Monografias | Instalación de un servidor Windows NT 4.0Instalación de un servidor Windows NT 4.0Resumen: Antes de afrontar la instalación de un sistema NT es recomendable hacer algunas consideraciones y preparar algún material, esto nos puede ahorrar mucho tiempo y quebraderos de cabeza. La instalación de un sistema operativo era hasta hace unos años una tarea ardua, manual, difícil, y había que conocer perfectamente todos los dispositivos de hardware en la plataforma donde se fuera a instalar.~~Ahora, por ejemplo, Windows NT se suministra con un entorno de instalación amigable y fácil de usar, detectando e instalado casi todo lo que se refiere a hardware él solo. Nociones sobre disco duro. Instalación del HD. Introducción a la arquitectura del sistema. Antes de afrontar la instalación de un sistema NT es recomendable hacer algunas consideraciones y preparar algún material, esto nos puede ahorrar mucho tiempo y quebraderos de cabeza. La instalación de un sistema operativo era hasta hace unos años una tarea ardua, manual, difícil, y había que conocer perfectamente todos los dispositivos de hardware en la plataforma donde se fuera a instalar. Ahora, por ejemplo, Windows NT se suministra con un entorno de instalación amigable y fácil de usar, detectando e instalado casi todo lo que se refiere a hardware él sólo. Cuando se empieza una instalación lo primero que hay que hacer es calcular la plataforma que nos hace falta para instalar el sistema operativo para que su rendimiento sea eficaz y rápido, sin escatimar en gastos que luego nos pueden costar más de un disgusto. Para ello nos haremos las siguientes preguntas. ¿ Cuánta memoria me hace falta para el sistema operativo? La memoria que consume el sistema operativo va directamente relacionada con la cantidad de servicios que instalemos en servidor. Y también directamente con la cantidad de usuarios que estén trabajando a la vez conectados al servidor. ¿Que velocidad de tratamiento queremos? Existe un mínimo imprescindible de memoria para que el sistema funcione aunque tenga un número elevado de usuarios y todos los servicios habilitados, lo cual nos perjudicará en velocidad de proceso. Por ello hemos de tener en cuenta dos conceptos: el nivel medio y el nivel punta de utilización del servidor. Esto significa que si sobredimensionamos el equipo, nos subirá el coste en gran medida mientras que si hacemos el estudio de utilización podremos ver como sacrificando un poco de tiempo de respuesta durante unos minutos –utilización punta- podremos tener el sistema con un uso normal durante el resto del tiempo –utilización media-. ¿Que dispositivos de hardware me hacen falta? Cuando hablamos de dispositivo de hardware nos referimos a todos los dispositivos electrónicos controlados por la CPU del sistema como por ejemplo, la tarjeta gráfica, un modem, una tarjeta RDSI, una unidad de backup. etc. Tenemos que tener claro como se va a entender con los demás equipos de la RED, si se va a conectar a otros equipos fuera del edificio, o fuera de la ciudad, que cantidad de información vamos a tratar, como de importante es esa información, cada cuanto tiempo hay que hacer un backup (copia de respaldo de archivos), etc. ¿Detectará el sistema operativo esos dispositivos? Antes de comprar hay que estudiar el dispositivo y la compatibilidad con el sistema operativo. Cuando compramos un sistema operativo debemos pedir la lista de compatibilidad del Hardware que es el documento en donde podemos ver todos los componentes que se detectan. En el caso de que no viniese alguno de nuestros dispositivos tendríamos que consultar con el fabricante , el cual nos tendría que proporcionar los denominados "DRIVERS" que son los ficheros que hacen que el dispositivo se entienda con el sistema operativo. Siempre es conveniente consultar primero la lista de compatibilidad hardware de NT que proporciona Microsoft. ¿Cuanto disco duro me hace falta? La cantidad de memoria de almacenamiento masivo que nos hace falta será directamente proporcional a la cantidad de usuarios que tenga el sistema y también al tamaño de los ficheros que se van a almacenar en el sistema de archivos, así como el software que se instale. Los requisitos mínimos para que Windows-NT funcione sobre plataformas de tipo PC son los siguientes:
Antes de comenzar a instalar NT es importante planificar cuidadosamente como vamos a gestionar el espacio de disco duro que tenemos, suele ser muy recomendable crear varias particiones y volúmenes, también es importante dejar siempre espacio disponible por si es necesario ampliar posteriormente un volumen o crear un espejo. Si todo esto te suena a chino no dejes de leer algunos conceptos sobre discos duros, Personalmente haría las siguientes recomendaciones:
Pequeñas nimiedades que harán nuestra vida más fácil. Recomiendo afrontar la instalación de un sistema con el siguiente material básico de supervivencia:
Una vez considerado el sistema que albergará a nuestro servidor pasaremos a instalar el sistema operativo, en estas páginas vamos a documentar la instalación de NT 4.0 sobre una plataforma PC. El sistema operativo se suministra en formato CD, por ello nuestra plataforma tiene que tener instalada un lector de CD-ROM compatible con NT (casi todos lo son) o estar conectado a una red que tenga uno compartido, también tendremos tres discos de inicio, si no es así tendríamos que generarlos. Los discos de inicio pueden generarse desde cualquier PC que tenga CD-ROM, bastaría con introducir el CD de NT, ir al directorio I386 y ejecutar la instrucción WINNT /OX, nos pedirá tres diskettes formateados y vacíos. El programa WINNT Antes de seguir adelante tenemos que hacer un inciso y conocer el comando WINNT con todas sus extensiones:
Podemos encontrarnos con distintas circunstancias al hacer la instalación:
Reconocimiento del sistema. Lo primero que hace es reconocer el hardware indispensable para empezar a trabajar y comprobar que no exista una versión de NT, en este caso se detendrá la instalación y tendremos que realizarla desde ese sistema NT ya instalado (usando WINNT32) o eliminar la partición donde estuviera ubicado. A continuación comenzará la carga de los archivos necesarios para la instalación y nos pedirá que introduzcamos el disco 2 o en el caso de estar haciendo una instalación sin discos pasará a un menú donde nos pregunta:
Configuración de unidades de almacenamiento Pasara a la fase de detección de los controladores ESDI/IDE, SCSI y unidades de CDROM conectadas, preguntándonos si queremos detectar controladoras SCSI (ENTRAR) o no detectarlas (I); éste sería el caso si no tuviéramos ningún dispositivo SCSI. ¡Cuidado!, en este caso no se detectaría el CDROM IDE, ya que NT lo trata como un dispositivo SCSI. Nosotros pulsaremos "ENTRAR" Nos pedirá el disco 3, aparece una pantalla con el resultado de la detección. Si no hubiera sido detectado alguno de nuestros discos duros o lectores de cdrom, tendríamos que instalar el driver del fabricante presionando ( S ). Si los hubiera detectado todos pulsaremos "ENTRAR"). Aparece en pantalla la licencia del producto la cual leeremos atentamente dando al avance pagina hasta que nos permita dar a ( F8 ) para continuar, siempre que estemos de acuerdo con las condiciones de la licencia. Seguidamente nos dará un listado de componentes instalados en el sistema, los cuales podremos cambiar en caso necesario, creo que sería mejor dejar las cosas como están y luego cambiar lo que queramos desde el sistema operativo ya instalado. Ahora pasaremos al gestor de particiones de disco y de ubicación de la instalación el cual nos pregunta:
Pasará a preguntarnos si queremos convertir la partición a NTFS o dejarlo como está, con el cursor nos moveremos a la opción que deseemos. La instalación es más rápida sobre FAT, y así lo haremos nosotros, recordando que cuando terminemos la instalación tendremos que ejecutar CONVERT C: /FS:NTFS para convertir a NTFS, siempre que queramos convertir el sistema de archivo a este tipo. NOTA: NTFS nos permite configurar permisos de seguridad sobre archivos y directorios; FAT es más rápido pero no tiene opciones de seguridad. También nos preguntará el directorio donde queremos ubicar el bloque de programas del NT, por defecto "\WINNT" y pasará a examinar los discos para comprobar su integridad, para ello pulsaremos (ENTRAR); si consideramos que los discos están en perfecto estado pulsaremos (ESC). Llegado a este punto el sistema se pondrá a copiar los archivos necesarios para la instalación del sistema NT, cuando acabe este proceso retiraremos el disco de la disquetera y del CD-ROM y presionaremos ( ENTRAR ). Con esto concluye la primera parte de la instalación, que sería igual para el NT server y workstation. La segunda fase, basada en el entorno gráfico de NT, es distinta para cada versión: Una vez pasada la primera parte de la instalación, se reinicia el ordenador y comienza la instalación basada en entorno gráfico. Comienzan las ventanitas Nos saldrá una pantalla donde nos indica los pasos que va a seguir la instalación, donde pulsaremos (SIGUIENTE), y pasaremos a otra donde nos indica el tipo de instalación que vamos a realizar:
En el paso siguiente pondremos el nombre y la organización a la que va a pertenecer la licencia (SIGUIENTE), e introduciremos la clave del CD de NT, la cual viene en la carátula del CD, (SIGUIENTE), pasaremos a poner el nombre que va ha tener el equipo para su reconocimiento en red, ¡ NO PUEDE ESTAR DUPLICADO!, (SIGUIENTE), y nos preguntará la contraseña del administrador ¡Nos se nos puede olvidar!, en caso de olvido tendremos que reinstalar el sistema operativo, (SIGUIENTE). No pregunta si queremos un disco de rescate. El disco de rescate es importante por si existe un bloqueo o un fallo en el arranque de NT, este disco se tendrá que acuatiza cada cierto tiempo, y siempre antes de hacer un cambio en el equipo, sobre todo si es un cambio de hardware. En este caso la utilidad para generarlo es "RDISK" que será ampliada mas adelante, (SIGUIENTE), la pantalla que sigue es la selección de componentes en actuaremos eligiendo o descartando los componentes que creamos adecuados, una vez determinado que es lo que queremos instalara le daremos a (SIGUIENTE). Configurando el acceso a red Si el equipo está conectado a una red a través de RDSI (ISDN) o un adaptador de red pulsaremos como activo en el cuadro a tal efecto. Si a su vez va ha tener control de acceso telefónico a redes también marcaremos el cuadro a tal efecto Si nuestro equipo no va ha tener nada de lo anterior pulsaremos el botón redondo que nos indica tal opción (No conectar este equipo a una red en este momento) Nuestro equipo esta conectado a una LAN a través de un adaptador de red. (SIGUIENTE) Pulsaremos la búsqueda automática de adaptadores de red, en el caso que no lo detectase tendremos que utiliza un disco del fabricante o un adaptador existente en la lista de adaptadores de NT. Una vez instalado el adaptador de red, pasaremos a la instalación de los protocolos con los que van a trabajar nuestro sistema, los cuales pueden ser TCP/IP, IPS/SPX, NetBEUI, pudiéndose seleccionar otros desde una lista o instalarlos desde un disco del fabricante. Nosotros instalaremos TCP/IP, si tuviéramos que instalar un cliente para NETWARE tendríamos que instalar IPX/SPX, y si lo queremos compatibilizar con una antiguas redes de Microsoft o queremos una instalación sencilla hasta 8 equipo utilizaremos NetBEUI solamente. Nosotros instalaremos TCP/IP ya que será imprescindible para el acceso a Internet a través de acceso telefónico a redes, (SIGUIENTE). Pantalla de los servicios de red Sale un listado con los servicios mínimos de red que no se pueden tocar desde la instalación, en el caso que queramos quitar algunos tendremos que esperar a que se acabe la instalación, podremos ampliarlo dependiendo de los que queramos, en el caso de una red Netware tendremos que instalar el servicio de Cliente para Netware. Ya hemos acabado la instalación de red Pulsaremos (SIGUIENTE), si tenemos alguna duda (ATRÁS). Comenzado la instalación de todo lo que le hemos indicado en los pasos previos. Pasando a la introducción de los datos para el protocolo TCP/IP. Si nuestro equipo adquiere la dirección IP desde un servidor DHCP automáticamente le daremos que (SI), en el caso de tener una dirección IP fija le daremos que (NO). Ahora seguiremos con la introducción de los datos del TCP/IP de nuestro equipo, si tenemos una dirección fija de red la pondremos una vez activada la casilla a para tal efecto, con la mascara de red adecuada, si no tenemos ningún ROUTER o GATEWAY para la solución de encaminamiento lo dejaremos en blanco, en caso de que existiera pondríamos la dirección de este. Esta es la Instalación mínima mas adelante la analizaremos con mas detenimiento. Si utilizados WINS para la resolución de nombres le indicaremos el servidor de WINS en caso contrario le diremos que (SI) queremos continuar. Nos indica los niveles de enlace entre los servicios, los protocolos y los adaptares de comunicaciones tanto de red como de RAS los cuales podemos habilitar o deshabilitar a nuestro gusto. (SIGUIENTE). NT esta listo para iniciar la red (SIGUIENTE) si lo tenemos claro, (ATRÁS) si nos hemos equivocado en algo. Ahora llega el momento de decirle si vamos a formar parte de un dominio NT o en un grupo de trabajo en el caso de trabajar en un dominio necesitamos la asistencia del administrador para que de alta la máquina. Nosotros en un principio no trabajamos en un dominio sino en un grupo de trabajo. Pondremos el Nombre, (SIGUIENTE), ya hemos terminado la instalación de la red. Pasaremos a poner la fecha y la hora (CERRAR), y las características de la tarjeta gráfica, aunque recomiendo dejar la que nos haya dado por defecto y continuar la instalación, posteriormente podremos cambiar el tipo. Si ha detectado una tarjeta tendremos que pulsar (PRUEBA), antes de (ACEPTAR). Copiará el resto de los archivos, guardará la configuración y nos pedirá que insertemos un disco que etiquetaremos como "Disco de reparación" (ACEPTAR), borrará los archivos temporales y nos pedirá que reiniciemos. Una vez pasada la primera parte de la instalación, se reinicia el ordenador y comienza la instalación basada en entorno gráfico. Lo primero que hace es mostrar una pantalla indicando el proceso de instalación que vamos a seguir. En el paso siguiente pondremos el nombre y la organización a la que va a pertenecer la licencia , e introduciremos la clave del cdrom que viene en la funda. Pasaremos a poner el nombre que va a tener el equipo en la red, ¡atención!, no puede estar duplicado. Llegamos al menú donde tenemos que indicar que función realizará nuestro equipo, antes quizás te convenga tener claro lo que es un dominio:
Ahora nos pregunta si queremos generar un disco de rescate, este disco es importante si existe un bloqueo o un fallo en el arranque de NT, se tendrá que actualizar cada cierto tiempo y también antes y después de hacer un cambio importante en el equipo, sobre todo si es un cambio de hardware. Preparamos un diskette vacío y lo creamos ahora. La pantalla que sigue es la de selección de componentes accesorios al sistema, elegiremos los componentes que creamos adecuados o dejamos la configuración por defecto si no estamos muy familiarizados con ellos. Comenzando la instalación de la red. Si el equipo está conectado a una red, ya sea a través de RDSI (ISDN) o con un adaptador de red, tendremos que activar el cuadro correspondiente, si necesitamos acceso telefónico a redes también marcaremos el cuadro a tal efecto. En caso contrario pulsaremos el botón redondo que nos indica tal opción (No conectar este equipo a una red en este momento) Nuestro equipo esta conectado a una LAN a través de un adaptador de red. (SIGUIENTE) En esta pantalla nos pregunta si queremos instalar el IIS (Internet Información Server) cuya instalación veremos en un próximo documento, solo anticipar que es para poner nuestro equipo como un servidor de Internet. Le quitamos la selección y pulsaremos (SIGUIENTE). Pulsaremos la búsqueda automática de adaptadores de red, en el caso que no lo detectase tendremos que utiliza un disco del fabricante o un adaptador existente en la lista de adaptadores de NT. Una vez instalado el adaptador de RED, pasaremos a la instalación de los protocolos con los que van a trabajar nuestro sistema, los cuales pueden ser TCP/IP, IPS/SPX, NetBEUI, pudiéndose seleccionar otros desde una lista o instalarlos desde un disco del fabricante. Nosotros instalaremos TCP/IP, si tuviéramos que instalar un cliente para NETWARE tendríamos que instalar IPX/SPX, y si lo queremos compatibilizar con una antiguas redes de Microsoft o queremos una instalación sencilla de hasta 8 equipos utilizaremos NetBEUI solamente. Nosotros instalaremos TCP/IP ya que será imprescindible para el acceso a Internet a través de acceso telefónico a redes, (SIGUIENTE). Pantalla de los servicios en RED. Sale un listado con los servicios mínimos de RED que no se pueden tocar desde la instalación, en el caso que queramos quitar algunos tendremos que esperar a que se acabe la instalación, podremos ampliarlo dependiendo de los que queramos, en el caso de una red NETWARE tendremos que instalar el servicio de Cliente para NETWARE. Ya hemos acabado la instalación de RED Pulsaremos (SIGUIENTE), si tenemos alguna duda (ATRÁS). Comenzado la instalación de todo lo que le hemos indicado en los pasos previos. Pasando a la introducción de los datos para el protocolo TCP/IP. Si nuestro equipo adquiere la dirección IP desde un servidor DHCP automáticamente le daremos que (SI), en el caso de tener una dirección IP fija le daremos que (NO). Ahora seguiremos con la introducción de los datos del TCP/IP de nuestro equipo, si tenemos una dirección fija de red la pondremos una vez activada la casilla a para tal efecto, con la mascara de red adecuada, si no tenemos ningún router o gateway para la solución de encaminamiento lo dejaremos en blanco, en caso de que existiera pondríamos la dirección de este. Esta es la Instalación mínima mas adelante la analizaremos con mas detenimiento. Si utilizamos WINS para la resolución de nombres le indicaremos el servidor de WINS en caso contrario le diremos que (SI) queremos continuar. Nos indica los niveles de enlace entre los servicios, los protocolos y los adaptares de comunicaciones tanto de red como de RAS los cuales podemos habilitar o deshabilitar a nuestro gusto. (SIGUIENTE). NT esta listo para iniciar la red (SIGUIENTE) si lo tenemos claro, (ATRÁS) si no hemos equivocado en algo. Ahora llega el momento de decir el nombre que va a tener nuestro dominio NT. Pondremos el Nombre, (SIGUIENTE) ya hemos terminado la instalación de la red. Pasaremos a poner la fecha y la hora (CERRAR), y las características de la tarjeta gráfica, aunque recomiendo dejar la que nos haya dado por defecto y continuar la instalación, posteriormente podremos cambiar el tipo. Si ha detectado una tarjeta tendremos que pulsar (PRUEBA), antes de (ACEPTAR). Copiará el resto de los archivos, guardara la configuración y nos pedirá que insertemos un disco que etiquetaremos como "rescate" (ACEPTAR), borrará los archivos temporales y nos pedirá que reiniciemos. Este documento sigue abierto para cualquier ampliación o corrección que quieras mandar. Para cualquier administrador de sistemas es obvio que si necesita conexión con Novell habrá de instalar el protocolo IPX/SPX, para convivir con UNIX echará mano de TCP/IP y si los Macintosh abundan tendrá que usar AppleTalk. Lo que a veces no queda tan claro es el protocolo a utilizar en una red basada únicamente en sistemas operativos de Microsoft (MSDOS, Windows 3.x, Windows 95 y el propio Windows NT), es aquí donde el presente documento pretende poner un poco de luz. Protocolos "de serie": IPX/SPX y NetBEUI. Al instalar Windows NT los protocolos que se instalan por defecto son IPX/SPX y NetBEUI. Aunque la elección de IPX/SPX me parece acertada no entiendo porqué se nos endosa NetBEUI cuando la propia Microsoft nos dice que no le parece un protocolo adecuado para una red que se precie de serlo. Con el vamos a empezar esta discusión. NetBEUI. Es el protocolo utilizado por las antiguas redes basadas en Microsoft LAN Manager. Es muy rápido en pequeñas redes que no lleguen a la decena de equipos y que no muevan ficheros de gran tamaño, a partir de ahí es mejor otra opción y lo desinstales de tus clientes y tus servidores, esto último siempre que no tengas ningún equipo que utilice LAN Manager. IPX/SPX. Este protocolo, implementado por Novell, ha demostrado sobradamente su valía en redes de área local, es rápido, fácil de configurar y requiere pocas atenciones. Es el protocolo que Microsoft recomienda para redes de área local basadas en DOS, Windows 3.x, Windows 95 y Windows NT. El principal inconveniente que presenta para redes medianas y grandes es que no se puede enrutar o sea que no puede pasar de una subred a otra si entre ambas hay un encaminador (router), por lo que no puede usarse en redes WAN. Otro inconveniente que presenta en redes con un cierto número de equipos es que puede llegar a saturar la red con los broadcast que lanzan los equipos para anunciarse en la red. TCP/IP. Este protocolo juega aquí con ventaja pues se trata de mi favorito y además se hace imprescindible si estás conectado a Internet o quieres crear una intranet. La capacidad de TCP/IP para mover información en una red, por grande que sea, sin perder datos, su sistema de nombres y direcciones, y su facilidad para saltar de una red a otra lo convierten en el candidato ideal para cualquier red de ordenadores dispuesta a no quedarse dentro de las paredes de un edificio. No obstante pueden achacársele algunos inconvenientes como la dificultad de configuración para el usuario y la necesidad de un mantenimiento constante por parte del administrador de la red. El primer inconveniente se debe a la necesidad que tiene el usuario de conocer algunos datos imprescindibles antes de que el sistema empiece a funcionar en red: dirección IP, máscara de red, dirección del servidor de nombres y dirección del encaminador, afortunadamente este problema puede resolverse utilizando el servicio de configuración dinámica de equipos (DHCP), que viene incluido en Windows NT Server, este servicio asigna los datos mencionados arriba a cada equipo en el momento en que este se conecta en red de manera transparente para el usuario. El trabajo de mantenimiento por parte del administrador tampoco es insignificante: asignación de direcciones IP a los nuevos equipos, mantenimiento de la tabla de nombres en el servidor de nombres si este existe o, peor aún, en cada equipo si no existe y vigilar que no haya direcciones duplicadas por citar sólo algunos. De nuevo NT Server nos hecha una mano si combinamos la potencia de DHCP con el servicio de nombres para Windows (WINS) y el reciente servicio de nombres de dominio (DNS). Otro inconveniente que aún no hemos mencionado es la falta de seguridad de TCP/IP frente a los "mirones" que tengan acceso físico a la red, ya que las tramas TCP/IP no van codificadas y con un software adecuado podría capturarse parte de la información que estamos enviando. Para este problema comienzan a surgir soluciones como el protocolo punto a punto apantallado (PPTP), que encripta las tramas TCP/IP que enviamos, estableciendo de esta forma un canal seguro incluso a través de Internet. NetBIOS, un escalón más arriba. No podemos nunca hablar de NetBIOS como una alternativa a los protocolos mencionados arriba, pues se trata de un protocolo que se encuentra un escalón más arriba que los anteriores(más cerca del usuario). NetBIOS es un intermediario entre dichos protocolos y nuestras aplicaciones, que nos permite conectarnos al resto de los equipos de nuestra red usando nombres sencillos y fáciles de recordar (SERVIDOR, COMPRAS, ANDROMEDA) sin importar que protocolo de red estemos usando para comunicarnos con ellos. De esta manera para el usuario la red se convierte en algo transparente por la que puede navegar usando el icono "Entorno de red". Además no tenemos que preocuparnos nunca de él pues se instalará solito sobre los protocolos que configuremos en nuestro equipo. Conclusiones finales La recomendación es que mantengas tu red funcionando con el menor número de protocolos posibles, siendo muy conveniente que haya homogeneidad entre los equipos que vayan a compartir recursos entre si, ya que las máquinas que no tengan al menos un protocolo común no podrán verse entre si ni compartir recursos. Si por motivos de tamaño no vas a usar NetBEUI, la elección queda entre IPX/SPX y TCP/IP, usa el primero en una red local sin acceso a Internet y el segundo en una red no local (WAN,MAN) o si necesitas Internet o intranet. Si, como es habitual, en tu red hay máquinas que no salen a Internet y otras que si lo hacen puedes instalar en todas IPX/SPX y en las que acceden a Internet añades TCP/IP, de esta manera las máquinas que no acceden a Internet están más seguras y todas se ven entre si. Vamos a estudiar aquí la configuración del servicio y del cliente que nos permitirán acceder a nuestra red a través del teléfono La instalación se realiza desde el icono "Red" en el panel de control, accediendo a la solapa "Servicios". Pulsando el botón "Agregar" nos saldrá la lista de servicios disponibles, elegimos "Servicio de acceso remoto" y pulsamos "Aceptar". Si aún no hemos instalado ningún modem nos aparecerá el siguiente cuadro de diálogo, si ya está instalado pasamos de esto.. Pulsamos "Si" para instalar el modem. Si queremos que intente detectar automáticamente el modem pulsamos "Siguiente", si el módem está dentro de la lista que detecta NT y sabemos el puerto COM donde está ubicado, marcamos el cuadro "No detectar el módem..." y pulsaremos "Siguiente". Si hemos elegido la detección automática NT examinará los puertos para averiguar si existe algún módem, en el caso de no encontrar ninguno, nos lo indica y pasaremos a la introducción manual de datos pulsando "Siguiente". Nos saldrá el menú anterior con todos los módem que tiene NT, lo seleccionaremos o en el caso de que no exista le tendremos que decir que vamos a "Utilizar disco", si el disco que acompaña a nuestro modem no trae controladores para NT (cosa bastante común) lo mejor será seleccionar uno de los módem estándar o alguno que aparezca en la lista que sepamos que sea compatible con el nuestro. Si nuestro módem esta en la lista, lo seleccionamos, y pulsamos "Siguiente". seleccionamos el puerto y pulsamos "Siguiente". Este cuadro nos pide algunos datos sobre nuestra linea telefónica. Si no dependemos de una centralita dejamos en blanco la casilla del número para linea exterior. Una vez cumplimentado pulsaremos "Siguiente", nos aparece una pantalla de confirmación, si todo es correcto pulsamos "Finalizar". Nota: si al introducir los datos advertimos que hemos cometido algún error siempre podemos volver hacia atrás. Una vez hecho esto si todo ha ido correctamente NT ya debe reconocer nuestro dispositivo de modem, ahora seguiremos configurando el Servicio de acceso remoto. No muestra los dispositivos que pueden funcionar, en este caso solo nos muestra el módem que hemos instalado. Si tenemos otro elegimos "Instalar módem" y se repetirá el proceso anterior, si no tenemos más que instalar pulsamos "Aceptar". Seleccionamos el módem que vamos a utilizar y pulsamos "Configurar". . En este cuadro de dialogo no pregunta en definitiva si vamos a instalar el módem como dispositivo de salida (acceso telefónico a redes) o como dispositivo de entrada (RAS) o de entrada y salida lo cual englobaría las dos cosas, una vez lo tengamos claro picamos en "Aceptar". Volveremos al cuadro de instalación de acceso remoto, ahora pulsamos "Red". Aquí se configuran los protocolos que vamos a utilizar, distingue entre la parte cliente (hacer llamadas) y la parte servidora (recibir llamadas). Los protocolos que vamos a usar para el cliente son en este caso TCP/IP para Internet y NetBEUI o IPX/SPX para otras redes a las cuales nos queramos conectar, incluyendo a una red de NT. Para recibir llamadas se seleccionara los protocolos que vamos a usar y configuraremos cada uno ellos. En el caso del TCP/IP, lo seleccionaremos y pulsaremos "Configurar". Lo primero es decirle si cuando llaman, al que llama, se le muestra solo este equipo o todos lo equipo que están el la red. Si utilizamos servidor DHCP lo indicaremos y si no tendremos que decirle un rango de direcciones IP para suministrar a ordenadores que llaman. Se puede permitir a un equipo pedir una dirección IP fija si no esta ocupada, para ello marcaremos en el cuadrado que se nos indica esta opción. Una vez configurado los protocolos entrada tenemos que decir como se va a autentificar en el caso del TCP/IP permitir cualquier autentificación, incluso texto simple En el caso de otros protocolos podremos exigir autenticación cifrada o cifradas especial de Microsoft con datos cifrados. Pulsamos "Aceptar". Y le diremos que queremos reiniciar el equipo para que todos los cambios se realicen. Dominios, relaciones y otros Un dominio es un conjunto de ordenadores (servidores + estaciones de trabajo) que comparten características comunes en cuanto a accesos. Un usuario registrado en un dominio con un nombre de usuario y una palabra de paso, automáticamente es capaz de acceder a todos los servidores de dicho dominio utilizando el mismo nombre y la misma palabra de paso. Dentro de los servidores de un dominio existen dos jerarquías: el servidor PDC (Primary Domain Controller) y los servidores BDC (Backup Domain Controller). Por cada dominio ha de haber un PDC y sólo uno, y posiblemente varios BDC. Cuando el administrador del dominio da de alta un nuevo usuario, lo hace sobre el PDC. Los datos sobre los usuarios se guardan en una base de datos llamada SAM, que la tiene cualquier servidor. El PDC se encarga de copiar esa base de datos de usuarios a todos los BDCs de su dominio de manera periódica. Notemos la liberación de trabajo que esto supone para un administrador de red. Con sólo dar de alta un usuario en el PDC, ese usuario automáticamente puede acceder a cualquier servidor del dominio y además usando el mismo nombre de usuario y la misma palabra de paso. Este proceso de copia periódica de la SAM se denomina replicación. Windows NT Server viene preparado con los protocolos adecuados para soportar diversos tipos de clientes: MS-DOS, Windows para Trabajo en Grupo, OS/2, Windows 95 ... Ahora que tenemos la idea intuitiva de lo que es un dominio, pasemos a ver cómo se relacionan los dominios de una red mediante el concepto de Trust o Relación de Confianza. Se dice que un dominio A confía en otro B, o que hay establecida una relación de confianza desde A hacia B, cuando cualquier usuario autorizado en el dominio B puede entrar sin más en el dominio A. Un grupo local es un grupo de usuarios, de manera que cualquier usuario del grupo puede entrar y acceder a los recursos del servidor PDC del dominio al que pertenece el grupo. Un grupo local se define como perteneciente a un dominio. Un grupo global es igual que el anterior excepto en que puede ser visto también por todos los dominios que confían en el dominio al que pertenece el grupo. La diferencia entre local y global es, pues, el ámbito de visibilidad. Si A confía en B, y definimos en B un grupo global, entonces ese grupo también se puede utilizar en A. Un ejemplo práctico Como hemos dicho al principio, el dominio sirve para administrar de una manera lógica los recursos, servidores y estaciones de una red fácilmente. Por ejemplo, supongamos una facultad en la que hay departamentos. En cada departamento hay servidores, estaciones y recursos (discos duros e impresoras). Podemos crear un dominio por departamento. En cada departamento, elegiremos un servidor como PDC donde se dan de alta los usuarios de ese departamento. Nos damos cuenta de que en un departamento A nos interesa tener tres tipos de grupos: los Administradores, los Profesores y los Becarios, cada uno con diferentes permisos en cuanto a accesibilidad. Creamos en principio tres grupos locales al dominio. A la hora de dar de alta un nuevo usuario en el departamento, basta meterlo en el grupo correspondiente para que tenga los permisos por defecto de ese grupo. Si queremos que tenga algún permiso especial, también se lo podemos dar. Supongamos que el administrador da de alta a un profesor, Baltasar González, en el grupo local Profesores con nombre de usuario balgon. El PDC copia la SAM en los restantes BDCs del departamento A, de manera que el profesor Baltasar pueda hacer logon en cualquier servidor de su departamento usando su nombre de usuario balgon y el mismo password. Supongamos que nos interesa que el departamento A pueda utilizar los recursos del departamento B. Entonces podemos hacer lo siguiente: Creamos un grupo global en el PDC de A. En ese grupo global meteremos todos los usuarios de A que van a acceder a B. Ahora establecemos un trust desde B hacia A, de manera que B confía en A, y por tanto ve el grupo global definido en A. Por último, en el dominio B damos al grupo global los permisos necesarios para que acceda a los recursos de B, o mejor lo incluimos en el grupo local más adecuado. Lo anterior es sólo una manera de gestionar la organización de la facultad, pero hay más posibilidades. Podemos tener un dominio único y definir un grupo local por departamento, por ejemplo. El Dominio Master Una organización distinta sería la del dominio master. Supongamos que tenemos un dominio donde almacenamos todas las cuentas de los usuarios de la red (dominio master). En él definimos varios grupos globales, por ejemplo uno por departamento. Creamos ahora tantos dominios como departamentos hay, y hacemos que todos esos dominios confíen en el master. Ahora, en el dominio del departamento X creamos un grupo local donde meteremos todos los globales del master cuyos usuarios nos interese que accedan a los recursos de las máquinas de X. Por tanto, en el dominio X bastará dar permisos de acceso al grupo local definido, y automáticamente heredarán esos permisos los usuarios de los globales metidos en ese local. Un mismo grupo global puede estar metido en varios locales de varios dominios. Repetiremos esta operación para cada departamento. Esto da lugar a una administración centralizada. Otro modelo es el de múltiples masters. Un dominio en general puede albergar hasta 15000 cuentas de usuario. Cuando necesitamos más, podemos definir varios masters. Entre los masters definiremos relaciones de confianza en ambos sentidos (por ejemplo, si tenemos dos masters M1 y M2, haremos que M1 confíe en M2 y M2 confíe en M1). Si ahora hacemos que todos los restantes dominios confíen en M1 y en M2, habremos conseguido lo mismo que en el modelo de master único pero ampliando el número de cuentas de usuario hasta 30000. Los grupos de trabajo Para terminar me gustaría señalar la diferencia de los dominios con los grupos de trabajo de Windows para trabajo en grupo. Un grupo de trabajo es un conjunto de ordenadores en el que cada uno puede funcionar tanto como cliente como servidor, o ambos a la vez. El administrador tiene la responsabilidad de mantener la base de datos de usuarios en cada ordenador del grupo. Además, un usuario de un ordenador podría fácilmente trastear con él y echar abajo los servicios. Cuentas de usuarios y grupos Es muy importante planificar cuidadosamente la administración de las cuentas de usuario y grupos, no obstante disponemos de sencillas y potentes herramientas para llevarlo a la práctica. Aquí tienes algunos consejos importantes para realizar con éxito dicha planificación:
Grupos globales Un grupo global contiene una serie de cuentas de usuario de un dominio que están agrupadas bajo un nombre de cuenta de grupo. Un grupo global sólo puede contener cuentas de usuario del dominio donde se creó el grupo global. Una vez que se crea un grupo global, se le puede asignar permisos y derechos en su propio dominio sobre estaciones de trabajo o servidores miembro, o sobre dominios que confían. Sin embargo, lo mejor es asignar derechos y permisos a grupos locales, y usar el grupo global como método para agregar usuarios a grupos locales. Los grupos globales se pueden agregar a grupos locales del mismo dominio, en dominios que confían en dicho dominio, o en servidores miembro o equipos que ejecuten Windows NT Workstation en el mismo dominio o en uno que confía. Los grupos globales sólo contienen cuentas de usuario de dominio. No puede crear un grupo global en un equipo que ejecute Windows NT Workstation o en un equipo que ejecute Windows NT Server como servidor miembro. La palabra "globales" en "grupos globales" indica que el grupo está disponible para recibir derechos y permisos en múltiples dominios (globales). Un grupo global sólo puede contener cuentas de usuario; no puede contener grupos locales ni otros grupos globales. Grupos locales. Un grupo local contiene cuentas de usuario y cuentas de grupo globales de uno o más dominios, agrupados bajo un nombre de cuenta de grupo. Los usuarios y los grupos globales de fuera del dominio local sólo se pueden agregar al grupo local si pertenecen a un dominio que confía. Los grupos locales hacen posible la rápida asignación de derechos y permisos sobre los recursos de un dominio (es decir, el dominio local) a usuarios y grupos de dicho dominio y otros dominios que confíen en él. Los grupos locales también existen en servidores miembro y equipos que ejecutan Windows NT Workstation, y pueden contener cuentas de usuario y grupos globales. La palabra "locales" de "grupos locales" indica que el grupo está disponible para recibir derechos y permisos en un dominio único (local). Un grupo local no puede contener otros grupos locales. Estrategias para utilizar grupos locales y globales. Un grupo local es una entidad de seguridad única a la que se puede conceder acceso a muchos objetos de una única ubicación (un dominio, una estación de trabajo o un servidor miembro) en vez de tener que editar los permisos sobre todos esos objetos de forma independiente. Con los grupos globales puede agrupar las cuentas de usuario a las que podría conceder permisos para usar objetos en múltiples dominios y estaciones de trabajo. Por ejemplo, en una configuración de múltiples dominios, puede pensar en los grupos globales como medio para agregar usuarios a los grupos locales de dominios que confían. Para extender los derechos y permisos de los usuarios a recursos de otros dominios, agregue sus cuentas a un grupo global de su dominio y después agregue el grupo global a un grupo local de un dominio que confía. Incluso en un dominio único, si recuerda que puede agregar dominios adicionales en el futuro, puede usar grupos globales agregados a grupos locales para conceder todos los derechos y permisos. Posteriormente, si se crea otro dominio, los derechos y permisos asignados a sus grupos locales pueden extenderse a los usuarios del dominio nuevo creando una relación de confianza y agregando grupos globales del dominio nuevo a sus grupos locales. De la misma manera, si el dominio nuevo confía en su dominio, sus grupos globales se pueden agregar a los grupos locales del dominio nuevo. Los grupos globales de dominio también se pueden usar para propósitos administrativos en equipos con Windows NT Workstation o en servidores miembro con Windows NT Server. Por ejemplo, el grupo local Administradores de dominio se agrega de forma predeterminada al grupo local incorporado Administradores en todas las estaciones de trabajo o servidores miembro que se unen a un dominio existente. La pertenencia al grupo local Administradores de una estación de trabajo o servidor miembro permite que el administrador de red administre el equipo de forma remota creando grupos de programas, instalando software y solucionando los problemas del equipo. El administrador de discos Posibilidades que ofrece El administrador de disco es la herramienta gráfica que emplea NT para la gestión de discos duros, con dicha herramienta podemos:
Un vistazo rápido Antes de comenzar un par de advertencias: el administrador de discos nos permite trabajar sobre la partición de sistema (normalmente C: ), ya que contiene los archivos necesarios para que NT se ejecute, el resto de las particiones son totalmente moldeables pero tendrás que tener cuidado con lo que haces en aquellas que contengan datos, ya que podrías perderlos. En este gráfico puedes ver al administrador de discos trabajando sobre un sistema con tres discos físicos (0,1 y 2) y un lector de cdrom, aquí puedes apreciar:
Vamos a repasar ahora el entorno de trabajo de esta herramienta si has trabajado anteriormente con ella puedes pasar directamente a la parte práctica, en caso contrario sigue leyendo y luego iremos a la praxis. El entorno de trabajo Para empezar dale un vistazo a estas dos imágenes. Nos dicen casi lo mismo pero en distinto formato, son los dos tipos de vista que puedes utilizar: El modo de vista "Volúmenes" resalta más las unidades lógicas y es más completa en cuanto a datos numéricos como la capacidad, el espacio disponible y el porcentaje de espacio disponible en relación a la capacidad total, datos muy interesantes para ver que volúmenes se están quedando pequeños y como tienes repartido el espacio de almacenamiento. La vista "Configuración de disco" muestra como están organizadas las particiones y volúmenes dentro de los discos físicos, es la más adecuada para el trabajo fuerte con el administrador de discos, o sea, extender volúmenes, crear o eliminar particiones, establecer espejos, etc. Es la que usaremos a lo largo de estas páginas. En esta última imagen puedes ver de una manera muy intuitiva como está repartido el espacio en el disco duro. Cada cuadradito representa un volumen, los códigos de colores indican como está configurado cada volumen, también aparecen aquí la etiqueta, el tipo de formato y el espacio total. El significado de cada color viene dado por la leyenda de la penúltima barra que puedes configurar desde el menú Opciones. Si picas con el ratón sobre alguno de los cuadritos que representan los volúmenes lo habrás seleccionado para poder trabajar con él, deja pulsada la tecla de mayúsculas y picas en nuevos cuadritos si quieres seleccionar varios a la vez, del mismo modo puedes seleccionar las zonas rayadas que representan el espacio disponible no asignado a ningún volumen. Pulsando el botón secundario del ratón sobre cualquier cuadrito accedes a un pequeño menú con las tareas que pueden realizarse sobre dicho volumen. Las acciones que vayas realizando no serán efectivas hasta que registres los cambios que has hecho; ésto, que a veces despista o resulta tedioso, es una buena medida de seguridad frente a la pérdida de datos. Para realizar determinadas acciones (por ejemplo formatear un volumen después de crearlo) tendrás que ir confirmando los cambios sobre la marcha usando el comando Partición/Registrar cambios ahora. Si sales del programa sin haber registrado los cambios un diálogo te dará la posibilidad de hacerlo o de salir sin registrar nada. La parte dura Un disco duro es básicamente un conjunto de platos recubiertos con un material sensible a alteraciones magnéticas que giran a gran velocidad (cuya misión es la de almacenar los datos) y unos cabezales móviles de gran precisión (los encargados de leer y escribir en los platos magnéticos). Los dos estándares más utilizados son IDE y SCSI. La secuencia de inicio Una vez que la ROM ha detectado el disco duro principal lee el primer registro que se encuentra en éste, dicho registro es el Master Boot Record (MBR, literalmente registro maestro de arranque), que contiene un programa ejecutable y una tabla donde están definidas las particiones del disco. El ejecutable del MBR llama a su vez a otro programa contenido en el primer sector de la partición primaria activa que es el encargado de cargar el sistema operativo en memoria. Particiones primarias y extendidas Antes de comenzar a trabajar con un disco duro creamos en el una serie de particiones (de una a cuatro con NT) que contendrán los datos. Existen dos tipos de particiones: la partición primaria y la partición extendida. La partición primaria es la única desde la que puede arrancar el sistema operativo, aquí es donde el MBR buscará el programa que controla el arranque (boot manager), que en NT se configura con el archivo BOOT.INI. En NT podemos definir por cada disco hasta cuatro particiones primarias pero sólo una puede estar activa. Gracias a esto podrían convivir en nuestro equipo cuatro sistemas operativos distintos La partición extendida no puede usarse como partición de arranque de un sistema operativo, pero tiene la ventaja de poder dividirse en varios volúmenes. Sin embargo el usuario nunca trabaja directamente sobre las particiones de un disco duro, ni notará ninguna diferencia por trabajar en una primaria o en una extendida, para trabajar con los datos se define el concepto de volumen, cada volumen lleva asignada una letra de unidad que la identifica para poder trabajar con ella. Aunque se hayan definido las particiones en las que se va a estructurar el disco, todavía éstas no son accesibles al sistema operativo. Para ello tenemos que formatear cada una de las particiones con un formato reconocible por el sistema operativo que vayamos a instalar. Una vez formateadas podemos definir el concepto de volumen. Volúmenes Los volúmenes o unidades lógicas son porciones de uno o varios discos duros que el sistema operativo trata como si fueran una sola unidad física, como si dijéramos un disco duro virtual. De manera que podemos escribir y leer datos en ellas, formatearlas, buscar errores, etc. Un volumen puede abarcar:
Porqué particionar un disco duro El hacer particiones en un disco duro puede representar interesantes ventajas:
Una vez creadas las particiones y asignados los volúmenes queda aún un importante trabajo que tocaremos en un próximo artículo: decidir el sistema o los sistemas de archivos a utilizar y formatear cada volumen. Para ir abriendo boca diremos que NT sólo puede formatear bajo FAT y NTFS, aunque también entiende HPFS (OS/2) y CDFS (el de los cdroms), desgraciadamente la versión 4.0 de NT no es capaz aún de leer FAT32, el sistema de archivos usado por Windows 95 en su versión OSR2. Debido a su diseño Windows NT es un sistema que apuesta por la seguridad y que ha llegado a obtener el certificado de seguridad C2, sin embargo ningún administrador debe perder de vista que una vez acabada la instalación aun queda un buen trecho por recorrer para llegar a un grado respetable de seguridad, aquí tienes un pequeño croquis que te ayudará a no perderte. No obstante para conseguir un mayor grado de seguridad debes recurrir a manuales especializados en el tema; para llegar al nivel de C2 existe una utilidad en el Kit de recursos de Windows NT 4.0 que nos permite chequear a fondo nuestro sistema. Divide y vencerás. No recomiendo a nadie tener una sola unidad de disco duro en un servidor, es más aconsejable tener dos o tres dispositivos, si sólo tenemos un disco de gran capacidad debemos crear varias particiones. Tener más de un dispositivo puede ayudarnos en el momento en que uno de ellos decida fallar, perderemos menos información y siempre podremos mover esta a otro disco antes de un desastre total, en sistemas críticos tendremos que implementar el nivel adecuado de RAID. Por lo que respecta a las visitas indeseadas el tener varias unidades (físicas o lógicas) dificultará el movimiento del posible intruso, pues una vez que acceda a una unidad podrá moverse por esta con relativa facilidad, sin embargo el salto de una unidad a otra es algo más complicado. En principio recomiendo tres particiones/unidades distintas:
NTFS. Si queremos seguridad no podemos dudarlo, NTFS es nuestro sistema de archivos. Aunque lo más lógico es elegirlo durante la instalación, no debemos olvidar que la conversión de FAT a NTFS puede realizarse en cualquier momento usando el comando convert convert unidad: /fs:ntfs NTFS implementa seguridad a nivel de archivo, cada archivo o directorio posee su lista de control de acceso (ACL) y "sabe" en todo momento quien tiene derechos sobre él, permitiéndonos hilar muy fino con los permisos. Por el contrario el sistema FAT carece totalmente de gestión de seguridad, una vez que un intruso entre en nuestro sistema todos los archivos estarían a su alcance, además nuestros propios usuarios podrían acceder o borrar con total impunidad cualquier archivo del sistema. Usuarios indeseados Existen tres cuentas de usuario que no podemos perder de vista:
Las cuentas claras. Tras el rimbombante nombre de "política de cuentas" se esconde un concepto que es de vital importancia para la seguridad del sistema, podemos resumir este concepto haciéndonos la siguiente pregunta: ¿qué voy a permitir a mis usuarios hacer con sus cuentas y sus claves?. NT nos permite un amplio abanico de posibilidades para no perder de vista las cuentas en nuestro sistema aquí tienes algunas de las opciones más interesantes que puedes configurar desde el administrador de usuarios, concretamente en el menú directivas - cuentas:
Otras opciones para evitar el uso indebido de cuentas aparecen en las propiedades de la cuenta de cada usuario, son las siguientes: limitar el horario de uso de la cuenta, permitir al usuario iniciar sesión sólo desde ciertas máquinas y ponerle fecha de caducidad a las cuentas. Compartir y permitir. Durante la instalación de NT se asignan por defecto permisos de control total a todos lo usuarios sobre todos los ficheros, esta peligrosa situación debe ser modificada por el administrador antes de que alguien cause un desastre en el sistema, aquí tienes el procedimiento correcto para configurar los permisos de acceso en la unidad de sistema. ATENCIÓN: estos cambios sólo debe realizarse inmediatamente después de haber instalado el sistema, si ya tenemos aplicaciones instaladas podrían dejar de funcionar correctamente, en cualquier caso es necesaria cierta experiencia en el tema para afrontar este drástico cambio. Configura la unidad completa, incluyendo subdirectorios y archivos, con los siguientes permisos:
Algunas veces se ocasionan líos grandísimos con los permisos de los recursos compartidos y los permisos de fichero, a veces podemos colocar permisos contradictorios de manera que mis usuarios no acceden a lo que necesitan y tienen control total sobre lo que no deben. Si eres un recién llegado ten cuidado, debes tener claro que cuando estos permisos entren en contradicción siempre se impondrá el más restrictivo y si quieres un buen consejo asigna los permisos sobre los recursos compartidos a grupos generales del sistema para luego afinar más con los permisos de archivos y directorios. Cuidado con el protocolo. NT se caracteriza por ofrecer una amplia variedad de protocolos y servicios de red que hacen de él un sistema versátil y con capacidad de integración en diversos entornos de red, esta profusión puede volverse contra nosotros. Planifica y decide que protocolos necesitas en tu red y elimina desde el icono red del panel de control aquellos que no vayas a usar. Nota: los sistemas operativos de Microsoft utilizan para comunicarse entre si el protocolo NetBIOS, este protocolo a su vez debe ir sobre otro de inferior nivel que puede ser uno de los siguientes: NetBEUI, IPX/SPX, TCP/IP; es por ello que hablaremos de NetBIOS sobre TCP/IP o NetBIOS sobre NetBEUI. Otras aplicaciones y servicios acceden a la red utilizando directamente IPX/SPX o TCP/IP pero sin utilizar NetBIOS. Aquí tienes algunas situaciones frecuentes:
Cada servicio una puerta. Con los servicios de red nos enfrentamos a la misma cuestión que con los protocolos, tenemos muchos disponibles pero sólo hemos de implementarlos si realmente los necesitamos, sabemos como funcionan y conocemos las repercusiones que puedan tener sobre la seguridad de nuestro servidor. Si queremos probar algún servicio que no dominemos debemos instalarlo en un entorno aislado y someterlo a todos los ataques que conozcamos y algún otro que se nos ocurra, cómo por ejemplo ver que carga de trabajo puede soportar sin dejar colgado el sistema. No entraremos de momento en detalles pero no quiero dejar de advertir que en este sentido los servicios con los que tenemos que tomar más precauciones son todos los basados sobre TCP/IP: FTP, SMTP, POP, HTTP, etc. Procura además que tus servicios no den al visitante información sobre el sistema operativo, el servicio que estamos usando o cualquier característica de nuestro sistema que no sea estrictamente necesaria para el usuario y pueda ser sabiamente explotada por un intruso. Auditoría de sucesos. Si en cualquier otro contexto hablamos de seguridad, el primer concepto que nos viene a la cabeza es el de vigilante. Por muchas medidas de seguridad mecánicas y electrónicas que se implanten la presencia humana siempre (ejem) es una garantía de respuesta ante lo imprevisto. Este es el papel que juega en NT el concepto de auditoría. En ciertos lugares estratégicos colocamos un vigilante que nos va haciendo un informe de todos las incidencias que se produzcan, más tarde revisamos estas listas y tomamos las decisiones oportunas, la valiosísima herramienta que nos ayudará a estar al tanto de todo lo que ocurre en nuestro sistema minuto a minuto es el visor de sucesos. Recomiendo a todos los administradores de red colocar un acceso directo a esta utilidad en el menú de inicio, de manera que al llegar cada mañana lo primero sea echar un vistazo a todo lo que ha ocurrido en nuestra ausencia. Debemos activar las auditorías de todos aquellos recursos susceptibles de ser manipulados indebidamente o de generar errores críticos, normalmente podremos hacerlo desde cada recurso, editando sus propiedades y eligiendo la solapilla de auditoría. Aquí tienes los que considero más importantes:
Manténgase alerta Si sigues los consejos anteriores vas a poder dormir plácidamente durante un tiempo, sin embargo cada día se descubren nuevos agujeros de seguridad incluso en los sistemas más fiables, es importante mantenerse al día sobre este tipo de noticias, plantearnos los riesgos que implica la instalación de nuevos servicios en nuestra red y revisar que todas las puertas estén cerradas tan a menudo como nos sea posible. Previsión y análisis. Cuando nuestro sistema nos da algún error en el arranque, no se puede inicializar NT o se ha dañado alguna parte del registro, tenemos que actuar con calma y serenidad, aún no está todo perdido, sobre todo si tenemos un disco de reparación actualizado. Para prevenir la pérdida de los datos y el sistema, siempre tenemos que tener un juego de disco compuesto por los tres de instalación y otro que generamos con la utilidad RDISK del sistema operativo, siempre que vayamos a hacer un cambio importante en el sistema, sobre todo si es de hardware hay que generar el disco de rescate antes de hacerlo y si todo va bien habrá que volverlo ha generar después de la instalación. En el caso de un cambio del sistema de seguridad o un cambio en el registro, habrá que generar el disco. Siempre tendremos la costumbre de tener por lo menos dos o tres discos de reparación los cuales iremos rotando. Nota importante: Si utiliza el disco de reparaciones de emergencia de Windows NT para reparar su sistema Windows NT en algún momento después de instalar el Service Pack, deberá reinstalar el Service Pack después de terminar la reparación. Esto se debe a que el disco de reparaciones de emergencia opera restaurando los archivos originales de la instalación de Windows NT 4.0. Una vez que la reparación ha terminado, simplemente siga las instrucciones de instalación (sección 2.0) para instalar otra vez el Service Pack. Para más información sobre la utilización del disco de reparaciones de emergencia, consulte Microsoft Knowledge Base en http://support.microsoft.com/support/ y busque el artículo Q146887. Nota: Para utilizar el programa del disco de reparaciones de emergencia necesita una versión actualizada de SETUPDD.SYS, que se encuentra en el Service Pack 3. Para ello, copie el archivo SETUPDD.SYS desde el Service Pack al disco de inicio número 2. Para más información consulte Microsoft Knowledge Base en http://support.microsoft.com/support/ y busque el artículo Q158423. Lo primero es hacer un análisis de lo último que hemos hecho que haya podido provocar el error, si nos ha salido una pantalla azul repleta de números de arriba a abajo (pantalla azul de la muerte) donde el sistema nos da un volcado de la memoria y los archivo implicados en el cuelgue, algo malo ha pasado (caídas de tensión eléctrica, fallos del hardware, controladores de dispositivos incompatibles, etc.). Ultima configuración correcta. La actuación es la siguiente primero intentaremos arrancar con la última configuración buena reconocida, para ello cuando nos pregunte en la pantalla que presionemos espacio para ver el menú de perfiles de hardware, lo haremos, y nos saldrá una pantalla con un listado de los perfiles de hardware y configuración, para arrancar con la ultima configuración buena conocida presionaremos ( L ), nos dará la opción ( D ) para arrancar con la predeterminada, nosotros le daremos (ENTRAR), en el caso de que de esta forma arrancara y que el sistema funcione adecuadamente, ya no hay que hacer nada más. Si el sistema sigue sin funcionar pasaremos a la siguiente actuación. Arranque con los discos de inicio. Para ello introduciremos el disco uno de instalación, luego nos pedirá el disco dos y nos saldrá la pantalla de bienvenida donde pulsaremos ( R ) que es la opción de reparación. Nos saldrá otra pantalla donde nos pregunta qué reparar. La selección se hará con los cursores y la barra espaciadora, por defecto está seleccionado todo, lo debemos de dejar así si no sabemos que seleccionar. [X] INSPECCIONAR LOS ARCHIVOS DE REGISTROS. [X] EL ENTORNO DE INICIO. [X] COMPROBAR LOS ARCHIVOS DE SISTEMA DE NT. [X] EL SECTOR DE INICIO. Una vez marcadas las opciones que deseemos pulsaremos continuar la reparación y nos pedirá que introduzcamos el disco tres, pasando con el a la detección de los controladores de disco y de CD. Una vez detectados o introducido los driver del fabricante continuaremos y nos preguntará si disponemos de un disco de reparación. Opciones de reparación. Una vez introducido se pondrá a examinar los disco del sistema, pudiendo tardar varios minutos en hacer este reconocimiento. Aparece una plantilla donde debemos decidir que parte del registro queremos restaurar, moviéndonos con los cursores y seleccionándolos. Es muy importante saber la antigüedad del disco de reparación ya que si le decimos que recupere la SEGURIDAD y no está actualizada podemos estropear parte de nuestro trabajo como administrador del sistema, por esa razón todo viene sin seleccionar por defecto. [ ] SISTEMA (Configuración del sistema). [ ] SOFTWARE (Información de Software). [ ] PREDETERMIDADO (Perfil del usuario predeterminado). [ ] NTUSER.DAT (Perfil de usuario nuevo). [ ] SEGURIDAD (Directivas de seguridad) y SAM (Base de datos de los usuarios de cuentas). CONTINUAR (Realizar las tareas seleccionadas) También en el caso de habernos equivocado a la hora de configurar la seguridad del sistema haciendo alguna prueba podemos recuperarla desde el proceso de reparación. Solo debemos reparar los archivos de registro que sepamos que están dañados o desaparecidos, porque podemos quitar algunas actualizaciones de ficheros realizadas por programas que las necesitan para funcionar, Un ejemplo: si el sistema se nos estropeo instalando el driver de una tarjeta que hemos puesto nueva en el ordenador, solo tendría que repararse el SISTEMA, dejando sin señalar todo lo demás. Una vez aclarado todo lo que deseamos restaurar nos moveremos con el cursor hasta continuar y le daremos (ENTRAR). El proceso de reparación se pondrá en marcha. Si se encuentran archivos dañados intentará restaurarlos desde el CD-ROM pero antes siempre pregunta:
Una vez reparado todos los archivo erróneos nos pedirá que retiremos los discos (disquetera y CD), reiniciemos el sistema y crucemos los dedos. 1. Introducción Windows NT presenta una arquitectura del tipo cliente-servidor. Los programas de aplicación son contemplados por el sistema operativo como si fueran clientes a los que hay que servir, y para lo cual viene equipado con distintas entidades servidoras. Uno de los objetivos fundamentales de diseño fue el tener un núcleo tan pequeño como fuera posible, en el que estuvieran integrados módulos que dieran respuesta a aquellas llamadas al sistema que necesariamente se tuvieran que ejecutar en modo privilegiado (también llamado modo kernel, modo núcleo y modo supervisor). El resto de las llamadas se expulsarían del núcleo hacia otras entidades que se ejecutarían en modo no privilegiado (modo usuario), y de esta manera el núcleo resultaría una base compacta, robusta y estable. Por eso se dice que Windows NT es un sistema operativo basado en micro-kernel. Por tanto en un primer acercamiento a la arquitectura distinguimos un núcleo que se ejecuta en modo privilegiado, y se denomina Executive, y unos módulos que se ejecutan en modo no privilegiado, llamados subsistemas protegidos. Los programas de usuario (también llamados programas de aplicación) interaccionan con cualquier sistema operativo (s.o. en adelante) a través de un juego de llamadas al sistema propio de dicho sistema. En el mundo Windows en general, las llamadas al sistema se denominan API (Application Programming Interfaces, interfaces para la programación de aplicaciones). En Windows NT y en Windows 95 se usa una versión del API llamada API Win32. 2. Los subsistemas protegidos. Son una serie de procesos servidores que se ejecutan en modo no privilegiado, al igual que los procesos de usuario, pero que tienen algunas características propias que los hacen distintos. Se inician al arrancar el s.o. y existen dos tipos: integrales y de entorno. Un subsistema integral es aquel servidor que ejecuta una función crítica del s.o. (como por ejemplo el que gestiona la seguridad). Un subsistema de entorno da soporte a aplicaciones procedentes de s.o. distintos, adaptándolas para su ejecución bajo Windows NT. Existen tres de este tipo: El subsistema Win32. Es el más importante, ya que atiende no sólo a las aplicaciones nativas de Windows NT, sino que para aquellos programas no Win32, reconoce su tipo y los lanza hacia el subsistema correspondiente. En el caso de que la aplicación sea MS-DOS o Windows de 16 bits (Windows 3.11 e inferiores), lo que hace es crear un nuevo subsistema protegido. Así, la aplicación DOS o Win16 se ejecutaría en el contexto de un proceso llamado VDM (Virtual DOS Machine, máquina virtual DOS), que no es más que un simulador de un ordenador funcionando bajo MS-DOS. Las llamadas al API Win16 serían correspondidas con las homónimas en API Win32. Microsoft llama a esto WOW (Windows On Win32). El subsistema soporta una buena parte del API Win32. Así, se encarga de todo lo relacionado con la interfaz gráfica con el usuario (GUI), controlando las entradas del usuario y salidas de la aplicación. Por ejemplo, un buen número de funciones de las bibliotecas USER32 y GDI32 son atendidas por Win32, ayudándose del Executive cuando es necesario. El funcionamiento como servidor de Win32 lo veremos un poco más adelante, en el apartado de llamadas a procedimientos locales. El subsistema POSIX. La norma POSIX (Portable Operating System Interface for UNIX) fue elaborada por IEEE para conseguir la portabilidad de las aplicaciones entre distintos entornos UNIX. La norma se ha implementado no sólo en muchas versiones de UNIX, sino también en otros s.o. como Windows NT, VMS, etc. Se trata de un conjunto de 23 normas, identificadas como IEEE 1003.0 a IEEE 1003.22, o también POSIX.0 a POSIX.22, de las cuales el subsistema POSIX soporta la POSIX.1, que define un conjunto de llamadas al sistema en lenguaje C. El subsistema sirve las llamadas interaccionando con el Executive. Se encarga también de definir aspectos específicos del s.o. UNIX, como pueden ser las relaciones jerárquicas entre procesos padres e hijos (las cuales no existen en el subsistema Win32, por ejemplo, y que por consiguiente no aparecen implementadas directamente en el Executive). El subsistema OS/2. Igual que el subsistema POSIX proporciona un entorno para aplicaciones UNIX, este subsistema da soporte a las aplicaciones del s.o. OS/2. Proporciona la interfaz gráfica y las llamadas al sistema; las llamadas son servidas con ayuda del Executive. El subsistema proceso de inicio. El proceso de inicio (Logon Process) recibe las peticiones de conexión por parte de los usuarios. En realidad son dos procesos, cada uno encargándose de un tipo distinto de conexión: el proceso de inicio local, que gestiona la conexión de usuarios locales directamente a una máquina Windows NT; y el proceso de inicio remoto, el cual gestiona la conexión de usuarios remotos a procesos servidores de NT. El subsistema de seguridad. Este subsistema interacciona con el proceso de inicio y el llamado monitor de referencias de seguridad (del que trataremos en el Executive), de esta forma se construye el modelo de seguridad en Windows NT. El subsistema de seguridad interacciona con el proceso de inicio, atendiendo las peticiones de acceso al sistema. Consta de dos subcomponentes: la autoridad de seguridad local y el administrador de cuentas. El primero es el corazón del subsistema de seguridad, en general gestiona la política de seguridad local, así, se encarga de generar los permisos de acceso, de comprobar que el usuario que solicita conexión tiene acceso al sistema, de verificar todos los accesos sobre los objetos (para lo cual se ayuda del monitor de referencias a seguridad) y de controlar la política de auditorías, llevando la cuenta de los mensajes de auditoría generados por el monitor de referencias. El administrador de cuentas mantiene una base de datos con las cuentas de todos los usuarios (login, claves, identificaciones, etc.). Proporciona los servicios de validación de usuarios requeridos por el subcomponente anterior. 3. El Executive. No debemos confundir el Executive con el núcleo de Windows NT, aunque muchas veces se usan (incorrectamente) como sinónimos. El Executive consta de una serie de componentes software, que se ejecutan en modo privilegiado, uno de los cuales es el núcleo. Dichos componentes son totalmente independientes entre sí, y se comunican a través de interfaces bien definidas. Recordemos que en el diseño se procuró dejar el núcleo tan pequeño como fuera posible y, como veremos, la funcionalidad del núcleo es mínima. El administrador de objetos (Object Manager). Se encarga de crear, destruir y gestionar todos los objetos del Executive. Tenemos infinidad de objetos: procesos, subprocesos, ficheros, segmentos de memoria compartida, semáforos, mutex, sucesos, etc. Los subsistemas de entorno (Win32, OS/2 y POSIX) también tienen sus propios objetos. Por ejemplo, un objeto ventana es creado (con ayuda del administrador de objetos) y gestionado por el subsistema Win32. La razón de no incluir la gestión de ese objeto en el Executive es que una ventana sólo es innata de las aplicaciones Windows, y no de las aplicaciones UNIX o OS/2. Por tanto, el Executive no se encarga de administrar los objetos relacionados con el entorno de cada s.o. concreto, sino de los objetos comunes a los tres. El administrador de procesos (Process Manager). Se encarga (en colaboración con el administrador de objetos) de crear, destruir y gestionar los procesos y subprocesos. Una de sus funciones es la de repartir el tiempo de CPU entre los distintos subprocesos. Suministra sólo las relaciones más básicas entre procesos y subprocesos, dejando el resto de las interrelaciones entre ellos a cada subsistema protegido concreto. Por ejemplo, en el entorno POSIX existe una relación filial entre los procesos que no existe en Win32, de manera que se constituye una jerarquía de procesos. Como esto sólo es específico de ese subsistema, el administrador de objetos no se entromete en ese trabajo y lo deja en manos del subsistema. El administrador de memoria virtual (Virtual Memory Manager). Windows NT y UNIX implementan un direccionamiento lineal de 32 bits y memoria virtual paginada bajo demanda. El VMM se encarga de todo lo relacionado con la política de gestión de la memoria. Determina los conjuntos de trabajo de cada proceso, mantiene un conjunto de páginas libres, elige páginas víctima, sube y baja páginas entre la memoria RAM y el archivo de intercambio en disco, etc. La facilidad de llamada a procedimiento local (LPC Facility). Este módulo se encarga de recibir y enviar las llamadas a procedimiento local entre las aplicaciones cliente y los subsistemas servidores. El administrador de entrada/salida (I/O Manager). Consta de varios subcomponentes: el administrador del sistema de ficheros, el servidor de red, el redirector de red, los drivers de dispositivo del sistema y el administrador de cachés. Buena parte de su trabajo es la gestión de la comunicación entre los distintos drivers de dispositivo, para lo cual implementa una interfaz bien definida que permite el tratamiento de todos los drivers de una manera homogénea, sin preocuparse del funcionamiento específico de cada uno. Trabaja en conjunción con otros componentes del Executive, sobre todo con el VMM. Le proporciona la E/S síncrona y asíncrona, la E/S a archivos asignados en memoria y las caches de los ficheros. El administrador de caches no se limita a gestionar unos cuantos buffers de tamaño fijo para cada fichero abierto, sino que es capaz de estudiar las estadísticas sobre la carga del sistema y variar dinámicamente esos tamaños de acuerdo con la carga. El VMM realiza algo parecido en su trabajo. El monitor de referencias a seguridad. Este componente da soporte en modo privilegiado al subsistema de seguridad, con el que interacciona. Su misión es actuar de alguna manera como supervisor de accesos, ya que comprueba si un proceso determinado tiene permisos para acceder a un objeto determinado, y monitoriza sus acciones sobre dicho objeto. De esta manera es capaz de generar los mensajes de auditorías. Soporta las validaciones de acceso que realiza el subsistema de seguridad local. El núcleo (Kernel). Situado en el corazón de Windows NT, se trata de un micro-kernel que se encarga de las funciones más básicas de todo el sistema operativo: ejecución de subprocesos, sincronización multiprocesador, manejo de las interrupciones hardware. El nivel de abstracción de hardware (HAL). Es una capa de software incluida en el Executive que sirve de interfaz entre los distintos drivers de dispositivo y el resto del sistema operativo. Con el HAL, los dispositivos se presentan al s.o. como un conjunto homogéneo con el cual interacciona a través de un conjunto de funciones bien definidas. Estas funciones son llamadas tanto desde el s.o. como desde los propios drivers. Permite a los drivers de dispositivo adaptarse a distintas arquitecturas de E/S sin tener que ser modificados en gran medida. Además oculta los detalles hardware que conlleva el multiprocesamiento simétrico de los niveles superiores del s.o. 4. Llamadas a procedimientos locales y remotos. Windows NT, al tener una arquitectura cliente-servidor, implementa el mecanismo de llamada a procedimiento remoto (RPC) como medio de comunicación entre procesos clientes y servidores, situados ambos en máquinas distintas de la misma red. Para clientes y servidores dentro de la misma máquina, la RPC toma la forma de llamada a procedimiento local (LPC). Vamos a estudiar en detalle ambos mecanismos pues constituyen un aspecto fundamental del diseño de NT. Llamada a Procedimiento Remoto (Remote Procedure Call -RPC). Se puede decir que el sueño de los diseñadores de Windows NT es que algún día se convierta en un sistema distribuido puro, es decir, que cualquiera de sus componentes pueda residir en máquinas distintas, siendo el kernel en cada máquina el coordinador general de mensajes entre los distintos componentes. En la última versión de Windows NT esto no es aún posible. No obstante, el mecanismo de RPC permite a un proceso cliente acceder a una función situada en el espacio virtual de direcciones de otro proceso servidor situado en otra máquina de una manera totalmente transparente. Vamos a explicar el proceso en conjunto. Supongamos que tenemos un proceso cliente ejecutándose bajo una máquina A, y un proceso servidor bajo una máquina B. El cliente llama a una función f de una biblioteca determinada. El código de f en su biblioteca es una versión especial del código real; el código real reside en el espacio de direcciones del servidor. Esa versión especial de la función f que posee el cliente se denomina proxy. El código proxy lo único que hace es recoger los parámetros de la llamada a f, construye con ellos un mensaje, y pasa dicho mensaje al Executive. El Executive analiza el mensaje, determina que va destinado a la máquina B, y se lo envía a través del interfaz de transporte. El Executive de la máquina B recibe el mensaje, determina a qué servidor va dirigido, y llama a un código especial de dicho servidor, denominado stub, al cual le pasa el mensaje. El stub desempaqueta el mensaje y llama a la función f con los parámetros adecuados, ya en el contexto del proceso servidor. Cuando f retorna, devuelve el control al código stub, que empaqueta todos los parámetros de salida (si los hay), forma así un mensaje y se lo pasa al Executive. Ahora se repite el proceso inverso; el Executive de B envía el mensaje al Executive de A, y este reenvía el mensaje al proxy. El proxy desempaqueta el mensaje y devuelve al cliente los parámetros de retorno de f. Por tanto, para el cliente todo el mecanismo ha sido transparente. Ha hecho una llamada a f, y ha obtenido unos resultados; ni siquiera tiene que saber si el código real de f está en su biblioteca o en una máquina situada tres plantas más abajo, esta es la elegancia de las RPC. Llamada a procedimiento local (Local Procedure Call -LPC). Las LPC se pueden considerar una versión descafeinada de las RPC. Se usan cuando un proceso necesita los servicios de algún subsistema protegido, típicamente Win32. Vamos a intentar descubrir su funcionamiento. El proceso cliente tiene un espacio virtual de 4 Gb. Los 2 Gb inferiores son para su uso (excepto 128 Kb). Los 2 Gb superiores son para uso del sistema. Vamos a suponer que el cliente realiza una llamada a la función CreateWindow. Dicha función crea un objeto ventana y devuelve un descriptor al mismo. No es gestionada directamente por el Executive, sino por el subsistema Win32 (con algo de colaboración por parte del Executive, por supuesto; por ejemplo, para crear el objeto). El subsistema Win32 va guardando en su propio espacio de direcciones una lista con todos los objetos ventana que le van pidiendo los procesos. Por consiguiente, los procesos no tienen acceso a la memoria donde están los objetos; simplemente obtienen un descriptor para trabajar con ellos. Cuando el cliente llama a CreateWindow, se salta al código de esa función que reside en la biblioteca USER32.DLL asignada en el espacio de direcciones del cliente. Por supuesto, ese no es el código real, sino el proxy. El proxy empaqueta los parámetros de la llamada, los coloca en una zona de memoria compartida entre el cliente y Win32, pone al cliente a dormir y ejecuta una LPC. La facilidad de llamada a procedimiento local del Executive captura esa llamada, y en el subsistema Win32 se crea un subproceso que va a atender a la petición del cliente. Ese subproceso es entonces despertado, y comienza a ejecutar el correspondiente código de stub. Los códigos de stub de los subsistemas se encuentran en los 2 Gb superiores (los reservados) del espacio virtual del proceso cliente. Aunque no he encontrado más documentación al respecto, es muy probable que dichos 2 Gb sean los mismos que se ven desde el espacio virtual de Win32. Sea como sea, el caso es que el stub correspondiente desempaqueta los parámetros del área de memoria compartida y se los pasa a la función CreateWindow situada en el espacio de Win32. Ése sí es el código real de la función. Cuando la función retorna, el stub continúa, coloca el descriptor a la ventana en la memoria compartida, y devuelve el control de la LPC al Executive. El subproceso del Win32 es puesto a dormir. El Executive despierta al subproceso cliente, que estaba ejecutando código proxy. El resto de ese código lo que hace es simplemente tomar el descriptor y devolverlo como resultado de la función CreateWindow. En la versión 4.0, Microsoft nos dio una alegría al cambiar la interfaz gráfica de Wind | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||