Controladores de dominio

Controladores de dominio
Redes Microsoft
NetBIOS



Las redes Microsoft han identificado tradicionalmente los ordenadores mediante nombres NetBIOS. NetBIOS facilita el desarrollo de aplicaciones en red (proporciona una API sencilla que abstrae al programador de las comunicaciones).
Problema: TCP/IP se ha impuesto. Pero TCP/IP no emplea NetBIOS.
El sistema NetBIOS
“...NetBIOS (Network Basic Input Output System): Interface de aplicaciones para
trabajo en red (IBM, 1985)...”

Identificación de máquinas mediante el uso de nombres.



Formato: 16 bytes de los cuales, los 15 primeros identifican a la máquina y el último identifica el servicio.
Tipos de nombres: Existen dos tipos de nombres NetBIOS: nombres únicos y nombres de grupo de trabajo.
Tipos de servicios: El valor del byte número 16 del nombre identifica el servicio de la máquinas.
NetBIOS sobre TCP/IP



“...Las aplicaciones de red de Microsoft usan nombres NetBIOS, sin embargo las redes TCP/IP utilizan direcciones IP...”
SOLUCIÓN: “....Antes de establecer comunicación con una máquina se pregunta por la dirección IP asociada a su nombre NetBIOS...”
Resolución de nombres NetBIOS

Mediante difusión de mensajes

Mediante Servidores de Nombres
Resolución de nombres
NetBIOS (Broadcast)
Resolución de nombres
NetBIOS (Servidor NBNS)
Dominios Microsoft:
Resolución de nombres
\%systemroot%\System32\Drivers\Etc\host y lmhost

Equivalencias entre IP y nombre DNS y NetBIOS.
Dominios Microsoft:
Resolución de nombres

Orden de resolución
Sistema NetBIOS: SMB

SMB (Server Message Block): Protocolo de comunicación a nivel de aplicación y de presentación para compartir recursos de red.


Operaciones: 
Abrir y cerrar archivos

Envío y eliminación de archivos de la cola de impresión

Lectura y escritura sobre un archivo

Crear archivos y directorios

Compartir directorios.
Dialectos: LANMAN, SAMBA, CIFS, NTLM...
Sistema NetBIOS: SMB

Modelo de Seguridad:

Sólo abarca a los archivos y carpetas compartidas en la red.

Define dos niveles de seguridad.




Nivel share Establece el derecho de acceso mediante una password
Nivel user Establece el tipo de acceso (lectura, escritura, control total..)
Obliga a una administración descentralizada.
No protege carpetas/archivos de acciones locales.
SMB (Seguridad)
Sistema NetBIOS: SMB
(protocolo orientado a
conexión)
TID: ID del recurso
compartido
PID: ID del proceso
que usa el recurso
UID: ID del usuario.
CIFS: Dialecto
SMB posterior
A NT4.0 SP3
(Common Internet
File SIstem).
Modelo NetBIOS de
Microsoft

Dos modelos:

Basado en Grupos de Trabajo

Basado en Dominios
Grupos de Trabajo.
● Comparten recursos de igual a
igual (peer to peer).
● Todos los equipos se pueden
comportar como clientes y
servidores.
● La seguridad de los recursos es
básica y obliga a una
administración descentralizada.
● Hasta la aparición de WNT las
redes de Microsoft funcionaban
según los Grupos de Trabajo.
Dominios
● Reunión en una Base de Datos a
todos los recursos, máquinas y
usuarios disponibles.
● Incorporación de Controladores de
Dominio: Facilitan el acceso de los
clientes a la base de datos.
● Aportan mejores en la seguridad de
recursos en red (sistemas de ficheros
expuestos) y disminuyen la carga
administrativa.
● Tecnologías para controladores de
dominio: WNT y W2K
Dominios Microsoft:
sesiones de trabajo



El usuario se identifica para el inicio de sesión(Credenciales)
Si el usuario posee una cuenta de dominio, recibe una autorización del DC.
Cuando el usuario finaliza el trabajo debe indicárselo al controlador de dominio mediante el cierre de la sesión.
Dominios Microsoft: cuentas
de usuario y cuentas de
máquina



Cuentas de usuario: incluyen, entre otras cosas, nombre de usuario y contraseña.
Cuentas de máquina: incluyen, entre otras cosas, el nombre las máquinas que pertenecen al dominio, es decir, máquinas de confianza del dominio.
No puede acceder a los recursos de la red usuarios o máquinas sin cuenta en el dominio.
Dominios Microsoft: modelo
de seguridad de NTFS


Listas ACL definidas por NTFS.
Cada archivo/carpeta de un volumen NTFS está asociado a una ACL que describe:


Usuarios/grupos con derecho de acceso (aparecen en la lista).
Nivel de privilegio de acceso (lectura, escritura...).
Dominios Microsoft: modelo
de seguridad de NTFS
Dominios Microsoft: modelo
de seguridad de NTFS



Acceso a un archivo/carpeta: el sistema comprueba si el usuario/grupo posee una entrada en la ACL.
Si la entrada existe, el usuario accede con los permisos definidos en la ACL.
Si no existe, se denegará el acceso al usuario.
Dominios Microsoft: modelo
de seguridad de NTFS y
SMB

Si un archivo/carpeta está compartido/a en red, los permisos efectivos serán resultado de aplicar los más restrictivos definidos por NTFS y SMB
Dominios Microsoft: modelo
de seguridad de SMB
Dominios Microsoft:
permisos de carpetas
compartidas
Dominios Microsoft:
combinación de permisos
SMB Y NTFS
Dominios Microsoft:
Administrador del dominio



Persona con autoridad para efectuar modificaciones en la configuración del dominio.
Posee una cuenta de administrador que otorga todos los derechos y permisos.
Actividades:





Gestión de cuentas de usuario (crear, modificar...)
Gestión de grupos de usuario
Copias de seguridad
Recursos compartidos y sus permisos
“With great power comes great responsibility” Tio de Spiderman
Dominios Microsoft:
Directivas de grupo.




Reglas que definen el entorno de trabajo de usuario y la máquina.
Actúan sobre el registro del S.O.
Se encuentran en el DC y se cargan al iniciar la sesión de usuario o de máquina (arranque).
Reducen el número de accidentes por errores de los usuarios.
Dominios Microsoft: WNT

PDC: Controlador de dominio primario.



Posee la base de datos (SAM – Security Account Manager) de objetos del dominio.
Un solo PDC.
Réplica periódica sobre BDC (arquitectura monomaestro).
Dominios Microsoft: WNT

BDC (Back Domain Controller).

Servidores de respaldo.

Pueden haber varios.


Poseen una copia de SAM y dan cobertura al PDC cuando yo puede atender la petición.
BDC: la SAM es read­only.
Dominios Microsoft: WNT

El modelo más sencillo: Dominio único.
Dominios Microsoft: W2K

W2K heredó la fisolosofía WNT pero incorporando dos diferencias:


Los PDC y BDC son sustituidos por los DC's, en un modelo de replicación multimaestro.
Integra todos los recursos del dominio en una base de datos jerárquica y distribuida, llamada Active Directory.
Dominios Microsoft: Active
Directory

Servicio de directorio:



Los usuarios y administradores con frecuencia no saben el nombre exacto de los objetos en que están interesados. Quizá conozcan uno o más atributos de los objetos.
Un servicio de directorio permite que un usuario encuentre cualquier objeto con sólo uno de sus atributos.
Por ejemplo: “Encontar todas las impresoras en Edificio B”
Dominios Microsoft: Active
Directory


Active Directory es un servicio de directorio, aunque hay otros, como LDAP.
Los beneficios de un servicio de directorio AD:

Administración simplificada

Esquema escalable

Almacenamiento centralizado

Seguridad reforzada