School Spain. Unidad 6: Configuración de redes LAN

Transcripción

1 Unidad 6: Configuración de redes LAN 1

2 El sistema NetBIOS...NetBIOS (Network Basic Input Output System): Interface de aplicaciones para trabajo en red (IBM, 1985)... Identificación de máquinas mediante el uso de nombres Formato 16 bytes de los cuales el primero identifica a la máquina y el último identifica el servicio. Tipos de nombres Existen dos tipos de nombres NetBIOS: nombres únicos y nombres de grupo de trabajo. Tipos de servicios El valor del byte número 16 del nombre identifica el servicio de la máquinas. 2

3 NetBIOS sobre TCP/IP...Las aplicaciones de red usan nombres NetBIOS, sin embargo las redes TCP/IP utilizan direcciones IP... SOLUCIÓN...Antes de establecer comunicación con una máquina se pregunta por la dirección IP asociada a su nombre NetBIOS... Resolución de nombres NetBIOS Mediante difusión de mensajes Mediante Servidores de Nombres 3

4 Resolución de nombres NetBIOS Difusión 4

5 Resolución de nombres NetBIOS Servidor de Nombres 5

6 Resolución de nombres NetBIOS Tipos de nodos definidos en RFC 1001/1002 Nodo B Registra y resuelve nombres mediante difusión Nodo P Utiliza un servidor NBNS para registrar y resolver nombres Nodo M Por defecto se comporta como el nodo tipo B. Si la difusión falla, se comporta como un nodo tipo P Microsoft desarrolló otro nodo no recogido por los documentos RFC Nodo H Por defecto se comporta como un nodo tipo P. Si el método del nodo P, falla se comporta como un nodo tipo B. 6

7 Sistema NetBIOS: Protocolo SMB...SMB (Server Message Block): Protocolo de comunicación a nivel de aplicación y de presentación para compartir recursos de red... Operaciones Abrir y cerrar archivos Envío y eliminación de archivos de la cola de impresión Lectura y escritura sobre un archivo Crear archivos y directorios Compartir directorios... Utilización de dialectos LANMAN, NTLM, SAMBA, CIFS... Formato del mensaje Cabecera + Comando 7

8 Sistema NetBIOS: Protocolo SMB Formato del mensaje (continuación): Cabecera School Spain Campo 0xFF SMB SMB COM RCLS REH ERR REB RES TID PID UID MID Bytes Descripción Dialecto Código de comando Clase de Error Reservado Código de error Reservado Reservado Identificador único del recurso en uso por el cliente Identificador del proceso Identificador de usuario Identificador múltiplex. Usado para enrutar peticiones dentro de los procesos 8

9 Sistema NetBIOS: Protocolo SMB Formato del mensaje (continuación): Comando Campo WCT WW BCC DATA Bytes 1 Variable 2 Variable Descripción Contador de palabras Tamaño dado por WCT Contador de byte de parámetro Dato 9

10 Sistema NetBIOS: Protocolo SMB Modelo de seguridad Sólo abarca a los archivos y carpetas compartidas en la red Define dos niveles de seguridad School Spain Nivel share: Establece el derecho de acceso mediante una password Nivel user: Establece el tipo de acceso (lectura, escritura, control total..) Obliga a una administración descentralizada No protege a los archivos y carpetas de acciones locales 10

11 Sistema NetBIOS: Protocolo SMB Modelo de seguridad (continuación) 11

12 Sistema NetBIOS: Protocolo SMB Conexión SMB simple 12

13 Sistema NetBIOS: Protocolo SMB Protocolo CIFS (Common Internet File System) Dialecto SMB desarrollado por Microsoft junto con otras empresas Se establece como protocolo SMB para los sistemas Microsoft a partir del service pack 3 de Microsoft Windows NT4.0 Entre sus características cabe destacar: Integración con DFS (Distributed File System) Operación de lectura adelantada Operación de escritura retardada Se puede ampliar conocimientos sobre CIFS en ftp://ftp.microsoft.com/developr/drg/cifs/ Más información sobre SMB en el documento SMBPUB del CDROM 13

14 Modelo NetBIOS de Microsoft Microsoft posee dos tipos de redes: Redes basadas en grupos de trabajo Redes basadas en dominios. Grupos de trabajo. Comparten recursos de igual a igual (peer to peer). Todos los equipos se pueden comportar como clientes y servidores. La seguridad de los recursos es básica y obliga a una administración descentralizada. Hasta la aparición de WNT las redes de Microsoft funcionaban según los Grupos de Trabajo. 14

15 Modelo NetBIOS de Microsoft Dominios. Un dominio se caracteriza por reunir en una base de datos a todos los recursos, máquinas y usuarios disponibles. Básicamente su diferencia con los Grupos de Trabajo estriba en la incorporación de servidores especialistas (Controladores de dominio) que facilitan el acceso a la base de datos a los clientes del dominio. Los dominios aportan mejoras en cuanto a la seguridad en la red (dependen del sistema de ficheros), disminuyen la carga administrativa y mejoran la administración corporativa. Las únicas tecnologías que aportan Controladores de Dominio son WNT y W2K. 15

16 Redes Microsoft: Dominios Sesiones de Trabajo. El usuario se debe identificar ante el controlador de dominio para empezar a trabajar (Inicio de sesión). Cuando el usuario finaliza el trabajo debe indicárselo al controlador de dominio mediante el cierre de la sesión. Para que un usuario pueda iniciar una sesión debe poseer una cuenta en el dominio. 16

17 Redes Microsoft: Dominios Cuentas de usuario. Son entradas en la base de datos del controlador de dominio que almacenan, entre otras cosas, el nombre de usuario (login) y la contraseña (password). El login identifica al usuario y la password verifica su identidad. Cuentas de equipo. Son entradas en la base de datos del controlador de dominio que almacenan, entre otras cosas, el nombre de las máquinas que pertenecen al dominio. De esta forma se evita que cualquier máquina pueda conectarse al controlador de dominio para solicitar sus servicios. 17

18 Redes Microsoft: Dominios Escritorio de inicio de sesión de W2Kserver. 18

19 Redes Microsoft: Dominios Modelo de seguridad. Se apoya en el uso de listas de control de acceso ACL definidas por NTFS (NT File System). Cada archivo y carpeta de un volumen NTFS está asociado a una lista ACL que describe a los usuarios y grupos de usuarios que están autorizados. El simple hecho de aparecer en la lista implica el derecho de acceso. La definición del tipo de permiso que acompaña a la entrada ACL describe el nivel de privilegio (lectura, escritura, etc) 19

20 Redes Microsoft: Dominios Modelo de seguridad (continuación). Cuando se accede a un archivo o carpeta, el sistema comprueba si el usuario o cualquiera de los grupos de usuarios a los que pertenezca posee una entrada en la lista ACL del objeto. En el caso de que la entrada exista el usuario accederá al objeto con los permisos definidos por ACL. Si la entrada no existe el sistema denegará el acceso al usuario. 20

21 Redes Microsoft: Dominios Modelo de seguridad (continuación). 21

22 Redes Microsoft: Dominios Modelo de seguridad (continuación). Si el archivo o la carpeta a la que se accede está compartida, los permisos efectivos serán el resultado de aplicar los más restrictivos definidos por NTFS y SMB. 22

23 Redes Microsoft: Dominios Administrador del Dominio. Persona con autoridad para efectuar modificaciones en aspectos relativos la configuración del dominio. Posee una cuenta de usuario especial cuenta de administrador que le otorga todos los derechos y permisos. Entre sus actividades más comunes se encuentran: Gestionar la cuentas de usuario (crear, modificar, etc) Gestionar los grupos de usuarios Agregar máquinas al dominio Planificar y efectuar las copias de seguridad Establecer los recursos y los permisos...y otras muchas más el trabajo del administrador es muy laborioso y entraña una gran responsabilidad...cualquier decisión tiene efectos inmediatos sobre el funcionamiento del dominio... 23

24 Redes Microsoft: Dominios Directivas de grupo. Son un conjunto de reglas que definen el entorno de trabajo del usuario y la máquina. Actúan directamente sobre el registro del sistema operativo. Son definidas por el Administrador del sistema atendiendo a la política de seguridad definida para el dominio. Se encuentran en los controladores de dominio y se hacen efectivas durante el inicio de sesión para el usuario y durante el arranque para la máquina. Ayudan a reducir el Coste Total de Propiedad (TCO), que mide la pérdida de productividad como consecuencia de los errores que cometen los usuarios tras la modificación de configuraciones, pérdida de archivos, etc 24

25 WNT: Elementos del Dominio Controladores de Dominio Primario (Primary Domain Controller). Es la máquina del dominio que posee la base de datos (SAM) con la información de seguridad de todos los objetos del dominio. Solo puede haber un único PDC por cada dominio. La base de datos de seguridad es replicada de forma periódica a los BDC s del dominio (arquitectura monomaestro). 25

26 WNT: Elementos del Dominio Controladores de Dominio Secundarios o de Respaldo (Back Domain Controller). Servidores de reserva para la función de PDC. Pueden existir numerosos BDC por dominio. Su número repercute en el tiempo de respuesta de las consultas. Todos poseen una copia actualizada de SAM y dan cobertura al PDC del dominio cuando éste no puede atender una petición. Un BDC no tiene capacidad de modificación de SAM 26

27 WNT: Elementos del Dominio El modelo más sencillo: Dominio Único 27

28 W2K: Elementos del Dominio W2K heredó la filosofía de trabajo de WNT pero incorporando dos elementos que le hacen sustancialmente diferente. Posee todos los elementos del dominio NT a excepción de los controladores BDC y PDC, que son sustituidos por los que en adelante se denominaran Controladores de Dominio (CD s). Integra todos los recursos del dominio en una base de datos distribuida denominada Active Directory. Controladores de Dominio. Su característica más importante es que son poseedores de Active Directory. Utilizan un modelo de replicación multimaestro 28

29 W2K: Active Directory Qué es Active Directory? Técnicamente es un servicio de directorios Un servicio de directorio es una estructura jerárquica de datos que almacena información sobre los recursos (de todo tipo) distribuidos por la red Se puede entender como un almacén con varios vigilantes en la puerta. El almacén (base de datos) contiene todo tipo de cosas relacionadas con el dominio y los vigilantes (controladores de dominio) son los encargados de comprobar quién tiene autorización para solicitar cosas del almacén, y de buscar en el almacén todas aquellas cosas que solicite un cliente autorizado 29

30 W2K: Active Directory Qué beneficios reporta un servicio de directorio?. Administración simplificada. Seguridad reforzada. Autoridad central. Administración basada en directivas. Reducción del TCO Resultado La funcionalidad del servicio de directorio Organizar Administrar Controlar Recursos Controlador de dominio Dominio A Usuario1 Usuario2 30

31 Microsoft: Resolución de nombres El archivo HOST Archivo de texto que relaciona IP s con nombres DNS y NetBIOS (sólo para Windows) Se encuentra en \%systemroot%\system32\drivers\etc 31

32 Microsoft: Resolución de nombres El archivo LMHOST Archivo de texto solo disponible para Microsoft Windows que relaciona IP s con nombres NetBIOS Se encuentra en \%systemroot%\system32\drivers\etc 32

33 Microsoft: Resolución de nombres Orden de resolución 33

34 Microsoft: Configuración del protocolo de red Componentes necesarios Un protocolo de red Por defecto el proceso de instalación del sistema operativo proporciona el protocolo TCP/IP. De forma predeterminada la configuración del protocolo la obtiene del servicio DHCP (Dynamic Host Configuration Protocol) Un cliente De forma predeterminada el proceso de instalación incluye un cliente Cliente para redes Microsoft. Un servicio No siendo obligatorio, se puede promocionar al equipo a la categoría de servidor, ofreciendo carpetas y servicios de impresión mediante el servicio Compartir impresoras y archivos para redes Microsoft. 34

35 35 School Spain Microsoft: Configuración del protocolo de red Configuración del protocolo TCP/IP Obtener una IP automáticamente Activado por defecto. Determina que sea un DHCP quién entregue la configuración TCP/IP. Dirección IP Dirección lógica de 32 bits que identifica al equipo dentro de la red. Máscara de red Facilita el cálculo de la red de un equipo Puerta de enlace predeterminada Recibe las comunicaciones con destino externo a la red Obtener una dirección del servidor DNS automáticamente Se establece que sea un servidor DHCP quién entregue las direcciones IP de los servidores DNS disponibles

36 Microsoft: Configuración del protocolo de red Configuración del protocolo TCP/IP (continuación) Usar las siguientes direcciones de servidor DNS Si no se dispone de servidor DHCP en la red es necesario especificar las direcciones IP de los servidores DNS. Si existe servidor DNS local debe incluirse como principal, dejando como secundario los servidores DNS para resolución de nombres externos (Internet). Configuración avanzada del protocolo TCP/IP Las opciones avanzadas se encuentran desarrolladas en el documento Instalación y configuración del protocolo de red para Windows

37 Microsoft: Configuración del protocolo de red Configuración del protocolo TCP/IP 37

38 Microsoft: El servicio compartir carpetas Permisos de las carpetas compartidas School Spain Permiso especial Control total Cambiar Lectura Ver los nombres de archivos y carpetas Recorrer las subcarpetas Ver los datos de los archivos y ejecutar programas Agregar archivos y subcarpetas a la carpeta compartida Cambiar datos en archivos Eliminar subcarpetas y archivos Cambiar permisos (Sólo NTFS) Tomar la propiedad (Sólo NTFS) 38

39 Microsoft: El servicio compartir carpetas 39 School Spain Aplicación de los permisos de carpeta compartida En Windows XP Con el elemento Utilizar uso compartido simple de archivos activado: Sigue el modelo de seguridad SMB clásico. Con el elemento Utilizar uso compartido simple de archivos desactivado: Permite definir los usuarios y grupos que poseen derecho sobre el recurso siguiendo el modelo de seguridad de Windows Configuración homogénea entre Windows 2000 y Windows XP Combinación de permisos El permiso efectivo es el más restrictivo Denegar tiene prioridad sobre permitir Los permisos NTFS respaldan a los permisos SMB Las carpetas compartidas que se mueven o copian dejan de compartirse

40 Microsoft: El servicio compartir carpetas School Spain Windows XP: Utilizar uso compartido simple de archivos 40

41 Microsoft: El servicio compartir carpetas Carpetas administrativas 41 School Spain Añaden el carácter $ al nombre para ocultar el recurso. Compartir una carpeta Recurso compartido Nombre del recurso compartido Comentario Descripción opcional del recurso Límite de usuarios Número máximo de conexiones concurrentes permitidas (por defecto son 10) Permisos Permisos de carpeta aplicables cuando se accede desde la red. Por defecto el grupo Todos posee el permiso Control Total Caché Configura las operaciones de lectura adelantada y escritura retardada

42 Microsoft: El servicio compartir carpetas Compartir una carpeta (continuación) School Spain 42

43 Microsoft: El servicio compartir carpetas 43 School Spain Archivos sin conexión Caché de disco utilizada para mantener los archivos de red disponibles ante pérdidas de conexión con el servidor SMB. Por defecto la caché representa un 10% del tamaño del disco y se encuentra ubicada en %system%\csc de forma oculta Configuración de Caché Almacenamiento manual en caché de documentos El usuario decide que archivos desea guardar en caché Almacenamiento automático en caché de documentos Todos los archivos accedidos se almacenan en caché Almacenamiento en caché de programas Permite el acceso a los archivos sin conexión que no hayan sido modificados durante el acceso

44 Microsoft: El servicio compartir carpetas Sincronización de los archivos sin conexión Opciones de sincronización Enviar Recibir School Spain Sincronizar automáticamente ticamente los elementos seleccionados cuando inicie sesión en mi equipo Sincronizar todos los archivos sin conexión n antes de cerrar la sesión (activada) Sí Sí No Completamente Sincronizar todos los archivos sin conexión n antes de cerrar la sesión (desactivada) Sincronizar automáticamente ticamente los elementos seleccionados mientras mi equipo está inactivo Periódicamente Hacer clic en sincronizar correspondiente al menú Inicio Hacer clic en sincronizar contenido en el menú Archivo Hacer clic en Hacer disponible sin conexión n contenido en el menú Desde el icono Archivos sin conexión n en el Área de Estado de la barra de tareas 44 No Sí Sí Sí Sí No Sí Parcialmente Parcialmente Completamente Completamente Completamente Parcialmente No

45 Microsoft: El servicio compartir carpetas Combinación de permisos SMB y NTFS School Spain En una combinación de permisos NTFS y SMB, el permiso más restrictivo será el efectivo Como política de administración se suele dejar los permisos SMB predeterminados y controlar el acceso al recurso utilizando los permisos NTFS Las combinación de permisos está, además sujeta a las siguientes reglas: Aplicación de diferentes permisos NTFS para cada carpeta y archivo de la carpeta compartida Además de los permisos adecuados de la carpeta compartida, los usuarios deberán poseer los permisos NTFS de los archivos y carpetas contenidas En un volumen FAT el nivel de seguridad lo establece el modelo de seguridad SMB 45

46 Microsoft: El servicio compartir carpetas Conexiones de red... Define un vínculo con un recurso compartido de forma constante... Establecimiento de la conexión de red Mediante asistente Mediante el uso de comando NET Convención de nomenclatura universal (UNC) \\servidor\recurso\ruta School Spain Servidor: Nombre NetBIOS, DNS o WINS del servidor que ofrece el servicio Recurso: Nombre del recurso compartido Ruta: Establece opcionalmente la ruta a las carpetas o archivos dentro de la carpeta compartida 46

47 Microsoft: El servicio compartir carpetas Conexiones de red (continuación) Asistente para la conexión de red School Spain 47

48 Microsoft: El servicio compartir carpetas Conexiones de red (continuación) Comandos NET NET USE [Dispositivo]: [UNC] School Spain Dispositivo: Asigna un nombre para conectar la recurso.hay dos tipos de dispositivos: unidades de disco (de D: a Z:) y dispositivos de impresión (de LPT1 a LPT4). Si se usa el carácter * es asignado el siguiente dispositivo disponible. UNC: Establece la ruta UNC del servicio 48

49 Microsoft: El servicio compartir impresoras Servidor de impresión School Spain Equipo que ofrece el servicio y se encarga de recibir y procesar los documentos enviados por los equipos cliente Impresora Define la interfaz de comunicación entre el sistema operativo y el dispositivo de impresión Dispositivos de impresión Elementos hardware encargados de reproducir los documentos. Básicamente existen dos tipos: Dispositivo local de impresión: Conectado físicamente a un puerto del servidor de impresión Dispositivo con interfaz de red: Conectado al servidor de impresión a través de la red 49

50 Microsoft: El servicio compartir impresoras Ejemplo de mecanismos de impresión School Spain 50

51 Microsoft: El servicio compartir impresoras Permisos de las impresoras compartidas School Spain Permiso especial Imprimir Administrar documentos Administrar impresoras Imprimir Administrar documentos Administrar impresoras Permisos de lectura Cambiar permisos Tomar posesión 51

52 Microsoft: El servicio compartir impresoras Compartir una impresora School Spain 52

53 Microsoft: El servicio compartir impresoras Conexión a una impresora compartida (cont) School Spain Los servidores de impresión basados en Windows 2000 y Windows XP localizan los controladores de impresión en la ruta compartida %systemroot%\system32\spoll\drivers Si la cola de impresión se encuentra en un volumen NTFS es preciso que los usuarios con derechos de impresión tengan el premiso Modificar sobre la ruta %systemroot%\system32\spool\printers El método de conexión depende del sistema operativo del equipo cliente, en general se admiten: Mediante asistente Mediante el uso de comandos NET Mediante el explorador Web 53

54 Microsoft: El servicio compartir impresoras Conexión a una impresora compartida (cont) Asistente para clientes Windows 2000 y XP Mediante nombre UNC Examinando la red School Spain Mediante la dirección URL: Se debe poner la dirección URL printer Buscar impresora en Active Directory: Sólo para equipos que forman parte de un dominio Asistente para clientes Windows 98 y 95 Mediante nombre UNC Examinando la red 54

55 Microsoft: El servicio compartir impresoras Conexión a una impresora compartida (cont) Asistente de conexión School Spain 55

56 Microsoft: El servicio compartir impresoras Conexión a una impresora compartida (cont) Comandos NET NET USE [Dispositivo]: [UNC] School Spain Dispositivo: Especifica el dispositivo de impresión (de LPT1 a LPT4). Si se usa el carácter * es asignado el siguiente dispositivo disponible. UNC: Establece la ruta UNC del servicio 56

57 Microsoft: El servicio compartir impresoras Conexión a una impresora compartida (cont) Explorador Web School Spain Es necesario que el servidor de impresión tenga instalado el servicio IIS (Internet Information Services) o PWS (Personal Web services). Se puede conectar a través de dos rutas:

58 Microsoft: El servicio compartir impresoras Conexión a una impresora compartida (cont) Explorador Web School Spain 58

59 Bibliografía Microsoft Windows 2000 Profesional Kit de Recursos. McGraw-Hill (2001). Seguridad en Microsoft Windows McGraw-Hill (2001). Así es Windows 2000 Server. Anthony Northrup. McGraw-Hill (2000). Microsoft Windows 2000, manual del administrador. William R. Stanek. McGraw-Hill (2000). Microsoft Windows 2000, TCP/IP protocolos y servicios. Thomas Lee, Joseph Davies. McGraw-Hill (2000). Microsoft Windows 2000 Profesional, curso oficial de certificación MCSE. McGraw-Hill (2000). 59