Instalación Windows 2003 Server SE, VPN y Terminal Server.

Transcripción

1 Consideraciones preliminares. Antes de la instalación de un Windows 2003 Server (en adelante: W2003), se habrá de estudiar y considerar la conveniencia de la instalación de este SO o quizás preferir otras herramientas tales como VNC o PcAnywhere (en adelante, ambos: VNC). En general, se podrá diferenciar entre: W2003: si el cliente quiere trabajar en su farmacia como si estuviera físicamente allí en otro puesto pero sin «estorbar» y sin ser «visto», e.d., sin bloquear un puesto y sin que nadie sepa que ha entrado, pero tampoco podrá ver lo que hacen en su farmacia. Esto se haría a través de una Conexión de Control Remoto (en adelante: CCR). VNC: si al cliente lo que le interesa es «espiar», e.d., ver como se trabaja en la farmacia, y puntualmente tomar el control de un puesto par realizar ciertas operaciones. Estos dos sistemas no son excluyentes, podemos tener un W2003 con acceso remoto para realizar operaciones «privadas» y un VNC en cada puesto para que puedan ser «espiados». De todas formas, se recomienda que el VNC se instale porque será de gran ayuda para el S.A.T. en la resolución de problemas del tipo «Sólo me pasa en este puesto». En principio, y salvo consideraciones de precio, no hay diferencias formales entre PcAnywhere y VNC. Bien es cierto que PcAnywhere ofrece algunas particularidades como la transferencia de ficheros y el intercambio de mensajes, pero quizás esto no compense que se instale un host en todos los puestos. Prerrequisitos. Aunque actualmente las instalaciones de W2003 se están realizando «a lo vivo» (sin ningún tipo de seguridad ni protección), este sistema está totalmente desaconsejado porque deja la farmacia totalmente expuesta al exterior (no es que vaya a entrar ningún hacker a robar la facturación, pero sí pueden echar abajo el sistema). Es por eso que se hace necesario un sitema de protección con VPN y cortafuegos. Se podría explicar de forma esquemática como: El cliente quiere entrar en su servidor a través de una CCR, para ello activaría la conexión VPN con lo que se crea una canal cifrado seguro con la farmacia, a continuación, ejecutaría el CCR U N Y C O P Página 1 de 9 ITC-46

2 con lo que toda la información va encriptada. En el servidor, el cortafuegos permitiría todos los accesos desde la VPN y rechazaría los que provinieran del exterior. Como cortafuegos usaremos Kerio Personal Firewall, que a parte de gratuito, es uno de los mejores y no es especialmente difícil de configurar y, de todas formas, ya se darán los ficheros de configuración necesarios para el servidor y los puestos. Como acceso VPN, en principio, se usará el proporcionado por los propios Windows. Decimos en principio, porque en este departamento estamos estudiando el uso de OpenVPN que proporciona mayor seguridad (con un esquema TSL/SSL), compresión de datos y mayor eficiencia. En un primer momento, se usará la VPN de Windows y cuando esté estudiado, se pasará a montar OpenVPN, pero respetando las instalaciones ya hechas, no será necesario reconvertirlas. Esto es respecto al software necesario, en cuanto a nivel hardware... NI TENEMOS CD DE CONFIGURACIÓN DE ROUTERS, NI SABEMOS COMO SE DESPROTEGEN, NI TENEMOS PORQUÉ TOCAR NINGÚN EQUIPO EXTERNO. Desde este departamento queremos hacer especial hincapié en este punto que esperemos que quede claro tanto a Comercial como a Servicio Técnico para que tengan en cuenta los pros y los contras de una nueva instalación. Es decir: a) SI NO HAY CD DE CONFIGURACIÓN del router, la única solución es llamar a la compañía de telefonía y pedir que nos abran los puertos. b) SI HAY CD, PERO NO SE SABE CONFIGURAR, la única solución es la anterior (este departamente no tiene acceso a todos los routers del mercado, ni los ha visto, ni tiene contrato con todas las compañías de telefonía de Europa para hacer pruebas). c) SI UNO TIENE CIERTO AMIGO O HA VISTO EN CIERTA PÁGINA COMO SE CONFIGURA, queremos informaros que desconfigurar un router es lo más fácil del mundo y que las compañías de telefonía suelen cobrar una cantidad generosa para reconfigurarlos. Lamentablemente, en estos momentos nos vemos saturados de cientos de ofertas de ADSL y más aún con la Receta Electrónica (en adelante: RXXI), por lo que en una farmacia nos podemos encontrar de todo. A grandes rasgos: En Sevilla y Huelva (Teléfonica) no hay problemas porque están abiertos todos los puertos (de momento, según U N Y C O P Página 2 de 9 ITC-46

3 informaciones contrastadas, cuando la implantación sea completa, se cerrarán). En Córdoba, Jaén y Granada (principalmente Auna, pero el farmacéutico es libre de escoger otra) los puertos están cerrados por lo que no queda más remedio que ponerse en contacto con el Colegio. Y esto es respecto a las farmacias con RXXI, las que tengan ADSL contradas por su parte... pues podemos encontrar de todo (como en botica). MUY IMPORTANTE: Los puertos que se deben abrir en el router son el TCP 1723 (para VPN) y el UDP 1194 (para OpenVPN). Se abrirán los dos en previsión. No es necesario abrir el 3389 (Terminal Server) porque todo el tráfico irá encapsulado dentro de la VPN. Lógicamente, con abrir los puertos no es suficiente, también hay que decirle al router a donde debe mandar los paquetes, esto es lo que se conoce como NAT, por lo que debemos saber la IP privada del W2003 y redirigir los paquetes a éste. U N Y C O P Página 3 de 9 ITC-46

4 Ponemos como ejemplo la configuración de un router 3Com (los antiguos de Telefónica): U N Y C O P Página 4 de 9 ITC-46

5 Instalación de W2003. Se seguirá el nuevo documento de instalación cuya diferencia básica con el actual es que se exige que ahora todos los ordenadores deben tener contraseña (que será igual al nombre: varios/varios, puesto1/puesto1, etc) Instalación del Servidor de Terminal Server. Atención: Estas instrucciones están basadas en un XP, no debería haber diferencias sustanciales con un W2003. Usuario de VPN 1. En el Panel de Control, creamos un nuevo usuario en Herramientas administrativas Administración de equipos Usuarios locales y grupos Usuarios, lo llamaremos VPN (por simplificar) y como contraseña una elegida por el cliente (a ser posible que no sea fácil de descubrir y, por supuesto, que no se le olvide). Marcamos la contraseña no caduca y no permitir cambiar la contraseña. Nota: No pasa nada si en un futuro se le olvida, a través del S.A.T. se le puede poner otra. Servidor de VPN 1. Salimos y nos vamos a Panel de control Conexiones de red. 2. Ejecutamos el Asistente para conexión nueva, damos a Siguiente. 3. Seleccionamos Configurar una conexión avanzada y Siguiente. 4. Seleccionamos Aceptar conexiones entrantes y Siguiente, de nuevo Siguiente. 5. Seleccionamos Permitir conexiones privadas virtuales y Siguiente. 6. Buscamos el usuario VPN, lo seleccionamos y Siguiente. 7. Marcamos Protocolo Internet (TCP/IP) y vamos a las Propiedades. 8. Desmarcamos Permitir a quienes llaman tener acceso a mi red de área local, seleccionamos Especificar Direcciones TCP/IP y ponemos y , por último, desmarcamos Permitir el equipo que llama especificar su propia dirección IP y Aceptar, Siguiente y Finalizar. Con esto ya tenemos el servidor de VPN, pasamos ahora a la instalación del cortafuegos. U N Y C O P Página 5 de 9 ITC-46

6 Cortafuegos Hay que notar que la configuración proporcionada del cortafuegos es básica y está limitida a impedir la entrada no autorizada del exterior, por lo que no representa una protección 100% del sistema. Queda bajo responsabilidad del cliente la de no instalar aplicaciones desconocidas y a no usar en el W2003 aplicaciones de intercambio de archivos, mensajería Ejecutamos kerio-pf exe y Ok (por defecto dejamos Inglés Estados Unidos). 2. Damos a Next, Next, marcamos I accept the terms... y de nuevo a Next y otra vez Next. 3. Marcamos Advanced (Learning mode), Next e Install. 4. Al pulsar sobre Finish nos pedirá que reiniciemos y así lo hacemos. 5. Al reiniciar, si tenemos nos sale la Alerta de seguridad de Windows, le damos a Desbloquear. 6. En los iconos al lado del reloj, buscamos uno azul con forma de escudo, hacemos doble click sobre él y nos saldrá la pantalla de configuración del cortafuegos. 7. Pulsamos sobre Import y buscamos el fichero Kerio Firewall - Servidor.cfg U N Y C O P Página 6 de 9 ITC-46

7 8. Pulsamos en Ok y ya tenemos el sistema configurado en el servidor. Servidor VNC Nos permitirá acceder a todas las máquinas de forma parecida al PcAnywhere. 1. Ejecutamos tightvnc setup.exe y pulsamos Next todas las veces necesarias hasta que nos salga la pantalla de opciones. 2. Marcamos todas las opciones y Next e Install y cuando termine, pulsamos en Finish. U N Y C O P Página 7 de 9 ITC-46

8 Instalación de los Puestos de la Farmacia. Cortafuegos Instalamos Kerio Personal Firewall siguiendo las instrucciones anteriores del servidor, sólo que al seleccionar el fichero de configuración usaremos Kerio Firewall - Puestos.cfg Servidor VNC Igual que en el servidor. Instalación del ordenador de casa. Con ordenador de casa no referimos al que esté fuera de la farmacia y con el que se quiera acceder a ésta. Hay que tener en cuenta que si la conexión se realiza mediante línea telefónica, no habrá problemas (salvo los de velocidad), mientras que si se usan conexiones de banda ancha, podríamos encontrarnos con que el proveedor del servicio no permite ciertas conexiones. Acceso a la VPN. 1. Nos vamos a Panel de control Conexiones de red. 2. Ejecutamos el Asistente para conexión nueva, damos a Siguiente. 3. Seleccionamos Conectarse a la red de mi lugar de trabajo y Siguiente. 4. Seleccionamos Conexión de red privada virtual y Siguiente. 5. En Nombre de la organización ponemos uno descriptivo de la farmacia (por si se quisiera acceder a más de una). 6. Seleccionamos No usar la conexión inicial y Siguiente. 7. En el Nombre del host o dirección IP ponemos la IP fija de la farmacia y Siguiente. 8. Marcamos Agregar en mi escritorio... y Finalizar. 9. Nos saldrá una pantalla para poner el Nombre de usuario (que es VPN, el que creamos primeramente en el servidor) y la Contraseña (que es la que escogió el cliente cuando se configuró el usuario VPN), teniendo la precaución de marcar Guardar este nombre... si el cliente así lo quisiera (advirtiéndole en todo caso, que de esta forma, cualquiera puede usar su ordenador para acceder a su farmacia). Hay que tener en cuenta que hasta que no se haga una conexión correcta, la contraseña no se guardará. U N Y C O P Página 8 de 9 ITC-46

9 Una vez conectados, para acceder tanto al Terminal Server como al VNC, la dirección remota que habría que especificar sería Nota: La instalación del VNC es análoga a la anteriormente descrita, sólo que nada más que hay que marcar la primera opción (NO hay que registrar el servidor). U N Y C O P Página 9 de 9 ITC-46