8. Resolución de problemas
Síntomas, en el orden en que los trabajaría un ingeniero de soporte. El principio que hay debajo de todos ellos: encuentre el primer punto en el que la realidad difiere de lo que espera, y deje de adivinar ahí.
El método
- ¿Qué ha cambiado? System → Configuration → History registra cada cambio y quién lo hizo. La mayoría de las averías tienen veinte minutos.
- ¿Funciona el propio equipo? Dashboard: servicios en marcha, pasarela activa, disco no lleno.
- ¿Dónde se detiene el tráfico? Firewall → Log Files → Live View muestra lo que llega y lo que se hace con ello. Si un paquete no aparece, nunca llegó al equipo.
- ¿Qué dijo el servicio? Cada servicio tiene una página de registro, y la página de estado que hay al lado suele responder la pregunta en una línea.
Sin internet desde la LAN
El equipo llega a internet; los clientes no.
- ¿Tiene dirección el cliente? Services → Kea DHCP → Leases DHCPv4. Sin concesión, el problema es el DHCP y no el enrutado: ¿está activado el servidor en esa interfaz, está el rango dentro de la subred, hay un segundo servidor DHCP en el segmento?
- ¿Es el equipo su pasarela? Compruébelo en el propio cliente.
- ¿Resuelve nombres? Si los nombres fallan y las direcciones funcionan, es el DNS: revise Services → Unbound DNS → General (¿responde el resolutor en esa interfaz, y su lista de acceso permite esa red?).
- ¿Lo bloquea una regla? Firewall → Log Files → Live View, filtrado por la dirección del cliente. Una interfaz nueva empieza sin nada permitido: una VLAN recién creada y sin reglas se comporta exactamente como una red rota.
- ¿Se está traduciendo el tráfico? Firewall → NAT → Source NAT: una red que el equipo no traduce sale con una dirección de origen privada y no vuelve nada.
Una redirección de puertos no funciona
Trabaje hacia fuera, en este orden:
- Firewall → Log Files → Live View — ¿llega el paquete a la WAN? Si no, el problema está arriba: su proveedor, un módem en modo router u otro cortafuegos delante.
- ¿Aparece como bloqueado? Entonces la regla de cortafuegos que acompaña a la redirección falta, está desactivada o está por debajo de una regla que bloquea.
- ¿Aparece como permitido y el cliente sigue sin recibir nada? El servidor interno no está escuchando, o tiene su propio cortafuegos.
- ¿Está probando desde dentro? Un cliente de la LAN que llega a la dirección de la WAN sigue otro camino. Pruebe desde fuera.
Una VPN no se levanta
WireGuard — VPN → WireGuard → Status:
- Sin saludo: los dos extremos no se alcanzan. Revise la regla de la WAN para el puerto de escucha y la dirección del extremo en el lado que inicia.
- Saludo pero sin tráfico: enrutado o reglas. Las allowed IPs deben cubrir las redes en ambos sentidos, y la interfaz del túnel necesita reglas.
IPsec — VPN → IPsec → Log File, leído desde el final. El último mensaje antes de rendirse nombra la discrepancia: las propuestas (cifrado y grupo DH) o los selectores de tráfico, y los dos extremos tienen que coincidir exactamente.
OpenVPN — VPN → OpenVPN → Connection Status y su registro. Un cliente que se conecta y es expulsado al instante suele tener un problema de certificado: caducado, revocado o emitido por otra autoridad.
Se ha quedado sin acceso al panel
- ¿Dirección equivocada? System status en la consola muestra la dirección del panel.
- ¿Puerto o interfaz equivocados? System → Settings → Administration puede mover el panel; la consola muestra dónde ha acabado.
- ¿No acepta la contraseña? Menú de la consola, Reset the root password: fija a la vez la contraseña de la consola, la de SSH y la del panel web.
- ¿Una regla que acaba de escribir? El equipo se da cuenta cuando un cambio ha dejado fuera a su administrador y revierte ese cambio por sí solo. Si no lo ha hecho, use la consola: Reload all services, o System → Configuration → History para volver un paso atrás una vez dentro.
- ¿No funciona nada y la máquina está lejos? Para eso están el menú de la consola y una copia de seguridad de la configuración. Restablecer los valores de fábrica es el último recurso, y lo borra todo.
Un servicio no arranca
- System → Diagnostics → Services — ¿está activado y en qué estado está?
- Su propia página Log File — el motivo casi siempre está en las últimas líneas.
- System → Log Files → Boot — si falla al arrancar, aquí está el relato ordenado del porqué.
Dos causas recurrentes: un puerto ya en uso (dos servicios configurados para responder al DNS en la misma interfaz, por ejemplo) y un certificado que falta (un servidor VPN que apunta a un certificado que se borró).
El equipo va lento
- System → Diagnostics → Activity — qué está usando la CPU.
- Firewall → Diagnostics → Statistics — estados en uso frente al límite. Acercarse al límite explica las conexiones que fallan bajo carga.
- Dashboard → Resources — memoria y disco. Un disco lleno lo vuelve todo extraño.
- Con el motor de seguridad: la inspección cuesta CPU. Security and Policy → Live Sessions muestra lo que se está inspeccionando, y una exclusión para el tráfico masivo (copias de seguridad, vídeo) suele recuperar más que cualquier ajuste fino.
La hora es incorrecta
Services → Network Time → Status muestra si hay un servidor realmente seleccionado y cuál es el desfase. Un reloj incorrecto rompe la validación de certificados, la negociación de la VPN y cada marca de tiempo en la que confiará más adelante: corríjalo antes de investigar nada que dependa de él.
Qué enviar al soporte
- La versión — System → Firmware → Status.
- La lista de paquetes — System → Firmware → Packages.
- La página de registro pertinente, descargada como texto.
- Qué esperaba, qué ocurrió y cuándo funcionó por última vez.
- Una copia de seguridad de la configuración solo si se la piden, y por un canal de confianza: contiene todos los secretos del equipo.