Non necesitas a clave privada para depurar unha VPN

A petición soa razoable: envía a configuración para que o soporte vexa que vai mal. Tamén é así como as claves privadas acaban en sistemas de tíquets e rexistros de chat. Unha configuración é unha identidade, non un diagnóstico, e quen depura o teu túnel case nunca necesita a metade que demostra quen es. A saída de estado responde ás mesmas preguntas sen ese risco.

O mito é que unha configuración é a única visión completa. É a visión completa menos segura.

O mito: o soporte necesita a configuración

O soporte necesita o texto do erro, as versións de cliente e servidor, o endpoint, o estado do aperto de mans e a orde dos acontecementos. Todo iso é estado. Unha configuración engade claves, e as claves son o que permite a outra persoa ser ti. Entregar unha configuración para arranxar un problema de encamiñamento é como enviar o pasaporte por correo para explicar un voo atrasado. A petición adoita vir de alguén que nunca viu a túa rede e pide o que é máis fácil adxuntar.

Envía a saída máis pequena que responda á pregunta, non a máis grande que atopes.

Que mostra realmente o estado

O wg show de WireGuard imprime interfaces, pares, IP permitidas, endpoints, o último aperto de mans e contadores de transferencia, e non imprime a clave privada. A saída de estado e de rexistro de OpenVPN dá o estado da conexión e os erros sen os bloques de clave incrustados. Ambas as dúas bastan para ver se un aperto de mans se completa, se os contadores se moven e que par está en uso, que é o que o manual de wg documenta como vista de estado.

Se un axudante pide a configuración antes de pedir esa saída, pregúntalle que mostraría a configuración que o estado non mostra.

Onde se agochan os segredos en cada formato

Os ficheiros de configuración de WireGuard conteñen liñas PrivateKey, e as claves públicas dos pares máis os metadatos do endpoint seguen identificando mesmo sen elas. Os perfís de OpenVPN poden incrustar bloques <key> e <tls-crypt> ou apuntar a ficheiros separados que viaxan co perfil. O arquivo de soporte dun cliente pode conter moito máis do que mostra a xanela de rexistro, incluídos perfís na caché que esqueceras que existían. As capturas de pantalla son a outra fuga habitual, porque unha xanela de terminal mostra máis que o comando que querías compartir.

Le a documentación de exportación e despois abre o ficheiro. Unha saída etiquetada como diagnóstico non foi necesariamente limpa de nada.

Redacta e despois envía unha copia revisada

Garda o orixinal nun lugar protexido e envía unha copia revisada. Substitúe endpoints e claves públicas por marcadores estables cando non fagan falta os valores reais, e elimina os bloques de clave privada por completo en lugar de ocultalos parcialmente. A ocultación parcial dun blob base64 segue a ser unha clave filtrada. Le o ficheiro unha vez máis antes de que saia, porque os arquivos adoitan levar unha segunda copia do mesmo perfil.

Usa unha canle verificada e comproba quen a recibe antes de adxuntar nada.

Se unha clave xa se filtrou

Borrar a mensaxe non recupera as copias que outros xa teñen. Rota a identidade mediante o proceso de revocación e substitución do operador e trata a clave antiga como comprometida desde o momento en que se enviou. A maioría dos operadores substituirán rapidamente a identidade dun cliente en canto se informe da exposición, e o informe é a parte que a xente apraza.

A mesma regra aplícase a unha clave pegada nun tíquet, unha captura de pantalla ou un fío de chat. A rotación é a solución; borrar é limpeza.