SERVICIO HTTP DE INTERNET INFORMATION SERVER (IIS)

Transcripción

1 SERVICIO HTTP DE INTERNET INFORMATION SERVER (IIS) Los servicios de Internet Information Server (a partir de ahora IIS) son una plataforma con unas prestaciones completas, capaz de dar servicio HTTP (sitios web), FTP (transferencia de archivos), NNTP (noticias) y SMTP (correo electrónico) a empresas, particulares, instituciones, y debido a su integración en los sistemas operativos Windows 2000 y XP es relativamente fácil de configurar y de manejar. De todos los servicios que proporciona, nos vamos a centrar en sus capacidades como servidor World Wide Web (HTTP). Características La versión 5.1 de los Servicios de Internet Information Server presenta muchas características que ayudan a los administradores Web a crear aplicaciones Web escalables y flexibles. Seguridad Autenticación de texto implícita avanzada: la autenticación de texto implícita avanzada es compacta, permite una autenticación segura y eficaz de los usuarios a través de servidores proxy y servidores de seguridad, no requiere software cliente adicional y evita pasar el nombre de usuario y la contraseña en texto sin cifrar a través de Internet. Además, la autenticación de texto implícita, anónima, básica HTTP e integrada de Windows (anteriormente llamada autenticación de desafío/respuesta de Windows NT y autenticación NTLM) aún están disponibles. Comunicaciones seguras: Secure Sockets Layer (SSL) 3.0 y Seguridad de capa de transporte (TLS) proporcionan una forma segura para intercambiar información entre clientes y servidores. Además, SSL 3.0 y TLS proporcionan al servidor la forma de comprobar quién es el cliente antes de que el usuario inicie una sesión en el servidor. En IIS 5.1, los certificados de cliente están expuestos a ISAPI y a las páginas Active Server, de forma que los programadores puedan efectuar el seguimiento de los usuarios a través de los sitios. IIS 5.1 también puede asignar el certificado del cliente a una cuenta de usuario de Windows, de forma que los administradores puedan controlar el acceso a los recursos del sistema basado en el certificado del cliente. Cifrado canalizado por servidor (SGC): es una extensión de SSL que permite a instituciones financieras con versiones de exportación de IIS utilizar un cifrado de alto nivel de 128 bits. Asistentes para seguridad: los asistentes para seguridad simplifican las tareas de administración del servidor. Restricciones de dominio de Internet e IP: se puede conceder o denegar accesos Web a equipos individuales, grupos de equipos o dominios enteros. Almacenamiento de certificados: proporciona un único punto de entrada que le permite almacenar, realizar copias de seguridad y configurar certificados de servidor. Fortezza: el estándar de seguridad del gobierno de EE.UU., habitualmente llamado Fortezza, es compatible con IIS 5.1. Este estándar satisface la arquitectura de seguridad Defense Message System con un mecanismo criptográfico que proporciona confidencialidad de mensajes, integridad, autenticación y control de acceso a

2 mensajes, componentes y sistemas. Estas características se pueden implementar con el software del explorador y el servidor, y con hardware de tarjeta PCMCIA. Administración Reiniciar IIS: posibilidad de reiniciar los servicios Internet sin reiniciar el equipo. Realizar copias de seguridad y restaurar la metabase: los cambios en la capacidad y los procedimientos para realizar copias de seguridad y restaurar la metabase mejoran la seguridad y permiten restaurar la metabase en otros equipos. La aplicación se ejecuta en el complemento IIS. Almacenamiento en caché de plantillas ASP: los cambios en Ajustes de caché de plantillas ASP proporcionan un mayor control del almacenamiento en caché de archivos ASP. Mensajes de error personalizados mejorados: ahora los administradores pueden enviar mensajes informativos a clientes cuando se producen errores de HTTP en los sitios Web. También incluye capacidades de procesamiento de errores ASP detallados a través del uso de mensaje de error personalizado asp. Puede usar los errores personalizados que proporciona IIS 5.1 o crear los suyos propios. Opciones de configuración: puede establecer los permisos para las operaciones Web de Lectura, Escritura, Ejecución, Secuencia de comandos y FrontPage en el nivel de sitios, directorios o archivos. Administración remota: IIS 5.1 tiene herramientas de administración basadas en Web que permiten la administración remota del servidor desde casi cualquier explorador en cualquier plataforma. Administración centralizada: las herramientas de administración para IIS utilizan Microsoft Management Console (MMC). MMC aloja los programas, llamados complementos, que los administradores utilizan para administrar los servidores. Capacidades de programación Páginas Active Server (ASP): proporciona una alternativa fácil de utilizar a CGI e ISAPI que permite a los programadores de contenido incrustar cualquier lenguaje de secuencias de comandos o componente del servidor en las páginas HTML. ASP proporciona acceso a todas las peticiones HTTP y secuencias de respuesta, así como conectividad con bases de datos basada en estándares y la capacidad para personalizar el contenido para diferentes exploradores. Nuevas características de ASP: las páginas Active Server tienen algunas características nuevas y mejoradas para aumentar el rendimiento y simplificar las secuencias de comandos del servidor. Protección de aplicaciones: IIS 5.1 ofrece mayor protección e incrementa la confiabilidad de las aplicaciones Web. De manera predeterminada, IIS ejecutará todas las aplicaciones en un proceso común o agrupado que está separado de los procesos básicos de IIS. Además, también puede aislar aplicaciones cuyas misiones sean críticas y que deban ejecutarse fuera tanto de los procesos de núcleo de IIS como de los agrupados. Estándares de Internet Basado en estándares: los Servicios de Internet Information Server de Microsoft 5.0 y 5.1 cumplen con el estándar de HTTP 1.1 e incluyen características como PUT y DELETE, capacidad de personalizar mensajes de error de HTTP y compatibilidad con encabezados HTTP personalizados. Varios sitios, una sola dirección IP: gracias a la compatibilidad con encabezados de host, puede alojar varios sitios Web en un solo equipo en el que se ejecute Microsoft

3 Windows 2000 Server con una única dirección IP. Esto es útil para los proveedores de servicios Internet y las intranets corporativas que alojan varios sitios. Sistema distribuido de creación y control de versiones Web (WebDAV): permite a los usuarios remotos crear, mover o eliminar archivos, propiedades de archivos, directorios y propiedades de directorios en el servidor a través de una conexión HTTP. Noticias y correo: puede utilizar los servicios SMTP y NNTP para configurar el correo y los servicios de noticias en intranet que funcionan junto con IIS. Restricciones PICS: puede aplicar las restricciones PICS (Platform for Internet Content Selection, Plataforma para la selección del contenido de Internet) a los sitios que tienen contenido para adultos. Reiniciar FTP: ahora las descargas de archivos de Protocolo de transferencia de archivos se pueden reanudar sin tener que descargar todo el archivo de nuevo cuando se produce una interrupción durante la transferencia de datos. Compresión HTTP: proporciona transmisiones más rápidas de páginas entre el servidor Web y los clientes que admiten la compresión. Comprime y almacena en caché los archivos estáticos y realiza una compresión a petición de los archivos generados dinámicamente. Instalación Para instalar el servicio HTTP de IIS hay que ir al Panel de Control dentro del menú Inicio y hacer clic en Agregar o quitar componentes de Windows. En la lista de componentes se debe seleccionar Servicios de Internet Information Server (IIS), tal como se muestra a continuación. Por defecto, al seleccionar esta opción se instalarán todos los componentes de los IIS, incluyendo soporte para HTTP, FTP, NNTP y SMTP. Como nosotros sólo deseamos instalar

4 HTTP, haremos clic en Detalles tras seleccionar Servicios de Internet Information Server (IIS), con lo que veremos la siguiente ventana: Podemos ver en detalle las opciones: Archivos comunes: archivos necesarios para los componentes de IIS. Complemento de servicios de Internet Information Server: sirve para administrar el IIS. Documentación: documentación necesaria para profundizar en el funcionamiento del IIS. Extensiones de servidor de Frontpage2000: estas extensiones permiten que nuestro servidor pueda incluir formularios, contadores, etc. Servicio de protocolo de transferencia de archivos (FTP): solo necesario si queremos un servidor FTP. Servicio SMTP: Simple Mail Transfer Protocol (SMTP), nos permite montar un servicio de mail dentro de nuestra intranet. Por razones de seguridad les recomiendo que esta opción esté desactivada. Servicio World Wide Web: necesario para poder montar nuestro servidor de paginas web. Seleccionaremos las mismas casillas que en la figura anterior: Archivos comunes, Complemento de servicios de Internet Information Server, Documentación y Servicio World Wide Web. Tras pulsar Aceptar y Siguiente, comenzará la instalación. Administración de sitios web La administración de sitios web se lleva a cabo mediante el Administrador de Servicios de Internet MMC (Microsoft Management Console). Para acceder a este Administrador seleccionaremos Inicio, Panel de control, Herramientas administrativas, Servicios de Internet Information Server. Tiene un aspecto similar al de la siguiente figura:

5 Vemos que la ventana tiene dos paneles (izquierdo y derecho), en la izquierda seleccionamos una opción del árbol y en la derecha veremos los detalles de la selección. En la imagen podemos ver en la parte de la derecha el nombre del equipo en el que hemos instalado el servidor WEB, en nuestro caso se llama "FREAKY", luego vemos si es un equipo local y la versión del Internet Information Server que estamos usando. Por defecto el nombre de nuestro sitio WEB es "Sitio Web Predeterminado" podremos cambiar el nombre en cualquier momento (lo he cambiado por Mi página web), simplemente pinchamos dos veces en "Sitio Web predeterminado" y podremos modificarlo. Los archivos para nuestra página web se van a colocar en el directorio C:\Inetpub\wwwroot\. Ahora veremos algunas de las opciones más generales para poder montar un servidor de páginas WEB. Hacemos clic con el botón derecho sobre "Sitio Web Predeterminado" y seleccionamos "Propiedades". La siguiente ventana se nos muestra, veremos cuáles son las opciones más relevantes de cara al buen funcionamiento de nuestro servidor HTTP:

6 Sitio Web Veamos las opciones generales que podemos modificar: Descripción: podremos poner una breve descripción de nuestro sitio web. Dirección IP: aquí colocaremos la dirección IP del ordenador que hará de servidor WEB, esta IP corresponderá a la IP local, es decir, la IP de la red local y no será la que usamos para entrar a internet, por ejemplo: Si tenemos registrado un nombre de dominio podríamos hacer clic en Avanzadas y podríamos introducirlo en el campo Nombre de encabezado Host. Puerto TCP: el puerto que queremos que sea el que responda a las peticiones de los visitantes, por norma el puerto a usar para paginas web es el 80. Si dispone de router, se debe comprobar que dicho puerto se encuentra abierto. Tiempo de espera de la conexión: establece el intervalo de tiempo en segundos que va a esperar el servidor antes de desconectar a un usuario inactivo. De esta forma se asegura que todas las conexiones se cierran si el protocolo HTTP no puede cerrar una conexión. Habilitar el mantenimiento de conexiones HTTP abiertas: permite a un cliente mantener abierta la conexión con el servidor, en lugar de volver a abrir la conexión del cliente en cada nueva petición. El mantenimiento de conexiones abiertas está habilitado de forma predeterminada; si se deshabilita, es posible que se degrade el rendimiento del servidor. (HTTP 1.1) Habilitar registro: esta opción se utiliza para habilitar las características de registro del sitio Web, que permiten registrar información detallada acerca de la actividad de los usuarios y crear registros en el formato elegido. Después de habilitar el registro, seleccione un formato en la lista Formato de registro activo: o o o Formato de archivo del registro IIS de Microsoft: formato ASCII fijo. Registro ODBC: formato fijo registrado en una base de datos (sólo disponible en Windows 2000 Server). Formato de archivo del registro extendido W3C: formato ASCII personalizable, seleccionado de manera predeterminada. Para usar información de procesos se debe seleccionar este formato. Haciendo clic en propiedades se muestra la ventana siguiente en la que elegiremos el formato que deseamos para nuestro archivo de registro, útil para sacar estadísticas (ver las propiedades extendidas).

7 Directorio particular La siguiente pestaña relevante de la hoja de propiedades del sitio web, es Directorio particular, que podemos ver en la siguiente figura: Este grupo de ajustes permite controlar dónde buscará los IIS el contenido web y qué permisos de seguridad usará al manejarlo. Lo primero que hemos de elegir es dónde estará localizado en directorio de nuestro sitio web: Un directorio particular de este equipo: aquí especificamos el directorio que contendrá nuestra página web en el ordenador. Un recurso compartido de otro equipo: podremos seleccionar un recurso compartido que se encuentre dentro de nuestra red y que será el que contendrá nuestra página web. Un redirección a una dirección URL: con este método podremos redireccionar a otro sitio las peticiones que se haga a nuestra web. Después elegiremos la ruta de acceso, en nuestro caso dejaremos la configuración por defecto, con lo que tendremos que indicar en Ruta de acceso local (disponible solo con la opción de "Un directorio particular de este equipo ), el directorio que viene. Luego podremos dar los permisos que queramos para mantener la seguridad en nuestro sitio: Acceso al código fuente de secuencias de comandos: esta opción es usa para permitir que los usuarios tengan acceso al código fuente si disponen de los permisos de escritura o de lectura. El código fuente incluye las secuencias de comandos en aplicaciones ASP. Lectura: mediante esta opción se permite que los usuarios lean o descarguen archivos o directorios y sus propiedades asociadas. Escritura: esta opción se selecciona para permitir que los usuarios carguen archivos y sus propiedades asociadas en un directorio con este permiso del servidor o para cambiar el contenido de un archivo con este permiso. La escritura sólo se puede realizar con un explorador que admita la característica PUT del estándar de protocolo HTTP 1.1.

8 Examinar directorios: esta opción se usa para permitir que el usuario vea una lista con formato de hipertexto de los archivos y subdirectorios de este directorio virtual. Los directorios virtuales no aparecen en las listas de directorios. Los usuarios deben conocer su alias. Registrar visitas: Seleccione esta opción para registrar las visitas de este directorio en un archivo de registro. Las visitas sólo se registran si está habilitado el registro para este sitio Web. Indizar este recurso: Seleccione esta opción para que Servicios de Microsoft Index Server incluya este directorio en un índice de texto del sitio Web. Documentos Continuando con la configuración de nuestro sitio Web, la siguiente pestaña de configuración en la hoja de propiedades es la pestaña documentos, que se muestra a continuación. Cuando los usuarios intentan conectarse con el servidor web sin especificar un documento en concreto, los IIS buscarán en la lista de documentos por defecto (en caso de estar activada) para devolverlo al usuario. Si queremos que todas las páginas de nuestro sitio se envíen con un pie de página común (como por ejemplo, un copyright) se puede configurar mediante esta ventana. Deberíamos crear un archivo HTML que contenga por ejemplo <h2>pie de página ESI </h2> y colocarlo en Habilitar pie de página del documento. Seguridad de directorios La siguiente sección de las fichas de propiedades es Seguridad de directorios, que nos permite controlar quién accede a nuestro sitio web en función de la autentificación, direcciones de clientes IP o configuración ACL en archivos, y da la posibilidad de proteger las comunicaciones cuando los clientes se conectan al sitio. Tiene este aspecto:

9 El primer método de proteger un sitio web es definiendo un método de autenticación para validar a los usuarios. Como los navegadores por defecto, intentarán acceder a los sitios de forma anónima, una opción disponible es eliminar el acceso anónimo al web. Hacer clic en el botón Modificar dentro de control de autenticación y acceso anónimo, se muestra entonces la siguiente ventana:

10 Para permitir que cualquier usuario pueda acceder al sitio, se debe mantener activada la casilla Acceso anónimo, de lo contrario, el sitio estará protegido, y será precisa una identificación del usuario antes de que se permita una conexión incluso a la página de inicio. Si seleccionamos el acceso anónimo, debemos especificar un usuario de la máquina pulsando sobre Examinar. En caso de eliminar el acceso anónimo hemos de especificar alguna opción de autenticación, puesto que si no habremos deshabilitado por completo cualquier forma de acceso al sitio. Las opciones que se encuentran debajo de Acceso autenticado controlan el nivel de identificación que los usuarios deben sortear para llegar a conectarse al sitio protegido. Existen tres tipos de autenticación, cabe reseñar que debe haber una cuenta de usuario en el equipo para que la autenticación funcione: Autenticación básica: es el más básico y mediante este método la contraseña se envía sin cifrar, por lo que cualquier software espía de contraseñas podría capturarla. Autenticación de texto implícita dirigida a servidores de dominio de Windows: en vez de transmitir la contraseña en modo texto, aplica una función de hash y lo transmite, manteniendo así la confidencialidad de las contraseñas. En este caso existen varias restricciones como que el cliente debe ser Internet Explorer 5 o superior y la contraseña debe estar en el directorio sin codificar. Es el más seguro. Autenticación de Windows integrada: es un método seguro de autenticación, ya que no se envía a través de la red el nombre de usuario ni la contraseña. Al habilitar la autenticación de Windows integrada, el explorador del usuario demuestra que conoce la contraseña mediante un intercambio criptográfico con el servidor Web, en el que interviene el hashing. El cliente debe ser también Internet Explorer, a partir de la versión 2. Una vez comentados lo métodos de autenticación, hemos de ver que también podemos filtrar el acceso al web dependiendo de la dirección IP, de un rango de direcciones IP o de un nombre de dominio. Copias de seguridad de la configuración Una de las grandes ventajas de IIS (para algunos administradores) es su configuración gráfica, debido a su interfaz intuitiva y de fácil uso. Pero no sería práctico, sino pudiéramos salvar la información de configuración para poder restaurarla después. Aunque lo mejor es un fichero de configuración tipo texto, donde poder ir modificando variables y así tener una copia del mismo (ver Apache), no hay que alarmarse debido a que IIS no ofrezca esta característica ya que si que soporta salvar la configuración en un formato propio de Windows para posteriormente restaurarla de forma sencilla. Los pasos a realizar para hacer una copia de seguridad de la configuración actual serían los siguientes: En el complemento, Administración de servicios de Internet, se selecciona el icono del equipo para resaltarlo en el panel izquierdo. En el menú Acción, elija la opción Realizar o restaurar copia de seguridad de la configuración. Hacer clic en el botón Realizar copia de seguridad, que mostrará un cuadro de diálogo Realizar copia de seguridad que le permitirá definir el archivo de copia de seguridad. De forma predeterminada, el archivo de copia de seguridad se almacena en el directorio c:\winnt\system32\inetsrv\metaback

11 Encabezados HTTP El penúltimo grupo de configuraciones que se puede controlar se refiere a los encabezados que los servicios IIS incluirán en las páginas HTML que se transmiten. Estos parámetros se ajustan en la ventana siguiente: Los encabezados HTTP permiten encontrar varios elementos que el servidor web transmitirá a los navegadores web, junto con las páginas HTML del web. Los componentes principales que a los buenos administradores de sitios web les interesa controlar son la caducidad de contenidos, la restricción de contenidos y los tipos de archivos MIME. Pueden incluso añadirse encabezados personalizados. Habilitar caducidad de contenido: se utiliza con el fin de incluir información de caducidad para material dependiente del tiempo, como las ofertas especiales o los anuncios de eventos. El explorador comparará la fecha actual con la fecha de caducidad para determinar si va presentar una página almacenada en memoria caché o si va a solicitar una página actualizada del servidor. Encabezados HTTP personalizados: se puede utilizar los encabezados HTTP personalizados para enviar un encabezado HTTP personalizado desde el servidor Web al explorador del equipo cliente. Se pueden usar los encabezados personalizados para enviar instrucciones que no están admitidas todavía en la especificación HTTP actual, como los encabezados HTTP más recientes que IIS puede no admitir inherentemente en el momento de lanzamiento del producto. Clasificación de contenido: las restricciones de contenido se usan para incrustar etiquetas descriptivas en los encabezados HTTP de las páginas Web. Algunos exploradores Web, como Microsoft Internet Explorer 3.0 o posterior, pueden detectar estas restricciones de contenido con el fin de ayudar a los usuarios a identificar el contenido Web potencialmente ofensivo. Asignación MIME: Las asignaciones MIME establecen los distintos tipos de archivo que el servicio Web devuelve a los exploradores.

12 Errores personalizados Cuando se configura un servidor web y sus sitios web, habrá ocasiones en las que quiera controlar cómo y qué se muestra a los usuarios que reciben un error. Por ejemplo, podemos tener una página HTML personalizada que muestre cuando un usuario ha llegado a un error 404 (página no encontrada). Para esto, hacemos clic en la pestaña de errores personalizados y se muestra esta ventana: Podemos escoger el error HTTP y hacer clic en él, con lo que se mostrará una ventana indicativa de cuando sucederá ese error. Por ejemplo, vemos el error 400 (solicitud incorrecta): Directorios virtuales A medida que crecen los sitios Web, existe una necesidad de organizar los niveles de contenido en el subdirectorio fuera de la raíz principal del sitio. Al igual que en un disco duro de un ordenador, puede haber momentos en que existan muchos archivos que haya que administrar en un único directorio, por lo que es necesario el uso de subdirectorios. Existen dos formas de hacer esto en un sitio web. La primera es crear un subdirectorio en el directorio raíz del sitio web. Por ejemplo, si se tiene la raíz en C:\Inetpub\wwwroot al que se accede mediante y decidimos crear un subdirectorio llamado C:\Inetpub\wwwroot\imagenes, accederemos a dicho directorio mediante

13 El segundo método es mediante la definición de raíces virtuales. Una raíz virtual es un medio para definir un subdirectorio fuera de la raíz de nuestro sitio web (e incluso un nivel inferior de dicho web). Veamos la siguiente figura, que aclarará un poco el concepto de directorio virtual: Lado del servidor Lado del cliente C \Inetpub\wwwroot D \monitor Windows con IIS Tenemos un servidor web con dos discos duros (C y D) con la raíz del sitio en C.\Inetpub\wwwroot, con lo que accederemos con un cliente desde la dirección Si definimos un directorio virtual en el disco D en la ubicación D:\monitor, podremos acceder (creando el alias oportuno) mediante la dirección Creación de un directorio virtual Para crear un directorio virtual volvemos al MMC, resaltamos el sitio web donde vamos crear el directorio virtual y hacemos clic en Acción, Nuevo, Directorio virtual, con lo que aparecerá un asistente que nos guiará en el proceso. El primer paso es el que se muestra a continuación. Tras crear el correspondiente directorio en nuestro equipo, por ejemplo C:\virtual, escribiremos en el campo de texto, por ejemplo, virtual. Al hacer clic en siguiente, se nos mostrará la ventana en la que debemos escribir la ruta donde se encuentra dicho alias. Podemos bien crear un alias en nuestro equipo o en una ruta de internet, para lo que colocaríamos aquí una dirección válida.

14 El siguiente diálogo nos solicita las credenciales de usuario, es decir, los permisos de acceso al directorio virtual. Una vez que hayamos introducido toda la información necesaria, debemos tener un nuevo directorio virtual listado en el sitio web que responderá en consecuencia iniciando el navegador y escribiendo (Ojo con los permisos). El tratamiento de un directorio virtual es exactamente el mismo que como se haría para un sitio web, editando la hoja de propiedades del directorio. Concretamente, podemos editar: Directorio virtual, Documentos, Seguridad de directorios, Encabezados HTTP y Errores personalizados.