No necesitas la clave privada para depurar una VPN

La petición suena razonable: envía la configuración para que el soporte vea qué va mal. También es así como las claves privadas acaban en sistemas de tiquets y registros de chat. Una configuración es una identidad, no un diagnóstico, y quien depura tu túnel casi nunca necesita la mitad que demuestra quién eres. La salida de estado responde a las mismas preguntas sin ese riesgo.

El mito es que una configuración es la única visión completa. Es la visión completa menos segura.

El mito: el soporte necesita la configuración

El soporte necesita el texto del error, las versiones de cliente y servidor, el endpoint, el estado del handshake y el orden de los eventos. Todo eso es estado. Una configuración añade claves, y las claves son lo que permite a otra persona ser tú. Entregar una configuración para arreglar un problema de enrutamiento es como enviar tu pasaporte por correo para explicar un vuelo retrasado. La petición suele venir de alguien que nunca ha visto tu red y pide lo que es más fácil adjuntar.

Envía la salida más pequeña que responda a la pregunta, no la más grande que encuentres.

Qué muestra realmente el estado

El wg show de WireGuard imprime interfaces, pares, IP permitidas, endpoints, el último handshake y contadores de transferencia, y no imprime la clave privada. La salida de estado y de registro de OpenVPN da el estado de conexión y los errores sin los bloques de clave incrustados. Ambas cosas bastan para ver si un handshake se completa, si los contadores se mueven y qué par está en uso, que es lo que el manual de wg documenta como vista de estado.

Si un ayudante pide la configuración antes de pedir esa salida, pregúntale qué mostraría la configuración que el estado no muestra.

Dónde se esconden los secretos en cada formato

Los archivos de configuración de WireGuard contienen líneas PrivateKey, y las claves públicas de los pares más los metadatos del endpoint siguen identificando incluso sin ellas. Los perfiles de OpenVPN pueden incrustar bloques <key> y <tls-crypt> o apuntar a archivos separados que viajan con el perfil. El archivo de soporte de un cliente puede contener mucho más de lo que muestra la ventana de registro, incluidos perfiles en caché que habías olvidado que existían. Las capturas de pantalla son la otra fuga habitual, porque una ventana de terminal muestra más que el comando que querías compartir.

Lee la documentación de exportación y luego abre el archivo. Una salida etiquetada como diagnóstico no ha sido necesariamente limpiada de nada.

Redacta y luego envía una copia revisada

Guarda el original en un lugar protegido y envía una copia revisada. Sustituye endpoints y claves públicas por marcadores estables cuando no hagan falta los valores reales, y elimina los bloques de clave privada por completo en lugar de ocultarlos parcialmente. La ocultación parcial de un blob base64 sigue siendo una clave filtrada. Lee el archivo una vez más antes de que salga, porque los archivos suelen llevar una segunda copia del mismo perfil.

Usa un canal verificado y comprueba quién lo recibe antes de adjuntar nada.

Si una clave ya se ha filtrado

Borrar el mensaje no recupera las copias que otros ya tienen. Rota la identidad mediante el proceso de revocación y sustitución del operador y trata la clave antigua como comprometida desde el momento en que se envió. La mayoría de los operadores sustituirán rápidamente la identidad de un cliente en cuanto se informe de la exposición, y el informe es la parte que la gente aplaza.

La misma regla se aplica a una clave pegada en un tiquet, una captura de pantalla o un hilo de chat. La rotación es la solución; borrar es limpieza.