Título de la pista: Windows Server 2012 Detalles técnicos de redes

Transcripción

1 Título de la pista: Windows Server 2012 Detalles técnicos de redes Módulo 2: Administración de la dirección IP Manual del módulo Autor: James Hamilton-Adams, Content Master Publicado: [introducir fecha]

2 La información contenida en este documento, incluidas las URL y otras referencias a sitios web de Internet, está sujeta a cambios sin previo aviso. Salvo que se indique expresamente lo contrario, los ejemplos de empresas, organizaciones, productos, nombres de dominio, direcciones de correo electrónico, logotipos, personas, lugares y eventos aquí representados son ficticios, y no se pretende ni debe deducirse ninguna asociación con ninguna empresa, organización, producto, nombre de dominio, dirección de correo electrónico, logotipo, persona, lugar o evento real. El cumplimiento de todas las leyes de propiedad intelectual aplicables es responsabilidad del usuario. Sin limitar los derechos derivados de la propiedad intelectual, no se puede reproducir, almacenar ni introducir en un sistema de recuperación de datos ninguna parte del presente documento, ni tampoco transmitirla de ninguna forma o en ningún medio (electrónico, mecánico, fotocopias, grabación, o cualquier otro) ni para ningún propósito sin contar con el permiso expreso por escrito de Microsoft Corporation. Microsoft puede tener patentes, solicitudes de patente, marcas registradas o derechos de propiedad intelectual de cualquier tipo que cubran el tema tratado en este documento. Salvo que se indique expresamente en algún contrato de licencia por escrito de Microsoft, disponer del presente documento no le transfiere a usted ninguna licencia sobre estas patentes, marcas registradas, derechos de propiedad intelectual o cualquier otro tipo de propiedad intelectual Microsoft Corporation. Reservados todos los derechos. Microsoft es una marca registrada o bien una marca de Microsoft Corporation en Estados Unidos y otros países. Los nombres de empresas y productos reales mencionados en este documento pueden ser marcas comerciales de sus respectivos propietarios. Manual del estudiante de Microsoft Virtual Academy ii

3 Contenido CONTENIDO... III MÓDULO 2: ADMINISTRACIÓN DE LA DIRECCIÓN IP... 4 Descripción general del módulo... 4 NECESIDAD DE ADMINISTRAR LAS DIRECCIONES IP... 5 QUÉ ES IPAM?... 7 IMPLEMENTACIÓN DE IPAM EN WINDOWS SERVER TAREAS AUTOMÁTICAS EN IPAM DELEGACIÓN DE CONTROL EN IPAM OTROS RECURSOS Y LECTURAS Manual del estudiante de Microsoft Virtual Academy iii

4 Módulo 2: Administración de la dirección IP Descripción general del módulo En este módulo se presenta la función de administración de direcciones IP (IPAM) en Windows Server Se mostrará por qué IPAM es importante para las infraestructuras de red en las organizaciones modernas, y después se presentará el proceso y los requisitos de instalación de la nueva función IPAM. También se estudiarán algunas de las opciones del servidor IPAM y cómo delegar el acceso a IPAM y tareas relacionadas. Manual del estudiante de Microsoft Virtual Academy 4

5 Necesidad de administrar las direcciones IP En las actuales infraestructuras de red TCP/IP, salvo en el caso de las redes más pequeñas, necesita tener un método para administrar los requisitos de las direcciones IP. Los administradores deben tener un plan que describa qué intervalos de direcciones se usan, cuántas subredes hay y qué subredes corresponden a determinadas ubicaciones. El método de IPAM también debería detallar tanto las configuraciones de asignación dinámica de direcciones, como el protocolo de configuración dinámica de host (DHCP) y los requisitos de reserva correspondientes. También debe poder identificar claramente los intervalos de direcciones IP usados para la asignación estática de direcciones para los requisitos de dispositivo de red o de servidor. Finalmente, en función de estos registros, debe poder identificar qué parte del grupo de direcciones designadas está en uso y cuántas direcciones pueden usarse para responder a las necesidades de expansión de red y de los nuevos dispositivos. Manual del estudiante de Microsoft Virtual Academy 5

6 Normalmente, dispone de tres estrategias para administrar el estado de su dirección IP: Hojas de cálculo. Los administradores de red capturan a menudo toda esta información en hojas de cálculo. El coste inicial es prácticamente cero y, cuando la red es pequeña, este método suele ser eficaz. Sin embargo, actualizar la información supone mucho trabajo y, a medida que crece la red o se necesitan cambios "urgentes", los administradores a menudo no pueden dedicar el tiempo necesario para mantener la información actualizada, por lo que el resultado es difícil de administrar. Herramientas internas personalizadas. Algunas organizaciones tienen los recursos para confeccionar soluciones internas, como aplicaciones de base de datos o software personalizadas, que contienen la información relevante e incluso pueden proporcionar algunas funciones de automatización y flujo de trabajo para identificar direcciones libres o mostrar el uso del grupo de direcciones. Sin embargo, el desarrollo, mantenimiento o posterior ampliación de estas herramientas puede resultar caro desde el punto de vista de los recursos del desarrollador. El mantenimiento de estas herramientas solo puede depender de la experiencia y el modelo de mantenimiento interno. Herramientas o dispositivos de software comercial. Normalmente, las herramientas comerciales son las que ofrecen las opciones con más características y, a menudo, proporcionan la automatización e integración con los componentes de la infraestructura existente, como servidores DNS y DHCP de Windows. Sin embargo, las herramientas comerciales suelen ser la opción más cara, a menudo con costes de mantenimiento o de compra de licencias que se tienen que sumar al coste inicial de las herramientas y su implementación. Manual del estudiante de Microsoft Virtual Academy 6

7 Qué es IPAM? Windows Server 2012 proporciona IPAM como opción. IPAM es una infraestructura que permite detectar, administrar y supervisar un espacio de direcciones IP en la red de una organización. IPAM presenta las siguientes características: Detección automática de la infraestructura de direcciones IP, como los servidores DHCP, los servidores DNS y los controladores de dominio. Después de la detección, puede usar las herramientas de IPAM para administrar estos servicios. Visualización y administración del espacio de direcciones y generación de informes sobre el mismo. La consola de IPAM permite buscar un intervalo específico de direcciones IP mediante información asociada. Puede buscar y sustituir información específica o actualizar varios ámbitos al mismo tiempo. Puede administrar intervalos de direcciones IPv4 e IPv6 con IPAM. Supervisión del estado de los servidores DHCP y DNS. Puede visualizar información relacionada con el uso del ámbito DHCP y el mantenimiento de la zona DNS. Auditoría de los cambios de configuración y seguimiento del uso de la dirección IP. IPAM recoge los cambios de configuración efectuados en los servidores DNS o DHCP, y también permite efectuar un seguimiento de los eventos de concesión de DHCP. Manual del estudiante de Microsoft Virtual Academy 7

8 Implementación de IPAM en Windows Server 2012 La implementación de IPAM en Windows Server 2012 puede efectuarse de forma centralizada, con un solo servidor, o de forma distribuida, donde cada emplazamiento puede tener un servidor IPAM. En una implementación distribuida, los diferentes servidores IPAM de la organización no comparten la base de datos ni las comunicaciones. Cada servidor IPAM administrará únicamente una parte del espacio de direcciones de la organización, como una oficina o una ubicación específica. En caso necesario, puede usar las funciones de exportación de IPAM para consolidar los datos de informes de una implementación distribuida. Requisitos para la implementación de IPAM en Windows Server 2012: Instalación completa de Windows Server 2012 (IPAM está disponible en todas las ediciones de Windows Server 2012 excepto en las instalaciones Server Core). El servidor IPAM debe ser miembro de un dominio de Servicios de dominio de Active Directory (AD DS). No se puede instalar la función IPAM en un controlador de dominio. IPAM se instala automáticamente en la base de datos interna de Windows del servidor IPAM. IPAM no es compatible con bases de datos externas. IPAM solo admite la integración con controladores de dominio de Microsoft, servidores DHCP, DNS y servidores de directivas de redes (NPS) que ejecuten Windows Server 2008 o versiones posteriores. IPAM se comunica con los servidores administrados mediante interfaces de llamada de procedimiento remoto (RPC) o instrumental de administración de Windows (WMI). Compruebe que los firewalls no bloqueen los puertos de comunicación de IPAM. Manual del estudiante de Microsoft Virtual Academy 8

9 Para configurar un servidor IPAM ejecute los pasos siguientes: 1. Instale la función IPAM en el servidor. La función IPAM requiere los siguientes componentes de Windows Server 2012: Los componentes cliente DNS, DHCP e IPAM de las herramientas de administración remota del servidor (RSAT). Base de datos interna de Windows. Servicio WAS (Windows Process Activation Service). Administración de directivas de grupo. Microsoft.NET Framework Prepare el servidor IPAM. En este paso se selecciona si se quiere aprovisionar manualmente los servidores administrados o bien usar una directiva de grupo para automatizar la preparación. 3. Configure la detección del servidor. En este paso se especifica para qué dominios se quiere recuperar información del controlador de dominio, el servidor DHCP y el servidor DNS. 4. Ejecute la detección del servidor. Tarea automatizada creada en el programador de tareas después de aprovisionar el servidor IPAM. También puede iniciarse manualmente. 5. Agregue los servidores que se deben administrar. En este paso se seleccionan los servidores detectados que IPAM administrará y tiene la posibilidad de agregar manualmente servidores a IPAM. También puede verificar que IPAM tenga acceso a los servidores necesarios. 6. Recuperación de datos. En este paso se recuperan los datos de DNS, DHCP y demás en los servidores que en el paso anterior se especificaron como administrados. Esto permite que IPAM empiece a visualizar y administrar bloques de direcciones IP. Aprovisionamiento manual y aprovisionamiento basado en directiva de grupo Si selecciona la opción de aprovisionamiento manual, debe configurar manualmente todos los servidores que desee que administre IPAM. En la tabla siguiente se muestran los requisitos que deben cumplirse para cada tipo de servidor administrado: Tipo de servidor Requisitos de configuración administrado Servidor DHCP La cuenta del equipo del servidor IPAM debe ser miembro del grupo de seguridad local de lectores del registro de eventos. La cuenta de equipo del servidor IPAM debe ser miembro del grupo de seguridad local de usuarios de DHCP. Deben habilitarse las siguientes reglas de firewall: Servidor DHCP (RPC de entrada) Servidor DHCP (RPCSS de entrada) Administración remota de servicios (RPC) Administración remota de servicios (RPC-EPMAP) Para auditar DHCP, existen los siguientes requisitos adicionales: Se debe crear un recurso compartido de archivos de red llamado Dhcpaudit con la carpeta de archivos de auditoría DHCP, con acceso de lectura activado para la cuenta de equipo del servidor IPAM. Se deben activar las siguientes reglas de firewall: o Uso compartido de archivos e impresora (sesión NB de entrada) o Uso compartido de archivos e impresora (SMB de entrada) Manual del estudiante de Microsoft Virtual Academy 9

10 Tipo de servidor administrado Servidor DNS Controlador de dominio Servidor NPS Requisitos de configuración La cuenta de equipo del servidor IPAM debe ser miembro del grupo de seguridad local de lectores del registro de eventos. Debe agregar un acceso de lectura para la cuenta de equipo del servidor IPAM en la lista de control de acceso discrecional (DACL) de DNS. Se debe conceder acceso de lectura a la cuenta de equipo del servidor IPAM en la ACL que se mantiene con la siguiente clave de registro en el servidor DNS: MACHINE\System\CurrentControlSet\Services\Eventlog\ DNS Server\CustomSD Se deben activar las siguientes reglas de firewall: RPC de servicio de DNS Asignador de extremos de RPC de servicio de DNS Administración remota de servicios (RPC) Administración remota de servicios (RPC-EPMAP) La cuenta de equipo del servidor IPAM debe ser miembro del grupo de seguridad de dominio de lectores del registro de eventos. Se deben activar las siguientes reglas de firewall: Administración remota de registro de eventos (RPC) Administración remota de registro de eventos (RPC-EPMAP) La cuenta de equipo del servidor IPAM debe ser miembro del grupo de seguridad local de lectores del registro de eventos. Se deben activar las siguientes reglas de firewall: RPC de servicio de DNS Asignador de extremos de RPC de servicio de DNS O bien, puede usar una directiva de grupo que le ayude a aprovisionar los servidores administrados. Para usar la directiva de grupo para el aprovisionamiento de IPAM, debe ejecutar el cmdlet Invoke-IpamGpoProvisioning de Windows PowerShell usando una cuenta de administrador de dominio para crear los objetos de directiva del grupo (GPO) necesarios. Se crean los siguientes GPO: <prefijo>dc_nps. Esta directiva de grupo se aplica a los controladores de dominio y a los servidores NPS. <prefijo>dhcp. Esta directiva de grupo se aplica a los servidores DHCP. <prefijo>dns. Esta directiva de grupo se aplica a los servidores DNS. Los GPO se crean en el nivel de dominio y usan el filtrado del grupo de seguridad para asegurarse de que las directivas de grupo solo se apliquen a los servidores administrados. Cuando cree GPO con Invoke-IpamGpoProvisioning, puede especificar el <prefijo> que se agregará a todos los nombres de GPO. Manual del estudiante de Microsoft Virtual Academy 10

11 Tareas automáticas en IPAM Al instalar la función IPAM en un servidor, el proceso de instalación crea varias tareas automatizadas que IPAM usa para recopilar datos de los servidores administrados. La instalación de IPAM crea las siguientes tareas automatizadas: Nombre de la tarea Descripción Frecuencia predeterminada DiscoveryTask Detecta controladores de dominio, 1 día servidores DNS y servidores DHCP en los dominios seleccionados. AddressUtilizationCollectionTask Recopila información sobre el uso del 2 horas espacio de direcciones de los servidores DHCP. AuditTask Recopila información de auditoría en los 1 día servidores DHCP e IPAM, y recopila registros de auditoría de concesión de IP en los servidores NPS y los controladores de dominio. ConfigurationTask Recopila información de configuración en los 6 horas servidores DHCP y DNS. ServerAvailabilityTask Recopila el estado de disponibilidad del servicio para los servidores DHCP y DNS. 15 minutos Manual del estudiante de Microsoft Virtual Academy 11

12 Delegación de control en IPAM Durante la instalación de IPAM en el servidor, el proceso de instalación crea varios grupos de seguridad local. Puede usar estos grupos para conceder diferentes niveles de acceso a IPAM y permitir la delegación de algunas tareas de administración de IPAM. Se crean los siguientes grupos de seguridad en el servidor IPAM: Usuarios IPAM. Los usuarios que son miembros de este grupo pueden ver la información de detección de servidores, espacio de direcciones IP y administración del servidor. Los miembros del grupo también pueden ver eventos operativos del servidor IPAM y DHCP, aunque no pueden ver información de seguimiento de la dirección IP. Administradores de MSM IPAM. Los miembros de este grupo tienen privilegios de usuarios IPAM y pueden realizar tareas comunes de administración multiservidor (MSM) de IPAM y tareas de administración del servidor. Administradores de ASM IPAM. Los miembros de este grupo tienen privilegios de usuario IPAM y pueden realizar tareas comunes de administración del espacio de direcciones (ASM) IPAM y tareas de espacio de direcciones IP. Administradores de auditoría IP IPAM. Los miembros de este grupo tienen privilegios de usuarios IPAM y pueden realizar tareas comunes de administración de IPAM y ver información de seguimiento de direcciones IP. Administradores IPAM. Los miembros de este grupo tienen privilegios para ver todos los datos IPAM y realizar todas las tareas de IPAM. Manual del estudiante de Microsoft Virtual Academy 12

13 Otros recursos y lecturas Información general de la administración de direcciones IP (IPAM). Paso a paso: configuración de IPAM para administrar su espacio de direcciones IP. Manual del estudiante de Microsoft Virtual Academy 13