+ Administración Windows Server 2003 Técnico en Administración de Sistemas y Redes TCP/IP Modulo 2. Administración básica de sistemas Windows Server + Parte 1. Windows Server 2003 Instalación, Administración y Configuración Administración Windows Server 2003 + Índice Parte 1 – Admin WS2003 Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo + Introducción Windows Server 2003 es Windows XP + Servicios de Servidor ¿Por qué estudiar Windows Server 2003? Fiabilidad Material didáctico y de apoyo Windows 2008 no presenta mejoras demostradas respecto de la R2 + Introducción Las nuevas características de Windows Server 2003 hacen que sea hasta el momento, el sistema operativo Más estable Robusto Escalable Mejor orientado a perfeccionar el rendimiento y prestaciones para distintos roles: Aplicación Servicios web Servicios de directorio Servicios file & print Servicios de infraestructura + Introducción + Ediciones de Windows Server 2003 Existen varias ediciones de Windows Server 2003 Standard Edition Enterprise Edition Datacenter Edition Web Edition Cada edición está orientada a un uso característico de la plataforma, como se ve a continuación + Ediciones de Windows Server 2003 Standard Edition Sistema operativo servidor fiable ideal para satisfacer las necesidades diarias de empresas de todos los tamaños Proporcionando la solución óptima para compartir archivos e impresoras conectividad segura a Internet implementación centralizada de aplicaciones Entorno de trabajo que conecta eficazmente a empleados, socios y clientes Soporta hasta 4 procesadores Posee 4 Gb de Memoria RAM + Ediciones de Windows Server 2003 Enterprise Edition Plataforma preferida para grandes y medianas compañías para implementar aplicaciones de forma segura, así como servicios Web Integra infraestructuras aportando fiabilidad, mejores rendimientos y un elevado valor empresarial Se presenta tanto en 32 como en 64 bit. Soporta hasta 8 procesadores. Hasta 64 Hasta 64 Gb de memoria RAM además permite clustering de hasta 8 de hasta 8 nodos + Ediciones de Windows Server 2003 Datacenter Edition Es el servidor escogido para aplicaciones críticas de negocio así como como las consideradas de misión crítica, que exigen los más altos niveles de uptime, escalabilidad y fiabilidad Se presenta en las versiones de 32 y 64 bit. Permite escalar por encima de las 8 vías o procesadores alcanzando hasta 64 procesadores en paralelo + Ediciones de Windows Server 2003 Web Edition Optimizado específicamente para albergar y servir páginas web Mantiene las funcionalidades esenciales que garantizan la fiabilidad, seguridad y facilidad de gestión Es la edición adecuada para implementar servidores web dedicados a bajo coste + Requisitos de Instalación A continuación se muestran los requisitos del sistema de la familia Windows 2003 Server Requisito Web Edition Standard Edition Enterprise Edition Datacenter Edition 400 Mhz (para X86) 733 Mhz (Itanium) Velocidad mínima CPU 133 Mhz 133 Mhz 133 Mhz (para X86) 733 Mhz (Itanium) Velocidad recomendada 550 Mhz 550 Mhz 733 Mhz 733 Mhz Memoria RAM mínima 128 MB 128 MB 128 MB 512 MB Memoria recomendada 256 MB 256 MB 256 MB Espacio de disco 1,5 GB 1,5 GB 1,5 GB (paraX86) 2 GB (Itanium) 1 GB 1,5 GB (para X86) 2 GB (Itanium) + Nuevas características de Windows Server 2003 R2 Algunas de las nuevas características que presenta W2003 Server R2 respecto a ediciones anteriores son las siguientes: Automated System Recovery Permite recuperar el SO a su estado anterior Utiliza un diskette de información de la configuración y un set de backup Cuando se quiera iniciar el proceso de Recovery se debe tener además el cd-rom de instalación de W2003 Server Volume Shadow Copy Ayuda a recuperar archivos perdidos erróneamente. Para ello guarda versiones anteriores de archivos para su posterior recuperación eliminando la necesidad de recurrir al restore de Backup + Nuevas características de Windows Server 2003 R2 Encrypted File System (EFS) Permite realizar un encriptación del sistema de archivos en forma segura y también que otros usuarios tengan acceso a esos archivos Driver Rollback Esta es una nueva utilidad para el manejo de versiones en Drivers de dispositivos y permite volver a la versión anterior del anterior Driver Reboot Reason Collector “Event Tracker” Esta nueva herramienta permite recolectar para su análisis los motivos por los cuales un Server se reinicia, se apaga, o fue apagado por falta de energía + Nuevas características de Windows Server 2003 R2 + Nuevas características de Windows Server 2003 R2 Novedades en Active Directory ADMT versión 2.0 Active Directory Migration Tool permite migrar passwords desde Windows NT 4.0 a Windows 2000 y Windows Server 2003, o desde Windows 2000 a Dominios Windows Server 2003 Schema La flexibilidad de A. D. ahora permite la desactivación de atributos y definición de clases en A. D. Schema Asimismo se agrega nueva funcionalidad que permite borrado de Schema Group Policy Aparece GPMC (GP Manage Console) que permite administrar múltiples dominios, activar y desactivar políticas, etc. Políticas de Restricción de SW Por medio de estas policies se pueden proteger los entornos de SW no autorizados, especificando el software que si lo está Manejo de Sites Incluye un nuevo algoritmo de Inter-site Topology Generator eliminando la limitación previa de 500 sites a 5.000 + Nuevas características de Windows Server 2003 R2 Novedades en IIS (Internet Information Services) 6.0 Arquitectura de Procesos Fault-Tolerant Aísla web sites y aplicaciones en unidades llamadas “Application pools” Estas proveen una forma conveniente de administrar web sites y aplicaciones Incrementan la confiabilidad Health Monitoring IIS 6.0 chequea periódicamente el estatus de los Aplication Pools y los reinicia automáticamente en caso fallo del web site o aplicaciones dentro de ese AplicationPool, incrementando la disponibilidad Integración con Aplicaciones Ofrece integración con ASP.NET, Microsoft.NET Framework Framework y XML Web Services Pasando a ser la plataforma especialmente diseñada para aplicaciones .NET Seguridad Con IIS 6.0 esta seguro desde su instalación, requiriendo que el administrador habilite las funciones especiales y necesarias para correr el Web Site + Principales Funcionalidades Las principales funcionalidades de Windows 2003 Server R2 son: Domain Controler (Active Directory) Los controladores de dominio almacenan datos del directorio y manejan la comunicación entre los usuarios y los dominios, incluyendo procesos de conexión del usuario, autentificación y búsqueda del directorio Cuando se instala AD en Windows Server 2003 La computadora se convierte en Controlador de Dominio (DC) Los servidores de dominio que no son DC son Servidores Miembro Los servidores no asociados a un dominio se llaman Servidores de Grupo de Trabajo File Server Proporciona una localización central en su red donde puede almacenar y compartir archivos con los usuarios a través de la red + Principales Funcionalidades Print Server Proporciona una localización central en su red, donde los usuarios pueden imprimir Además provee a los clientes los drivers actualizados de las impresora y maneja la cola de impresión y la seguridad DNS Server Es un servicio estándar de internet y de TCP/IP Permite a las computadoras cliente ubicarse en su red y resolver nombres de dominio DNS Una computadora configurada para proporcionar servicios del DNS en una red es un servidor DNS, lo que es necesario para AD + Principales Funcionalidades Terminal Server Provee a computadoras lejanas acceso a los programas en Windows que funcionan en todas las versiones del Server 2003 Se instala una aplicación en un solo punto y en un solo servidor. Los usuarios múltiples, entonces podrán tener acceso a la aplicación sin la instalación de la misma en sus computadoras Servidor DHCP es un estándar IP para simplificar la administración de la configuración IP del Cliente El estándar DHCP permite utilizar los servidores de DHCP para manejar la asignación dinámica de las direcciones y la configuración de otros parámetros IP para clientes DHCP en su red + Qué se puede ejecutar en el sistema MS-DOS Con VDM (Virtual DOS Machine), que emula un 486 (Intel 80486) + MS-DOS No ejecutan aplicaciones con acceso directo a HW Cada aplicación en VDMs distintas = independencia + multitarea Win-16 Con WoW (Windows on Windows) o Win16 VDM Emula 486 + MS-DOS + Win 3.1 No ejecutan aplicaciones con acceso directo a HW Tampoco aplicaciones con llamadas al SO no documentadas Misma Win16VDM para todas las aplicaciones = dependencia + monotarea Win 32, es la interfaz nativa Subsistema POSIX, hasta la versión 1.x + sistema de ficheros NTFS + Índice Windows Server 2003 Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo + Red de Windows Server Puede funcionar como: Grupo de trabajo Dominio + Grupo de trabajo Conjunto lógico de máquinas unidas en red donde una o más máquinas tienen un recurso compartido (ej. Directorio compartido o impresora compartida) SAM Windows 2000 security account manager BD Windows 2000 B BD Windows 95 y 98 no tienen bases de datos de seguridad local Si en A tenemos w2000 y en B también, tenemos dos BBDD de seguridad distintas Los pondremos en el mismo grupo de trabajo escribiendo en ambas BD + Grupo de trabajo Si en A compartimos algo, no basta con que cualquier usuario de B quiera acceder, debido a que son distintas BBDD (en A quizá el usuario de B ni siquiera está dado de alta) Por tanto los usuarios deben estar replicados (en A y en B) A cada recurso se le pueden establecer permisos de acceso concretos para usuarios concretos, mediante ACL (Access Control List), que es una especie de lista de usuarios que lo pueden emplear Ventajas e inconvenientes: Hay que dar de alta a los usuarios en TODAS las máquinas Válido para redes pequeñas (según Microsoft, hasta 10 máquinas) Válido para grupos de personas que “saben lo que están haciendo” + Dominio Conjunto lógico de máquinas unidas en red donde una o más de ellas tienen un recurso compartido y en el que existe una BD de seguridad central + Dominio NT BD de seguridad central Ejemplo: Win NT Server BD Máquina llamada PDC (Primary Domain Controller): Servidor con BD de seguridad central, instalada en 1er lugar W2000 No tiene BD de seguridad local, usa la central Win NT Server Win NT Server BD BD de seguridad central, copia de la original No tiene copia de BD de seguridad local: Servidor miembro (máquina servidora sin copia de BD) Máquina BDC (Backup Domain Controller) cada cierto tiempo se mandan datos del PDC al BDC, para guardarlos los cambios, autenticaciones, consultas, los admite PDC usuarios acceden SOLO al PDC. Si se cae, debemos (como administradores) promocionar el BDC como PDC o copiar sus BBDD es recomendable tener al menos un BDC + Dominio 2000 ó 2003 BD de seguridad central Ejemplo: Win Server 2003 BD Máquina DC (Domain Controller), instalada en 1er lugar W2000 No tiene BD de seguridad local Win Server 2003 Servidor miembro (máquina servidora sin copia de BD) Win Server 2003 BD BD de seguridad central Máquina DC (Domain Controller) del mismo peso y función cada cierto tiempo se replican datos de una a otra y viceversa los cambios, autenticaciones, consultas, …los admiten ambas indistintamente Active Directory almacena objetos (usuarios, direcciones, grupos, impresoras, etc.) + Dominio 2000 ó 2003 Todas las operaciones se pueden hacer en cualquier BD de seguridad central, llamadas Active Directory sin distinción Hay unos 5 papeles concretos que se deben hacer en uno concreto, para evitar problemas de consistencia: Se borra usuario U en S1 Antes de la replicación de esa eliminación entre S1 y S2, U se autentica en S2 y accede… Se solventa como veremos más adelante + Dominio 2000 ó 2003 Se crea una topología de replicación de forma que antes de 30 minutos se complete En esta topología unas BBDD se replican en otras, y así sucesivamente Un dominio implica una BD, n dominios => n BBDD Seg. Central + Dominios y Grupos de Trabajo Cada usuario y cada máquina puede estar sólo en un grupo de trabajo y en un dominio sí puede estar en 1 grupo y en 1 dominio a la vez, pero solo en uno de cada Windows XP Home Edition solo para para grupos de trabajo, no dominios Windows Professional, Vista y 7: Standard Edition: hasta 4GB y 4 procesadores Para redes pequeñas con servicios básicos. Tiene DNS dynamic update control Enterprise Edition: hasta 36 GB y 8 procesadores Redes con más memoria y potencia, uso de clustering Datacenter Edition: hasta 64 GB y 36 procesadores Casi no se usa en todo el mundo Web Edition: para 2 GB y 2 procesadores Para servidores Web sin Active Directory + Active Directory Almacena objetos Necesita unidades organizativas de objetos, ya que no hay límite en el número de los mismos y el AD sería inmanejable Esas unidades organizativas son la mínima unidad en la que podemos delegar, y las gestionan administradores concretos + Dominios múltiples … … … Se pueden tener dominios múltiples dentro de un mismo árbol … En W2003 Server salvo razón de peso nos basta con un solo dominio (99% de las veces) Con administraciones descentralizadas, en varios países, con distinto idioma, … se usarían más dominios Con, por ejemplo, dos oficinas, una en Madrid y otra en Barcelona, nos basta 1 dominio y varios SITIOS (uno en cada ciudad) En un mismo sitio, la replicación es más rápida, y entre sitios más lenta Existe un catálogo global (como páginas amarillas) de todos los dominios de una red Es como la unión de todos los ADs pero solo con la información relevante + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Índice Dominios DNS Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo Windows Server 2003 + Licencias Windows Server 2003 A diferencia de la mayoría de entornos Linux, Windows es de pago, y por tanto es necesario “comprar” el software Windows 2003 cuenta con dos tipos de licencias: Por puesto: cada ordenador tiene su propia licencia, con lo que existe independencia respecto del número de servidores Por servidor: la licencia es para un único servidor DC, y el resto de servidores validan su copia software a través suyo También existen licencias VLP (volume license product), que son licencias para un conjunto de máquinas de forma que no requieren ser activadas mediante las herramientas del sistema + Configuración de un entorno de Servidores Idealmente se comienza creando un dominio. Para ello, se instala un único servidor DC, que crea el Active Directory del dominio Al dar de alta sucesivas máquinas, se añaden al AD y al servidor, con lo que aparecen como servidores miembro En un entorno con 17 máquinas, una, la 1ª, sería DC y las restantes 16 serían servidores miembro Esto implicaría 17 BBDD de Seguridad= 1 central + 16 locales Al autenticarse en una máquina, habrá pues 2 opciones: Hacerlo en el dominio, autenticándonos en el AD En la propia máquina, en la BD de seguridad local Microsoft recomienda emplear el mismo <usuario, password> en la BD local y en el servidor, para que cuando accedamos al AD la autenticación con ese mismo usuario y contraseña sean válidos Si los equipos pasan a ser DCs, sus BBDD locales se pierden y pasan a tener la misma copia de BD de seguridad central + Vistazo a las herramientas administrativas El W2003 Server se emplean usuarios y privilegios de forma parecida a como se usan en Unix Idealmente debemos trabajar con mínimos privilegios, NO como administradores. Visión Lógica Visión Física Herramientas administrativas: AD users & computers – maneja datos de usuario, grupos y equipos AD sites & services – define sitios, equipos en los sitios, DC’s, etc. AD domains & trust – define dominios, y es necesario tener máximos permisos en todos ellos Computer Management – administrador del equipo (Mi Pc > admin) DNS – consola de DNS con las zonas de la máquina, directas e inversas Escritorios remotos MMC + Vistazo a las herramientas administrativas Run MMC MMC (Microsoft Management Console) Se encuentra en primer lugar vacío Se van añadiendo snappings con Archivo > agregar o quitar elementos Ventajas: Podemos crear herramientas específicas para administradores parciales que toquen solo por ej. DNS… Podemos delegar el control de las herramientas a determinados admins de unidades organizativas Así logramos el ideal de mantener MÍNIMOS privilegios + Instalaciones de Windows Server Típicas Arranque desde CD Disquete MS-DOS o Windows 98 (o anterior) + Drivers CD + smartdrv.exe (acelera la copia de archivos) – en a:\> formateando tenemos la opción de crearlo En Windows XP y anteriores hay un directorio, BOOTDISKS c:\> setup bootdisks.exe – crea 4 discos de arranque para comenzar la instalación En red Tenemos un servidor de distribución La carpeta i386 de instalación está completa en el servidor El cliente se conecta al host e instala Para actualizaciones es directo Si no, disco de arranque + drivers de red. Importante conocer herramientas de red de configuración TCP/IP Ficheros ejecutables WINNT.exe para instalar de 0 WINNT32.exe para actualizaciones + Instalación Desatendida de Windows Server Se puede automatizar la instalación, mediante el administrador de instalación setupmgr.exe (en Windows 2003 Server dentro de SUPPORT/TOOLS/deploy.cab) Se “crea” un proceso de instalación, con varias opciones y varios grados de desatendido Durante el proceso se crean 3 ficheros unattend.txt unattend.bat unattend.udf (unique database file) – los ficheros se crean para muchas máquinas y éste contiene la información única de la máquina + Instalación Desatendida de Windows Server ¿Cuál es el proceso en la máquina a instalar? a) Si se trata de una máquina S.O. en el lector de CD unattend.txt se renombra a winnt.sif y se introduce en disquete b) Si se trata de varias máquinas que se deben diferenciar entre sí MS-DOS (en cualquier Windows) + Drivers del CD + smartdrv.exe + todos los ficheros unattend (unattend.*) Y ejecutamos (con el CD del SO metido): unattend <nombre_máquina> + Ejemplo de instalación En esta facultad, por ejemplo, se instala primero una máquina de prueba llamada modelo Se utiliza sysprep.exe Toma la máquina y extrae una imagen de ella Elimina los identificadores que se saben únicos (p.ej. Id del SO) Tras el proceso el disco queda listo para clonar n veces Crea sysprep.inf donde se indica lo que contiene No clona ni copia nada, solo prepara el disco Por último, se emplean terceras herramientas para el clonado Symantec Ghost PowerQuest Drive Image También se puede colgar la imagen en servidor, y que los clientes instalen a través de un minisetup que es el que da los nuevos ID’s de seguridad en el cliente final + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios Índice Windows Server 2003 DNS Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo + DNS en sistemas Windows Sistema de Nombre de Dominio es un sistema de nomenclatura jerárquica para computadoras, servicios o cualquier recurso conectado al internet o a una red privada asocia información variada con nombres de dominios asignado a cada uno de los participantes su función más importante, es traducir (resolver) nombres inteligibles para los humanos en identificadores binarios asociados con los equipos conectados a la red, para poder localizar y direccionar estos equipos mundialmente + DNS en sistemas Windows Los usuarios no se suelen comunican directamente con el servidor DNS La resolución de nombres se hace de forma transparente por las aplicaciones del cliente (por ejemplo, navegadores o clientes de correo 1. Al realizar una petición que requiere una búsqueda de DNS, la petición se envía al servidor DNS local del sistema operativo 2. El sistema operativo, antes de establecer ninguna comunicación, comprueba si la respuesta se encuentra en la memoria caché 3. En el caso de que no se encuentre, la petición se enviará a uno o más servidores DNS (normalmente el proporcionado por el ISP) La dirección de estos servidores puede ser configurada: de forma manual automática mediante DHCP en otros casos, los administradores de red tienen configurados sus propios servidores DNS + Dynamic Host Configuration Protocol Protocolo de red que permite a los nodos de una red IP obtener sus parámetros de configuración automáticamente Datos que un cliente puede obtener por DHCP Típicamente, su dirección IP Dirección del servidor DNS y nombre DNS Puerta de enlace Dirección de Broadcast Máscara de subred MTU para la interfaz Servidores NIS, NTP, SMTP, TFTP, etc… El servidor posee una lista de IPs dinámicas y las va asignando a los clientes conforme van estando libres, sabiendo: quién ha estado en posesión de esa IP cuánto tiempo la ha tenido a quién se la ha asignado después. + DNS en sistemas Windows Ejemplo real de resolución para usuarios de Internet: + DNS en sistemas Windows El dominio se puede ver como un conjunto lógico de objetos Active Directory se relaciona con DNS Se necesita un servidor DNS para que Active Directory pueda funcionar En grandes redes: Se instala primero el servidor DNS y se configura el dominio y un administrador del mismo En pequeñas empresas: Se instala Active Directory en un equipo sin dominio especificado, y durante el proceso nos pide la instalación en paralelo del DNS Los servidores DNS y los dominios Windows usan la misma convención de nombres: FQDN (Full Qualified Domain Name), que es la nomenclatura con path y puntos Las máquinas van a tener el mismo nombre en dominio DNS y en dominio Windows + DNS en sistemas Windows Un dominio Windows es una forma de nombrar máquinas ≠ Dominio de Active Directory que es el límite lógico donde actúa Ejemplo Tipo Nombre NetBIOS Dominio nombre_dominio.es NOMBRE_DOMINIO Máquina curso1. nombre_dominio.es CURSO1. NOMBRE_DOMINIO Jerarquía DNS Root domain Nombre FQDN Por compatibilidad con Win NT Top level domain Second level domain Nombre FQDN + Internet es como un inmenso árbol de redes y dominios, pero existe una raíz, el dominio “root” con máquinas capaces de resolver nombres en el top level domain En dicho dominio existen 13 grandes servidores que suponen ser las raíces de TODO internet 10 en EEUU 1 en Suecia 1 en Londres 1 en Japón Los 13 servidores raíz son una parte del triunvirato denominado por la gente de la ICANN Root Nameserver System Los otros dos componentes son el protocolo DNS y el archivo root zone file, mantenido por Network Solutions en uno de los servidores, y que es accesible desde cualquiera de los 13 restantes En total, en las 13 máquinas hay 7 plataformas de hardware diferentes, con 8 sistemas operativos distintos, procedentes de 5 vendedores. Eso sí, todas son variantes de UNIX, ninguna emplea software de Microsoft + DNS en sistemas Windows Zona es una BD cuyo contenido son asociaciones del tipo nombre_máquina = dirección IP Esa BD es para un dominio DNS o para un dominio DNS y uno o más subdominios Ejemplos de zonas válidas . .es .fi .upm .ls .upm .ls .fi .ls pegaso .fi + Zonas de dominios DNS Windows La BD o zona se denomina muchas veces “zone file” o fichero de zona Al instalar el servidor DNS no contiene ningún fichero de zona, y debemos decir qué zonas va a mantener ese servidor DNS Hay que tener en cuenta que un servidor DNS puede tener más de una zona, y una zona puede estar en varios servidores DNS ¿De qué sirve tener más de un servidor con la misma zona? Balanceo de carga Tolerancia a fallos Se recomienda al menos 2 servidores DNS por zona + Zonas de dominios DNS Windows Cada entrada del fichero de zona se denomina registro (son las asociaciones nombre_máquina = dirección IP que hemos mencionado) Según incluyamos zonas a nuestro servidor DNS, éste cumplirá con uno u otro rol dependiendo de su configuración Roles del servidor Standard Primary – tiene una copia maestra de la zona Standard Secondary – almacena una copia de la zona Nota: una máquina puede cumplir ambos roles a la vez si de una zona tiene copia maestra y de otra una copia de la copia maestra Active Directory Integrated Primary – tiene copia maestra de la zona pero almacenada en AD (y no en fichero de texto) De esta forma podemos manejar un AD y el solo replica los datos = + potencia + Zonas de dominios DNS Windows Maestro y esclavo – está relacionado con las transferencias de zona (maestro envía información, esclavo la recibe) 1ª opción) standard primary 2ª opción) maestro standard secondary zone transfer standard secondary esclavo Los cambios se realizan en el primario y el secundario se actualiza después, y sólo sirve para resolver peticiones pero en él no se gestionan los cambios 3ª opción) maestro AD integrated primary zone transfer zone transfer standard secondary esclavo Se replican datos entre roles secundarios, del mismo nivel jerárquico y a veces son maestros y después esclavos maestro standard secondary esclavo Como en la opción 1ª pero usando AD en vez de ficheros de zona estándar + Zonas de dominios DNS Windows 4ª opción) AD integrated primary maestro/esclavo zone transfer AD integrated primary maestro/esclavo Los cambios se pueden hacer en cualquier AD y se replican solos. Por ello las transferencias van en ambos sentidos, cumplen ambos roles y la replicación corre a cargo del SO Más Potente!!! AD integrated primary DNS1 DNS2 AD integrated primary Nota: Un AD integrated primary y un standard primary NO pueden convivir + Zonas de dominios DNS Windows Más posibles roles del servidor Caching only – no almacenan ningún fichero de zona, sólo resuelven nombres y dicha resolución la guardan en caché durante un tiempo, denominado TTL (time to live) Forwarder (reenviador) – suelen estar configurados como caching only, y resuelven peticiones para clientes u otros servidores DNS del dominio El propio servidor no sabe que él es el forwarder + Ejemplo de resolución DNS Supongamos que desde la máquina “pegaso” queremos conectarnos con “equipo1.sales.msft.com” . .com a) Si la petición está cacheada se la devuelve a pegaso .es .upm .msft b1) Si el servidor ls tiene configurados forwarders .fi .sales .ls equipo1 Servidor DNS pegaso petición equipo1.sales.msft.com. b) Si no… b2) Si el servidor ls tiene configurados roothints + Ejemplo de resolución DNS b1) El servidor de ls pasa la petición al servidor que tenga configurado como forwarder, p.ej. el servidor de fi. Éste a su vez puede estar configurado con forwarders (lo pasa y no hace nada) o como roothints con lo que hará lo dicho en b2 Servidor DNS . Supongamos que éste ya es roothint .com .es .upm .msft .fi Servidor DNS .sales .ls equipo1 Servidor DNS Servidor DNS pegaso petición equipo1.sales.msft.com. + Ejemplo de resolución DNS b2) El servidor de ls solicita a uno de los 13 root servers información sobre .com y se le devuelve la dirección del servidor del dominio .com. A éste último le pregunta por .msft, y así sucesivamente. Al final la consulta contiene el nombre completo del equipo1 y su IP y se la ofrece a pegaso Servidor root DNS . .es .com 1 2 .upm .msft .sales 3 .fi 4 .ls 6 equipo1 Al final el servidor ls cachea la solución Servidor DNS 5 pegaso petición equipo1.sales.msft.com. + Ejemplo de resolución DNS Hay que recordar que puede no haber un servidor de nombres en un dominio, y estar esa información en un servidor de un dominio superior que gestiona una zona con 2 dominios Servidor que sabe de ambos .msft Dominio sin servidor .sales Zona con 2 dominios + Ejemplo de resolución DNS Por tanto debemos configurar los servidores DNS con forwarders o como root hint ¿Cuál escoger? Con forward nos olvidamos de todos los problemas Pasamos la patata caliente Se reduce la carga en la red En determinados puntos organizativos es necesario asumir la responsabilidad Conviene que nuestro dominio DNS se solape con el dominio 2003. Fuera del dominio (hacia arriba) nos da igual, no sabemos nada de dominios Windows, solo de DNS + Zonas de dominios DNS Windows Una vez vistos los posibles roles del servidor DNS atendiendo a las zonas y como funciona la resolución de nombres, vamos a ver que hay distintos tipos de zonas Primarias Secundarias De código auxiliar A su vez cada una de ellas puede ser Forward – se pasa de nombre a dirección IP Reverse – se pasa de dirección IP a nombre En la práctica las herramientas DNS varían: En zonas de búsqueda directa - msdcs.dominio.es (por ej.) dominio.es En búsqueda inversa 10.1.161.x Subnet + Servidor DNS de Microsoft Tiene aspectos diferentes al resto Posee actualizaciones dinámicas Tiene registros de servicio Dominio 2003 Las respuestas se alternan si hay varios servidores de dominio para balancear la carga (A ó B) Servidor DNS Active Directory A Active Directory B 2 El cliente pregunta al servidor DNS por el DC (A ó B). El servidor DNS tiene un registro de servicio para contestar 1 -msdcs.nombre_dominio 3 dc cliente XP -tcp lo preguntamos protocolo + Servidor DNS de Microsoft En las zonas se van incluyendo máquinas cuando en la instalación de éstas se ponga como sufijo DNS la nueva zona Si el sufijo asignado no existe, la máquina no se da de alta en ninguna Instalación del servidor DNS en Windows 2003 1. Instalar componente Windows adicional > DNS (aparece en herramientas) 2. Con el botón derecho se podrán crear zonas En zona directa En zona inversa 3. Con ese botón también se puede conectar con el servidor DNS (mediante login y password) 4. Añadido el servidor, se pueden configurar transferencias desde IPs concretas (realizando control de accesos), configuraciones, etc. + Servidor DNS de Microsoft Tipos de registros A PTR SOA: es un registro fundamental de la zona con información de la misma Indica quién es el servidor primario para hacer cambios/consultas en él En propiedades de la zona existe una pestaña donde aparece el número de serie Las zonas se pueden transferir de dos formas: Todo a la vez Particionado desde el número de serie dado Aparece la persona responsable del mismo y su correo sin @ CNAME: es un alias (renombrado) de otro registro NS … (coinciden con los vistos en la práctica de TCP/IP) + Servidor DNS de Microsoft ¿Cómo podemos poblar las zonas con registros? Dinámicamente: a través del sufijo del dominio sabemos la zona a la que pertenece Estáticamente: dando de alta host, mediante el botón derecho en la zona y usando “host nuevo” Los updates se realizan sobre el servidor primario (lo conocemos por el registro SOA) El cliente DHCP es el que hace las actualizaciones dinámicas y es válido para direcciones IP estáticas y dinámicas Windows 95 y 98 no pueden actualizarse dinámicamente Lo hacen a través del servidor DHCP y es él quien en su nombre realiza la actualización como lo haría un cliente W2000/2003/XP + Servidor DNS de Microsoft Ahora bien, solo usando Active Directory Integrated podemos realizar actualizaciones de direcciones seguras (solo ellas permiten actualizaciones con seguridad y rechazan el resto) El cliente deberá encontrar el servidor autorizado primario mediante el registro SOA Luego tratará de hacer de forma no segura la actualización Se le rechaza Por último se le fuerza a que la haga de forma segura Una vez se ha configurado la actualización solo con seguridad existe una pestaña llamada “seguridad” donde se pueden gestionar permisos y accesos de la zona Cuando el cliente quiere actualizar su servidor DNS, normalmente deberá borrar su caché con resoluciones desfasadas, con ipconfig /flushdns + Servidor DNS de Microsoft Otras configuraciones, características o elementos controlables de los registros TTL: tiempo en caché de permanencia, aparece en el registro SOA, dentro de las propiedades de la zona Se indica el TTL mínimo TTL en dd:mm:ss… etc También aparece en las propiedades de un registro concreto Mediante el shell, con ipconfig /displaydns muestra la caché del sistema con los TTLs Aging: asistente para el proceso con el que determinar si un registro está obsoleto, lo que requerirá borrar un registro de la zona (no de la caché) Totalmente necesario en actualizaciones dinámicas (los sufijos se pueden cambiar!!!) + Servidor DNS de Microsoft Scavening: asistente para el proceso de borrado propiamente dicho de los registros obsoletos de la zona, tras los periodos no-refresh y refresh Aging & Scavening son procesos que se consideran propiedades de la zona con 2 parámetros No refresh interval: tiempo en el que el servidor DNS no admite refrescar el registro porque lo mantenemos desde hace poco tiempo (por defecto son 7 días) Refresh interval: tras el periodo anterior hay un periodo de refresco válido que pasa a considerarse obsoleto (por defecto esos 7 días) y se realiza el borrado Tenemos la opción de establecer la caducidad/borrado de una zona entera (a parte de registro a registro) mediante las propiedades de la máquina servidora o incluso de todas las zonas completas + Herramientas críticas en Windows Server 2003 NSLOOKUP: muestra información del servidor y permite solucionar problemas, indicando las direcciones, nombres…(para más información revisar práctica TCP/IP) dnscmd: permite listar zonas, gestionarlas, etc. Para más información teclear dnscmd /? dnslint: realiza un chequeo de nuestro servidor . Para más información teclear dnslint/? En el propio servidor DNS, botón dcho > propiedades Label de supervisión Una única consulta Consulta recursiva: prueba roothints Label sucesos: permite registrar sucesos en el visor de sucesos (por tipos, fecha, etc.) Depurar registro: guarda paquetes indicados en la ruta de archivo que escribamos para su depuración y estudio + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Índice Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo Windows Server 2003 + Active Directory Es una BD a nivel de dominio Se basa en la misma convención de nombres que DNS Con él podemos tener millones de objetos en el dominio (con Windows NT cabían unos 40.000 objetos como máximo) Se centraliza todo, aunque se puede delegar la administración de partes de él Un dominio es la unidad de replicación del AD – hay una única BD de seguridad central que se replica Permite organizar, gestionar y buscar objetos dentro de unidades organizativas + Active Directory Sincronización vs Replicación Windows NT Windows Server 2003 y similar PDC Manda últimos cambios a la Base de datos de seguridad central Los cambios en un controlador de dominio se replican al resto dentro del dominio + Active Directory Con la granularidad que queramos! Mantiene ordenado el AD inmanejable Evita la estructura plana de objetos Unidad organizativa Es un objeto contenedor Hay una jerarquía Permite delegar control sobre unidades organizativas (los objetos que contiene) Nunca se delega control sobre objetos AD lo ve como un objeto más Sirven para poder emplear directivas de grupo que se emplean a nivel de unidad organizativa Permiten modelizar y “separar” la empresa + Active Directory Ejemplo de unidades organizativas Dominio empresarial Administración Ventas Taller + Active Directory Se pueden crear de muchas formas siguiendo múltiples procesos guiados El más simple es en herramientas de usuarios y equipos de AD > botón derecho y nuevo Mediante este proceso se pueden crear Unidades organizativas Cuentas Equipos Objetos Posteriormente aparecen las propiedades de los objetos y las configuraremos según el caso Tipos de nombres de los objetos según su unidad organizativa LDAP relative distinguished name: nombre único dentro de la unidad organizativa (solamente) LDAP distinguished name Únicos en el árbol Canonical names + Active Directory AD admite que las máquinas se distribuyan en uno o varios dominios según varias topologías Árbol En este caso hay 3 BD de seguridad central Sirven para temas de nombrado Sirven para administración descentralizada, con dominios distintos para por ejemplo varios idiomas Los usuarios de dominios inferiores pueden acceder a recursos del de arriba y viceversa Se establecen relaciones de confianza Bilaterales: en ambas direcciones Transitivas: confianza de todos los dominios con todos Además se pueden añadir permisos concretos para limitar acceso desde otros dominios a usuarios concretos + Active Directory Bosque Surge por necesidades particulares de nombrado No se suele dar, sólo en casos excepcionales, por ej. se unifican los árboles de 2 empresas que se fusionan También hay relaciones de confianza bidireccionales y transitivas La herramienta a usar para gestionar las relaciones de confianza en AD se denomina “Dominios y confianzas de AD” (en herramientas) + Active Directory Entre dominios (sea la topología que sea, árbol o bosque) hay cosas comunes Catálogo global ≈ páginas amarillas de red empresarial Contiene todos los objetos del árbol o bosque y sus atributos principales Permite búsquedas Nos da la pertenencia a grupos universales Se crea en el servidor de catálogo global = 1ª máquina del 1er dominio (y luego se replica) Esquema: contiene la definición de todos los objetos que puedo dar de alta en AD Información de configuración: sobre dominios, nombres, etc. y se comparte entre dominios Active Directory Única parte del AD que se replica a todos los DC de todos los dominios + Active Directory El esquema define por tanto las clases de objetos que podemos dar de alta Se tiene una lista inmensa de atributos y cada objeto usa un subconjunto de esos atributos El esquema es actualizable Se pueden crear nuevos objetos Se pueden modificar (añadir) atributos a una clase de objetos Existe una API específica para cambiar el esquema + Índice Windows Server 2003 Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo + Sitios Hasta ahora veíamos el punto de vista lógico ofrecido por Microsoft El punto de vista físico tiene que ver con situaciones, ¿Cuántos DC distribuciones y ubicaciones físicamente reales usamos? ¿y DNS? Sitio – subconjunto de máquinas que se comunican entre sí de forma Rápida Ejemplo: Dominio Fiable replicaciones óptimas Windows 2003 Barata Madrid Barcelona + Sitios ¿Cuántos controladores de dominio podemos usar? Uno – poco útil, imaginaos uno en Barcelona y autenticarnos en Madrid, con el tráfico lento Dos – mejor, así replicamos información en cada sitio ¿Lo mejor de todo? 4 es la solución óptima, dos por sitio y prevenimos caídas, balanceamos carga, etc. ¿Y cuántos servidores DNS? Otros 4, si la máquina es DC es mejor que sea también DNS y que así éste se almacene en AD de forma óptima ¿Y catálogos? Nos valdría con 2, uno por sitio Norma general: no debemos considerar que se puede acceder siempre a un recurso de otro sitio, puesto que la conexión es cara. Conviene por tanto replicar los recursos en ambos sitios + Sitios Posible solución sin obligar que AD almacene DNS Dominio Windows 2003 DC DC DC Madrid Barcelona DC-DNS DNS DNS DNS + Sitios Por todo lo visto anteriormente, se considera que todo lo que queramos hacer se puede implementar con un único dominio Windows 2003 sin tener que recurrir a árboles de dominio (y menos aún a bosques) ¿Qué hay de las unidades organizativas y los sitios? Una unidad organizativa puede estar en varios sitios (con recursos mezclados de ellos) o en uno solo, depende del administrador Como administradores decidimos cuándo y cómo se hacen las replicaciones entre sitios Atención! Si el cliente de un sitio pregunta por un DC al servidor DNS, éste puede informarle de uno de su sitio o de otro sitio (con los problemas de comunicación que acarrea) La pregunta al servidor DNS debe ser dame un DC de MI sitio, o un catálogo de MI sitio + Índice Windows Server 2003 Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo + Gestión de Dominios W2003 Ya se han explicado los fundamentos para crear un servidor DNS inicial, convertirlo en DC y inicializar AD Pero, ¿cómo un servidor miembro (ó un BDC en dominios NT) puede pasar a ser DC (o PDC en dominios NT)? Esta promoción se realiza ejecutando dcpromo Existe un tutorial sobre los requisitos, pasos y flujos de instalación Al instalar un controlador adicional de dominio se necesita la replicación de la BD de seguridad central, que se puede llevar a cabo de dos formas a) Mediante flujo directo de la información entre máquinas Tiene problemas entre distintos sitios por su interconexión lenta b) Mediante backup, con utilidades de terceros fabricantes: dcpromo /adv + Gestión de Dominios W2003 Una vez realizada la promoción de una máquina se debe comprobar que ya es DC del dominio, verificando: Han aparecido las herramientas administrativas propias de DC En las zonas de búsqueda directa (-msdcs.nombre_dominio > dc > -tcp) aparece la máquina Dentro del directorio de windows (C:\Windows>) aparecen los siguientes elementos: NTDS SysVol SysVol dentro de SysVol Ahora los usuarios de la máquina solo se pueden loguear en el dominio, no en la propia máquina Esto se debe a que la BD es ahora única, copia de la del servidor inicial, la del dominio La BD de seguridad local no se pierde, simplemente no se puede utilizar + Domain Functional Levels La funcionalidad de los dominios introducida en el AD de Windows Server 2003 proporciona un método para habilitar funciones de AD para todo un dominio de red Existen distintos niveles de funcionalidad de dominios (Domain Functional Levels) según los entornos operativos de los DC del dominio En concreto existen cuatro niveles funcionales de dominio 1. Windows 2000 mixto (por defecto) WinNT, W2000, W2003 2. Windows 2000 nativo Funcionalidad reducida Sólo W2000 y W2003 3. Windows Server 2003 versión preliminar Migración de WinNT a W2003 (Sin W2000) 4. Windows Server 2003 Funcionalidad Todos los DC tienen WS 2003 completa + Domain Functional Levels Dependiendo del nivel funcional aparecerán unas funcionalidades u otras Función de bosque Windows 2000 Windows Server 2003 Mejoras de replicación del catálogo global Habilitado si los dos asociados de replicación ejecutan Windows Server 2003. De lo contrario, deshabilitado. Habilitado Deshabilitado Habilitado Deshabilitado Habilitado Replicación vinculada a valores Deshabilitado Habilitado Cambiar el nombre de los dominios Deshabilitado Habilitado Deshabilitado Habilitado Deshabilitado Habilitado Deshabilitado Habilitado Invalidación de objetos de esquema Confianzas de bosque Algoritmos de replicación de Active Directory mejorados Clases auxiliares dinámicas. Cambio InetOrgPerson objectClass + Domain Functional Levels Es posible cambiar de nivel, elevando la funcionalidad Dentro de las herramientas de usuarios y equipos de AD, sobre el dominio > botón derecho y elevar el dominio Nota: posteriormente no podremos bajar el nivel funcional • Si tenemos DCs con W2000 y W2003 y elevamos nivel a W2003 family, los DC con W2000 dejan de funcionar + Gestión de Dominios W2003 Cuando Microsoft creó los dominios 2003 vio que la idea de permitir tocar cualquier cosa en cualquier DC y permitir la replicación automática fallaba a veces Recordad el problema mencionado, un usuario es borrado en un DC, pero puede llegar a autenticarse en otro DC y realizar usos fraudulentos antes de que la replicación de BBDD concluya… ¿cómo lo solucionamos? Se soluciona mediante las operaciones de maestro único – FSMO (Flexible Single Master Operator) Se trata de 5 operaciones que se deben hacer en un servidor específico 1. Maestro del esquema – es el DC en el que se puede Únicos en tocar el esquema, y sólo en él todo el 2. Maestro de nombres de dominio – es el único DC que bosque sabe que nombres de dominio se han creado + Gestión de Dominios W2003 3. Emulador de PDC Es el 1º en recibir cambios de password de usuarios El cliente pregunta al servidor DNS por un DC y se intenta autenticar Si falla, preguntamos al DNS por el emulador PDC y en él se intenta la autenticación y nos da la última respuesta Cuando un usuario es borrado en un DC se prescinde de la replicación instantánea y se realiza a mano 4. Maestro de identificadores Cuando se crea un nuevo objeto le damos un id de seguridad En W2003 debe ser único para todo el bosque Entre dominios son distintos gracias al id de seguridad del propio dominio, que es único SID = id seg. dominio + id relativo + Gestión de Dominios W2003 El maestro de id. que opera a nivel de dominio y asigna rangos de ids relativos para cada DC Al crear objetos en ese DC éste le asigna la 1ª id. relativa libre Si el rango se agota se le da otro rango al DC Ejemplo: SID 25 1 DC1 maestro de ids DC2 Id del dominio Id 25 rango 100 - 150 Id 37 + Gestión de Dominios W2003 5. Maestro de infraestructura Existe uno sólo por dominio Actualiza la información de pertenencia a grupos cuando cambian los miembros del mismo Todos estos roles correspondientes a las FSMO los asume la primera máquina controladora que se instala en el dominio Estos roles se pueden posteriormente delegar a otra máquina o que otra máquina asuma el control + Índice Windows Server 2003 Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo + Grupos Los grupos son colecciones de usuarios o de otros grupos Los privilegios de usuario en Windows 2003 se gestionan mediante Permisos (permisses) – quién puede utilizar o acceder a un recurso Derechos (rights) – cosas que podemos hacer con las directivas de grupo (p.ej. alguien tiene derecho a acceder a un recurso) Para no tener que ir usuario por usuario asignando permisos y derechos, se asocian en grupos a los que se les conceden a la vez Los grupos permiten por tanto: Simplificar la administración con la asignación de permisos de un recurso compartido a un grupo y no a usuarios individuales Delegar la administración con una única asignación de derechos de usuario a un grupo Crear listas de distribución de correo electrónico + Grupos Los grupos pueden por tanto surgir Por razones de seguridad Por cuestiones de distribución Nos centraremos en ellos Se emplean con aplicaciones de e-mail Vamos a estudiar 3 tipos de grupos según su ámbito 1. Grupos Globales (G.G.) 2. Grupos Universales (U.G.) 3. Grupos Locales de Dominio (D.L.G.) + Grupos Grupo Puede incluir como miembros… Cuentas de cualquier dominio GG de cualquier dominio GU de cualquier dominio DLG GG UG * * DLG pero sólo del mismo * dominio Las cuentas del mismo dominio GG del mismo dominio Las cuentas de cualquier dominio del bosque Se pueden asignar permisos a… Se puede convertir a… Recursos del mismo dominio UG (siempre que no exista otro DLG como miembro) Recursos de todo el bosque UG (siempre que no sea miembro de otro GG) * GG de cualquier dominio del bosque UG de cualquier dominio del bosque * No funcionan en modo mixto DLG Recursos de todo el bosque GG (siempre que no exista otro UG como miembro) + Grupos Uso común de los grupos de Windows 2003 Usuarios Grupos GG1 Recursos DLG1 GG2 DLG1 al recurso le asignamos permisos para DLG Esto se denomina política UGLY - U G L Y s Goo e cu r ar l resources También llamada AGDLP + Grupos Ejemplo práctico Carpeta que queremos compartir con los 7 usuarios propiedades seguridad Luis Ana María … de varios dominios La solución no es correcta Si no fueran 7 sino 700, el trabajo sería inmenso En el dominio se debería estar al tanto de lo que ocurre con usuarios de otros dominios! + Grupos Solución propiedades GG1 seguridad DLG1 DLG1 GG1 GG1 Ventajas Pocos datos que gestionar – simplificación de pestañas Es muy flexible: si se añaden o borran usuarios en algún GG se encarga cada dominio, nosotros en el recurso no hacemos nada Es una solución válida para el nivel de modo mixto y nativo + Grupos Existe otra política parecida a la expuesta y con similar filosofía, que consiste en meter los GGs en un UG en vez de en un DLG UG1 = GG1 + GG2+ … En la seguridad de recursos, gestionaremos permisos de UG1 Este grupo, creado en un dominio, se puede usar para asignar permisos a recursos de otros dominios Con DLG sólo se podía asignar permisos dentro del dominio donde se creó el grupo + Catálogo Global El catálogo global, que hasta ahora habíamos visto que servía para búsquedas, también sirve para almacenar y conocer al iniciar sesión la pertenencia a grupos universales (UG) En el login implica una búsqueda (otra más!) por lo que cuantos menos UG tengamos mejor, para poder optimizar los inicios de sesión Se accede a DC, DNS, Catálogo, Emulador de PDC, … Si se cae el Catálogo Global, ¿se puede acceder? Los administradores sí, siempre Los usuarios sí si tienen una copia en su caché de la pertenencia a UGs + Grupos La creación de grupos se realiza de forma sencilla desde la herramienta de gestión de usuarios de AD Dicha herramienta permite también realizar cambios de ámbito válidos en los grupos de manera sencilla De GG a UG si el global no contiene otro GG De DLG a UG si el local no contiene otro DLG De UG a GG si el universal no contiene otro UG De UG a DLG siempre Y para pasar de GG a DLG? 1. Pasar de GG a UG, resolviendo posibles problemas 2. De UG ya sin problemas a DLG + Grupos Dependiendo de quién ha creado los grupos, éstos pueden ser de 2 tipos Grupos hechos por nosotros ad-hoc Grupos creados por el sistema por defecto Grupo Operadores de cuentas Administradores Operadores de copia de seguridad Descripción Derechos de usuario predeterminados Pueden crear, modificar y eliminar cuentas de Permitir el inicio de usuarios, grupos y equipos, sesión local iniciar la sesión de forma Apagar el sistema local en los DC y apagarlos Controlan por completo Prácticamente ilimitados todos los DC Hacer copia de Pueden realizar copias de seguridad de archivos y seguridad y restaurar todos directorios los archivos en los DC, Permitir el inicio de iniciar la sesión en los DC y sesión local apagarlos. Restaurar archivos Apagar el sistema + Grupos Derechos de usuario predeterminados Grupo Descripción Invitados De forma predeterminada, el grupo Invitados del dominio es un miembro de este grupo No hay derechos de usuario predeterminados. Creadores de confianza de bosque de entrada Pueden crear confianzas de bosque de entrada unidireccionales en el dominio raíz del bosque No hay derechos de usuario predeterminados. Operadores de configuración de red Pueden modificar la configuración TCP/IP, así como No hay derechos de usuario renovar y liberar las direcciones predeterminados. TCP/IP en los DC Usuarios del Monitor de sistema Pueden supervisar los contadores de rendimiento en los controladores del dominio No hay derechos de usuario predeterminados. Usuarios del registro de rendimiento Los miembros de este grupo pueden administrar los contadores de rendimiento, los registros y las alertas de los controladores del dominio No hay derechos de usuario predeterminados. + Grupos Grupo Descripción Acceso compatible con versiones anteriores a Windows 2000 Tienen acceso de lectura en todos los usuarios y grupos del dominio. Este grupo se proporciona para garantizar la compatibilidad con versiones anteriores en los equipos con Windows NT 4.0 y anteriores Operadores de impresión Pueden administrar, crear, compartir y eliminar impresoras que están conectadas a los DC Derechos de usuario predeterminados Tener acceso a este equipo desde la red Saltarse la comprobación de recorrido Permitir el inicio de sesión local Apagar el sistema Usuarios de escritorio remoto Pueden iniciar la sesión en los DC de forma remota No hay derechos de usuario predeterminados. Replicador Este grupo admite funciones de replicación de directorio y el Servicio de replicación de archivos lo utiliza en los DC. No hay derechos de usuario predeterminados. + Grupos Grupo Operadores de servidores Usuarios Descripción En los DC pueden iniciar sesiones interactivas, crear y eliminar recursos compartidos, iniciar y detener varios servicios, hacer copias de seguridad y restaurar archivos, formatear el disco duro y apagar el equipo. Los miembros de este grupo pueden realizar las tareas más habituales, como ejecutar aplicaciones, utilizar impresoras locales y de red, así como bloquear el servidor Derechos de usuario predeterminados Hacer copia de seguridad de archivos y directorios Forzar el apagado desde un sistema remoto Permitir el inicio de sesión local Restaurar archivos y directorios Apagar el sistema + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Índice Sitios Windows Server 2003 Gestión de Dominios W2003 Grupos Permisos acceso de control de Directivas de grupo + Permisos de Control de Acceso Los permisos de control de acceso de AD indican qué usuarios y grupos pueden “acceder” a objetos del AD dentro de una unidad organizativa Se implementan y manejan en el AD y se “quedan” dentro del AD Hay que ser muy cauteloso con lo que significan los permisos Ejemplos Tener permiso para crear un objeto impresora en el AD ≠ tener permiso para imprimir (se habilitará en el recurso que nada tiene que ver con el AD) Poder crear un objeto carpeta compartida ≠ tener permiso para acceder al directorio compartido realmente En este caso se debe tener permiso de acceso y además en ntfs debemos tener un permiso adicional (es un caso particular con doble filtro) De hecho el directorio supuestamente compartido al que se apunta puede no existir realmente (es nuestra responsabilidad) Al crear un recurso compartido lo debemos dar de alta nosotros en AD. Con equipos, impresoras... al instalarse se dan de alta sol@s + Permisos de Control de Acceso Los permisos de control de acceso nos permiten jerarquizar. ¿Por qué es buena la jerarquización? Permiten delegar control Organizar recursos Gestionar directorio La delegación de control consiste en que le permito al usuario X realizar ciertas acciones dentro de una unidad organizativa en AD Control total Permisos estándar write Cambiar atributos de objetos que ya existen read Ver objetos, sus atributos y su propietario (creador) y ver permisos del AD Crear objeto hijo Borrar objeto hijo Se pueden crear nuevos objetos Se borrar objetos existentes + Permisos de Control de Acceso Para gestionar los permisos se puede Permitir Denegar Prevalece sobre el permiso siempre Ejemplos Pepe Luis GG1 Active Directory Lectura GG1 Pepe no lee OU1 Pepe denegar leer No lectura GG1 OU2 Pepe no lee Pepe permitir leer Los permisos estándar se pueden convertir en permisos especiales ad-hoc (muy pocas veces es necesario) + Permisos de Control de Acceso Existe herencia de permisos Los permisos de las OUs los heredan las unidades organizativas hijas de la anterior Por defecto, las casillas “clickeadas” en gris son heredadas Se puede bloquear la herencia en casos especiales Se puede añadir a lo heredado lo que queramos, recordando que heredado o no, la denegación prevalece Si movemos un objeto de una OU a otra los permisos establecidos a mano permanecen Se pierde la herencia de la OU padre anterior Se gana la herencia de la OU nueva + Permisos de Control de Acceso Para modificar los permisos basta con emplear la opción ver > características avanzadas Ahora, con botón derecho > propiedades > seguridad Seleccionamos usuarios Tratamos la lista de permisos/denegaciones Hay opciones avanzadas donde aparecen los permisos especiales En dichas opciones podemos habilitar/bloquear la herencia. Se pueden modificar las herencias de 2 formas Copiando las herencias como si estuviesen puestas a mano para editarlas (p. ej. si solo sobran 1 o 2) Borrar todos los permisos heredados Además en la solapa de permisos efectivos podemos comprobar los permisos de un usuario dado (a modo de chequeo) + Delegación de Control La delegación de control consiste como hemos dicho en dar a un usuario permisos para realizar acciones en una unidad organizativa Se trata de una política que permite que las tareas más rutinarias las pueda hacer cualquiera, relajando al administrador Además es importante acercar la administración del sistema al usuario y que lo vean como algo cercano y factible Es importante una buena política de delegación A quién delegamos En qué unidad organizativa Tareas permitidas Para delegar control Lo podemos hacer a mano sobre las propiedades de cada objeto tocando sus permisos Existe un wizard denominado delegar control pinchando sobre la unidad organizativa deseada Basta con seguir los pasos y establecer sobre quién se delega ÓPTIMO + Delegación de Control También es posible delegar control gestionando quién es el administrador de un determinado grupo Es como delegar en una persona el propio grupo y su gestión Si se define mediante la casilla correspondiente, puede actualizar la lista de subscriptores del grupo Para establecerlo, basta con escribir el administrador en las propiedades del grupo Por defecto, en un servidor Windows Server 2003 sólo pueden iniciar sesión interactiva los administradores, y los demás usuarios no tienen ese derecho Para cambiarlo, en herramientas > directivas de seguridad de DC > configuración de seguridad > directivas locales > asignación de derechos de usuarios podemos permitir el login a la lista de usuarios que necesitemos El servidor crea un único usuario “virtual” denominado IUSR_nombremáquina para todos los clientes web (IIS) de la máquina + Índice Windows Server 2003 Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo + Directivas de Grupo Permiten limitar acciones que los usuarios de un determinado grupo pueden hacer en las sesiones (por ejemplo que en el menú inicio no se pueda Ejecutar) Problema – no sirven para equipos con Windows 9X, solo para Windows 2000 y XP Las directivas tienen dos partes Parte aplicada a los usuarios Parte que se aplica a sus máquinas Se emplea la herramienta GPMC (Group Policy Management Console) Al instalarla se eliminan directivas anteriores Además se desactivan las formas alternativas de manejo de las mismas AD users & computers AD sites & services Se solucionan muchos problemas, se aclara todo, es una gran ventaja + Directivas de Grupo Las directivas de grupo se pueden aplicar a nivel de Sitio Dominio Unidad organizativa GPO Creación de directivas de grupo Las creamos y metemos en un “saco” de directivas del dominio Al crear una directiva se crea un GPO (group policy object) Después desde el sitio, dominio o OU creamos un enlace a ella Las directivas se crean vacías, tras enlazarla hay que configurar la GPO y darle contenido Directivas de dominio Las directivas se administran desde las herramientas de gestión del dominio Ahí está el “saco” de GPOs, y con botón derecho > nuevo se crean GPO + Directivas de Grupo Enlazar la GPO consiste en aplicar al nivel deseado una directiva previamente creada Esa GPO se usará a partir de entonces en el sitio, dominio o OU Ejemplo GPOs OU1 GPO1 Forzar fondo pantalla OU2 La GPO se aplica a OU2 y a todas las OU por debajo si son usuarios se aplica solo la parte de usuarios a los equipos la parte de equipos + Directivas de Grupo ¿Y si surge un conflicto entre GPOs enlazadas directamente y heredadas? GPOs OU1 OU2 GPO1 GPO2 User1 = GPO2 + GPO1 En caso de conflicto nos quedamos con la GPO más cercana al objeto, en este caso GPO1 En la herramienta de administración de directivas de grupo se nos permite crear y enlazar (a la vez) una GPO o sólo vincular una existente Las GPOs ya enlazadas aparecen en el menú de vinculadas Se pueden desvincular sin eliminar (para quitarla solo temporalmente) También se pueden eliminar definitivamente del saco de GPOs Por último es posible ver su configuración, como por ejemplo Detalles Delegación Estado – se puede habilitar/deshabilitar directivas o solo la parte de usuario o máquina + Directivas de Grupo Se puede modificar la herencia de GPOs para evitar conflictos Block Policy Inheritance – se elimina la herencia a partir del punto que queramos No override – obligamos a que la directiva de grupo se cumpla en los “hijos” aunque se intente bloquear la herencia desde ellos Normalmente las directivas que vienen de “arriba” son más prioritarias, y sus administradores tienen más poder De esta forma se evita que los administradores de OU inferiores puedan evitar el uso de GPOs importantes El bloqueo de herencia se hace a nivel de OU mientras que el forzado se hace a nivel de GPO Truco: Las GPOs se pueden usar para instalar SW la próxima vez que se realice un login, o para configurar escritorios + Directivas de Grupo Ejemplo OU1 GPO Antivirus GPO Office forzada Si queremos que a unos usuarios se les apliquen unas GPO y a otros otras dentro de la misma OU hace falta hacer filtrado de GPOs, mediante excepciones Ejemplo OU2 OU2 GPO Accounting SW User1 User2 Admin1 Group1 User1 User2 ALLOW Read Apply GP Admin1 Group1 DENY Apply GP Si User1 pertenece a Grupo1 se le deniega (es más fuerte), a menos que filtremos + Directivas de Grupo El filtrado se hace a nivel de enlace de la GPO, usando la herramienta GPMC Se usa la pestaña de filtrado de seguridad y ahí están los usuarios a quien se les aplica Si pinchamos en delegación >avanzado> seguridad veremos los permisos Para que a unos usuarios de la OU se les aplique la directiva y a otros no, deben tener permisos de LECTURA + Aplicar GP Las directivas de grupo pueden configurarse de distintos modos Habilitada Deshabilitada ≈ No configurada Existen configuraciones más complejas y con más información (por ejemplo configuración proxy) Al editar una GPO aparecerán las plantillas administrativas de configuración Internamente modifican el registro de Windows que los afecta, permitiendo quitar por ejemplo un elemento del menú inicio + Parte 1. Windows Server 2003 Instalación, Administración y Configuración Administración Windows Server 2003 + Parte 2. Mantenimiento del Entorno Windows Server 2003 Administración Windows Server 2003 + Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización de Rendimiento Índice Administración de Dispositivos Parte 2 – Admin WS2003 Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Introducción De cara a gestionar y mantener el entorno Windows Server 2003, caben mencionar los siguientes subsistemas Memoria Red Procesador Disco Duro El administrador debe encargarse de Aplicaciones Configuración Escritorio Remoto Mantenimiento de conexiones de escritorio remoto Recursos Actualizaciones de cada recurso y del sistema Accesibilidad Seguridad + Introducción Herramientas de administración MMC Local Remoto No puede dar toda la funcionalidad Run as – para cuando un usuario sin privilegios quiere realizar una acción de administrador Escritorio remoto – aumentan las funcionalidades de gestión, pero también aumenta la carga en la red (el escritorio viaja por ella) Para administrar 1 servidor – remote desktop connection Para múltiples servidores- remote desktop + Introducción Grupos usados para la administración (todos realizan tareas administrativas restringidas a un tipo) Administradores – control total Operadores de Backup Operadores de Cuentas Operadores de Servidores – control de copias de seguridad y operaciones de compartición de discos Operadores de Impresión Se debe asignar al usuario el menor control válido para realizar su tarea + Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización de Rendimiento Índice Administración de Dispositivos Parte 2 – Admin WS2003 Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Mandato Ejecutar como Es similar al comando sudo en Linux Un usuario con su cuenta puede invocarlo desde distintas partes del sistema para realizar tareas administrativas Desde el menú Inicio, botón derecho > ejecutar como Desde el explorer, botón derecho > ejecutar como Línea de comandos: No hace falta si es el mismo dominio C:\> runas /user:nombre_dominio\Administrador <mandato> Ejemplo de mandato: Sin argumentos da ayuda Usuario deseado (también para otras cuentas) “mmc %WINDIR%\system32\diskmgmt.msc” Variable de entorno con directorio Windows Complemento para admin. discos + Mandato Ejecutar como Listado de complementos (mandatos) frecuentes a invocar C:\> runas /user:nombre_dominio\Administrador “mmc %WINDIR%\system32\x” Para administración de equipos, x = compmgmt.msc Administración de rendimiento, x = perfmon.msc Administración de dispositivos, x = devmgmt.msc Gestor de disco, x = diskmgmt.msc Gestión de AD, x = dsa.msc Para extraer la MMC, poner solo mmc como argumento Para sacar un prompt con otra cuenta, poner solo cmd como argumento Podemos crear un acceso directo con estos comandos, escribiendo en la ubicación del acceso directo el mandato completo + Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización de Rendimiento Índice Administración de Dispositivos Parte 2 – Admin WS2003 Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Administrador de Equipos La herramienta Administrador de Equipo (Mi Pc > Administrar ó equipos remotos) cuenta con importantes subherramientas a) Herramientas de Sistema 1) Visor de sucesos o eventos Servicio de Directorio Servicio de DNS Servicio de Replicación de Archivos Aplicación – aplicaciones de usuario y sus eventos Seguridad - ¿ha habido sucesos maliciosos? Sistema – eventos de servicios del sistema, componentes del núcleo, etc. 2) Carpetas compartidas Recursos compartidos Ver anexo Sesiones Archivos abiertos * + Administrador de Equipos Registros y alertas 4) Administración de Dispositivos b) Herramienta de Almacenamiento c) Servicios y aplicaciones – podemos pararlos/reanudarlos, habilitarlos para uso manual/automático, etc. 3) También podemos con esta herramienta administrar otros equipos con la opción conectar a otro equipo En la consola MMC se pueden agregar o quitar herramientas, e incluso servidores o máquinas remotas + Universal Naming Convention, es la forma de nombrar los recursos en Windows - \\equipo\recurso Por defecto C:\> viene compartido de forma oculta, por cuestiones de seguridad Con \\equipo se nos muestran los recursos compartidos visibles, no ocultos. A los ocultos solo podemos acceder si sabemos el nombre exacto (por ejemplo, para C: suele ser \\equipo\C$) Nombrado para compartir de forma oculta ¿Cómo evitar que al inicio se comparta algo que se comparte por defecto? Modificando el registro para cambiar lo que ocurre por defecto regedit (ó regedt32) “HKEY_LOCAL_MACHINE\SYSTEM\Current Control Set\Services\Lanmanserver\Parameters\” y aquí crear una nueva clave AutoShare WKS - tipo DWORD, valor 0 Ahora si reseteamos y hemos quitado de compartidos C$ por ejemplo, dejaría de compartirse por defecto + Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización de Rendimiento Índice Administración de Dispositivos Parte 2 – Admin WS2003 Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Escritorio Remoto Debe habilitarse en el servidor, y accederemos a él a través de otro equipo en la red gracias al protocolo RDP que transporta todo el escritorio por la red (está optimizado para transferir imágenes y ficheros grandes) ¿Por qué usarlo? Permite hacer todo lo visto hasta ahora Y más, también permite actualizar el equipo y el SO, desfragmentar disco, ver procesos en ejecución y controlar prácticamente cualquier cosa Hay un Desventaja: muy ineficiente máximo de 2 Debe permitir usarlo en el servidor un administrador Mi Pc > propiedades > acceso remoto > permitir conexiones a un equipo Para conectarnos Inicio > Accesorios > Comunicaciones > Escritorio remoto si queremos varias conexiones abriremos varias ventanas o emplearemos remote desktops (se abre 1 pantalla MMC por cada servidor simultáneo) Otras formas de configurarlo Con MMC > añadir escritorios remotos (quitaremos el tick en conectar a consola si no queremos echar al propio usuario al conectarnos nosotros) Desde línea de mandatos mstsc /? mstsc /v:equipo[:puerto] + Escritorio Remoto Al acabar podemos desconectar ó cerrar sesión Desconectar La sesión sigue activa y desconectada Se siguen consumiendo recursos El límite de 2 conexiones máximas la contabiliza Al iniciar sesión seguimos con el trabajo anterior Cerrar Libera la conexión definitivamente – cuidado con ficheros no guardados Se puede establecer un máximo de tiempo a una sesión activa, o a una desconectada, o un máximo de tiempo ocioso y luego forzar desconexión o cerrado Todo esto se hace configurando servicios de Terminal Server Terminal Server es una aplicación más completa que gestiona un servidor de aplicaciones y además permite realizar administració remota Herramientas Administrativas > Administrador de Servicios de Terminal Server + Escritorio Remoto Con el TS podemos realizar un control remoto de la sesión de un usuario Útil para enseñarles cosas Herramientas de administración > configuración de servicios de Terminal Server > conexiones > control remoto -> permitir Para conectar se usa Admin. de Servicios de TS > en la máquina botón derecho -> control remoto Para que funcione se debe conectar con escritorio remoto en 2 sentidos Del manejador al manejado Del manejado al manejador Con Terminal Server podemos monitorizar sesiones abiertas en nuestro servidor, desconectarlas, mandar mensajes, etc. + Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización Índice Parte 2 – Admin WS2003 de Rendimiento Administración de Dispositivos Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Monitorizar un Servidor Es importante llevar a cabo tareas de monitorización Que un solo equipo falle o esté obsoleto puede provocar un fallo global El administrador establecerá una Línea Base Es un conjunto de condiciones mínimas para que el sistema funcione bien Esta línea de referencia considerará situaciones y cargas de trabajo habituales y describirá el sistema en una situación que se considera aceptable Desde ese momento el administrador se encarga de analizar desviaciones del sistema respecto de la línea base Se medirá el rendimiento del sistema en base a 4 subsistemas Memoria Disco Medidos en picos de trabajo, zona normal y baja carga CPU Red + Monitorizar un Servidor La herramienta estándar a usar es la herramienta de rendimiento (dentro de herramientas administrativas) Permite añadir contadores Realizar monitorización remota Por comodidad o para llevar a cabo múltiples monitorizaciones Para no sobrecargar con la monitorización el propio sistema estudiado (aunque está todo preparado para que el impacto sea mínimo) Iniciar/detener el log del sistema que permitan descubrir cuellos de botella Añadir nuevas mediciones Usaremos dos tipos de monitorizaciones En tiempo real Herramienta rendimiento/monitorización de sistemas En logs, registrando en archivos lo que ocurra en el sistema Herramienta rendimiento/registros y alertas Se usan distintos formatos, suele ser binario (.blg) que se puede transformar en ASCII mediante la herramienta tracerpt (los binarios los emplea la herramienta) Se suele guardar de forma cíclica en ficheros de tamaño máximo (cuando se consume se vuelve al principio) + Monitorizar un Servidor Existe un mandato para línea de comandos, logman (/? para obtener ayuda) que equivale a la interfaz gráfica y permite las gestiones anteriores Diariamente Ejemplo Crear contador Inicio Fin Para adjuntar versión C:\> logman create counter daily_perf_log –b 11/25/2009 15:30:00 –e 11/30/2009 16:00:00 –r –v mmddhhmm –c “\Processor(_Total)\%ProcessorTime” “\Memory\Available_Bytes” –si 00:15-0 “C:\Perflogs\daily_log” Intervalos de muestreo Formatos de salida .csv, fichero separado por comas, exportable a excel .tsv, fichero separado por tabulaciones .blg, binario que se puede abrir con la herramienta o pasar a ASCII tracerpt logfile.blg –o logfile.csv + Alertas Cuando un determinado contador de monitorización supera o esté por debajo de un umbral podemos establecer una alerta que puede… umbral Registrar un evento en el visor de eventos Mandar un correo electrónico al administrador Establecer a su vez nuevos contadores Lanzar una aplicación umbral Se gestionan con la herramienta de rendimiento > alertas > Añadir, Borrar, Configurar con wizard + ¿Qué debemos monitorizar? De cara a cuestiones de monitorización, vamos a considerar 3 tipos de servidores De dominio: se dedican a autenticaciones, y requiere que el subsistema Red funcione adecuadamente File & Print: requieren que el subsistema de disco sea óptimo Applications: requiere eficacia en Memoria (que no se formen cuellos de botella por paginación) y en CPU Recordemos que los 4 recursos o subsistemas fundamentales a monitorizar son Memoria, Disco, CPU y Red Dependiendo del tipo de servidor que administremos debemos actuar por tanto de una forma u otra, haciendo énfasis en los subsistemas mencionados A continuación vamos a recorrer cada subsitema o recurso viendo qué se debe considerar y monitorizar con cada uno + Monitorización de Memoria El principal problema de este recurso es la hiperpaginación Se deben considerar los siguientes contadores Pages/sec – nº de páginas leídas/escritas de disco por segundo Available Bytes – memoria física disponible Mínimo 5% del total Committed Bytes – memoria usada para RAM y ficheros de paginación El ideal son de 0-20 Aceptable si permanece menor que la memoria física Fallos Pag/seg – debe ser bajo, por debajo de 5 Si estos umbrales no se cumplen, tendremos problemas de hiperpaginación La posible solución pasa por aumentar la RAM o por disminuir el nº de aplicaciones ejecutadas que consuman memoria + Monitorización de CPU El principal problema radica en que haya procesos que consumen la CPU innecesariamente Los contadores que se deberían considerar son: %Tiempo procesador (de trabajo útil) Debe permanecer por debajo del 85% Objeto Sistema > Processor Queue Length El número de procesos en modo listo debe ser menor que 10 Longitud Cola de Servidores Debe permanecer por debajo de 4 Interrupciones/seg – depende del procesador pero debe ser bajo (tal vez se puede mejorar actualizando el controlador) Solución general Comprobar procesos que consuman mucha CPU Añadir CPUs o aumentar su capacidad (sobre todo en servidores de aplicación con aplicaciones multihilo) + Monitorización de Disco Se deben determinar problemas comunes: cuellos de botella, fragmentación de disco, necesidad de más discos o más rápidos, mucha paginación, eficiencia del disco, etc. Los contadores que se deberían considerar son: %Disk Time Debe permanecer por debajo del 50%, si no estudiar posible hiperpaginación Current Disk Queue Length Debe ser de entre 0 y 2 Media de B/transferencia disco Debe permanecer por encima de la línea base B/seg del disco Debe igualmente permanecer por encima de lo establecido en la línea base Solución general Mejorar subsistema de discos en capacidad o número + Monitorización de Red Un cuello de botella en este recurso implica errores de conexión cliente-servidor, debido a Servidor sobrecargado Red sobrecargada Pérdida de integridad de red Los contadores a monitorizar son: Utilización de red (task manager) B enviados/seg Igual o mayor que en la línea base B recibidos/seg Igual o mayor que en la línea base En el servidor, B recibidos/seg Debe permanecer por debajo del 50% de su capacidad Soluciones posibles Crear subredes Añadir servidores para balanceo de carga mejorar los adaptadores de red de los equipos Eliminar interfaces obsoletos u operaciones de red innecesarias + Índice Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización de Rendimiento Administración de Dispositivos Parte 2 – Admin WS2003 Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Administración de Dispositivos Dispositivo es todo equipamiento que se adjunta a un ordenador Driver es un programa SW que permite que el SO se comunique con el dispositivo. Para su uso se debe instalar y cargar previamente Hay una URL con todo el HW compatible con Microsoft http://www.microsoft.com/whdc/hcl/default.mspx Las herramientas a emplear en la administración de dispositivos son la lista de HW del equipo y el administrador de dispositivos (dentro de herramientas de sistema) La firma digital asegura que un driver ha sido probado y verificado por los fabricantes (en cierto modo asegura su buen funcionamiento) + Administración de Dispositivos Existen tres herramientas para la verificación de firmas digitales Windows File Protection – está en 2º plano comprobando los ficheros protegidos del sistema (.sys, .dll, …), cómo se actualizan, si tienen firma digital, etc. System File Checker (por línea de comando) Comprueba las versiones de los ficheros de sistema protegidos sfc /scannow lista todos los ficheros sin firma sfc /scanboot indica que se haga el escaneo anterior al inicio cada vez sfc /cancel cancela el anterior File Signature Verification que comprueba las firmas de los ficheros (sigverif) + Administración de Dispositivos Dependiendo del entorno (políticas de empresa, etc.) tenemos políticas de administración más o menos restrictivas. Hay 3 posibilidades Permitir que se usen drivers sin firmar Permitir la instalación de los drivers sin firma pero avisar con un evento registrado de ésta acción No permitir la instalación sin firma digital Éstas políticas se establecen como directivas de grupo (en MMC, por ejemplo) Para ello hay que crear/vincular GPO y editar las opciones de seguridad (en directivas locales) > Dispositivos También se puede configurar un equipo (En HW, firma de controladores) prevaleciendo esta configuración sobre posibles GPOs + Administración de Dispositivos También es interesante la opción de recuperación de drivers que nos permite regresar a la versión inmediatamente anterior del driver (no se puede volver a otras más antiguas) Ésta opción no es válida para impresoras Por último, si queremos eliminar un dispositivo, no nos sirve desinstalar el controlador, ya que casi todos los dispositivos son Plug&Play y se reinstalará al reiniciar Lo que debemos hacer es deshabilitar el dispositivo desde el administrador de dispositivos + Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización de Rendimiento Índice Administración de Dispositivos Parte 2 – Admin WS2003 Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Gestión de Discos Windows 2003 Server incluye dos tipos de almacenamiento Modo de almacenamiento básico, con particiones Primarias (hasta 3) Extendidas (una) que se puede dividir en particiones lógicas ∑=4 lógicas Primarias Extendida Partición de sistema, con ficheros necesarios para arrancar: boot.ini, ntldr, ntdetect.com Partición de arranque, con la carpeta C:\Windows con los ficheros del SO Modo de almacenamiento dinámico, con volúmenes No hay límite de 4 Primarias + Gestión de Discos Las particiones son divisiones lógicas del modo de almacenamiento básico Hay hasta 24 letras de partición, se pueden asignar letras o borrarlas, cambiando las rutas de acceso Una partición primaria no se puede subdividir Una partición extendida no es accesible hasta que no cuenta con particiones o unidades lógicas Del mismo modo, una primaria es inaccesible hasta que no se ha formateado + Gestión de Discos Herramientas para la gestión de discos Administrar Mi PC > Administrador de disco MMC > añadir a la consola administrador de disco del equipo deseado Desde shell, diskpart que ofrece un prompt propio list disk select disk 0 – lo seleccionamos para listar particiones o gestionarla create partition [primary|extended] size=… delete partition Se puede asignar letra a la partición, cambiarla, etc. help + Sistemas de Ficheros Sistema Operativo Sistema de Ficheros Windows 95 FAT Windows 98 FAT, FAT32 Windows NT FAT, NTFS Windows 2000/2003/XP/Vista/7 FAT, FAT32, NTFS El formato FAT sólo es eficaz con espacios de 200 MB o menos Su seguridad está basada en RD_ONLY pero lo puede cambiar cualquiera No hay seguridad local, ni propietarios de ficheros Además FAT no permite de forma interna comprimir archivos FAT 32 es una mejora de FAT, admite discos mayores y permite sectores menores Aumenta la velocidad de transferencia y acceso Máximos de 32 GB por partición Permite comprimir ficheros No tiene seguridad local Tamaños de fichero menores a 4 GB + Sistemas de Ficheros NTFS permite discos de hasta 2 TB Sus i-nodos implican una sobrecarga, y tiene sentido solo para discos y particiones mayores de 400 MB Admite ficheros tan grandes como permita la partición Supone un aumento de fiabilidad De cara al usuario responde como una FAT32, lo que es adecuado dado que es más pesado y con mayor sobrecarga Aparecen conceptos de seguridad Usuarios se autentican Existe propiedad de ficheros, que pertenecen a determinados usuarios Permite la compresión/cifrado de particiones y volúmenes así como de ficheros y carpetas Permite además montar volúmenes en carpetas Conclusión: usaremos siempre NTFS salvo… En pendrives o dispositivos de almacenamiento/particiones menores a 400 MB Que queramos compatibilidad con sistemas de ficheros antiguos + Sistemas de Ficheros Podremos convertir de un formato a otro con el mandato convert Ejemplo: convert d: /fs:ntfs FAT ok NTFS Se pierden datos, necesitamos backup Se puede montar una partición o volumen en una carpeta NTFS vacía Se pueden de hecho montar sistemas de ficheros diversos en un mismo árbol de directorios Así se pueden añadir dispositivos sin usar letras Estas gestiones se pueden hacer desde el administrador de discos o con diskpart y la opción assign La carpeta no aparece como tipo <directorio> sino como tipo <junction> Al desmontar el dispositivo/partición/volúmen la carpeta queda vacía + Modos de almacenamiento Básico ok Dinámico Si la partición tiene SO anterior a W2000 quedará dañada Se pierden datos, necesitamos backup Los discos dinámicos no limitan el número de volúmenes y se suelen usar para discos con tolerancia a fallos Al pasar de almacenamiento básico a dinámico las particiones se convierten en volúmenes Si queremos hacer el paso contrario, además del backup debemos borrar todos los volúmenes Los discos dinámicos son más complejos, requieren aproximadamente 1 MB al final para su metainformación La conversión a dinámico se puede hacer con el administrador de discos o con diskpart > select disk 0 > convert dynamic + Tipos de volúmenes Existen distintos tipos de volúmenes Volumen simple Es el concepto de partición normal pero en discos dinámicos Se puede extender si tiene formato NTFS Al convertir el modelo básico en dinámico las particiones pasan a ser volúmenes de éste tipo Se crean con el administrador de discos o con diskpart > select disk 0 > create volume simple size=200 disk=0 (el tamaño es en MB) Volumen extendido Se puede extender un volumen existente usando espacio no asignado adicional (sólo con NTFS) Si lo extendemos en el mismo disco se obtiene un volumen simple mayor, y si lo hacemos con espacio libre de varios discos creamos un volumen distribuido Se trata de espacio unido bajo un mismo volumen lógico Se escribe secuencialmente, no mejora la E/S Se crean con el administrador de discos o con diskpart > select disk 0 > extend size=… + Tipos de volúmenes Volumen seccionado Combina áreas de espacio de distintos discos Se escribe/lee en rodajas de 64 KB lo que permite (si el controlador es adecuado) acceder a varios discos a la vez Mejora E/S El espacio de los discos debe ser similar Se crea con el administrador de discos o con diskpart > create volume stripe size=200 disk=0 Volumen RAID-5 Gestiona tolerancia a fallos de volumen seccionado (es un volumen seccionado particular) incluyendo información de p d d paridad p d d Solo sirve para fallos de un único disco (incluye información de d d p paridad en cada disco) 1/3 perdido Tiene que tener al menos 3 discos Desperdicia espacio, 1/n del espacio perdido en paridad, siendo n el nº de discos Volumen reflejado Cada información está duplicada (no necesitamos paridad) En caso de fallo la recuperación es inmediata Desperdiciamos el 50% del espacio + Tipos de volúmenes Disco extranjero Es un disco dinámico que se ha movido a otro sistema Debemos pinchar en el icono e importar A continuación se muestra una tabla con las posibles conversiones de particiones de tipo básico a dinámico y sus resultados No son posibles en W2000/3 pero puede proceder de WNT Básico Dinámico Particiones de sistema e inicio Vol. simple (de sistema e inicio) Particiones principales, extendidas, unidades lógicas Vol. simple Conjunto de volúmenes Vol. distribuido Conjunto de bandas Vol. seccionado Conjunto de espejos Vol. reflejado Conjunto de bandas con paridad Vol. RAID-5 + Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización de Rendimiento Índice Administración de Dispositivos Parte 2 – Admin WS2003 Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Gestión de almacenamiento de datos En este apartado vamos a vamos a ver herramientas administrativas para la gestión del almacenamiento de datos en entornos empresariales Windows 2003 Server, y más concretamente… Compresión de datos Cifrado Establecimiento de cuotas de disco Permisos de acceso + Compresión de Datos NTFS incluye la compresión como parte propia del sistema de ficheros Uno de los atributos de los ficheros es el estado de compresión En carpetas también aparece la compresión (carpetas comprimidas) pero para ellas no es necesario emplear NTFS Las cuotas de disco tienen en cuenta los espacios sin comprimir de los elementos existentes, por si se descomprimiera todo no provocar un caos No es recomendable para información del SO o datos muy usados ¿Cómo realizar la gestión de compresión? Atributos de fichero o carpeta > opciones avanzadas > comprimir (aquí está también la opción de cifrar) Mandato compact compact /? – ofrece ayuda compact /c ejemplo – comprime compact /n ejemplo – descomprime Para carpetas, podemos emplear zip (por ejemplo con enviar a > carpeta comprimida, desde Windows explorer) + Compresión de Datos Efectos de copiar/mover información comprimida en NTFS Si copiamos fichero a una carpeta dentro de la misma partición NTFS el fichero hereda los atributos de compresión Si en vez de copiarlo lo movemos, no los hereda (retiene su atributo) Si lo movemos/copiamos entre volúmenes distintos, el fichero heredará siempre los atributos Si cambiamos de FAT a NTFS se heredan los atributos, y viceversa ¿Que debemos comprimir? Documentos de Office Ficheros grandes que no sean de SO ni muy usados (sobrecargaría el sistema) Ficheros que no sean ya comprimidos, ya que no ganaríamos nada (.mpeg, .zip, .rar, etc.) + Cifrado de Datos NTFS ofrece el denominado EFS Encryption (es suyo propio y resulta ser otra ventaja importante frente a FAT) y es totalmente transparente al usuario De esta forma se ofrece seguridad adicional (además de los permisos) para la posibilidad del robo físico del disco (por ejemplo) No se puede usar a la vez compresión y cifrado Solo el usuario que encriptó los ficheros los puede descifrar Se puede delegar ese poder de descifrado (no lo veremos) Se usa un sistema de clave privada A parte de mediante los atributos (como vimos en compresión) existe un mandato llamado cipher para la gestión de la encriptación cipher /? – ayuda cipher – muestra el estado cipher /E – cifra la carpeta actual cipher /D – la descifra cipher /F – fuerza a cifrar incluso información ya encriptada cipher /K – crea nueva clave privada para el usuario actual + Cifrado de Datos Efectos de copiar/mover información cifrada en NTFS Si movemos/copiamos una carpeta no cifrada a una cifrada, se hereda el atributo (se encripta) Cualquier fichero copiado/movido a una carpeta cifrada se cifrará Si un fichero o carpeta cifrada se copia o mueve a una no cifrada permanecerá cifrada … Conclusión – Todo lo cifrado seguirá cifrado por SEGURIDAD, salvo de NTFS a FAT que se pierde la encriptación (pero esa copia solo la puede hacer el propietario) + Establecimiento cuotas de disco A partir de Windows 2000 surgen las cuotas de disco que sirven para establecer limitaciones a los usuarios de cuánto disco pueden llegar a ocupar con sus cosas Es posible rastrear el uso de disco de cada usuario, y escribir en logs su utilización y explotación Las cuotas de disco aparecen de nuevo con NTFS (es otra ventaja) Existen dos niveles de limitación Uno de advertencia Otro real, que es el límite máximo a partir del cual no se permite escribir más Si se supera la cuota existen varias soluciones Ampliarla Cambiar la información del propietario Borrar datos y aplicaciones inservibles ¿Comprimir NTFS? NO, no tiene en cuenta el tamaño comprimido sino el real + Establecimiento cuotas de disco Para establecer cuotas podemos ir al disco NTFS, botón derecho > pestaña cuotas y ahí… Habilitar las cuotas Establecer límites para los usuarios (de advertencia y cuota real) También podemos establecer valores de cuota (quote entries) para usuarios concretos, no uno por defecto para todos, en las propiedades del usuario Se pueden exportar/importar las entradas de cuota En la cuota emplearemos la opción exportar Se guarda en un fichero que se puede importar desde este mismo menú en otra máquina + Permisos de Acceso Con el sistema de ficheros NTFS aparecen permisos a nivel local para determinados ficheros y directorios Cuanto compartimos una carpeta, podemos definir a su vez permisos a parte En un elemento, botón derecho > pestaña seguridad > permisos locales y lista de usuarios con sus permisos La carpeta compartida puede estar en NTFS, FAT o FAT32 ¿Cómo se combinan estos permisos? + Permisos de Acceso Ejemplo Permisos NTFS (local) Control total usuario A Lectura usuario B L/E usuario A E usuario B ¿Qué permisos tiene A a través de la red? Lectura/Escritura ¿Y B? No tiene permisos ¿Y si no acceden por red? No hay combinación, se usan los de NTFS en local Se usará siempre la combinación más RESTRICTIVA, y denegar un permiso siempre prevalece al resto ¿Y a nivel de grupo? Supongamos un grupo B al que el usuario B pertenece, con permisos NTFS de escritura B en local tendría Lectura/Escritura B en red tendría solo de escritura A nivel de grupos se hace la combinación menos restrictiva, salvo con denegación explícita de permisos, que prevalece siempre Permisos carpeta compartida + Introducción Mandato Ejecutar como… Administrador de equipos Escritorio Remoto Monitorización de Rendimiento Índice Administración de Dispositivos Parte 2 – Admin WS2003 Gestión de Discos Gestión de almacenamiento de datos Recuperación de desastres + Recuperación frente a fallos En esta sección explicaremos como recuperar información vital ante un fallo o desastre en el sistema Datos de negocio de la empresa Información de configuración y gestión de las máquinas Para ello necesitamos Un plan de recuperación – consistente en realizar frecuentemente backups Reemplazar HW estropeado Restablecer Datos Testear HW y SW + Recuperación frente a fallos El proceso de realizar regularmente backups debe consolidarse con las siguientes acciones o procesos Probar los ficheros de backup (¿pueden utilizarse?¿ Emplear dos tipos de ficheros Uno on-site, al menos en el mismo edificio, por accesibilidad Otro off-site, en otro edificio por seguridad Se debe tener copia redundante del estado del sistema, las máquinas, AD, etc. Instalar consola de recuperación Mantener los CDs, DVDs o distribuciones de instalación a mano El proceso de restaurar la información debe consistir en un proceso de copia de datos en un dispositivo alternativo, para prevenir pérdidas de datos ¿Qué salvaguardar?¿con qué frecuencia?¿hacerlo por red? + Recuperación frente a fallos Cualquier usuario puede hacer backup de sus datos Además, si se tienen permisos del tipo read, R&X, modificación o control total sobre la información, se puede salvar la misma En los entornos Windows 2003 Server hay 2 figuras destinadas a estas labores: Administradores Operadores de backup De hecho, hay una GPO que lo establece Configuración seguridad > directivas locales > asignación de derechos > backup de info. ó restaurar archivos y directorios Pueden ser personas distintas (hacer backup y restaurarlo) lo que aumenta la seguridad + Recuperación frente a fallos Los datos de estado del sistema son información relevante del SO que permite cargar, configurar y ejecutar el SO Componentes: registro, boot files, BD de servicios de certificado, AD, sysvol dir si es DC, información del servicio clúster, metadirectorio IIS, ficheros del sistema bajo protección (Win File Protection), … Tipos de backup Los ficheros cuentan con un atributo <fichero (0 ó 1)> El 1 indica que ha sido modificado pero no copiado Hay tipos de backup que modifican este atributo al copiar y otros que no (sirve para dirigir los procesos de copiado) A continuación se muestra una tabla con los tipos de copia + Recuperación frente a fallos Tipo de copia Descripción Modificación de atributo N – Normal Backup de ficheros o carpetas seleccionadas Lo pone a 0 (cuando alguien lo modifique volverá a 1) C – Copia Backup de ficheros o carpetas seleccionadas No lo modifica D – Diferencial Backup de toda la información con atributo=1 No lo modifica I – Incremental Backup de toda la información con atributo=1 Lo pone a 0 D’ – Diario Backup de los datos modificados en el día No lo modifica + Recuperación frente a fallos Ejemplos de política de backups L Cambios F1(1) F3(1) Backup D Copias F1, F3 M X F2(1) J V S D F4(1) D D D F1, F2, F3 F1, F2, F3 F1, F2, F3, F4 N Tras el fallo del viernes, ¿Qué hacemos? Basta con recuperar la copia normal del domingo anterior y la diferencial del día anterior Las copias diferenciales copian la información que ha cambiado desde el último backup normal o incremental Idea con una copia normal y una diferencial basta Son copias grandes y costosas (mucho espacio y tiempo) + Recuperación frente a fallos Cambio de política L Cambios F1(1) (0) F3(1) (0) Backup I Copias F1, F3 M X F2(1) (0) I F2 J V S D F4(1) (0) I I N F4 Tras el fallo del viernes, ¿Qué hacemos? Recuperar la copia normal del domingo anterior y todas las incrementales en su orden Las copias incrementales son más rápidas y pequeñas, pero la restauración es más costosa Idea Combinar políticas dependiendo de probabilidades de fallo, intereses corporativos, etc. + Recuperación frente a fallos Herramientas de backup Por línea de comandos ntbackup (con /? abre la herramienta de Windows, aunque se pueden usar opciones para hacerlo con scripts) Presenta limitaciones Backup de directorios enteros No se pueden usar caracteres comodín (*, ?, etc.) ASR (Automated System Recovery) Opción de recuperación con soporte para backups y restauraciones Crea un disquete (o penflash) de recuperación con Localización de información de backup Configuración de disco Como llevar a cabo el proceso de restauración Con el asistente que se encuentra en accesorios > herramientas del sistema > copia de seguridad, que cuenta con wizards para cada operación + Recuperación frente a fallos Herramientas de planificación de backups En la misma herramienta de copia de seguridad, con la pestaña “programar trabajos” Mediante el asistente “añadir tarea” se pueden programar trabajos de una sola vez, diarios, semanales, etc. Herramientas de restauración Se emplea de nuevo la herramienta de copia de seguridad, con la pestaña “restauración y administración de medios”, restaurando lo salvado previamente Si optamos por restauración mediante ASR tendremos el disquete o pen creado (deberíamos crear otro con cada cambio del SO que sea importante) Introduciríamos el medio y durante el arranque, pulsar F2 Debemos intentar restaurar ficheros NTFS sobre el sistema NTFS para no perder atributos + Recuperación de fallo en servidor Plan estructurado a seguir en caso de fallo del servidor Arranque en modo seguro 1. Usa configuración por defecto con mínimo número de drivers y componentes Si así podemos arrancar y en modo normal no, podemos diagnosticar problemas, cambiar configuraciones, ver el visor de sucesos, eliminar SW instalado, o como última opción reinstalar el SO Para ello pulsaremos F8 al arranque. Opciones Modo seguro – prevendrá problemas de por ejemplo, nuevo SW Modo seguro + red – diagnósticos de problemas de red Modo seguro + cmd – para problemas con la tarjeta gráfica El registro no se modifica (no cambia la última configuración buena conocida) + Recuperación de fallo en servidor Si no localizamos el error, puede ser problema de configuración Última configuración buena conocida 2. Es otra opción al pulsar F8, y diagnosticaría malas configuraciones del SO Se almacena en el registro, HKEY_LOCAL_MACHINE/SYSTEM/ en control_set_001, control_set_002, …, current_control_set Si se arranca sin problemas, el SO sobrescribirá la última buena conocida Si no ha sido un problema de configuración no es útil + Recuperación de fallo en servidor Si no localizamos el error, puede ser error de dispositivos 3. Consola de recuperación Funciona en modo shell y permite acceder a dispositivos, habilitar/deshabilitar drivers, copiar ficheros del medio de instalación a disco, crear nuevo Master Boot Record (fixmbr) y reparar configuraciones de boot Para usarla hay que instalarla previamente, antes de que la necesitemos Instalación previa al fallo Localizar la carpeta i386 en el medio de instalación En ella, buscar winnt32/cmdcons Así creamos una opción nueva en un menú al arrancar (similar a GRUB o Lilo) con la consola de recuperación Sin instalación previa al fallo Usaremos el propio CD o DVD, pulsando R Si el problema viene de los ficheros del sistema es posible que no podamos solucionarlo así + Recuperación de fallo en servidor 4. Disco de arranque de Windows Debe contener ntldr, ntdetect.com y boot.ini En el fichero boot.ini aparece [boot loader] Timeout=30 – tiempo que tarda en tomar el SO por defecto Default= multi(0) disk(0) rdisk(0) partition (1) \Windows Ésta es la ruta ARC para la identificación de particiones Debe indicar al final la carpeta con el sistema de ficheros del SO Para discos scsi sin Bios activada, la primera parte es scsi(n) donde n es el nº de orden de la controladora Para controladoras no scsi o scsi con Bios activada la primera parte es como aparece, multi(n) significando n lo mismo En el caso de multi(i) se usa disk(0) siempre Para scsi(n) se usará disk(i) donde i es el número de disco y elimina la parte de rdisk(i) (sería rdisk(0) siempre) rdisk(n) se usa en multi(i) para indicar el número de disco Por último aparece la partición + Recuperación de fallo en servidor Ejemplos de rutas ARC 0 1 scsi 0 1 multi 2 0 1 2 3 scsi(1) disk (2) rdisk (0) partition (2) multi(0) disk (0) rdisk (1) partition (3) Utilidad: así sabemos crear discos de arranque de por ejemplo, un disco espejo usado por el SO redirigiendo boot.ini [operating system] Contiene la información de SOs instalados, mensajes que se muestran, etc. Todo esto se puede cambiar desde Mi Pc > propiedades > opciones avanzadas > inicio y recuperación + Conclusiones El orden de las técnicas en caso de fallo debe ser el descrito Primero en modo seguro para no modificar la última configuración buena conocida Luego probar con dicha última buena configuración Pasar a usar la consola de recuperación si sabemos con exactitud cual ha sido el fallo Por último, usar ASR para hacer un backup del SO y luego realizar un backup del resto La última posibilidad es formatear minimizando la pérdida de datos + Parte 2. Mantenimiento del Entorno Windows Server 2003 Administración Windows Server 2003 + Administración Windows Server 2003 Técnico en Administración de Sistemas y Redes TCP/IP Modulo 2. Administración básica de sistemas Windows Server