El espejo de Tsinghua está configurado en pyproject.toml:

2.2 Preparar la configuración de activos

Luego actualiza fleet.env con tus hosts y credenciales reales.

2.3 Ejecutar

3. Estructura del Proyecto

4. Referencia de Configuración de fleet.env

El formato es CLAVE=VALOR. Las líneas vacías y los comentarios con # se ignoran.

4.1 Claves globales

MODE

• Modo de ejecución.
• Valores:
  • audit: solo detección, sin remediación.
  • fix: detección y ejecución del flujo de remediación.
• Predeterminado: audit

AUTO_REBOOT

• Si se debe reiniciar el host automáticamente después de una remediación exitosa.
• Valores: 0 o 1
• Predeterminado: 0
• Solo tiene efecto cuando MODE=fix.

SSH_TIMEOUT

• Tiempo de espera de conexión/autenticación SSH (segundos).
• Tipo: entero
• Predeterminado: 12

MAX_WORKERS

• Tamaño de concurrencia de la flota (trabajadores del grupo de hilos).
• Tipo: entero
• Predeterminado: 8

REPORT_DIR

• Directorio de salida para los informes generados.
• Tipo: ruta relativa o absoluta
• Predeterminado: ./reports

PROGRESS_HEARTBEAT_SECONDS

• Intervalo de latido para registros de progreso en tiempo real.
• Tipo: entero (segundos)
• Predeterminado: 5

DEVICE_MAX_DURATION_SECONDS

• Tiempo máximo total de ejecución por dispositivo antes de advertencias de tiempo de espera/estancamiento.
• Tipo: entero (segundos)
• Predeterminado: 1800

PROGRESS_LOG_TO_FILE

• Si se deben persistir los registros de progreso en REPORT_DIR.
• Valores: 0 o 1
• Predeterminado: 1

FLEET_COUNT

• Cantidad de ranuras de dispositivos. El cargador analiza 1..FLEET_COUNT.
• Tipo: entero
• Si DEVICE_n_HOST está vacío, esa ranura se omite.

4.2 Claves por dispositivo

Cada host usa el prefijo DEVICE_{n}_, como DEVICE_1_*, DEVICE_2_*.

DEVICE_n_NAME

• Nombre para mostrar en los informes.
• Opcional. Si está vacío, se usa automáticamente device_n.

DEVICE_n_HOST

• IP del host de destino o nombre DNS.
• Requerido para esa ranura.

DEVICE_n_PORT

• Puerto SSH.
• Predeterminado: 22

DEVICE_n_USER

• Usuario SSH.
• Predeterminado: root

DEVICE_n_PASSWORD

• Autenticación por contraseña SSH.
• Usar junto con o en lugar de DEVICE_n_KEY.
• El script solo usa credenciales establecidas explícitamente en fleet.env.

DEVICE_n_KEY

• Ruta de la clave privada SSH.
• Ejemplo: ./keys/node-1_ed25519
• Si tanto DEVICE_n_PASSWORD como DEVICE_n_KEY están vacíos, la conexión falla rápidamente.

DEVICE_n_SUDO_PASSWORD

• Contraseña de sudo para usuarios no root.
• Se usa para comandos de remediación.

4.3 Ejemplo completo

5. Modos de Ejecución

5.1 Modo auditoría (primera pasada recomendada)

Comportamiento:

• Conectarse a los hosts
• Recopilar pistas de kernel/módulo/parche
• Clasificar el estado de riesgo
• Generar informes

5.2 Modo corrección

Comportamiento:

• Aplicar primero la mitigación temporal:
  • escribir /etc/modprobe.d/disable-cve-2026-31431-algif-aead.conf
  • intentar descargar algif_aead
• Ejecutar la actualización de kernel específica de la distribución
• Reinicio opcional según AUTO_REBOOT

6. Definiciones de Estado

SAFE

• Se encontraron pistas de parche y algif_aead no está cargado.

MITIGATED

• Se encontraron pistas de mitigación mientras las pistas de parche siguen sin estar claras.

NEEDS_PATCH

• algif_aead está disponible/cargado y faltan pistas de parche.

UNKNOWN

• No hay suficiente evidencia para clasificar.

FAILED

• Falló el inicio de sesión SSH o la ejecución de comandos.

7. Salidas de Informes

Cada ejecución genera 3 archivos en REPORT_DIR:

• cve_2026_31431_<timestamp>.json
• cve_2026_31431_<timestamp>.csv
• cve_2026_31431_<timestamp>.md
• progress_<timestamp>.log (registros de progreso y latido en tiempo real)

Campos principales:

• name, host
• status
• kernel, os
• algif_loaded, algif_available
• patch_hint
• fixed, rebooted
• error

8. Notas de Seguridad

• No confirmes fleet.env ni claves privadas.
• Usa cuentas operativas con privilegios mínimos cuando sea posible.
• Toma instantáneas/copias de seguridad antes de la remediación en producción.
• Despliegue recomendado: audit -> fix -> re-auditoría.

9. Solución de Problemas

ModuleNotFoundError: No module named 'paramiko'

• Ejecuta uv sync.

Muchos hosts están en FAILED

• Verifica conectividad, credenciales SSH, permisos de sudo y estado de la clave del host.

BadHostKeyException

• La huella digital del host entra en conflicto con el registro actual de known_hosts.
• Esto no es una alternativa de autenticación por clave del sistema; la autenticación sigue usando solo las credenciales de fleet.env.
• Verifica la identidad del host fuera de banda y luego actualiza known_hosts:
  • ssh-keygen -R <host>
  • ssh-keyscan -H <host> >> $env:USERPROFILE\.ssh\known_hosts

Server ... not found in known_hosts

• El modo estricto de clave de host está habilitado y falta la huella digital del host.
• Agrega la clave del host a known_hosts y vuelve a ejecutar.

El kernel se actualizó pero el estado sigue siendo riesgoso

• Puede ser necesario reiniciar para arrancar con el kernel parcheado.