Remote Desktop – Escritorio Remoto: De Principio a Fin (Nota 1)

En esta primera nota veremos “Remote Desktop” o Escritorio Remoto, que es uno de los temas más requeridos, ya que tiene algunas dificultades de implementación, y aunque en su momento hice el desarrollo completo sobre Windows Server 2008 R2, no lo he hecho nunca completo con todas las funcionalidades posibles en Windows Server 2012 R2. Inclusive en notas anteriores alguna configuración ha quedado con algún tema que no había podido terminar de resolver en ese momento

Así que he decidido comenzar una nueva serie, utilizando todos los componentes posibles, solucionando los inconvenientes que quedaron en notas anteriores, e inclusive agregando la funcionalidad “Remote Desktop Gateway” (Puerta de Enlace de Escritorio Remoto) para permitir un acceso seguro a escritorio o aplicaciones desde Internet que no había sido desarrollada

En esta primera nota crearemos la infraestructura necesaria, y luego iremos viendo paso a paso de acuerdo al progreso para llegar a demostrar cada uno de los componentes posibles del servicio

• Remote Desktop – Escritorio Remoto: De Principio a Fin (Nota 1)
  • Configuración de Unidades Organizativas y cuentas de máquina
  • Instalación de la Autoridad Certificadora, y la configuración necesaria
  • Mediante GPOs automatizaremos la otorgación e instalación de Certifiados Digitales a cada uno de los servidores de Escritorio Remoto
• Remote Desktop – Escritorio Remoto: Acceso al Escritorio Remoto (Nota 2)
  • Mostraré el acceso desde las máquinas clientes a una sesión de Escritorio Remoto sobre los servidores, mediante dos métodos diferentes:
    • Con MSTSC.EXE
    • Utilizando acceso web (desde la red interna)
• Remote Desktop – Escritorio Remoto: Publicar Aplicaciones “RemoteApps” (Nota 3)
  • Publicaré aplicaciones mediante RemoteApp
  • Demostraré la utilidad de “Remote Desktop Connection Broker”
• Remote Desktop – Escritorio Remoto: Configuración de las RemoteApps (Nota 4)
  • Veremos configuraciones adicionales para RemoteApp
  • Mostraremos opciones útiles, como envío de mensajes, ver o controlar sesiones y finalizar sesiones de usuarios
• Remote Desktop – Escritorio Remoto: Quitar Advertencias y Preparación para “RD-Gateway” (Nota 5)
  • Estableceremos configuraciones para que no muestre molestas advertencias a los clientes
  • Haremos un cambio en el certificado digital previemdo que luego a través de “RD-Gateway” deberemos poder acceder a la máquina desde Internet
• Remote Desktop – Escritorio Remoto: Instalación y Configuración de “RD-Gateway” (Nota 6)
  • En esta nota instalaremos y configuraremos “RD-Gateway” mostrando el acceso de los clientes desde una red externa, como puede ser Internet
  • Veremos además configuraciones de seguridad propias de esta funcionalidad: qué usuarios y a qué recursos (RDCAPs y RDRAPs)
• Remote Desktop – Escritorio Remoto: Instalación y Activación de las Licencias (RD-CAL) (Nota 7)
  • Veremos la instalación configuración y activación de licencias de Escritorio Remoto
  • Haremos primero la activación del servidor de licencias, y luego la activación de las licencias para los clientes
  • Por último veremos cómo sacar reportes de licenciamiento

Anuncio publicitario

Windows Server – Administración Centralizada – Parte 3

En esta última parte, ahora sí ya estamos en condiciones de mostrar lo que habíamos prometido en la primera nota

Recuerdo lo que venimos haciendo:

• Windows Server – Administración Centralizada – Parte 1
• Windows Server – Administración Centralizada – Parte 2

Y ahora finalmente llegaremos a

Autoridad Certificadora – Automatizar el Otorgamiento de Certificados Digitales Personalizados a Usuarios

En toda esta serie de notas, hemos visto cómo crear una Autoridad Certificadora Raíz para uso en nuestro laboratorio de pruebas, cómo distribuir su certificado en ambiente de Dominio Active Directory, luego cómo crear una Autoridad Certificadora Subordinada Enterprise en nuestro Dominio, y en la anterior hemos personalizado las plantillas de certificados de usuario de forma tal que se puedan recuperar las claves en caso de pérdida de las mismas. Así que concluyendo esta serie de notas, en esta veremos cómo podemos hacer para que los usuarios del Dominio reciban, automáticamente y sin ninguna intervención de su parte, certificados de usuario de acuerdo a la personalización que le hemos hecho

Autoridad Certificadora – Implementación de un Agente Recuperador de Claves

En la nota anterior con la instalación de una Autoridad Certificadora – Instalación y Configuración de una Autoridad Certificadora Subordinada Enterprise ya estamos en condiciones para configurar nuestra infraestructura interna de clave pública (PKI = Public Key Infrastructure)

Uno de los objetivos que tengo pensado demostrar, es asegurarme que los certificados de usuario que otorgaremos, se puedan recuperar en caso de pérdida. Es una medida de seguridad importante, ya que esta pérdida puede producirse de muchas formas a veces inpensadas, como pueden ser desde un cambio o reinstalación de máquina sin haber previamente exportado las claves, hasta la eliminación del perfil local de usuario

Para poder recuperar las claves de un usuario, debemos crear una cuenta de usuario con el privilegio de poder recuperar las claves de otras cuentas en caso de pérdida, configurar la Autoridad Certificadora adecuadamente y además personalizar las plantillas de certificados de los usuarios para que se puedan recuperar las claves

Autoridad Certificadora – Instalación y Configuración de una Autoridad Certificadora Subordinada Enterprise

Resumiendo lo que hemos hecho hasta ahora en esta serie de notas: hemos instalado una Autoridad Certificadora Raíz de tipo “Standalone” que emula una Autoridad Certificadora comercial. El certificado de esta Autoridad Certificadora lo hemos distribuido a todos los clientes del Dominio Active Directory, como si se tratara de una entidad comercial que participa del programa de Microsoft de Autoridades Certificadoras

En esta ocasión instalaremos una Autoridad Certificadora subordinada a la raíz, pero integrada en Active Directory (“Enterprise Subordinate CA”). Con este tipo de implementación tenemos varias ventajas, sobre un Autoridad Certificadora de tipo “Standalone”, por ejemplo el poder usar plantillas personalizadas, y además al ser propia, tener el control total sobre la misma

Autoridad Certificadora – Distribuir un Certificado de Autoridad Certificadora en Ambiente de Dominio Active Directory

En las notas anteriores hemos instalado una Autoridad Certificadora de tipo Raíz que emula una entidad comercial, y que usaremos en nuestro laboratorio de pruebas

Como nuestra Autoridad Certificadora, por supuesto, no está incluida en las actualizaciones de Windows Update, debemos instalar el certificado de esta Autoridad Certificadora en todas las máquinas que que formen parte de nuestro laboratorio de pruebas

Esto lo podremos hacer fácilmente a través de Directivas de Grupo (GPOs)

Autoridad Certificadora – Crear un Sitio Web Seguro (HTTPS)

Aprovechando la infraestructura que hemos creado en las notas anteriores:

• Autoridad Certificadora para Laboratorio y Pruebas – Servicios Básicos
• Autoridad Certificadora para Laboratorio y Pruebas – Instalación y Configuración de la Autoridad Certificadora
• Autoridad Certificadora para Laboratorio y Pruebas – Configuración de la Autoridad Certificadora para “Web Enrollment”

En esta nota veremos cómo configurar un servidor web en modo seguro con HTTPS, y que nos servirá para futuras demostraciones y pruebas

Para que un sitio web seguro (HTTPS) sea confiable para cualquier cliente que se conecte, el certificado digital del servidor debe ser otorgado por una Autoridad Certificadora que el cliente considere confiable.

Y ya que tenemos de las notas anteriores, una Autoridad Certificadora de tipo Raíz, que emula ser de tipo comercial, vamos a mostrar el procedimiento, tanto de obtener los certificados de la Autoridad Certificadora, como uno para el servidor y que será asociado al sitio web

Autoridad Certificadora para Laboratorio y Pruebas – Configuración del Cliente para “Web Enrollment”

Y continuando nuestra prueba de laboratorio, en esta nota veremos la configuración de una máquina para que solicite y obtenga un certificado digital de máquina a través de la interfaz web (“Web Enrollment”)

Para esta demostración, además del servidor que venimos utilizando desde el principio y que es la Autoridad Certificadora, necesitaremos otra máquina para usar como solicitante

Esta última podría tener cualquier sistema operativo, pero me he decidido por un Windows 8.1, el último al día de hoy, porque cada nueva versión mejora la seguridad, y eso suele traer nuevos inconvenientes :-)

Recuerdo que tenemos que tener configurada la Autoridad Certificadora adecuadamente para este procedimiento. Pueden verlo en Autoridad Certificadora para Laboratorio y Pruebas – Configuración de la Autoridad Certificadora para “Web Enrollment”

Autoridad Certificadora para Laboratorio y Pruebas – Configuración de la Autoridad Certificadora para “Web Enrollment”

Y siguiendo con esta serie de notas, en esta veremos las configuraciones adicionales que debemos hacer en la Autoridad Certificadora, para que los que soliciten un certificado digital lo puedan hacer a través de la interfaz web con un explorador

Cualquier duda sobre cómo está la configuración actual, pueden consultar: «Autoridad Certificadora para Laboratorio y Pruebas – Instalación y Configuración de la Autoridad Certificadora»

Esto que parece a primera vista tan sencillo, no lo es

Para solicitar un certificado a través de “Web Enrollment” la conexión debe hacerse por HTTPS, pero la Autoridad Certificadora no se otorga un certificado automáticamente a sí misma para HTTPS

Autoridad Certificadora para Laboratorio y Pruebas – Instalación y Configuración de la Autoridad Certificadora

Continuando con el desarrollo de la nota anterior “Autoridad Certificadora para Laboratorio y Pruebas – Servicios Básicos”, ahora ya podemos comenzar con la instalación y configuración de la Autoridad Certificadora

Para simular una Autoridad Certificadora de tipo comercial, lo haremos sobre una de tipo Raíz (“Root Certification Authority”), que se auto-firma su propio certificado digital. Algo así como: “yo soy yo, porque lo digo yo” :-)

Autoridad Certificadora para Laboratorio y Pruebas – Servicios Básicos

Muchas veces para las demostraciones o pruebas necesitamos poder emular una infraestructura como Internet pero que podamos administrar según la necesidad, e inclusive obtener certificados digitales que emulen a una Autoridad Certificadora (Certification Authority) de tipo comercial

El objetivo final de esta serie de notas va a ser la instalación y configuración de una Autoridad Certificadora comercial de tipo Raíz, emulada por supuesto, que nos servirá para otorgar certificados a las máquinas que necesitemos en pruebas de laboratorio, e inclusive a una Autoridad Certificadora interna

Pensé que era algo que se podía hacer en pocos minutos, pero lleva más tiempo del que uno cree, y hay que conocer algunos “trucos” ¿Le interesa conocerlos?

Windows Server 2012: Obtención Automática de Certificados Digitales de Máquinas y de Usuarios

Continuando con esta serie de notas sobre una Autoridad Certificadora digital en esta demostración veremos cómo podemos hacer que tanto las máquinas como los usuarios que deseemos obtengan en forma automática su Certificado Digital

Para esto debemos tener instalada y configurada una Autoridad Certificadora de tipo Enterprise cuyo procedimiento de instalación y configuración hemos descripto en notas anteriores

En esta demostración utilizaré la misma infraestructura que vengo creando desde el principio, pero si alguien no viene siguiendo todos los paso a paso, en realidad lo único que se necesita para poder comenzar ahora es tener montado un ambiente de Dominio, y una Autoridad Certificadora de tipo Enterprise

Windows Server 2012: Recuperación de Claves en una Infraestructura de Clave Pública (PKI – Key Recovery)

La utilización de un sistema de Clave Pública con el uso de Certificados Digitales es cada vez más frecuente, ya sea por el uso de HTTPS, EFS (Encrypted File System), Remote Desktop Web Access, etc. ya que permite proveer un alto nivel de seguridad

Pero al ser un sistema de alta seguridad, es imprescindible además de un buen diseño, implementar un sistema de recuperación ante problemas. Muchas veces he visto consultas en Internet, sobre usuarios que han perdido su Certificado Digital o alguna de sus claves (no la contraseña) y luego no pueden acceder a sus documentos cifrados

Así que aprovechando lo que hemos hecho en las dos notas anteriores:

• Instalando una Autoridad Certificadora Raíz (Root Certification Authority) de Tipo Standalone
• Instalando una Autoridad Certificadora Subordinada de Tipo Enterprise (Integrada con Active Directory)

En esta ocasión veremos como implementar el archivado tanto de la clave pública como la privada en la Autoridad Certificadora, lo que nos permitirá en caso de pérdida por parte del usuario, recuperarlas fácilmente

Windows Server 2012: Instalando una Autoridad Certificadora Subordinada de Tipo Enterprise (Integrada con Active Directory)

Luego de la nota anterior (Windows Server 2012: Instalando una Autoridad Certificadora Raíz (Root Certification Authority) de Tipo Standalone) de donde hemos dejado preparada la infrestructura necesaria, en esta nota veremos la instalación y configuración de una Autoridad Certificadora Subordinada de Tipo Enterprise

El hecho de integrar la Autoridad Certificadora con Active Directory nos facilitará enormemente no sólo el otorgamiento de certificados, sino que además podremos personalizar las plantillas de los certificados, automatizar el otorgamiento, controlar la seguridad, recuperar claves perdidas, y mucho más

Windows Server 2012: Remote Desktop – Standard Deployment (Parte 3 – Seguridad y Advertencias)

Continuando con esta serie de notas, en esta ocasión vamos a comenzar a mejorar la seguridad, y además tratar de solucionar las advertencias sobre la misma que hace el sistema.

En primer lugar vamos a implementar una Autoridad Certificadora (Certificate Authority) que nos provea los certificados digitales necesarios, y luego veremos el tema de la otra advertencia sobre aplicaciones no firmadas