint v6> } udp dport <port> accept
        ct state established,related accept
    }
    chain input  { type filter hook input priority -150; policy drop; … }  # 對稱
}

table inet roamswitch_ts {               # §4 Tailscale 後端網路阻斷開關（較寬鬆）
    chain output {
        type filter hook output priority -150; policy drop;
        oifname "lo" accept
        oifname "tailscale0" accept
        meta l4proto { icmp, ipv6-icmp } accept
        udp sport 68 udp dport 67 accept          # DHCP（v6 端同樣對稱）
        ip  daddr 100.64.0.0/10 accept            # tailnet CGNAT
        ip6 daddr fd7a:115c:a1e0::/48 accept
        ip  daddr 100.100.100.100 udp dport 53 accept   # MagicDNS
        ip  daddr 100.100.100.100 tcp dport 53 accept
        udp dport 3478 accept                     # STUN
        udp dport 41641 accept                    # WireGuard 直連
        tcp dport 443 accept                      # DERP 回退
        ct state established,related accept
    }
    chain input  { type filter hook input priority -150; policy drop; … }  # 對稱
}

網關/IPv6 路由器/DNS 解析器 (§4) 的 ARP/NDP 固定是在核心鄰居表 (ip neigh replace … nud permanent) 中完成的，而不是在 nftables 中完成的。固定條目記錄在 /var/lib/roamswitch/arp_lock.json 中。