Windows Server: Control Remoto para Soporte

He visto en muchas ocasiones a personal de soporte usar aplicaciones de terceros para hacer control remoto de máquinas de usuarios ¿sabe que esto se puede hacer utilizando solamente el sistema operativo?

Hay diferentes posibilidades, en esta nota veremos cómo, por ejemplo, personal que se dedica a hacer soporte a usuarios finales puede tomar control remoto de las máquinas de estos últimos

Se puede configurar por Directivas de Grupo (GPOs) para que ante un llamado telefónico, con sólo conocer la dirección IP, o nombre de máquina del usuario se pueda hacer la conexión

Es una opción no tan conocida por dos motivos, el primero porque Microsoft lo llama “Asistencia Remota”, y segundo porque la implementación por omisión requiere comunicación previa a través de correo, o lo que antes era el Mesenger. Pero se puede hacer en forma mucho más directa: sólo con dirección IP o nombre de máquina

Windows Server 2012: Opciones de Arranque – Cómo Reparo una Instalación

Como no siempre las casas funcionan como deben, siempre debemos tener en cuenta qué opciones tenemos para solucionar un problema, y por eso es tan importante tener una copia de seguridad (Backup) actualizada y que esté probada que la podamos usar para recuperación

A qué me refiero con actualizada, es fácil la respuesta, el intervalo entre copias de seguridad, es directamente el tiempo que estemos dispuestos a perder del trabajo hecho

Y con referencia a “probada” es porque casi todos hacen copias de seguridad, pero no todos las pueden luego usar para recuperar. Por nombrar sólo una pregunta, seguramente hace copias del Estado del Sistema (System State) de sus Controladores de Dominio para poder recuperar Active Directory, pero ¿conoce la contraseña de DSRM (Directory Service Repair/Restore Mode) de cada Controlador de Dominio, porque si no la conoce de nada le servirá la copia que hizo. Inclusive la debe conocer para ingresar a las opciones de recuperación, que es el tema de esta nota

¿Antivirus o no?

El uso o no de aplicaciones antivirus es una larga discusión con opiniones encontradas y que cada uno evaluará de acuerdo a su entendimiento. Pero de todas formas es importante tener en cuenta que no es lo mismo un equipo de un usuario doméstico, uno de uso corporativo, o aún servidores.

Otro tema importante a tener en cuenta, es que la mayoría de los antivirus, actualmente hacen mucho más que eso, y abarcan funciones de cortafuegos (firewall).

Muy importante recordar que nunca debemos tener instalados/activos dos aplicaciones con la misma función, ya sea antivirus o cortafuegos. No sólo no dan más seguridad, sino que normalmente se interfieren entre ellos.

Un artículo de la base de conocimientos de Microsoft es muy interesante para leer y conocer qué carpetas y archivos podemos excluir del control de los antivirus.

Virus scanning recommendations for Enterprise computers that are running currently supported versions of Windows

Referencia de Linea de Comandos

Quedmos pocos ya de los que trabajamos con DOS, y la línea de comandos de Windows (que NO es DOS) va agregando nuevos comandos y modicadores en cada versión y service pack ¿los conoce?

Windows Command Reference

Habilitar Escritorio Remoto en Remoto

Como todo el que lo ha utilizado conoce, el acceso por Escritorio Remoto es una de las grandes facilidades que tienen los administadores y gente de soporte, para trabajar remotamente sobre un servidor, tanto esté en nuestra red o en redes remotas a enormes distancias.

Pero ¿qué sucede si no está habilitado y necesitamos ingresar ya? Fácilmente lo podemos habilitar en forma remota si somos administradores del equipo en cuestión.

Para eso iniciamos REGEDIT.EXE, y desde el menú File y Connect Network Registry. De esta forma podemos abrir el Registro de la máquina remota.

Nos posicionamos en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server, y veremos una clave fDenyTSConnections, que estará en 1 (habilitada). Bastará cambiarla a 0 (cero) para habilitar el acceso por Escritorio Remoto. No hace falta reiniciar el equipo

Conviene siempre que luego de hacer el cambio volvamos al menú File para cerrar la conexión

Recuperar la Contraseña en Vista

Como todos sabemos la instalación de Windows Vista crea inicialmente una cuenta con privilegios de Administrador, y la cuenta predefinida Administrador está deshabilitada.

¿Cómo hacemos si este usuario inicial no recuerda su contraseña y además es el únido administrador del equipo? Es bastante fácil.

Primero arrancamos el equipo con el DVD de Vista, luego de seleccionar el idioma/configuración regional, elegimos la opción de Reparar. Nos va a preguntar cuál instalación aunque sea la única existente
Bueno, elijan esa y no se vayan a equivocar

En el siguiente cuadro, elegimos la opción Consola o Command Prompt según lo tengan en español o inglés.

Y acá viene el truco, en la carpeta \Windows\System32 hay un archivo SETHC.EXE que es parte de las opciones de accesibilidad. Lo renombraremos y reemplazaremos. Para los que no se llevan con la línea de comando acá va todo, pulsar Enter/Intro al fin de cada línea

C:
CD \WINDOWS\SYSTEM32
REN SETHC.EXE SETHC.BACKUP
COPY CMD.EXE SETHC.EXE

Este es el truco: reemplazamos el acceso a las opciones de accesibilidad con el intérprete de comandos (CMD.EXE)

Reiniciamos y arrancamos normalmente, pero al llegar a la pantalla de inicio de sesión pulsamos 5 veces seguidas la tecla Mayúscula (Shift), y se abrirá la línea de comandos.

Nos queda solamente cambiar la contraseña olvidada del usuario, que lo haremos ingresado al administrador de usuarios con:

CONTROL USERPASSWORDS2

Una vez ahí podemos hacer lo que sea con los usuarios, aunque para este caso, o bien le cambiamos la contraseña (!!!CUIDADO SI TIENE DATOS CIFRADOS LOS PIERDE!!! y otras contraseña también), o por lo que puede ser aconsejable crear otro admin

Para dejar las cosas «como se debe» luego que tenemos el equipo bajo el control de un administrador deberemos renombrar el SETHC.BACKUP nuevamente como SETHC.EXE. Para esto debemos primero borrar el SETHC.EXE que tenemos, y tomar posesión del SETHC.BACKUP para poder darnos permisos para renombrarlo. Por más admin que seamos ahora no tenemos permisos sobre el archivo que renombramos antes

Reemplazar Motherboard (Placa base)

How to replace the motherboard on a computer that is running Windows Server 2003, Windows XP, or Windows 2000:
http://support.microsoft.com/kb/824125

Cómo sustituir la placa base de un equipo que está ejecutando Windows Server 2003, Windows XP o Windows 2000:
http://support.microsoft.com/kb/824125/es

Cambiar Windows de Máquina – Mover Instalación

Mover una instalación de Windows a otra máquina con diferente hardware siempre ha sido un problema, pero que tiene una explicación válida. Plug’nPlay ayuda a instalar los nuevos controladores, pero el problema reside en que para que esto suceda el sistema debe primero funcionar, aunque sea limitadamente.

Para que suceda esto, el sistema se tiene que poder comunicar con los componentes básicos del equipo, que para simplificar diremos que son: los discos rígidos y la placa base (motherboard) y esto depende de dos componentes, los drivers de la controladora de disco, y la HAL.DLL (Hardware Abstraction Layer)

Vemos primero soluciones «extraoficiales» no soportadas, pero que según mi experiencia funcionan en muchos casos

Si fuéramos a cambiar la controladora de disco, porejemplo IDE por SCSI o viceversa, bastará con que antes de apagar el equipo origen agreguemos manualmete la controladora del nuevo equipo.

Aún siendo IDE a IDE, no todas las controladoras son iguales, así que podemos también aplicar el procedimiento descripto en:
You receive a Stop 0x0000007B error after you move the Windows XP system disk to another computer:
http://support.microsoft.com/kb/314082

Para la HAL.DLL el problema es mucho más complicado, depende mucho de la que esté instalada en el sistema origen, pero en general podemos decir que la HAL.DLL correspondiente a NO-ACPI multiprocessor, arrancará casi cualquier equipo. No así a la inversa, un ACPI a NO-ACPI no funcionará L

De todas formas Microsoft documenta un proceso, que aunque no sea muy sencillo puede ayudar y justifica en muchas ocasiones:
How to move a Windows installation to different hardware:
http://support.microsoft.com/kb/249694

Quitar “Acceso directo a …”

¿No les resulta molesta esa costumbre de Windows que cuando creamos un «Acceso Directo o Shortcut» lo pone en el título? A mi sí me molesta y mucho.

Se nota que a la gente de Microsoft no les alcanza, con agregar la flecha en el icono.

Se puede eliminar fácilmente, usando el registro (REGEDIT.EXE), y modificamos el valor:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\link

Cambiamos el valor original «1e 00 00 00«, por «00 00 00 00«

Asistencia Remota No Solicitada

En esta se utilizará un ambiente de dominio con Windows Server 2008R2 y Windows 7, donde se desarrollará una configuración simple demostrando el uso de la tan desaprovechada Asistencia Remota, para que que el personal de soporte de usuarios pueda ver y tomar control remoto de máquinas de usuarios y solucionar problemas remotamente. Y sin utilizar aplicaciones de terceras partes.

El motivo por el cual menciono que esta potente opción es tan desaprovechada, se debe principalmente a la complejidad de la implementación inicial, según la cual el usuario que necesita ayuda debía entrar en la Ayuda del sistema y crear una Invitación que luego debía enviar por correo, Messenger o dejar en una carpeta compartida, donde el soporte debía acceder.

Con el procedimiento que demostraremos alcanza con que el usuario pida ayuda al soporte de cualquier forma humana de comunicarse, ya sea telefónicamente o cualquier otro medio.