La configuración del registro decide qué podrá discutirse después

Resumen

• La ausencia de un mensaje no demuestra por sí sola que el evento no ocurrió. Puede haber sido excluido antes de salir del equipo o perdido durante la entrega y la conservación.
• RFC 9742 permite configurar selectores distintos para consola, archivos y destinos remotos. El nivel de gravedad no equivale a la futura importancia probatoria del contexto.
• El modelo común facilita identificar diferencias; no garantiza capacidades equivalentes, una duración de conservación ni una historia completa del incidente.

La pregunta que un archivo ya no permite responder

Supongamos que el archivo remoto conserva los errores de autenticación y la caída posterior, pero no un mensaje menos urgente sobre una intervención previa. Sin ese contexto, puede resultar imposible distinguir una modificación legítima de otra explicación. Es un ejemplo hipotético. No exige que el sistema de registro haya fallado: el selector pudo haber excluido el mensaje de forma deliberada y correcta.

La investigación comienza entonces con una decisión anterior sobre qué historia estaría disponible. «No encontramos evidencia» necesita indicar en qué salida se buscó, qué población de mensajes podía entrar allí y hasta cuándo sobrevivían sus copias.

RFC 9742, publicado en abril de 2025 en la vía de estándares de IETF, define el modelo YANG ietf-syslog. Proporciona una representación común de la configuración hacia consola, archivos locales y relays o collectors remotos. Su publicación no acredita adopción por un proveedor ni funcionamiento en un equipo concreto.

Una configuración válida demuestra una política expresada dentro de un esquema. No demuestra generación exhaustiva de eventos por la aplicación, aplicación efectiva de la política, entrega al receptor ni persistencia posterior. Son afirmaciones distintas, con evidencias distintas.

Qué selecciona cada salida

Los selectores se asocian por separado a consola, archivo identificado y destino remoto identificado. Por eso, dos archivos del mismo dispositivo pueden diferir sin que ninguno contradiga su configuración. La frase «syslog está habilitado» deja sin resolver para qué mensajes y hacia qué salida.

Por defecto, el filtro de gravedad incluye la gravedad especificada y las de mayor urgencia, cuyos códigos numéricos son menores. Un umbral error no significa únicamente mensajes exactamente iguales a error. También puede excluir contexto menos urgente que después resulte esencial. La clasificación inicial expresa urgencia, no todas las preguntas que una investigación futura planteará.

Existen valores explícitos all y none. La función opcional select-adv-compare habilita equals y equals-or-higher, con acciones log, block y stop; esta última detiene el procesamiento ulterior de ese mensaje. En el contenedor avanzado, los valores predeterminados son equals-or-higher y log. Describir solo el nivel oculta si se usó igualdad, umbral o bloqueo.

La selección por expresión regular requiere select-match. El módulo normativo define pattern-match como una expresión POSIX sobre SYSLOG-MSG, el mensaje syslog completo, no solamente su texto final MSG. Cuando se configuran tanto facility como patrón, deben coincidir ambos. Una selección aparentemente amplia puede quedar estrechada por la segunda condición.

De ahí que un cambio de formato o redacción de la aplicación pueda importar aunque la significación operativa del evento siga igual. Su efecto debe comprobarse en la implementación correspondiente. Aquí no se ha ensayado un motor de expresiones ni se afirma un orden universal de evaluación de todas las listas. Reducir ruido puede eliminar también un mensaje capaz de distinguir dos causas; eso merece una decisión explícita, no una equivalencia automática entre menor urgencia y menor valor.

Cuánto pasado cabe no es cuánto pasado se garantiza

La conservación local introduce otra frontera. file-limit-size condiciona los parámetros de número máximo de archivos retenidos y tamaño máximo; el número tiene valor predeterminado uno. file-limit-duration condiciona rollover y retention, expresados en minutos. El estándar no impone una cifra obligatoria de conservación de evidencia.

Rollover describe el cierre del archivo activo cuando llegan eventos después del intervalo. Retention se refiere a archivos completados o cerrados antes de eliminarlos. No es una garantía individual de que todo evento permanecerá recuperable durante ese tiempo desde su ocurrencia. Sin límites de archivo suministrados, operan los definidos por la implementación.

El apéndice B.3 ofrece orientación informativa sobre nombres, rotación y eliminación, sin imponer un algoritmo ni demostrar la prioridad exhaustiva de límites combinados. Multiplicar cantidad por tamaño no proporciona un horizonte temporal cierto. Compresión, tamaño de eventos, cómputo de archivos y otros límites alteran el resultado.

Una ráfaga puede consumir más rápidamente el espacio acotado y reducir el pasado consultable. Es un mecanismo de capacidad, no una medición presentada aquí. La política puede permanecer idéntica mientras la cobertura histórica retrocede justo cuando se multiplican los síntomas. Aumentar el presupuesto después no recupera automáticamente lo ya descartado.

Además, el archivo local puede compartir la falla física del dispositivo. Un destino distante modifica esa dependencia, pero obliga a distinguir el trayecto de entrega de la conservación del collector. Ningún parámetro local resuelve la política de eliminación del receptor.

La conexión segura tiene un alcance limitado

Cada entrada de destino remoto debe elegir UDP o TLS, con listas de direcciones dentro del caso seleccionado. Los puertos predeterminados son 514 y 6514. Esta elección corresponde a esa entrada; no debe interpretarse como una obligación de que todos los destinos con nombres distintos empleen el mismo transporte.

RFC 5426 advierte sobre la entrega UDP no fiable: puede haber pérdidas sin aviso y el orden de llegada no establece una secuencia autorizada de eventos. TLS protege confidencialidad e integridad del salto cuando se autentica y autoriza adecuadamente. Según RFC 5425, sección 3, la identidad del emisor de transporte no tiene por qué corresponder al HOSTNAME del contenido. Una conexión con un relay confiable no verifica automáticamente cada atribución que este transmite.

La sección 6.3 señala que no hay confirmación de aplicación. Una conexión interrumpida puede impedir al emisor saber qué mensajes alcanzaron la aplicación receptora. Recepción, almacenamiento duradero y verdad semántica siguen separados. TLS tampoco puede recuperar mensajes eliminados por un filtro previo.

El campo estructurado merece el mismo cuidado. La función opcional structured-data se usa en acciones de archivo y remotas; su booleano predeterminado es false. False escribe NILVALUE, mientras true escribe uno o más elementos estructurados. RFC 5424 distingue ese campo analizable del texto opcional. Activarlo no inventa datos ausentes ni certifica su significado; desactivarlo puede quitar contexto que otro consumidor necesitaba.

Lo declarado y lo utilizado

YANG Library, RFC 8525, identifica revisiones, funciones admitidas, deviations y esquemas por datastore. Las condiciones if-feature vinculan los nodos a la capacidad del servidor. El nombre ietf-syslog no basta para acreditar expresiones regulares o retención temporal. Declarar una diferencia permite conocerla, no convierte esa diferencia en equivalencia.

RFC 9742 también advierte en B.1 que facilities extendidas pueden no funcionar con RFC 5424 y servir solo para registro local similar a syslog. Una clasificación local no es necesariamente portable. facility-override sustituye la facility enviada, y la interfaz de origen opcional elige salida de red sin autenticar una identidad institucional.

Por su parte, RFC 8342 separa intended —configuración transformada que se intenta aplicar— de operational, que contiene lo efectivamente utilizado y estado del sistema, con salvedades de implementación y reporte. Una comparación revela diferencias presentes; una captura posterior a la reparación no prueba sola el ajuste durante la falla.

La aportación de RFC 9742 es hacer discutibles estas decisiones mediante un vocabulario compartido. No ofrece cadena de custodia, auditoría automática ni registro exhaustivo. Mientras selección, estado efectivo, entrega y preservación permanezcan desconocidos, el silencio describe primero el archivo disponible, y solo de forma limitada el mundo que ese archivo pretende representar.