Qué envía el servidor

1. Cuándo

Sólo envía algo el servidor. El agente que corre en tus máquinas no envía nada a nadie. El servidor envía en tres momentos:

• Al terminar lnkstart server setup, bien o mal: un aviso con el paso al que llegó y cómo acabó (apartado 3). Es lo único que sabemos de quien intenta instalar y no lo consigue.
• Una vez al día, el primero entre 1 y 5 minutos después de arrancar: el informe de abajo, que es lo que enseña el panel de tu cuenta. Un servidor sin registrar envía el mismo informe sin licencia, identificado sólo por el número aleatorio de su instalación.
• Al renovar la licencia, en su último mes de validez, y como mucho cada 6 horas si la renovación falla.

Aparte, una vez al día el servidor mira si hay una versión que corrige un fallo grave publicada como forzada, la única que se instala sola: baja el manifiesto firmado de la última versión y no envía nada, como lnkstart update --check. Se para con sudo lnkstart server forced-fixes off.

Cómo se apaga. lnkstart server setup --no-telemetry escribe telemetry = "off": no sale ni el aviso de instalación ni el informe diario, con licencia o sin ella. La licencia sigue renovándose sola, y la renovación lleva sólo lo del apartado 4. Con license.auto_renew = false no se envía nada nunca, ni siquiera la renovación, ni se mira si hay un arreglo forzado: la licencia caduca y el servidor sigue sirviendo; sólo deja de recibir actualizaciones. Si el servidor ya tiene configuración, setup la lee antes del primer paso: con cualquiera de las dos, no manda el aviso aunque se pare antes de llegar a ella, y si no la puede leer, tampoco.

Lo recibido se guarda 90 días, también los avisos de instalación y los informes sin registrar; lo anterior se borra solo cada día.

Puedes ver exactamente lo que se enviaría, en tu propio servidor, con lnkstart server telemetry.

2. A dónde

Al servicio de LnkStart, por HTTPS. Con licencia: https://lnkstart.com/api/licenses/renew y …/heartbeat, o la dirección que pongas en license.url de tu configuración. Sin licencia de por medio: https://lnkstart.com/api/telemetry/setup para el aviso de instalación (esté o no registrado) y …/api/telemetry/report para el informe diario de un servidor sin registrar.

3. Qué, al instalar

• installId — un número aleatorio que se genera la primera vez y se guarda en install.json (uno de un solo uso si todavía no se puede guardar). setup sólo lo reserva: los 30 días sin registrar empiezan cuando arranca el servidor. Nunca viaja junto a la licencia ni al correo: el aviso de instalación no los lleva, y el informe diario de un servidor registrado no lleva este número.
• serverVersion, os, arch — versión del servidor, sistema operativo y arquitectura.
• front — cómo le llega el tráfico: direct (el servidor tiene los puertos 80 y 443), sni_proxy (detrás de un proxy que no descifra) o behind_proxy (detrás de nginx o Caddy).
• step — el último paso al que llegó: machine, ports, dns, config, license o service.
• result — cómo acabó, en código: ok, ok_unregistered (terminó, pero el servicio de licencias no dio la licencia), register_failed (terminó, pero el registro falló), acme_failed (terminó sin el certificado del propio servidor), not_linux, not_root, no_systemd, already_running, port_80_busy, port_443_busy, sni_ports_busy, tcp80_blocked, tcp443_blocked, dns_unresolved, dns_mismatch, config_failed, user_failed, service_failed, not_listening u other.

Ni el dominio, ni el correo, ni la IP: sólo estos siete campos.

4. Qué, siempre

Cada día y al renovar; también con telemetry = "off", al renovar.

• license — la clave de licencia, que lleva el correo con el que se registró. Un servidor sin registrar envía en su lugar installId.
• serverVersion, protocolVersion — versión del servidor y del protocolo.
• os, arch — sistema operativo y arquitectura, como linux y x86_64.
• uptimeSecs — segundos desde que arrancó el proceso del servidor.
• agentsConnected, agentTokens, services — recuentos.

5. Qué, con telemetry = "full"

Es lo que viene por defecto. Con telemetry = "minimal" no se envía nada de esto. Todo son recuentos y totales. «Del día» es desde el informe diario anterior que llegó; si el proceso se reinicia, empieza de cero, como los totales.

• tlsMode — acme, manual u off.
• servicesWithPassword, servicesWithAccessToken, servicesWithFallbackRedirect, servicesOnFullHosts — cuántos servicios usan cada función.
• servicesTcp, servicesUdp, servicesBalanced — cuántos servicios son TCP, UDP, o los sirven varias máquinas a la vez. Sólo recuentos: nunca puertos ni listas de permitidos.
• agentsQuic, agentsWebsocket — por qué transporte están conectados los agentes.
• agentVersions — las versiones distintas de agente conectadas.
• agentPlatforms — cuántas máquinas conectadas hay de cada plataforma (linux-x86_64, macos-aarch64…), de una lista cerrada de sistemas y arquitecturas: cualquier otro valor se cuenta como other, nunca se copia.
• quicListening — si el servidor pudo abrir QUIC (UDP 443).
• firstMachineAfterSecs, firstVisitAfterSecs — segundos desde el primer arranque del servidor hasta la primera máquina conectada y hasta la primera vez que una app respondió a un visitante por el túnel (HTTP, TCP o UDP). Faltan mientras no los haya.
• certsValid, certsExpiringSoon — cuántos certificados HTTPS tiene, y cuántos caducan en menos de 14 días. Sólo recuentos: ni un nombre.
• acmeFailures — fallos del día al pedir certificados a Let's Encrypt, por tipo: rateLimited, challenge (no pudo validar el dominio) y other.
• requestsToday, bytesInToday, bytesOutToday, unavailablePagesToday — peticiones, bytes y páginas de «no disponible» del día.
• tunnelLatencyMsP50, tunnelLatencyMsP95 — lo que añade el túnel: el tiempo de ida y vuelta entre el servidor y sus agentes, en milisegundos (mediana y percentil 95 del día). Se cuenta por tramos y sale el límite del tramo: exacto hasta 10 ms, con un 15 % de margen como mucho hasta 200 ms y más grueso hasta 10 s, que es el máximo. Faltan sin muestras.
• memoryRssMb — la memoria que ocupa el proceso del servidor al hacer el informe, en MB. Sirve para ver si algo crece sin parar (una fuga) en servidores que no son nuestros. Sólo en Linux; en otro sistema falta.
• handshakeRejections — máquinas rechazadas al conectar en el día, por motivo: badToken, revoked, protocol (versión incompatible), nameTaken, lapsed (sin registrar, pasados los 30 días) y other.
• requestsTotal, bytesInTotal, bytesOutTotal, unavailablePagesTotal, agentConnectionsTotal, handshakeRejectionsTotal, internalErrorsTotal — totales desde que arrancó el proceso del servidor.

6. Qué no, nunca

IPs de visitantes o de agentes · URLs, rutas o consultas · cabeceras o contenido · nombres de servicio, hosts o dominios · nombres de máquina o etiquetas de token · puertos, tampoco los públicos de TCP y UDP · IPs internas · listas de permitidos · contraseñas o tokens, ni siquiera con hash.

Cómo tratamos el correo que lleva la licencia está en la política de privacidad.