Validación parcial 15/10/2026: metrics.log confirma escritura real por índice en PRE: spain_meteo 9774 eventos/3541 KB al inicio y solo 2 eventos de salud en una muestra repetida; aemet_extras 278/3548 KB en una muestra y 50/240 KB tras la actualización final; spain_seismic 16/7.149 KB y muestras posteriores con 2 eventos de salud. Servicio activo, inputs habilitados y btool sin errores en estas apps. No se ejecutó búsqueda SPL ni se calculó consumo acumulado/frescura por fuente; mantener abierta hasta completar esas comprobaciones.

PARCIAL — Nueva evidencia 16/10: últimas 5000 líneas de JSON en ambos colectores incluyen sampler_address .2 y .89. LEGACY: .2 4981 registros / edad 1,44s, .89 3 / edad107,3s; DEV: .2 4993 / edad0,91s, .89 3 / edad108,84s. Son muestras, no recuentos de ventana. Confirma recepción dual real de SPAN y MikroTik sin usar LEGACY como intermediario. No se modificó pmacct. Falta SSH .89 para captura/configuración efectiva y SPL autenticado para indexación por exportador, duplicaciones y dashboards. Evidencias locales flows-192.168.0.30.json / flows-192.168.0.81.json.

Diagnóstico adicional 16/10: bind LDAP propio satisfactorio con excepción TLS temporal limitada al proceso .94 (validación estricta falla Missing Authority Key Identifier). Búsqueda de usuario/grupo no devolvió entradas visibles, por tanto no se confirma pertenencia. Splunk sigue devolviendo401; btool muestra LDAP-LAB y roleMap admin=splunk-admins. No se cambiaron usuarios/grupos/roles. Pendiente habilitar o corregir autorización de aplicación de Codex para búsquedas. SA_homelab_security3.0.0 tiene17 XML válidos; esto no prueba SPL ni dashboards. Consultas preparadas en security-validation.spl, no desplegadas como alertas.

Internet Intelligence: migración técnica21 verificada por lectura de índice, métricas/checkpoint y pruebas offline. Pendiente validación visual/SPL autenticada. Cisco: solo prueba sintética en netops/cisco:ios verificada, no atribuir a .4 real; espera configuración del propietario.

Ingesta comparada — últimas seis horas¶

Ventana común: 16/10/2026 02:14:26 CEST — 16/10/2026 08:14:26 CEST.

Fuente: todos los registros type=Usage de license_usage.log disponibles en cada nodo, filtrados por hora de contabilización. Unidad MiB=1.048.576 bytes. Son bytes reportados por Splunk; en índices metric no equivalen necesariamente al consumo de licencia. No representan bytes de tráfico transportados en NetFlow. Los últimos intervalos de contabilización pueden quedar pendientes.

Totales reportados (event + metric; no sumar como consumo de licencia):

• 192.168.0.30: 753.4608 MiB; event 752.7161 MiB; metric 0.7447 MiB.
• 192.168.0.81: 317.6913 MiB; event 255.7181 MiB; metric 61.9732 MiB.
• 192.168.0.80: 62.7401 MiB; event 1.1216 MiB; metric 61.6184 MiB.

Interpretación¶

• NetFlow/IPFIX: recepción en LEGACY y DEV con diferencia de volumen del 0,11 %. Esto confirma actividad comparable agregada, no igualdad de todos los flujos individuales.
• VMware: inventario y tareas/eventos tienen volúmenes idénticos en PROD y DEV. Performance metric difiere un 0,58 %; recepción en ambos confirmada, sin demostrar igualdad punto a punto.
• Internet Intelligence y sismos: ambos tienen datos en LEGACY y DEV. Internet presenta diferencia de volumen (~10,66 %), pendiente comparar ciclos y contenidos para afirmar cobertura equivalente.
• SNMP: sc4snmp:metric y sc4snmp:event solo aparecen en LEGACY; pendiente migración. El netops de DEV contiene routeros y cisco:ios, no SC4SNMP.
• AEMET: actividad en DEV, pero volumen muy inferior al de LEGACY: 1,8291 frente a 221,3441 MiB en spain_meteo; 0,0733 frente a 280,4999 MiB en aemet_extras. La deduplicación y distintas programaciones pueden explicarlo parcialmente; no se da por validada la equivalencia funcional.
• Cisco: DEV sí contiene mensajes reales de configuración y de inicio de logging hacia 192.168.0.81:514 a las 08:12:18–19 CEST. Los 207 bytes reportados en esta ventana no son el sintético anterior (fuera de ventana). En DEV el host se extrae como cest: corregir identificación antes de cerrar validación. LEGACY también recibe.
• PROD solo registra VMware en esta ventana. No consta migración de las fuentes no VMware a PROD.
• F1 no aparece con volumen en ninguno de los tres: ausencia de Usage en la ventana, no prueba de inexistencia de configuración.

Cobertura: los tres archivos incluyen Usage anterior al inicio y posterior hasta menos de un minuto antes del cierre. Sin errores de lectura. No se consultaron credenciales de aplicación ni se modificó infraestructura.

Evidencia: JSON de agregados por índice/sourcetype/host/source y validation.json (tipos efectivos y eventos Cisco relevantes).