Registros y diagnóstico de fallos

Cuando un túnel no se levanta, la pasarela que responde suele devolver un mensaje de error con nombre propio, y ese nombre ya es medio diagnóstico. En IKEv2 tres son muy frecuentes:

• NO_PROPOSAL_CHOSEN: ninguna de las propuestas (cifrado, integridad, grupo) que ofreció un extremo es aceptable para el otro.
• AUTHENTICATION_FAILED: el extremo no pudo demostrar quién es: clave equivocada, certificado vencido o no reconocido.
• TS_UNACCEPTABLE: las redes que cada lado quería proteger (los selectores de tráfico) no coinciden.

Cada uno apunta a una familia de causas distinta, y eso es lo que evita tocar cualquier parámetro «a ver si sube».

La tabla registro_ike es un extracto de los registros de las pasarelas, con hora, túnel, evento y detalle. Busca el túnel que, en lugar de subir, repite el error que dice que las dos puntas no comparten ninguna propuesta.

El detalle del error de selectores dice qué red declaraba cada lado. Una diferencia así (una máscara más ancha en un lado que en el otro) casi siempre nace de una ampliación hecha en una sola pasarela.

Ahora el registro del acceso remoto (registro_acceso). Una secuencia que se repite en los ataques a segundo factor es la fatiga de MFA: el atacante, que ya tiene la contraseña, la prueba una y otra vez hasta que la persona, cansada de las notificaciones del teléfono, acaba aprobando una.

Esa lectura se hace desde la defensa: se busca la cuenta cuyo patrón de rechazos y no respuestas termina en un acceso aprobado, todo desde la misma dirección.

El acceso de esa cuenta fue aprobado, y eso no lo vuelve legítimo: puede ser la persona o puede ser quien insistió hasta que alguien aprobó. Lo primero es confirmarlo con la persona por otro canal; lo siguiente, cerrar lo que el acceso abrió.