Preparación NetFlow 15/10/2026: auditoría SSH de .30/.81 sin cambios de servicios ni exportadores. GoFlow2 v2.2.7 activo en .30; IPFIX de .2 y .89 observado en JSON. 24h: 1.028.543 eventos, 994.677.176 bytes; 15m: 11.685 eventos (ficheros, no búsquedas Splunk). PRE UDP/2055 libre, syslog rsyslog UDP/514 activo; disco real /splunk-data con 93G libres. Dependencias: network_observability, search y dashboards privados de administrator. Copias saneadas y propuesta en projects/netflow-migration. Pendiente validar configuración actual de exportadores, SPAN, indexación/SPL, dashboards, fixtures y rotación. No se ha realizado cutover ni activado colector en PRE. No cerrar la tarea.

Activación PRE 15/10/2026¶

Instalados TA_netflow_goflow2, SA_netflow y mikrotik_network (11 vistas y lookups disponibles del origen), sin sobrescribir apps existentes. Índice nuevo mikrotik_flow, 10 GiB máximo y 30 días máximo; sourcetype mikrotik:ipfix. DATETIME_CONFIG=CURRENT conserva hora de ingestión; timestamps originales de flujo permanecen en campos ns.

GoFlow2 2.2.7, SHA256 63d3bb6c4e458f56ae3268eac74979da1fee0cea5342362295e7d587784af14b, instalado en /usr/local/lib/netflow-pre/goflow2. Servicio goflow2-pre activo y habilitado, UDP/2055. HTTP de salud en loopback 127.0.0.1:18080. Salida /var/log/goflow2-pre/mikrotik-flow.json, usuario splunk. Rotación de 100MB con siete copias y timer cada cinco minutos; copytruncate conserva su riesgo de ventana de pérdida.

Splunk reiniciado con autorización; rsyslog UDP/514 sigue activo. btool check correcto. Se verificaron template+data IPFIX sintéticos con direcciones de documentación 192.0.2.10 y 198.51.100.20, 1234 bytes y 5 paquetes, exporter 127.0.0.1 y observation_domain_id 424242.

La primera prueba detectó LINE_BREAKER heredado con barras duplicadas: una línea produjo tres eventos. Corregido en TA de PRE a regex de CR/LF y reiniciado Splunk. Segunda prueba utiliza 192.0.2.11. No se borran eventos de prueba; excluir sampler_address=127.0.0.1 en validaciones de tráfico real. No se cambió el origen .30.

Pendiente recepción real después del cambio autorizado de exportadores .2 y .89 a 192.168.0.81 UDP/2055, validación SPL/visual de todas las vistas, permisos de búsqueda LDAP sobre el índice nuevo, volumetría/licencia y estabilidad. Las vistas con SNMP o fuentes de reputación necesitan sus fuentes adicionales; la instalación no prueba esos datos.

Rollback: preservar datos; detener/deshabilitar únicamente goflow2-pre y su timer con autorización, mantener configs nuevas identificadas, no borrar índice. Exportadores aún no modificados por Codex; .30 sigue disponible.

CORRECCIÓN y verificación final: lectura directa de buckets mediante exporttool confirma dos JSON íntegros de 959 bytes, uno por prueba; el contador interno 3 no significaba fragmentación. Recepción UDP, decodificación e indexación sintética comprobadas. GoFlow2, Splunk y rsyslog activos; timer habilitado. Pendiente cambio de targets por propietario a 192.168.0.81:2055 UDP y validar tráfico real .2/.89, búsquedas/permisos y vistas. No cerrar migración todavía.

Diagnóstico en vivo MikroTik: Traffic Flow enabled=yes, interfaces=all, packet-sampling=no. Único target: 192.168.0.30 UDP/2055, version=ipfix, refresh templates 5 / timeout 1m. No existe target .81. FastTrack deshabilitado. No se modificó configuración. La habilitación de permisos/firewall no implica cambio de destino; queda pendiente decisión del propietario sobre añadir .81 manteniendo .30 o sustituir el target durante cutover.

Verificación 15/10/2026 tras cambio del propietario: MikroTik tiene targets IPFIX 192.168.0.30:2055 y 192.168.0.81:2055. En PRE: GoFlow2 y Splunk activos; 8.843 registros JSON de sampler_address=192.168.0.2 en ventana de 15 minutos, último flujo actual. metrics.log confirma actividad reciente en índice mikrotik_flow y source /var/log/goflow2-pre/mikrotik-flow.json (último intervalo 295 en contador ev; no equivale a recuento SPL). Sin entradas de error del colector en últimos 5 minutos. No se observó sampler .89 en el fichero de PRE. Pendiente sensor .89 y validación visual/SPL de dashboards; no cerrar migración.

BLOQUEADO/PARCIAL — 16/10: .30 y .81 conservan integración GoFlow2. .89 rechaza credencial disponible; clave SSH registrada por TOFU autorizado. No se modifica pmacct ni se interrumpe exportación existente. Ingesta dual SPAN requiere acceso autorizado efectivo. No confundir MikroTik dual existente con SPAN dual.

PARCIAL — Nueva evidencia 16/10: últimas 5000 líneas de JSON en ambos colectores incluyen sampler_address .2 y .89. LEGACY: .2 4981 registros / edad 1,44s, .89 3 / edad107,3s; DEV: .2 4993 / edad0,91s, .89 3 / edad108,84s. Son muestras, no recuentos de ventana. Confirma recepción dual real de SPAN y MikroTik sin usar LEGACY como intermediario. No se modificó pmacct. Falta SSH .89 para captura/configuración efectiva y SPL autenticado para indexación por exportador, duplicaciones y dashboards. Evidencias locales flows-192.168.0.30.json / flows-192.168.0.81.json.

Reprueba de SO autorizada por propietario tras confirmar credenciales comunes: control .81 correcto. .60/.65/.89/.90/.92/.94/.97/.98 siguen sin sesión SO con las identidades propias disponibles. Se desactivaron agente y claves públicas y limitó el intento por identidad. VCSA ahora devuelve rechazo de autenticación; no se atribuye a contraseña incorrecta sin revisar servidor. Fichas individuales actualizadas. No se cambiaron cuentas, contraseñas, roles ni servicios.