Ricardo Bartolomé

• Artículo de Chema Alonso sobre NAP (Network Access Protection)
• Artículo[1] de Daniel Matey acerca de SoftGrid.

[1] http://dmatey.spaces.live.com/Blog/cns!3B6FB47901ABC772!2145.entry

Enlaces relacionados:
Página oficial de NAP.

Curioso trailer promocional de Microsoft Windows Small Business Server 2003 R2 basado en la película El Codigo Da Vinci.

Lo único que he probado de la versión R2 es el Identity Management for UNIX, que gracias a él he conseguido meter una Debian Sarge en un dominio Active Directory. Ahora en las Propiedades de cada usuario del AD tenemos una nueva pestaña llamada UNIX Attributes que nos servirá para configurar el UID, home, shell y GID del usuario. No os adelanto más, que estoy preparando un How-To.

Más información:
Página principal de SBS
Novedades R2

Hoy estaba en el curro configurando unas directivas de grupo cuando me dispuse a buscar un ID de suceso que había sido registrado en el visor de sucesos. Cuando me dispongo a abrir el Internet Explorer pensé:

¿Qué coño estoy haciendo?

Un servidor en producción… navegando yo con permisos de Administrador? Fue cuando me acordé del comando runas. No necesito ser siempre administrador, solo para trabajar con las herramientas administrativas y la consola. Se me ocurrió crear un acceso directo que ejecutase:

runas /user:Administrador@dominio.net /savedcred cmd

Con esto tendríamos una consola con credenciales de Administrador. Ahora podríamos ejecutar una .msc que nos hubiésemos creado previamente con lo necesario como directivas, usuarios, administrador de discos, visor de sucesos, administración de IIS, DNS y DHCP… etc. La opción /savedcred es por mera comodidad, así si nos autenticamos una vez no nos pedirá contraseña de nuevo para ejecutarlo.

Es… rollo sudo, y dotará de más seguridad a nuestro servidor, sobretodo cuando el fallo es humano, la mayoría de las veces.

El mayor fallo de seguridad de un sistema está entre la silla y el teclado.

Buenas. No soy vago… peor quería probar algo que nunca había hecho.
Hace tiempo, cuando usaba Windows XP Home (xDD) usaba Norton Ghost para hacer mis backups. De aquella el Ghost no era tan avanzado y había que reiniciar. Entonces arrancaba Ghost en modo PC-DOS y hacía la backup. He probado hace poco Ghost 10 y me he dado cuenta de que, desde que compró Symantec a PowerQuest, ha mejorado en ese aspecto. Ahora podemos hacer backups sin reiniciar, cosa que implementó DriveImage antes. Me dejo del rollos y a lo que iba, preparar imágenes de instalación desatendidas. La idea será instalar una máquina, crearle un usuario, instalarle el software necesario y demás. Acto seguido con sysprep lo prepararemos para clonar y al reiniciar arrancaremos con el Ghost (Bien sea con disquete o CD).

Os pongo los pasos que he seguido:

Primero necesitamos sysprep así que metemos el CD de Windows XP Professional y en SUPPORT\TOOLS\ veremos el fichero Deploy.cab. Extraeremos su contenido y lo meteremos en el directorio C:\sysprep.

Todo este lío es necesario porque los Sistemas de Microsoft con núcleos NT generan un SID único necesario para funcionar en red, además que usando éste método si entre mas máquinas hay pequeñas diferencias, no habrá problema pues pasándole al sysprep el parámetro /pnp le forzaremos a hacer una detección PnP y de paso eliminar los dispositivos inexistentes.

Dando por supuesto que ya hemos copiado los ficheros en C:\sysprep, usaremos setupmgr.exe para crear el fichero sysprep.inf que posteriormente usaremos con sysprep.

Al ejecutar setupmgr.exe nos saldrá el asistente y hacemos click en siguiente. En la siguiente pantalla seleccionaremos crear uno nuevo. En la siguiente, como lo que queremos es un sysprep.inf, escogeremos la opción del medio, Instalación de Sysprep.
Las Primera opción tiene buena pinta aunque no la he probado aunque tiene toda la pinta de ser una instalación como las OEM de los equipos de marca, rollo HP o Packerd Bell…
La tercera opción es RIS (Remote Installation Service) que supongo, y solo supongo, nos proporcionará un fichero que meteremos en un disquete y arrancaremos con el. Ya que RIS puede intentar arrancar por la tarjeta de red o si la BIOS no lo soporta, usar un disquete, conectar al servidor RIS y comenzar la instalación.

A continuación nos saldrán una lista donde escogeremos el sistema operativo que instalaremos mediante éste método. Que sepáis que el sysprep de la versión Home Edition no es igual que la del Professional Edition y 2003 Enterprise Server (La lista de los sistema operativos pude comprobar).

Elegimos Windows XP Professional y click en siguiente. Ahora nos preguntará si queremos que la instalación sea desatendida. La diferencia como en el asistente podemos leer es que con la NO desatendida deberemos aceptar el CLUF y con la desatendida no. Seleccionaremos la opción Si, automatizar completamente la instalación y click en siguiente.

En esta nueva pantalla deberemos configurar a nuestro gusto como por ejemplo nombre y organización (A nombre de quién está hecha la instalación). Podemos hacer click en siguiente o desplazarlos por el menú de la izquierda con el ratón.

Ahora podemos elegir lo referente a la gráfica. Yo, como sabía qué estaba instalando, elegí 32 bits, 1280×1024 y 60 Hz (Como el refresco de las TFT es diferente… y aquí si que no sabía que refresco máximo soportaban).

Zona horaria, clave de producto. Esto último… creo haberlo introducido bien pero de todos modos en la instalación me lo pidió, la introduje y despachado.

El nombre de equipo puesto que vamos a hacer varias instalaciones y probablemente en la misma red, conviene que se cree aleatoriamente para que no haya conflictos NetBIOS (De aquí que recomienden desconectar el cable al hacer la instalación).

Contraseña de administrador. Aquí escribiremos las contraseña que tendrá el administrador del sistema. Podemos marcar la primer casilla para que se cifre la contraseña (ya que el .inf es un fichero de texto plano) y la segunda para que al arrancar nos inicie sesión como administrador e instalemos algún software adicional. La marcaremos.

En componentes de red se configura la red. Es conveniente tener un servidor DHCP en la red si no queréis daros el mismo ostiazo que yo.

Grupo de trabajo o dominio. Si la instalación es en grupo de trabajo la red importa una mierda, pero si queremos que se conecte al controlador de dominio y cree el usuario, sin red, vamos jodidos (Esto me ocurrió a mi). Si queremos que no se cree la cuenta, basta con no marcar la casilla. Tendremos así la máquina unida al dominio pero iniciaremos sesión como un usuario local, por ejemplo.

Ahora elegimos idiomas, añadimos alguna impresora compartida por SMB y Terminamos, ya que no añadí ningún comando que ejecutar en el arranque.

Finalizamos, nos pregunta dónde guardarlo y cerramos el asistente.

Según esta FAQ deberemos añadir para evitar problemas en el fichero sysprep.inf la siguiente línea:

[SysprepMassStorage]

Para ello abriremos el fichero con el block de notas y lo añadiremos al final, por ejemplo.

Ya está preparado el fichero por lo que ahora ejecutaremos según este otro artículo:

C:\sysprep\sysprep -bmsd

Y por último:

c:\sysprep\sysprep -reseal -mini -reboot

Para dejar una instalación muy bonita, rollo OEM. Disponéis de una explicación de los parámetros en la página de soporte de Microsoft.

Bueno, supuestamente debería de reiniciarse el sistema, así que si veis que termina despues de un buen rato esperando y no reinicia, reiniciamos nosotros mismos. AL arrancar deberiamos arrancar con Ghost. Yo hoy me ví muy apurado por lo que use el Hirens Boot CD 6.0 que tenía el Norton Ghost 8.0 y me sirvió (Aún siendo un equipo tan nuevo), pero he visto ahora al llegar a casa otro CD de arranque con utilidades todas gratis o libres, se llama Ultimate Boot CD y podéis bajarlo de su web. No lo he probado pero para hacer un clon de una partición el g4u que viene incluido podrá servirnos.

Yo como dije, usé Ghost y cloné la partición a un fichero de imagen de Ghost, el cual al reiniciar grabé a DVD. Fuí al otor equipo y por el particionador me cargué las particiones warras de las instalaciones OEM, cree una para el sistema de 15 Gb y otra de 130 GB aproximadamente para datos. Arranqué Norton Ghost 8.0 y usando como origen el lector de DVD, cloné a la partición del nuevo equipo.

Luego arranqué con el CD de Windows y en la consola de recuperación intenté un FIXBOOT C: pero no me solucionó nada, así que volví a arrancar con Hirens Boot CD, utilicé MBR y ue la opción Install Standard MBR Code. El sistema ya boteaba

Espero que os sea útil a más de uno, como me lo ha sido a mi.

Hoy me dió por ponérselo al servidor del curro que aunque los clientes no sean muchos, me ayudará a actualizar más rápido. El instalador ocupa unos 120 MB y para bajárselo hay que logearse con una cuenta de passport. La instalación es fácil y siguiendo su manual la configuración son 2 minutos, que consiste en elegir donde guardar las actualizaciones y dónde instalar el SQL Server Desktop Engine.

La idea es sincronizar las actualizaciones que queramos (En mi caso Windows 2003 Server, ISA Server 2004, Windows XP y Office 2003) y las descargará a la hora que le programemos. Luego, hay que aprobar las actualizaciones, cosa que con las criticas y de seguridad sería recomendable hacerlo automático. Si el Windows que corre en los clientes de WSUS es SP1 o superior sin problema, sino, habrá que mediante una directiva, de la cual hablan sobre ella en la documentación, especificarle la dirección del servidor WSUS. La administración se hace vía web por lo que requiere IIS 6.0 y BITS para la transferencia en segundo plano.

La idea era probarlo y dejarlo en producción. Quien sabe si algún día habrá que hacer algo similar con muchas más máquinas.

Por otro lado, el ISA Server que está cerca de estar listo. Digamos que me falta reinstalar 2 máquinas, instalarles Windows XP Professional, activarlas (¬¬), meterlas al dominio e instalarles el cliente firewall de ISA Server. De éste modo las reglas en vez de aplicarlas para todos los usuarios, se las aplico solo a los autenticados. Nadie, sin autenticar con el cliente firewall podrá salir a la WAN.

Configuraré además las conexiones HTTP y FTP para que no sea posible descargar extensiones determinadas y como caché HTTP. Si os fijáis, Internet Explorer tiene una casilla en Opciones que es “Detectar proxy automáticamnete”. Esa función se puede usar junto con ISA Server, añadiendo en el DNS del dominio un registro A o CNAME que se llame wpad y apunte al servidor.

Me gusta su análisis de conexión, el cual hace las comprobaciones que le mandes como por ejemplo conectar al POP3 de tal IP, o al SMTP. O haz ping a ese DNS, etc. En el ámbito en el que se mueve la empresa el correo electrónico es muy importante por lo que es imprescindible tener estadísticas de cuando falla, por ejemplo. Al final el correo lo exteriorizamos porque al fin y al cavo será mejor. Yo no siempre estaré allí y su ancho de banda es muy modesto y tienen IP dinámica con un router Xavi de mierda, así que montar allí el servidor de correo puede ser casi impensable. Si al menos la conexión fuese estable como es mi caso…

Digamos que ISA Server 2004 está bien, aunque alguien que trabaje más con él o con algo más avanzado como su soporte VPN… podrá pensar que es malo o que es el mejor. Yo elegí esta solución pues solo había una máquina como servidor y necesitaban una solución LDAP y todo en uno, no servía una para esto y otra para lo otro. Escogí pues Active Directory porque OpenLDAP y compañia sobre *NIX nunca lo había olido, aunque siempre estuve tentado… Como cortafuegos decidí ISA Server porque es el que por A o por B, más control me dará sobre los usuarios cuando hablamos de un dominio con AD (Autenticación de usuarios, por ejemplo)