Remote Desktop – Escritorio Remoto: Configuración del Licenciamiento (RD-CALs) en Grupo de Trabajo (“Workgroup”)

Continuando la nota anterior “Remote Desktop – Escritorio Remoto: Instalación Básica en Grupo de Trabajo (“Workgroup”)” en esta vamos a proceder a la configuración del licenciamiento de Escritorio Remoto, que no es tan sencilla como en ambiente de Dominio Active Directory, una parte se hace a través de la Directiva Local de Seguridad

Además, al estar en Grupo de Trabajo, sólo se puede licenciar por dispositivo, y no por usuario

Recuerdo que Escritorio Remoto requiere licenciamiento aparte de las CALs (“Client Access Licenses”) que permiten acceder al servidor. Para Escritorio Remoto se deben adquirir RD-CALs (“Remote Desktop CALs”), y además instalar y activar el servicio de licenciamiento

Remote Desktop – Escritorio Remoto: Instalación Básica en Grupo de Trabajo (“Workgroup”)

Muchas veces he visto la consulta sobre la utilización de Remote Dekstop – Escritorio Remoto en ambiente de Grupo de Trabajo. No es que no se pueda, sino que el procedimiento de instalación es diferente, y la funcionalidad reducida con respectoa a la implementación en ambiente de Dominio Active Directory

No se pueden utilizar los procedimientos “normales” de instalación y configuración denominados “Quick Start” y “Standard Deployment” que he documentado en notas anteriores, hay que hacerlo de forma diferente

Además veremos cómo podemos solucionar el mensaje de advertencia sobre el certificado no confiable del servidor que da por omisión

BGInfo – Mostrar Información en el Escritorio (GPO)

Por usar cada vez con más frecuencia Escritorio Remoto para administración de servidores y clientes, es muy útil que el fondo del escritorio muestre información de la máquina y que no se provoquen confusiones sobre en qué máquina estamos trabajando

Hay un utilitario, desde hace ya muchos años, que permite colocar información sobre el papel tapiz del escritorio, incluyendo datos de sistema operativo, red, usuario, y más

Este utilitario gratuito es BGInfo, que se puede utilizar gratuitamente y descargar desde: https://technet.microsoft.com/en-us/sysinternals/bginfo.aspx

Aunque está preparado para ejecutar individualmente en cada máquina vamos a ver cómo podemos implementarlo automáticamente en un conjunto de máquinas utilizando GPOs, y además centralizando su configuración

Bloqueo de Cuentas de Usuario: Cómo Ayudar a Solucionarlo

Cuando en un ambiente de Dominio Active Directory se implementa una directiva de bloqueo de cuentas, suele suceder que alguna cuenta de usuario se bloquea sin que el usuario haya puesto mal la contraseña al iniciar sesión

Los motivos suelen ser variados, aunque generalmente se deben a que el usuario cambió su contraseña, pero quedaron conexiones de red que estaban hechas recordando la contraseña anterio. O inclusive a veces se debe a que hay servicios que se ejectuan con la cuenta de usuario

Cuando esto sucede es importante identificar la causa, y para eso debemos buscar el evento de seguridad que se genera cuando se bloquea la cuenta, para poder identificar desde qué máquina cliente se produjo el bloqueo

Configuración de Servicios Mediante GPOs

La seguridad de los servicios suele ser un tema que no es fácil de administrar, ya que generalmente éstos se ejecutan con cuentas que tienen privilegios muy amplios y elevados

Por lo dicho, es necesario que el administrador tenga el máximo control posible sobre los mismos

Aunque para una próxima nota dejaré el tema de “Group Managed Service Accounts”, en esta veremos dos opciones que pueden ser útiles:

• Determinar el tipo de inicio del servicio y quién puede arrancar, pausar y detener un servicio de Windows
• Configurar el tipo de inicio para un servicio No-Windows

Por supuesto que lo haremos mediante Directivas de Grupo (“GPOs”)

Windows Server: Grupos y Usuarios Temporarios

Todos conocemos, eso creo, que a las cuentas de usuario se les puede poner una fecha de expiración. Esto se usa fundamentalmente para usuarios temporarios para que luego de una fecha determinada la cuenta se desactive automáticamente

Pero en algunas ocasiones se necesita algo más específico, por ejemplo que una cuenta dure sólo unos minutos o algunas horas, o aún a una hora determinada sea eliminada

Inclusive esto que demostraré, se puede hacer sobre grupos, que no muestra cómo asignarle un día y hora determinados como límite de uso

Me he sorprendido, pues leo que está disponible desde Windows Server 2003. No lo conocía

Mejorar la Seguridad en Servidores de Archivos

Hace unos días estuve haciendo unas pruebas con las Reglas de Seguridad de Conexión (“Connection Security Rules”) del Cortafuegos, y probando diversas configuraciones llegué a una que me pareció interesante como medida adicional de seguridad para aplicar a un Servidor de Archivos (“File Server”)

Por supuesto que todos conocemos que el control de acceso a carpetas compartidas lo hacemos a través de los correspondientes permisos tanto de Compartido como de Seguridad, pero en algunos casos hay servidores con información muy sensible desde el punto de vista seguridad a los cuales queremos proteger de la mejor forma posible

El objetivo de esta nota es que, independientemente de los permisos de acceso a los recursos, podamos limitar desde qué máquinas cliente se puede acceder a los compartidos de un servidor

DNS: Delegación de Dominios

La delegación de Dominios DNS, y su utilización en Active Directory se hace en forma muy sencilla, ya que el proceso de creación de un Dominio, pregunta si deseamos delegar el Domino, y el sistema se encarga de la configuración necesaria

En cambio, cuando se trata de Dominios no Active Directory, por ejemplo Dominios de Internet, la delegación debe hacerse en forma manual, y tiene algún paso que no es tan intuitivo como parece, por ejemplo, DNS no puede delegar un Dominio del cual ya es autoridad

En esta nota veremos cuáles son los pasos y configuraciones para delegar un Subdominio de un Dominio existente, sin Active Directory

Copiar Perfil de Usuario Local a Usuario de Dominio

Cuando se va a migrar desde Grupo de Trabajo a ambiente de Dominio Active Directory, una de las preocupaciones de los administradores es cómo migrar el perfil del usuario que hasta ese momento es una cuenta local, al del nuevo usuario creado en el Dominio, porque aunque se llamen igual serán dos cuentas diferentes

Copiar el perfil no se trata sólo de la información que este usuario local tenga localmente en su perfil, sino además sus configuraciones

En esta nota veremos una demostración simple de cómo hacer la migración del perfil de usuario con sus datos y configuraciones, aunque aclaro, la configuración de aplicaciones habría que probarla para cada una de ellas por las diferentes formas de instalación que tiene cada una

Instalando Impresoras por Directivas de Grupo (GPOs)

La instalación de impresoras, tanto sea por máquinas, o por usuarios es algo que se puede hacer mediante Directivas de Grupo (GPOs). Me ha parecido interesante desarrollar este tema, no sólo porque he sido consultado muchas veces, sino porque ha cambiado de cómo era en sistemas operativos “viejos”

La nota la plantearé teniendo un servidor que comparte y administra una impresora de red, automatizando la instalación en máquinas cliente de acuerdo al usuario

Si se deseara la instalación por máquina, como mostraré, el procedimiento es casi igual, y se puede adaptar fácilmente

Conectando Clientes a la Red por VPN – Qué Protocolo Usar

En el blog ya he escrito varias notas sobre el tema de conectar clientes a la red usando VPNs (“Virtual Private Networks”), algunas con Windows Server 2008 y otras con Windows Server 2012 (R2). Pueden consultarlas fácilmente utilizando sobre el margen izquierdo la búsqueda de “VPN”

En esta nota, en lugar de poner el foco en cómo hacerlo, aunque lo muestro, lo dedicaré más al tema de la comparativa entre los cuatro protocolos posibles: PPTP, SSTP, IKEv2 y L2TP-IPSec, y las ventajas e inconvenientes de cada uno

Utilizaré la siguiente infraestructura:

Enumeración Basada en el Acceso (ABE = “Access Based Enumeration”)

La opción que un usuario no pueda ver las carpetas compartidas sobre las cuales no tiene permiso de lectura, es algo que lo he visto solicitado muchas veces, y es muy fácil de conseguir, el tema es que no es tan fácil de encontrar dónde se configura

¿Será porque hay tantas formas de crear y configurar carpetas compartidas?, y además cada una configura de diferente manera los permisos. Hay por lo menos siete formas diferentes de compartir carpetas:

• Explorador de Archivos: Compartir / Compartir
• Explorador de Archivos: Compartir / Uso Compartido Avanzado
• Explorador de Archivos: Compartir con / Usuarios Específicos
• Administración de Equipos
• Administrador del Servidor
• CMD: NET SHARE
• PowerShell: New-SMBShare

Notificación de Eventos Remotamente

Muchas veces los administradores de una red desean ser notificados de eventos significativos que se producen en los servidores que proveen determinado servicio. Básicamente el objetivo es no tener que estar revisando el Visor de Eventos de varios servidores, sino que directamente ante algún evento que se pueda configurar, el administrador sea notificado en su estación de trabajo, e inclusive de esta forma podemos centralizar el control

Esto se puede configurar de forma sencilla, quizás el inconveniente es que no es algo instantáneo sino que pasan unos minutos entre la ocurrencia del evento y la notificación

Quién Puede Unir Máquinas al Dominio, y Cuántas

Esta nota tiene como fin cumplir con dos objetivos diferentes, uno relativo a seguridad, y otro a delegación de una tarea que normalmente quiere reservarse a sólo los administradores

Vamos la primera ¿Sabe que un usuario normal puede unir máquinas al Dominio? Sí, puede, hasta 10 máquinas puede unir al Dominio, lo cual puede traer incontables problemas, desde la instalación automática de aplicaciones hasta Escritorio Remoto, en ambos casos con consumos de licencias. Y aún sin tener en cuenta que de esta máquina seguramente es administrador local, y lo que puede provocar en la red

Y la segunda, es que a veces los administradores, ahora sí, quieren delegar que algún grupo de usuarios pueda unir una cantidad determinada de máquinas al Dominio, pero no 10, seguramente querrán otro número, esto también lo podemos solucionar fácilmente

Windows Server: Administrar desde Windows 10

Una de las opciones que tenemos para administrar nuestros servidores es instalar las herramientas de administración remota, más conocidas como RSAT = “Remote Server Administration Tools”, en un sistema operativo de escritorio

Para poder aprovechar la funcionalidad completa siempre es aconsejable que coincida la versión del sistema operativo entre cliente y servidores, pero como Windows 10 ya salió hace un tiempo, y para Windows Server 2016 todavía aparentemente le falta bastante, he decidido probar la instalación y uso

Windows Server: Utilización de Grupos Restringindos (“Restricted Groups”)–Parte 2 de 2

Continuando la nota anterior “Windows Server: Utilización de Grupos Restringindos (“Restricted Groups”)–Parte 1 de 2” en esta veremos la segunda opción planteada en la anterior, esto es, automatizar mediante GPO que un grupo de Dominio sea agregado a un grupo local de estaciones de trabajo

Esta opción es comunmente utilizada para lograr que un grupo de soporte de estaciones de trabajo, sea administrador local de las mismas, pero sin quitar las cuentas ya incluidas

Windows Server – Administrador de Tareas Muestre Actividad de Discos

Una de esas configuraciones por omisión que tienen los sistemas operativos servidor Windows Server 2012 R2 es que en el Administrador de Tareas (“Task Manager” no muestra la actividad de disco, como lo hace en los sistemas de escritorio ¿Se han  dado cuenta de eso?

A mí me es muy útil que en la máquina que utilizo para las demostraciones de este blog me muestre la actividad de disco, es muy sencillo hacerlo

Windows Server: Utilización de Grupos Restringindos (“Restricted Groups”)–Parte 1 de 2

La utilización de Grupos Restringidos es una solución muy buena cuando hay que controlar la membresía en grupos, ya sea para restringir los miembros de un grupo, como para automatizar la inclusión de cuentas en determinados grupos

Un ejemplo clásico de esto último es cuando se desea que un grupo de soporte de usuarios se incluya en el grupo administradores locales de todas las estaciones de trabajo

Por otra parte, y para dar un ejemplo del primer caso, es cuando por una falta de planificación previa se quieren controlar las cuentas que tendrán privilegios administrativos sobre servidores, quitando las cuentas no apropiadas

Todo esto se puede hacer automáticamente mediante GPOs con Grupos Restringidos

En esta primera nota veremos justamente cómo podemos controlar y limpiar si fuera necesario la membresía de grupos en un ambiente de servidores, aunque sería análogo para máquinas cliente

Y aprovecharé para mostrar algunos detalles muy importantes que a veces provocan confusiones y efectos no deseados

Cambiar Perfil de Red Pública a Privada o Privada a Pública (Fácil)

Hace varios años, el 22-10-11 para ser exactos, publiqué una nota sobre cómo cambiar de red pública a privada (“Cómo Cambiar en Windows de Red Pública a Privada”) pero hace poco tiempo descubrí un procedimiento mucho más sencillo, y que además puede hacer el cambio en ambos sentidos

El se hace sólo con dos comandos desde PowerShell

Definir Rutas IPv4 por DHCP

Hay una posibilidad poco utilizada, o conocida incluso, como es la asignación de entradas en la tabla de enrutamiento (“Routing Table”) que puede hacerse mediante el servicio DHCP

Justamente por poco utilizada o desconocida es que he decidido hacer esta pequeña nota

Además, actualmente aún en pequeñas empresas se suelen tener más de una subred IP, donde por un lado se sale a Internet, y por otro se conecta a otras subredes internas