¿Por qué dejaron de llegar las lecturas? Cuando el cliente apaga SNMP v1 y v2 por seguridad

Qué es lo que apagan, y por qué tienen razón

Las lecturas automáticas de un parque de impresión viajan por SNMP, el protocolo con el que un equipo de red cuenta lo que sabe de sí mismo. El contador de páginas es uno de esos datos: el estándar del sector lo define como un valor acumulado que persiste durante toda la vida del equipo.

El problema no es SNMP, son sus dos primeras versiones. La 1 y la 2c se autentican con una cadena de comunidad —una contraseña compartida— que viaja en texto plano. Cualquiera con acceso a la red puede leerla. La documentación del propio estándar es contundente: las califica de «fundamentally insecure».

Conviene decirlo sin rodeos, porque cambia el tono de toda la conversación: el área de sistemas de tu cliente no se equivocó. Está haciendo su trabajo, y lo está haciendo bien.

Lo que se rompe, y lo que no

De ahí viene lo traicionero del asunto: no deja de imprimirse, deja de cobrarse. No llega como una falla —llega como un hueco en la facturación del mes, y para entonces ya pasaron semanas.

Por qué te enteras tan tarde

Porque un equipo que deja de responder no genera ningún registro. No hay error, no hay alerta, no hay línea en ninguna bitácora: simplemente deja de aparecer en el reporte.

Si lo que miras es lo que llegó, el silencio es invisible. Sólo se nota si preguntas al revés:

«¿Qué equipos llevan más de X días sin reportar?» — ése es el reporte que caza esto, y hay que mirarlo antes del corte, no durante el cierre.

La diferencia es concreta: un lote detectado tres días antes del corte se resuelve con una llamada al área de sistemas. Detectado el día de facturar, se resuelve estimando — y una estimación es una factura que el mes que viene hay que corregir.

Qué pedirle al área de sistemas (y qué no)

El error más caro en esta conversación es pedir que vuelvan a encender la versión vieja. Es pedirle a alguien que deshaga una medida de seguridad que acaba de justificar ante su jefe; la respuesta será no, y de paso quedas como el proveedor que pide excepciones.

Lo que sí se puede pedir, y encaja con su política:

1. Credenciales de SNMP versión 3 para los equipos bajo contrato: un usuario, una contraseña de autenticación y una de cifrado. Es lo que la versión 3 añadió, y es exactamente lo que su política busca.
2. O una regla que permita las consultas sólo desde la dirección de tu recolector. Si por alguna razón no pueden dar credenciales v3, acotar por origen es la alternativa razonable.
3. Que te avisen antes de la próxima vez. Vale la pena dejarlo por escrito en el contrato o en el acta de instalación: un cambio en la red que afecte la recolección de contadores se avisa, porque afecta la facturación de las dos partes.

Los equipos que no pueden hacerlo

Hay máquinas —sobre todo las de más años— que sencillamente no soportan la versión 3. Para ésas no hay negociación posible por ese camino, y conviene aceptarlo pronto en vez de perder dos semanas intentándolo.

• La plataforma del fabricante, si el equipo puede reportarse a ella. El dato ya existe; sólo hay que dejar que llegue.
• Que el propio equipo envíe su contador, si su firmware lo permite sin software adicional.
• Captura en campo, aprovechando las visitas que ya haces.

Lo importante es marcarlos como lo que son —un grupo con otro procedimiento— y no dejarlos mezclados con los automáticos, donde desaparecen en silencio otra vez.

Una advertencia práctica sobre migrar a la versión 3

Esto sorprende a casi todos la primera vez: el usuario y las claves de SNMP v3 se configuran equipo por equipo. No es una casilla en un servidor central: en un parque de cientos de máquinas es un trabajo de campo.

Dos recomendaciones que ahorran meses:

• Aprovecha visitas ya programadas en lugar de organizar un recorrido aparte, que suele quedarse a medias.
• Registra por número de serie cuáles quedaron migrados, y cuáles no pueden. Ese registro es el que te dice, el mes siguiente, si el hueco se cerró o sólo se movió.

Qué hacer esta semana

1. Saca el reporte de equipos sin reportar de los últimos 30 días. Si hay un lote del mismo cliente que calló el mismo día, no es casualidad: es un cambio de red.
2. Llama antes de facturar, no después. La conversación es completamente distinta cuando no hay todavía una factura mal hecha de por medio.
3. Pregunta a tus clientes grandes si tienen una revisión de seguridad programada. Enterarte antes convierte una urgencia en una tarea planeada.
4. Comprueba qué versión de SNMP habla tu propio recolector. Si sólo habla v1 y v2c, este problema no es de tus clientes: es tuyo, y llega solo.

Fuentes

• RFC 3410 — §8.2: las versiones 1 y 2c autentican con cadenas de comunidad en texto plano y son, en sus palabras, «fundamentally insecure».
• RFC 3805 — Printer MIB v2 — define el contador acumulado del marcador (`prtMarkerLifeCount`) y que su valor persiste durante toda la vida del equipo.

Consultadas el 22 de septiembre de 2026.