Source: http://docplayer.es/1346465-Aislamiento-de-servidor-y-dominio-mediante-ipsec-y-directiva-de-grupo-capitulo-7-solucion-de-problemas-de-ipsec.html
Timestamp: 2017-04-28 16:29:49+00:00

Document:
Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo Capítulo 7: Solución de problemas de IPsec - PDF
Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo Capítulo 7: Solución de problemas de IPsec
Download "Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo Capítulo 7: Solución de problemas de IPsec"
1 Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo Capítulo 7: Solución de problemas de IPsec Actualizado: febrero 16, aaaa En este capítulo se proporciona información acerca de cómo solucionar problemas de seguridad del protocolo Internet (IPsec), como en los escenarios de aislamiento de servidor y dominio, y se basa en la experiencia y los procesos del equipo de tecnología de la información (TI) de Microsoft. Siempre que sea posible, en este capítulo se hace referencia a los procedimientos de solución de problemas de Microsoft e información relacionada. La asistencia del departamento de TI de Microsoft se basa en un modelo de varios niveles y el servicio de asistencia se denomina asistencia de nivel 1. Los procedimientos de transferencia de incidencias permiten al personal del servicio de asistencia transferir las incidencias que requieran la ayuda de especialistas. Los procedimientos de este capítulo hacen referencia a los tres niveles de asistencia: nivel 1, nivel 2 y nivel 3. Para garantizar que la guía resulta práctica y concisa en la medida de lo posible, la mayor parte del contenido está en el nivel 2. Se proporcionan indicaciones para el nivel 1 inicial para que una organización determine lo más rápidamente posible si un problema está relacionado con IPsec y, en caso afirmativo, genere la información necesaria para ayudar al personal de soporte técnico de nivel 2 a solucionar el problema. La información más detallada y compleja necesaria para los esfuerzos de solución de problemas del nivel 3 queda fuera del alcance de este capítulo. Si la información proporcionada en este capítulo no soluciona el problema de IPsec, Microsoft recomienda que se ponga en contacto con los Servicios de soporte técnico de Microsoft para obtener ayuda adicional. Muchos de los procedimientos de soporte técnico, herramientas y secuencias de comandos que utiliza Microsoft se proporcionan en este capítulo de referencia. Estas recomendaciones y herramientas se deben adaptar según las necesidades específicas de la organización. Cuando se utiliza IPsec para proteger el tráfico del protocolo de control de transmisión (TCP) y del protocolo de datagrama de usuario (UDP) de la red, los procedimientos y las herramientas de solución de problemas de red TCP/IP habituales pueden no ser eficaces. Por este motivo, es importante planear y desarrollar técnicas de solución de problemas específicas de IPsec que se puedan utilizar si se produce un problema entre equipos que emplean (o intentan emplear) IPsec para sus comunicaciones. En esta página Niveles de soporte técnico y transferencia de incidencias Solución de problemas de nivel 1 Preparación de la solución de problemas de nivel 2 Proceso de solución de problemas de IPsec Solución de problemas de nivel 3 Resumen Descargar la solución completa Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo En esta guía Capítulo 0 - Información general Capítulo 1 - Introducción al aislamiento de servidor y dominio Capítulo 2 - Comprensión del aislamiento de servidor y dominio Capítulo 3 - Cómo determinar el estado actual de su infraestructura de TI Capítulo 4 - Diseño y planificación de grupos de aislamiento Capítulo 5 - Creación de directivas IPsec para grupos de aislamiento Capítulo 6 - Administración de un entorno de aislamiento de servidor y dominio Capítulo 7 - Solución de problemas de IPsec Apéndice A - Descripción general de los conceptos de la directiva IPsec Apéndice B - Resumen de la directiva IPsec Apéndice C - Guía de generación de laboratorio Apéndice D - Categorías de amenaza de TI Agradecimientos Niveles de soporte técnico y transferencia de incidencias En Microsoft, el soporte técnico de aislamiento de servidor y dominio es una oferta estándar y está definido en los contratos de nivel de servicio estándar. El soporte técnico de aislamiento se proporciona en los siguientes niveles: Nivel 1: servicio de asistencia. El servicio de asistencia es el punto de entrada de los problemas de cliente unido a un dominio y sin dominio. El servicio de asistencia también se ocupa de los servidores que están administrados por la organización de TI central. (Otros servidores pueden estar administrados por los equipos de aplicaciones de línea de2 negocio o grupos de productos.) El personal del servicio de asistencia está preparado para utilizar una taxonomía y varios diagramas de flujo para clasificar los problemas que se relacionan con el aislamiento de servidor y dominio. Durante la fase piloto de la solución de aislamiento de Microsoft, los problemas de cliente se transfirieron al departamento de seguridad de TI corporativa. No obstante, después de implementar la solución en producción, los equipos de soporte técnico de nivel 2 se ocuparon de los problemas de cliente. Nivel 2: operaciones de centro de datos, centro de operaciones de red global, soporte técnico de aplicaciones de línea de negocios y soporte técnico de mensajería/colaboración. Estos grupos son los equipos de operaciones diarias que supervisan y administran los servicios de TI y los activos relacionados. Durante las pruebas piloto de aislamiento de servidor y dominio, éstos fueron el punto de transferencia de incidencias inicial del servicio de asistencia y del departamento de seguridad de TI corporativa para los problemas relacionados con el servidor y su solución. Cada grupo tiene un experto en la materia para el aislamiento de servidor y dominio, así como procedimientos detallados para la solución de problemas. Nivel 3: servicios de red y de infraestructura de Windows. Para las pruebas piloto de aislamiento de servidor y dominio, este grupo designó a un grupo de personas para ser los expertos en solucionar los problemas de los componentes y tecnologías de diseño relacionados con la solución, como IPsec, procesamiento de paquetes TCP/IP, cuentas de equipo y derechos de inicio de sesión en la red. En Microsoft, si es necesario transferir las incidencias, el nivel 3 trabaja directamente con los equipos de desarrollo de Windows hasta que logra el cierre. Fuera de Microsoft, este nivel implicaría a los Servicios de soporte técnico de Microsoft cuando fuera necesario. En la siguiente sección se resumen las técnicas de solución de problemas que puede emplear el personal del servicio de asistencia en la organización de soporte técnico de nivel 1. Principio de la página Solución de problemas de nivel 1 En esta sección se presenta el proceso global para solucionar problemas relacionados con IPsec utilizado por el personal del servicio de asistencia, que proporciona soporte técnico de nivel 1. Normalmente, el personal de soporte técnico de nivel 1 es personal del servicio de asistencia telefónico que intenta diagnosticar los problemas de forma remota. El problema es IPsec? Es probable que el servicio de asistencia reciba llamadas del tipo Me podía conectar al servidor x hasta que se activó IPsec o Ayer funcionaba todo y hoy no me puedo conectar a nada. Por la experiencia del departamento de TI de Microsoft, la ejecución de IPsec incrementa el número de llamadas para todos los tipos de problemas de conectividad de red e incidencias de acceso denegado porque los usuarios prestan más atención a los comportamientos de la aplicación y de la red. Cuando alguien cree que puede estar relacionado con IPsec, llama al servicio de asistencia. Un plan de implementación de aislamiento de servidor y dominio debe incluir un sistema de clasificación de llamadas para que el personal del servicio de asistencia pueda ofrecer informes claros acerca del volumen y la naturaleza de los problemas relacionados con IPsec. Después de obtener la información administrativa correspondiente del llamador, el personal del servicio de asistencia debe seguir un proceso de solución de problemas definido. Debido a que los diseños de directiva de IPsec pueden tener consecuencias distintas en las comunicaciones y debido a que el proceso de ejecución puede durar varios días o semanas, se debe definir y actualizar un diagrama de flujo por cada conjunto de cambios de aislamiento que se implemente. El personal de administración del servicio de asistencia debe estar implicado en este proceso de planeamiento. El objetivo del servicio de asistencia debe ser clasificar el problema de modo que se puedan intentar soluciones conocidas. Si con estos intentos no se resuelve el problema, el personal del servicio de asistencia puede garantizar que se recopila la información correcta y que se transfiere el problema al soporte técnico de nivel 2. Por ejemplo, el servicio de asistencia debe poder identificar distintos tipos de problemas de las siguientes formas: Conectividad de red. Utilizar mensajes ICMP (protocolo de mensajes de control de Internet) de ping y tracert para probar las rutas de acceso de la red. Resolución de nombres. Utilizar ping <nombre de destino> y nslookup. Aplicaciones. Al establecer comunicación con el mismo destino, unas aplicaciones funcionan (por ejemplo, net view) y otras no. Servicios. Por ejemplo, determinar si el servidor ejecuta el servicio Enrutamiento y acceso remoto (RRAS), que crea3 una directiva IPsec automática conflictiva para L2TP. El equipo del llamador. Determinar si puede tener acceso a cualquier host o a equipos de destino host de confianza específicos que se utilizan para pruebas y diagnóstico del servicio de asistencia. El equipo de destino. Determinar si el equipo del llamador puede tener acceso a todos los equipos del servicio de asistencia que se utilizan para pruebas pero no puede obtener acceso a un determinado equipo de destino. Según la organización, el servicio de asistencia puede utilizar Asistencia remota o Escritorio remoto para conectarse al equipo del llamador. Las directrices que se proporcionan en este capítulo no requieren acceso remoto, aunque pueden constituir herramientas útiles para que el personal de servicio de asistencia las utilice como alternativa en lugar de guiar al usuario por el complemento Monitor IPsec de Microsoft Management Console (MMC) o el visor del registro de sucesos. En los escenarios donde se utilice aislamiento de servidor sin aislamiento de dominio, el personal del servicio de asistencia debe conocer los servidores que son miembros del grupo de aislamiento. Asignar alcance y gravedad Una de las primeras preguntas que debe plantear el soporte técnico de nivel 1 es: A quién afecta el problema? El personal de soporte técnico tiene que saber si otros usuarios experimentan el mismo problema y, en caso afirmativo, cuántos son y dónde se encuentran. A continuación, el personal de soporte técnico debe examinar el alcance del problema. Por ejemplo, afecta la conectividad a un solo servidor o son problemas de mayor alcance, como errores de inicio de sesión o de autenticación en grandes partes de la red? Los problemas con la conectividad pueden implicar numerosos niveles y tecnologías distintos que se utilizan en las comunicaciones de red. Los ingenieros de soporte técnico deben conocer cómo funcionan las comunicaciones de red TCP/IP de Windows en general, así como problemas específicos relacionados con la solución. En esta sección se revisan los distintos tipos de problemas y cuestiones comunes que cada soporte técnico de nivel 1 debe afrontar. Problemas específicos de equipo. Las comunicaciones protegidas por IPsec requieren autenticación mutua de equipo de intercambio de claves de Internet (IKE). Los equipos que inician las comunicaciones y los equipos que responden a ellas deben tener cuentas de dominio válidas y acceso a los controladores de dominio de su dominio. Además, los controles de asignación de directiva IPsec y de acceso a la red dependen de que las cuentas de equipo estén en los grupos de dominio correctos. Otros problemas específicos de equipo que pueden afectar al comportamiento de IPsec son los siguientes: El sistema operativo no dispone del Service Pack, revisión o configuración de clave del Registro correctos. El equipo tiene un determinado software instalado o servicios concretos en ejecución. La conexión de red utiliza una dirección IP específica o establece comunicación mediante una ruta de acceso de red concreta. Debido a estos tipos de cuestiones, algunos equipos pueden tener problemas con la conectividad y otros no. Nota: todas las herramientas de solución de problemas de IPsec descritas en este capítulo requieren privilegios de grupo de administradores local. Problemas de ubicación de red y específicos de ruta de acceso. En una solución de aislamiento de servidor y dominio u otra implementación generalizada de IPsec, es probable que se encapsule todo el tráfico TCP y UDP. Por lo tanto, los dispositivos de red a lo largo de la ruta de acceso sólo verán los protocolos IKE, IPsec e ICMP. Si existen problemas de red en la transmisión de estos tres protocolos entre el origen y el destino, la comunicación se puede bloquear entre los dos equipos. Problemas específicos del usuario. La implementación de IPsec, como en un escenario de aislamiento de servidor y dominio, puede afectar a los derechos de inicio de sesión en la red de los usuarios del dominio. Por ejemplo, es posible que el problema sólo afecte a los usuarios que no se encuentran en un grupo autorizado para el acceso de red, o un usuario autorizado puede tener problemas para obtener las credenciales de autenticación de Kerberos que contienen la pertenencia a los grupos correctos. Puede haber diferencias de comportamiento entre el usuario de dominio y local o las cuentas de servicio. Las otras dos características de la solución de aislamiento de servidor y dominio que también se encuentran normalmente en las implementaciones empresariales de IPsec son el uso de filtros de subred para definir los intervalos de direcciones empleados en la red interna y la aplicación de las directivas de IPsec que están basadas en la pertenencia a dominio y la pertenencia a grupos, independientemente de dónde se encuentre el equipo en la red interna. Por tanto, si hay un problema con el diseño de los filtros de subred o la ruta de acceso de red utilizada por dicho equipo para conectar con los4 otros equipos, es posible que sólo aparezcan problemas de conectividad en determinadas partes de la red, al utilizar direcciones IP concretas (por ejemplo, una dirección inalámbrica y no una de LAN) o únicamente en algunos equipos. Diagramas de flujo de solución de problemas Los diagramas de flujo de administración de llamadas de esta sección los ha desarrollado el departamento de TI de Microsoft como ayuda para clasificar los problemas de soporte técnico de IPsec de nivel 1. Además de las herramientas estándar, dos de los diagramas de flujo hacen referencia a una secuencia de comandos de actualización de la directiva IPsec, cuya descripción se proporciona en la sección "Ejemplos de secuencias de comandos de soporte técnico", incluida más adelante en este capítulo. La figura 7.1 se utiliza para el diagnóstico inicial y para determinar el tipo de problema: Es un problema de conectividad de red? En caso afirmativo, intentar un procedimiento de solución de problemas de red básico. Si no se soluciona, transferir el problema al soporte técnico de nivel 2. Es un problema de resolución de nombres? En caso afirmativo, intentar un procedimiento de solución de problemas de resolución de nombres básico. Si no se soluciona, transferir el problema al soporte técnico de nivel 2. Es un problema de aplicación? En caso afirmativo, transferir el problema al soporte técnico de nivel 2. Es un problema de IPsec del equipo del llamador? En caso afirmativo, ir a la figura 7.2. Es un problema de IPsec con el equipo de destino al que intenta conectarse el llamador? En caso afirmativo, ir a la figura 7.3. Figura 7.1 Proceso de solución de problemas para un error de comunicación con un5 equipo de destino Ver imagen a tamaño completo Nota: en este diagrama de flujo se supone que el equipo del llamador ejecuta IPsec y que las zonas de búsqueda inversa de DNS están configuradas para permitir el funcionamiento correcto del comando ping. La figura 7.2 está diseñada para identificar los problemas con el equipo del llamador. Observe que, además del diagnóstico, en este diagrama de flujo se hace referencia al uso de una secuencia de actualización de la directiva IPsec (consulte "Ejemplos de secuencias de comandos de soporte técnico" más adelante en este capítulo) que puede solucionar el problema sin identificarlo necesariamente. Los pasos de la figura 7.2 ayudan a determinar los siguientes problemas posibles con el equipo del llamador: Es un problema de RRAS? En caso afirmativo, detenga el servicio RRAS (si no se necesita RRAS) o transfiera el problema al soporte técnico de nivel 2. Es un problema de directiva? En caso afirmativo, intente actualizar Directiva de grupo y la directiva IPsec. Es un problema de cuenta de dominio? En caso afirmativo, cree una cuenta de dominio para el equipo del llamador. No es ninguno de los anteriores? Si la actualización de la directiva IPsec o la creación de una cuenta de dominio no solucionan el problema, transfiéralo al soporte técnico de nivel 2.6 Figura 7.2 Solución de los problemas relacionados con el equipo del llamador Ver imagen a tamaño completo La figura 7.3 está diseñada para identificar los problemas con un determinado equipo de destino. Tenga en cuenta que en este diagrama de flujo también se hace referencia al uso de una secuencia de comandos de actualización de la directiva IPsec que puede solucionar el problema sin identificarlo necesariamente. La figura 7.3 ayuda a determinar los siguientes problemas posibles con el equipo de destino (o la ruta de acceso a él): Es un problema de RRAS? En caso afirmativo, transferir el problema al soporte técnico de nivel 2. Es un problema de la directiva IPsec? En caso afirmativo, intente actualizar Directiva de grupo y la directiva IPsec. A continuación, compruebe la conectividad de red. Es un problema de conectividad de red? En caso afirmativo, transferir el problema al soporte técnico de nivel 2. Es un problema de derecho de inicio de sesión? En caso afirmativo, transferir el problema al soporte técnico de nivel 2.7 Figura 7.3 Solución de los problemas de IPsec relacionados con el equipo de destino Ver imagen a tamaño completo Después de que el personal de soporte técnico de nivel 1 haya trabajado con los diagramas de flujo, el estado del problema será uno de los siguientes: Solucionado y comprendido. Este estado significa que el problema se ha resuelto y se puede haber determinado su motivo. Solucionado pero no claro. Este estado significa que el problema se ha resuelto, pero que la causa del mismo no se ha comprendido por completo. Por ejemplo, una actualización de la directiva IPsec puede haber solucionado el problema pero no explica necesariamente el motivo por el que se aplicó una directiva incorrecta o no se aplicó ninguna directiva. No solucionado. Este estado significa que el problema sigue pendiente pero se han identificado las causas posibles del mismo, ya que se ha transferido al departamento de soporte técnico de nivel 2. Prevención de ataques de ingeniería social En una solución de aislamiento, el personal del servicio de asistencia puede descubrir áreas específicas dentro del entorno de TI que no están protegidas por IPsec, como los equipos que son miembros de la lista de exenciones. No se pueden8 utilizar para proteger información confidencial porque en otras soluciones de seguridad dicha información esencial normalmente sólo está disponible para los equipos de soporte técnico de nivel superior. Por este motivo, el personal del servicio de asistencia debe estar formado para detectar y resistir los ataques de ingeniería social. En un ataque de ingeniería social, una persona que no es de confianza intenta obtener información acerca de cómo está implementada la seguridad y en qué puntos es débil, simplemente aprovechando la tendencia humana a confiar en otras personas. El personal del servicio de asistencia debe controlar atentamente la información siguiente: Miembros de la lista de exenciones. Es probable que la lista de las direcciones IP de los filtros de la lista de exenciones esté disponible para los administradores locales en todos los hosts de confianza mediante el complemento Monitor IPsec de MMC o examinando la caché de la directiva IPsec del dominio en el Registro local. Además, la configuración de seguridad empleada en la organización puede proporcionar a los usuarios no administrativos acceso de lectura a la caché. Después de implementar el aislamiento de dominio por completo, los atacantes deben explorar la red para detectar los equipos exentos, que podrán responder a las solicitudes de conexión TCP y UDP. Tenga en cuenta que los servidores DNS, DHCP y WINS se identifican fácilmente a partir de la configuración DHCP, y los controladores de dominio son fáciles de encontrar con una consulta DNS o una consulta de protocolo ligero de acceso a directorios (LDAP) de UDP. Equipos de la organización que no participan en la solución de aislamiento. Por ejemplo, es posible que determinados dominios o tipos de servidor no estén incluidos en la solución. Equipos que utilizan aislamiento de servidor o requieren control de acceso basado en equipo. Los servidores que contienen la información más confidencial normalmente disponen de la mayoría de las protecciones de seguridad. Usuarios que son administradores o tienen funciones especiales en la organización de TI. En algunos casos, las direcciones de correo electrónico se utilizan como nombres de equipo o una parte del nombre de equipo, con lo que se revelan nombres de inicio de sesión o direcciones de correo electrónico. Subredes que se utilizan para finalidades específicas o por determinadas organizaciones. Si se conoce esta información, un atacante puede centrar su ataque en las partes más confidenciales y valiosas de la red. Otras medidas de seguridad basada en red que se estén utilizando. Por ejemplo, para un atacante resulta muy útil saber si existen servidores de seguridad, si los filtros de enrutador permiten determinado tráfico o si se utiliza detección de intrusos en la red. El personal del servicio de asistencia también debe desconfiar en el caso de que un llamador solicite la conexión a su dirección IP de equipo para comprobar si hay algo incorrecto (por ejemplo, un atacante pide a alguien del servicio de asistencia que se conecte a su equipo mediante el uso compartido de archivos, Escritorio remoto, Telnet u otro protocolo de red). Si una persona del servicio de asistencia efectúa la conexión sin IPsec, el equipo del atacante puede obtener información acerca de la contraseña o (en algunos casos, como con Telnet) robarla. Esta situación puede producirse porque algunos protocolos de red de cliente no autentican en primer lugar y establecen una confianza segura con el equipo de destino, o no requieren protecciones de contraseña segura antes de revelar la identidad del usuario o la información relacionada con la contraseña. Ejemplos de secuencias de comandos de soporte técnico En la mayoría de los escenarios de solución de problemas, puede determinarse una solución rápidamente tras la identificación de la información adecuada. Esta información se puede averiguar con distintas herramientas de Windows, como a las que se hace referencia en los diagramas de flujo. En la solución de Woodgrove Bank, se desarrollaron una serie de secuencias de comandos para proporcionar información clave sin que fuera necesario que el personal de soporte técnico de nivel 1 tuviera un conocimiento detallado de las operaciones y la sintaxis de las herramientas. Estas secuencias de comandos están disponibles en la carpeta Herramientas y plantillas de la descarga de esta guía. Secuencias de comandos disponibles para el soporte técnico de nivel 1 Si el usuario es un administrador local de su equipo, el personal del servicio de asistencia puede pedirle que ejecute una de las tres secuencias de comandos proporcionadas con esta solución. Estas secuencias de comandos son ejemplos de las secuencias de comandos personalizadas que se han utilizado para el entorno de Woodgrove Bank descrito en esta guía. Se describen en este capítulo para ilustrar el modo en que se pueden utilizar las secuencias de comandos para respaldar el proceso de solución de problemas. Nota: estas secuencias de comandos son ejemplos probados, pero Microsoft no ofrece soporte técnico para ellas. Se deben utilizar como base para la solución personalizada de una organización. IPsec_Debug.vbs Además de proporcionar información de depuración, esta secuencia de comandos puede corregir algunos problemas.9 Detiene y reinicia el servicio IPsec (lo que elimina todas las asociaciones de seguridad de IKE e IPsec actuales), obliga a una actualización de Directiva de grupo para volver a cargar la directiva IPsec asignada al dominio actual del servicio de directorio Active Directory y actualiza la caché de directivas. Para evitar la pérdida de conectividad de las sesiones de escritorio remoto, la secuencia de comandos se debe descargar en el equipo del llamador y ejecutarse localmente mediante una cuenta que tenga privilegios administrativos. Utilice la siguiente sintaxis para ejecutar la secuencia de comandos en el símbolo del sistema: cscript IPsec_Debug.vbs La secuencia de comandos realiza las siguientes funciones: Detecta la versión del sistema operativo Llama a Detect_IPsec_Policy.vbs Actualiza Directiva de grupo Habilita el registro de IPsec Deshabilita el registro de IPsec Aumenta el registro de Directiva de grupo Aumenta el registro del protocolo de autenticación Kerberos, versión 5 Purga los vales del protocolo Kerberos actuales Realice pruebas de PING y SMB (net view) Detecta las versiones de archivo de IPsec Ejecuta pruebas de diagnóstico de directiva y red Copia los sucesos 547 de IPsec en un archivo de texto Restaura el registro del protocolo Kerberos Restaura el registro de Directiva de grupo Esta secuencia de comandos también habilita todos los registros relacionados con IPsec para la solución de problemas por parte del departamento de soporte técnico de nivel 2. Detect_IPsec_Policy.vbs Esta secuencia de comandos determina si el equipo está ejecutando la directiva IPsec correcta mediante la búsqueda en la caché del Registro local actual de la información de versión de la directiva IPsec de dominio. Utilice la siguiente sintaxis para ejecutar la secuencia de comandos en el símbolo del sistema: cscript Detect_IPsec_Policy.vbs Nota: esta secuencia de comandos también se llama desde IPsec_Debug.vbs y, por lo tanto, no necesita ejecutarse además de dicha secuencia de comandos. Refresh_IPsec_Policy.vbs Se trata de la secuencia de comandos de actualización de la directiva IPsec a la que se hace referencia en los diagramas de flujo de solución de problemas. Actualiza los vales del protocolo de autenticación Kerberos de equipo y de Directiva de grupo, y puede corregir el problema si éste se debe a una asignación de directiva IPsec incorrecta o a un error de descarga de Directiva de grupo. Utilice la siguiente sintaxis para ejecutar la secuencia de comandos en el símbolo del sistema: cscript Refresh_IPsec_Policy.vbs Transferencia de incidencias10 Cuando el personal del servicio de asistencia tenga que transferir un posible problema de IPsec, en el nivel 1 se debe recopilar la siguiente información y adjuntarla a la solicitud de servicio: Archivos de registro generados con la secuencia de comandos IPsec_Debug.vbs. El nombre del equipo del llamador para que el siguiente nivel de soporte técnico pueda identificar el archivo de registro generado por la secuencia de comandos. El equipo de destino al que se ha denegado el acceso, para que la transferencia del problema se pueda dirigir al grupo de soporte técnico adecuado. Los escenarios de aislamiento de servidor suelen tener su propio equipo de soporte técnico para investigar la pertenencia a los grupos de acceso a la red. Principio de la página Preparación de la solución de problemas de nivel 2 El soporte técnico de nivel 2 tiene dos funciones principales. En primer lugar, al ser el destino de todas las transferencias de nivel 1, en el nivel 2 se validan los problemas y se revisan las acciones realizadas por el nivel 1 para garantizar que no se ha omitido ningún paso de solución de problemas. En este sentido, en el nivel 2 se debe confirmar que cualquier problema transferido se debe realmente a IPsec y no a un diagnóstico erróneo. En segundo lugar, como ingenieros de soporte técnico de red experimentados, el personal de soporte técnico de nivel 2 debe poder utilizar sus conocimientos y experiencia (se indican en la sección siguiente) para resolver de forma correcta el problema mediante el análisis de los registros sin obtener control administrativo del equipo. No obstante, los registros sólo capturan información, y las acciones correctivas requieren acceso administrativo. No se prevé que un ingeniero de soporte técnico de nivel 2 deba ser administrador de dominio o pueda realizar cambios en la directiva IPsec basada en dominio o en la pertenencia a grupos de equipo. Conocimientos de soporte técnico de nivel 2 El personal que debe proporcionar soporte técnico de nivel 2 para IPsec debe disponer de conocimientos y experiencia en las siguientes áreas: Directiva de grupo. Conocer las directivas que se deben asignar, cómo se asignan y poder realizar las tareas siguientes: Comprobar las listas de control de acceso (ACL) en los objetos de Directiva de grupo (GPO). Comprobar la configuración de GPO. Comprobar la pertenencia a grupos de equipos y usuarios. Experiencia con el software de terceros que utiliza la organización. Identificación de los errores de autenticación. Configuración de IPsec. Poder realizar las siguientes tareas: Comprobar las configuraciones de filtros IPsec. Volver a cargar la directiva de dominio IPsec. Redes. Poder realizar las siguientes tareas: Solucionar problemas de pila de protocolo de red en un equipo host. Poder comprobar que una cuenta de equipo de dominio es correcta mediante las utilidades netdiag y nltest. Deshabilitar IPsec por completo o sólo la directiva de dominio para utilizar la directiva local con fines de prueba. Solucionar problemas del proceso de negociación IKE de IPsec y los protocolos de seguridad. Comprender y solucionar problemas de la información que se recopila en un seguimiento de red. Solucionar problemas de ruta de acceso a red, incluidas las soluciones de detección de MTU de ruta TCP y de acceso remoto a red privada virtual (VPN).11 Problemas inherentes al uso de IPsec Tal como se ha indicado en la sección anterior, el personal de soporte técnico de nivel 2 de una solución de aislamiento de servidor y dominio necesita conocer los detalles de las comunicaciones protegidas por IPsec, pero también debe poder aislar problemas relacionados con otros componentes de tecnología. Para que se establezca una comunicación IPsec correcta entre dos equipos, ambos normalmente requieren una directiva IPsec compatible. Por ejemplo, una directiva IPsec puede bloquear la comunicación si el equipo remoto no dispone de una directiva IPsec adecuada. Aunque esto puede ser un comportamiento previsto o aceptable durante la ejecución de un cambio de directiva, puede no ser tan evidente si bloquea la conectividad de red con uno o varios equipos y provoca advertencias o errores de aplicación. En el peor de los casos, un administrador puede asignar accidentalmente una directiva IPsec a todos los miembros del dominio que bloquee todo el tráfico. A menos que el error se corrija de inmediato con una asignación correcta que se replique rápidamente después de la asignación original, la replicación de la directiva perjudicial no se puede detener de forma sencilla. Este de tipo de error provoca una situación en la que las comunicaciones entre un cliente y un controlador de dominio requerirían el uso de IPsec. Debido a que la autenticación utilizada en esta solución se basa en el protocolo Kerberos, cualquier cliente que herede esta directiva no podría completar el proceso de inicio de sesión, ya que no podría obtener el vale Kerberos necesario para proteger las comunicaciones. Los administradores deben planear cuidadosamente cualquier cambio de directiva y asegurarse de que existen protecciones de procedimiento para mitigar este tipo de situación. En las guías enumeradas en la sección "Información adicional" al final de este capítulo se proporciona información general acerca de la solución de problemas de TCP/IP. No obstante, muchos de los procedimientos a los que se hace referencia en estas guías sólo funcionan mientras IPsec proporciona una conectividad correcta. Si se produce un error en IKE o IPsec, es probable que la mayoría de estos procedimientos y herramientas dejen de ser efectivos. En un escenario de aislamiento de servidor y dominio, es posible que algunos de los procedimientos documentados en las guías de información general no funcionen en absoluto, aunque IPsec proporcione una conectividad correcta. Para mantener la eficacia en un entorno de aislamiento de servidor y dominio, una organización de soporte técnico debe prever la actualización y la personalización de las herramientas y los procedimientos de solución de problemas. Debido a que existen muchas formas distintas en que se pueden implementar las directivas IPsec para controlar y proteger el tráfico, es improbable que las organizaciones puedan basarse únicamente en los procedimientos existentes y en un kit de herramientas genérico. Es importante para el personal de soporte técnico disponer de ejemplos documentados del resultado previsto de las herramientas de solución de problemas de red obtenidos de un entorno de laboratorio donde el aislamiento de servidor y dominio u otro tipo de implementación de IPsec funcione correctamente. En muchos casos, las herramientas de diagnóstico de red no prevén retrasos de tres segundos para el retroceso a texto no cifrado o los pequeños retrasos necesarios para la negociación IKE inicial de asociaciones de seguridad (SA) IPsec. Por lo tanto, las herramientas pueden mostrar un resultado al ejecutarse inicialmente y otro distinto al ejecutarlas unos segundos después. Asimismo, donde IPsec deniegue deliberadamente el acceso a la red, las herramientas informarán de errores. El tipo de error dependerá de la herramienta y del entorno de IPsec. Nota: en la sección dedicada al nivel 1, se emplearon los términos llamador y destino para ayudar al personal de soporte técnico a solucionar problemas comunes. En la sección del nivel 2 es preferible utilizar los términos iniciador y contestador de IPsec como ayuda para clarificar los procesos de solución de problemas más avanzados. En el resto de este capítulo se utilizan estos términos de IPsec. Directiva de grupo y pertenencia a grupos La directiva IPsec basada en dominio depende de Directiva de grupo y la descarga de GPO. Si el sistema de Directiva de grupo cliente tiene errores al detectar cambios de GPO o al descargarlos, la conectividad de IPsec se puede ver afectada. Si la asignación de Directiva de grupo está controlada por la pertenencia a unidades organizativas (OU) y las cuentas de equipo se mueven accidentalmente a otra OU, se eliminan o se vuelven a crear en una OU errónea, podría asignarse una directiva IPsec no adecuada. Esta solución utiliza grupos de seguridad para controlar la asignación de directivas y el acceso a la red. La pertenencia a grupos se incluye en los vales del protocolo de autenticación Kerberos versión 5 (los vales TGT y los de servicio) que tienen una duración bastante prolongada. Por lo tanto, los administradores deben planear el tiempo que necesitan los equipos para recibir credenciales de vales TGT y de servicio de Kerberos que contengan actualizaciones de pertenencia a grupos. El protocolo Kerberos dificulta mucho la determinación de si los vales Kerberos de un equipo contienen la pertenencia a grupos adecuada. Esta dificultad es de "diseño", ya que toda la información acerca de la pertenencia a grupos se almacena de un modo cifrado en el vale. La pertenencia a grupos se debe determinar mediante la información del servicio de directorio, no de los vales. Autenticación Kerberos El diseño de aislamiento de servidor y dominio utiliza el protocolo Kerberos versión 5 para la autenticación IKE. Debido a12 que el protocolo Kerberos necesita una conectividad de red correcta y servicio disponible de DNS y de controladores de dominio, la ausencia de conectividad provoca un error en la autenticación Kerberos y en IKE (también se producirá un error en IKE si se produce en Kerberos). Por lo tanto, los problemas de conectividad entre el equipo A y el equipo B se pueden deber a una conectividad de red bloqueada entre el equipo A y el equipo C, que se deben a que el protocolo Kerberos no puede autenticarse con un controlador de dominio. En situaciones como ésta, la información proporcionada en los sucesos 547 de los registros de auditoría y seguridad de Windows normalmente proporciona orientación valiosa acerca del origen del problema. Tráfico entrante protegido por IPsec necesario Esta solución de aislamiento de servidor y dominio especifica que se necesita comunicación protegida por IPsec para el acceso entrante. Este requisito puede provocar que las herramientas de supervisión remota que se ejecutan en equipos que no son de confianza o en dispositivos de supervisión de red dedicados informen de que no es posible ponerse en contacto con un equipo remoto. Si estos equipos o dispositivos no se pueden unir al entorno de "confianza", no podrán desempeñar su función de supervisión a menos que se agreguen algunas exenciones al diseño. La solución de problemas resulta complicada debido al hecho de que quizás se necesite IPsec para establecer la conexión con un host de confianza, lo que significa que es posible que el administrador no pueda conectar a un host de confianza y detener el servicio IPsec sin perder conectividad. Si la directiva IPsec del administrador permite retroceso a texto sin cifrar, en la conexión remota se producirá un retraso de tres o cuatro segundos después de que se detenga el servicio en el equipo remoto. No obstante, al detener el servicio IPsec en un equipo remoto se eliminarán las asociaciones de seguridad IPsec que utilicen el resto de los equipos conectados actualmente. Si estos equipos no pueden retroceder a texto sin cifrar, se detendrán las comunicaciones y, finalmente, se perderán las conexiones TCP. Debido a que las interrupciones bruscas de las comunicaciones TCP pueden provocar daños en los datos de las aplicaciones, la detención del servicio IPsec sólo se debe utilizar como la última opción en el proceso de solución de problemas. Antes de que se detenga el servicio IPsec, el equipo debe estar preparado para cerrarse de modo que todos los usuarios conectados y las aplicaciones puedan terminar correctamente las comunicaciones. Problemas de dirección de comunicación Un escenario habitual de solución de problemas es la comunicación correcta en una dirección pero no en la dirección inversa. La autenticación IKE normalmente requiere autenticación mutua entre los equipos. Si un equipo no puede obtener un vale Kerberos cuando inicia el modo principal IKE para un equipo remoto, se producirá un error en IKE. Esta situación se puede producir si el cliente Kerberos del equipo iniciador no puede tener acceso a un controlador de dominio del dominio del equipo de destino. Si los equipos son miembros de dominios que no confían mutuamente entre sí (confianza bidireccional), las negociaciones de modo principal IKE se realizarán correctamente cuando un equipo las inicie y se producirá un error si el otro equipo las inicia. De modo similar, los derechos de inicio de sesión de red entrante pueden ser distintos en los dos equipos. Es posible que se produzca un error en la negociación de modo rápido y modo principal IKE en una dirección no sólo por estos motivos, sino también si los diseños de directiva IPsec no son compatibles en ambos lados. Los servidores de seguridad basados en host que interceptan el tráfico por encima de la capa IPsec pueden exigir la direccionalidad en las conexiones. Algunos servidores de seguridad basados en host interceptan el tráfico por debajo de la capa IPsec. Después de establecer una comunicación IPsec correcta, es probable que se permita el tráfico protegido por IPsec en ambas direcciones durante un cierto período de tiempo. El filtrado activo por parte de un enrutador o servidor de seguridad también puede bloquear las acciones de regeneración de clave IKE o el flujo de tráfico IPsec sin afectar a otros protocolos de diagnóstico, como ICMP. Es posible que no se pueda tener acceso a los puertos TCP y UDP en un equipo debido a que no se está ejecutando un servicio o porque un dispositivo que funciona por encima de la capa IPsec (como Windows Firewall o un enrutador de red) está bloqueando el acceso. Solución de problemas de seguimientos de red y rutas de acceso de red avanzadas Los errores en la negociación de IKE normalmente provocan que el equipo deje de responder a la negociación IKE o, en algunos casos, vuelva a enviar el último mensaje "válido" hasta que caduque el límite de reintentos. IKE debe poder enviar datagramas UDP fragmentados que contengan vales Kerberos porque dichos paquetes suelen superar la unidad de transmisión máxima de ruta (PMTU) para la dirección IP de destino. Si no se admite la fragmentación correctamente, los dispositivos de red en una ruta determinada pueden descartar dichos fragmentos. Además, quizás la red no pase paquetes de protocolo IPsec o fragmentos de paquetes IPsec correctamente. La integración de IPsec con TCP permite que TCP reduzca el tamaño de paquete para aceptar la carga de los encabezados IPsec. No obstante, la negociación TCP del tamaño de segmento máximo (MSS) durante el protocolo de enlace TCP no tiene en cuenta la carga IPsec. Por lo tanto, hay un mayor requisito para la detección de ICMP PMTU en la red con el fin de garantizar una comunicación TCP protegida por IPsec correcta. Así pues, la solución de problemas de conectividad puede requerir seguimientos de red de uno o los dos lados de la comunicación, así como registros de ambos lados. Los ingenieros de soporte técnico deben saber leer los seguimientos de red y también comprender la negociación IKE. Los servidores deben tener instalado el software Monitor de red de Windows. Monitor de red de Windows 2000 proporciona análisis de AH e IKE de IPsec. Windows Server 2003 agrega compatibilidad para analizar IPsec ESP nula, analizar ESP13 cuando se desvía el cifrado y analizar la encapsulación UDP-EPS empleada para NAT transversal. Kit de herramientas de solución de problemas Antes de comenzar a solucionar problemas, es importante identificar las utilidades que pueden obtener información que sirva de ayuda para el proceso de solución de problemas. En esta sección no se intenta duplicar la información que se encuentra en la Ayuda de Windows 2000, Windows XP o Windows Server 2003 o a la que se puede tener acceso en la página de herramientas de solución de problemas del sitio Web de Microsoft Windows Server 2003 en WindowsServ/2003/standard/proddocs/en-us/ sag_ipsec_tools.asp. Aquí sólo se proporciona información de herramientas detallada si no se encuentra fácilmente en la página de herramientas de solución de problemas indicada o cuando resulte útil disponer de resúmenes por versiones de sistema operativo. Complemento Administración de la directiva de seguridad IP de MMC El complemento Administración de la directiva de seguridad IP de MMC se utiliza para crear u administrar directivas IPsec locales o almacenadas en Active Directory. También se puede utilizar para modificar la directiva IPsec en equipos remotos. El complemento Administración de la directiva de seguridad IP de MMC se incluye en los sistemas operativos Windows Server 2003, Windows XP, Windows 2000 Server y Windows 2000 Professional y se puede utilizar para ver y editar detalles de directivas, filtros, listas de filtros y acciones de filtro de IPsec, así como para asignar y cancelar la asignación de directivas IPsec. Complemento Monitor de seguridad IP de MMC El complemento Monitor de seguridad IP de MMC muestra las estadísticas de IPsec y las asociaciones de seguridad activas. También se utiliza para ver información acerca de los siguientes componentes de IPsec: Modo principal y modo rápido IKE Directivas IPsec locales o de dominio Filtros IPsec que se aplican al equipo Aunque este complemento forma parte de los sistemas operativos Windows XP y Windows Server 2003, existen diferencias de funcionalidad y de interfaz entre las versiones de Windows XP y Windows Server Además, la versión de Windows Server 2003 tiene las siguientes características adicionales: Proporciona detalles acerca de la directiva IPsec activa, incluido el nombre de directiva, la descripción, la fecha de última modificación, el almacén, la ruta de acceso, la unidad organizativa y el nombre de objeto de Directiva de grupo. Para obtener la misma información en Windows XP, debe utilizar la herramienta de la línea de comandos IPseccmd (que se describe más adelante en esta sección). Se proporcionan estadísticas independientemente para el modo principal o el modo rápido en carpetas debajo de cada modo, en vez de en una presentación única. Nota: en Windows 2000, Monitor de seguridad IP es un programa ejecutable independiente (IPsecmon.exe) con su propia interfaz gráfica de usuario. Esta herramienta y el modo de utilizarla se describen en el artículo de Microsoft Knowledge Base, "Basic IPSec troubleshooting in Microsoft Windows 2000 Server", disponible en Hay disponible una actualización de este complemento para Windows XP como parte de la actualización que se describe en el artículo de Microsoft Knowledge Base, "Actualización de NAT-T de L2TP/IPSec para Windows XP y Windows 2000", que está disponible en Esta actualización permite ver equipos con Windows Server 2003 desde Windows XP. El complemento Monitor de seguridad IP de MMC actualizado también puede leer características avanzadas creadas en Windows Server 2003 (por ejemplo, información de grupo Diffie- Hellman 2048, asignaciones de certificado y filtros dinámicos), pero no puede editarlas. Para obtener más información, consulte el artículo de Knowledge Base al que se hace referencia. Netsh Netsh es una utilidad de secuencias de la línea de comandos que permite mostrar o modificar la configuración de red. Además, puede utilizar Netsh de forma local o remota. Netsh está disponible para Windows 2000, Windows XP y Windows Server No obstante, la versión de Windows Server 2003 se ha mejorado para proporcionar funcionalidad de diagnóstico y administración IPsec. Los comandos de Netsh para IPsec sólo están disponibles para Windows Server 2003; reemplazan a Ipseccmd en Windows XP y a Netdiag como se utiliza en Windows Ipseccmd14 Ipseccmd es una alternativa de la línea de comandos al complemento Directiva de seguridad IP de MMC. Sólo está disponible para Windows XP, y Service Pack 2 de Windows XP proporciona funcionalidad adicional para esta herramienta. Ipseccmd se debe instalar desde la carpeta de herramientas de soporte técnico del CD de Windows XP. Con SP2 de Windows XP hay disponible una versión actualizada que se debe instalar desde la carpeta de herramientas de soporte técnico del CD del SP2 de Windows XP. La versión anterior a SP2 no funciona en equipos actualizados, y la versión actualizada no funciona en equipos anteriores a SP2. La utilidad Ipseccmd actualizada tiene las siguientes capacidades: Activa y desactiva el registro de IKE dinámicamente. Permite crear una directiva IPsec persistente. Puede mostrar la directiva IPsec asignada y activa. Muestra información acerca de una directiva asignada actualmente. Para obtener más información acerca de la utilidad Ipseccmd actualizada, consulte el artículo de Microsoft Knowledge Base (mencionado anteriormente). Para mostrar toda la configuración y estadísticas de la directiva IPsec para diagnóstico, utilice la sintaxis siguiente: ipseccmd show all Para mostrar las directivas IPsec asignadas y activas (locales o Active Directory), utilice la sintaxis siguiente. ipseccmd show gpo Nota: este comando sólo funciona con la versión de SP2. Para habilitar el registro de depuración en SP2 de Windows XP, utilice la siguiente sintaxis: ipseccmd set logike (no se requiere el reinicio del servicio IPsec) Para desactivar el registro de depuración, utilice la sintaxis siguiente: ipseccmd set dontlogike (de nuevo, no se requiere el reinicio del servicio IPsec) Nota: sólo puede utilizar Ipseccmd para habilitar el registro de Oakley en SP2 de Windows XP; los comandos anteriores no funcionan en equipos anteriores a SP2. Netdiag Netdiag es una herramienta de diagnóstico de la línea de comandos que se utiliza para probar la conectividad y configuración de la red, incluida la información de IPsec. Netdiag está disponible en Windows 2000, Windows XP y Windows Server 2003, pero su funcionalidad cambia con la versión de sistema operativo. En Windows Server 2003, Netdiag ya no incluye funcionalidad de IPsec; en su lugar, puede utilizar el contexto ipsec de netsh y las pruebas de red básicas también se pueden obtener de Netsh. Para todas las versiones de sistema operativo, es importante asegurarse de que utiliza la última versión; para ello, visite el Centro de descarga de Microsoft. Netdiag debe instalarse desde la carpeta de herramientas de soporte técnico del CD del sistema operativo Windows que se utilice. Nota: Netdiag no se actualiza al instalar SP2 de Windows XP. La importancia de Netdiag para la solución de problemas de IPsec depende de la versión de sistema operativo. Las diferencias de funcionalidad se describen en la tabla siguiente. Tabla 7.1: Funcionalidad IPsec de Netdiag en los distintos sistemas operativos Comando Descripción Windows2000? WindowsXP? Windows2003? netdiag /test:ipsec Ver la directiva IPsec asignada Sí Sí No**15 netdiag /test:ipsec /debug netdiag /test:ipsec /v Mostrar la directiva de IPsec activa, los filtros y las estadísticas del modo rápido Mostrar la directiva de IPsec activa, los filtros y las estadísticas del modo principal Sí Sí* No** Sí Sí* No** * Proporciona diagnóstico de red, pero sólo muestra el nombre de la directiva IPsec. Si se utiliza Ipseccmd, hay disponible información de IPsec adicional. ** Proporciona diagnóstico de red, pero no muestra información de IPsec. En su lugar, utilice la siguiente sintaxis: netsh ipsec dynamic show all. Otras herramientas útiles de soporte técnico para IPsec Además de las herramientas específicas de IPsec mencionadas anteriormente, en la tabla siguiente se enumeran otras herramientas que pueden resultar útiles para solucionar problemas y se deben incluir en el kit de herramientas de solución de problemas de nivel 2. Tabla 7.2: Otras herramientas útiles para solucionar problemas de IPsec Herramienta Sistemas operativos admitidos Cómo se obtiene Función Información adicional Ipsecpol.exe Sólo Windows 2000 Kit de recursos de Windows 2000 Configura las directivas IPsec en el directorio o en un Registro Ayuda de las herramientas del Kit de recursos de Windows 2000 Gpresult Windows 2000, Windows Server 2003, Windows XP Kit de recursos de Windows 2000; para Windows XP y Windows Server 2003, forma parte del sistema operativo. Comprobar cuándo se aplicó Directiva de grupo por última vez Ayuda de las herramientas del Kit de recursos de Windows 2000, Windows XP y Ayuda de Windows Server 2003 Complemento Conjunto resultante de directivas (RSoP) de MMC Windows Server 2003, Windows XP Parte del sistema operativo Ver la directiva IPsec de un equipo o de los miembros de un contenedor Directiva de grupo Windows Server Windows Server 2003 Srvinfo Windows 2000, Windows Server 2003, Windows XP Kits de recursos de Windows 2000 y Windows Server 2003 Información de servicios, controladores de dispositivo y protocolos Ayuda de las herramientas del Kit de recursos de Windows Server 2003 PortQry Windows 2000, Windows Server 2003, Windows XP Kit de recursos de Windows Server 2003 Informe de estado de puertos de red microsoft.com/ kb/ NLTest Windows 2000, Windows Server 2003, Windows XP Herramientas de soporte técnico Probar relaciones de confianza y canales seguros de Netlogon Ayuda de las herramientas de soporte técnico de Windows Server 200316 Klist Windows 2000, Windows Server 2003, Windows XP Kits de recursos de Windows y Windows Server 2003 Informes de vales Kerberos Ayuda de las herramientas del Kit de recursos de Windows Server 2003 Pathping Windows 2000, Windows Server 2003, Windows XP Parte del sistema operativo Pruebas de conectividad y rutas de red Ayuda de Windows LDP Windows 2000, Windows Server 2003, Windows XP Herramientas de soporte técnico Pruebas del cliente LDAP para Active Directory Ayuda de las herramientas de soporte técnico de Windows Server 2003 Uso de las herramientas basadas en ICMP con IPsec Las herramientas Ping, Pathping y Tracert de Windows XP y Windows Server 2003 reconocen IPsec, pero es posible que no funcionen correctamente hasta que no se hayan establecido asociaciones de seguridad por software (si se permite el retroceso a texto no cifrado). Si se han negociado asociaciones de seguridad de IPsec correctamente para encapsular el tráfico ICMP que usan estas utilidades, no podrán detectar saltos intermedios (enrutadores) entre el cliente y el destino. Los cálculos de pérdida de paquetes de Ping pueden mostrar paquetes perdidos durante el tiempo necesario para que IKE negocie correctamente un par de asociaciones de seguridad de IPsec con el destino. No estarán disponibles los cálculos de pérdida de paquetes para cada salto intermedio cuando IPsec encapsule el tráfico ICMP. Estas utilidades ICMP están diseñadas para detectar si el controlador de IPsec ha encontrado una coincidencia de un filtro IPsec con el paquete de solicitud de eco ICMP y, por lo tanto, ha solicitado que IKE negocie la seguridad. Cuando esto sucede, la utilidad muestra el mensaje "Negociar seguridad IP". Un error conocido de Windows 2000 provoca que la utilidad Ping no espere el período de tiempo correcto antes de reintentar la siguiente solicitud de eco, lo que significa que el comando puede terminar inmediatamente en lugar de esperar tres segundos hasta que se establezca la asociación de seguridad por software. La utilidad Ping de Windows XP y Windows Server 2003 espera el número de segundos previsto antes de que se envíe la siguiente solicitud de eco. El mensaje "Negociar seguridad IP" no se mostrará en las situaciones siguientes: Si el controlador IPsec descarta el paquete ICMP saliente debido a un bloqueo de filtro. Si el controlador IPsec permite que el paquete ICMP pase de forma no segura debido a un filtro de permiso o a una asociación de seguridad por software. Si el controlador IPsec no detecta el paquete saliente (por ejemplo, lo han descartado las capas por encima del controlador IPsec). Nota: es posible que algunas herramientas que utilizan ICMP no puedan detectar que IPsec está negociando la seguridad y pueden producir resultados incoherentes o erróneos. Principio de la página Proceso de solución de problemas de IPsec Si el equipo de soporte técnico de nivel 1 ha identificado claramente el problema, el de nivel 2 podrá encontrar rápidamente el procedimiento de solución adecuado en las secciones siguientes. En este modelo, el equipo de soporte técnico de nivel 1 se ocupa de los problemas de acceso relacionados con el cliente. Se espera que los propietarios administrativos de los servidores puedan efectuar diagnósticos de conectividad de red básicos y puedan pasar por alto el soporte técnico de nivel 1. No obstante, cada organización debe ajustar el modelo a su entorno de soporte técnico. El equipo de soporte técnico de nivel 2 debe centrarse en la identificación del lugar donde se produce el error de comunicación y, a continuación, investigar las posibilidades relacionadas en la arquitectura del sistema. Si su organización utiliza las secuencias de comandos que se proporcionan como parte del proceso de solución de problemas, dispondrá de acceso a una serie de archivos de registro de texto que puede utilizar como ayuda para diagnosticar el problema. En la tabla siguiente se ofrecen las descripciones de los archivos que genera la secuencia de comandos. Tabla 7.3: Archivos creados a partir de la secuencia de comandos IPsec_Debug.vbs17 Nombre de archivo <NombreOrganización>_FileVer.txt <NombreOrganización>_gpresult.txt <NombreOrganización>_ipsec_547_events.txt <NombreOrganización>_ipsec_policy_version.txt <NombreOrganización>_ipseccmd_show_all.txt <NombreOrganización>_kerberos_events.txt <NombreOrganización>_klist_purge_mt.txt <NombreOrganización>_lsass.log <NombreOrganización>_netdiag.txt <NombreOrganización>_netsh_show_all.txt <NombreOrganización>_netsh_show_gpo.txt <NombreOrganización>_oakley.log <NombreOrganización>_OSInfo.txt <NombreOrganización>_RegDefault.txt <NombreOrganización>_userenv.log Descripción Enumera las versiones de los archivos DLL relacionados con IPsec. Resultado del comando gpresult. Resultado de cualquier error 547 de IPsec en el registro de sucesos de seguridad. Resultado de la secuencia de comandos Detect_IPsec_Policy.vbs. Muestra la versión de directiva actual del equipo y si coincide con la directiva de Active Directory. Sólo en Windows XP. Este archivo captura el resultado del comando ipseccmd. Resultado de cualquier suceso de Kerberos en el registro de sucesos del sistema. Resultado de KList al purgar los vales de equipo. Copia del archivo lsass.log, si está presente. Resultado de ejecutar netdiag. Sólo en plataformas de servidor. Resultado del comando show all en netsh. Sólo en plataformas de servidor. Resultado del comando show gpo en netsh. Copia del archivo Oakley.log, si está presente. Información del sistema operativo actual. Valores de las claves del Registro original antes del cambio. Se pueden utilizar para restablecer manualmente el Registro a los valores anteriores si se produce algún error en la secuencia de comandos. Copia del archivo userenv.log, si está presente. <NombreOrganización>_<NombreServidor>_netview.txt Resultado del comando net view en <NombreServidor>. <NombreOrganización>_<NombreServidor>_ping.txt <NombreOrganización>_winlogon.log Resultado del comando ping en <NombreServidor>. Copia del archivo winlogon.log, si está presente. Debido a que hay numerosos puntos de error posibles, en esta sección se trata cada componente de diseño en orden, a partir de la conectividad de red. Se han definido procedimientos para ayudarle a realizar las siguientes tareas: Comprobar la configuración de la red IP, la conectividad y el servicio de red con los controladores de dominio, así como la conectividad de ruta cliente-servidor para los protocolos relacionados con IPsec. Comprobar la aplicación correcta de Directiva de grupo y la directiva IPsec en el cliente y en el servidor. Investigar los problemas con la negociación IKE y la comunicación protegida por IPsec. Identificar la causa de un problema para la transferencia al nivel 3, si es necesario. Tenga en cuenta el siguiente escenario de ejemplo: un cliente informa de que puede utilizar el comando ping con un servidor, pero no puede conectarse a un recurso compartido de archivos en dicho servidor. Se trata del único servidor al que no puede tener acceso el cliente. Un examen rápido del suceso 547 (error de negociación IKE), que contiene la dirección IP del servidor, del registro de seguridad indica que el cliente tiene una directiva IPsec y que IKE se está iniciando. Si el suceso 547 del cliente indica que se ha agotado el tiempo de espera de la negociación IKE del cliente, es18 posible que se haya producido un error en la negociación por parte del servidor. A continuación, el equipo de soporte técnico de nivel 2 revisa la base de datos de sucesos MOM en busca de sucesos 547 recopilados del servidor especificado, que contendrán la dirección IP del cliente actual. Advertencia: inicio y detención del servidor IPsec En el documento de solución de problemas de TCP/IP de Windows Server 2003 y en otras referencias se describe cómo determinar si IPsec provoca un problema de conectividad mediante la detención del servicio IPsec. Aunque se detendrá el filtrado IPsec en el equipo, también deshabilitará la protección que ofrece IPsec, expondrá el equipo a un acceso de red que no es de confianza y deshabilitará la protección de paquete. Asimismo, en un entorno de aislamiento de dominio, otros miembros del dominio de aislamiento descartarán el tráfico TCP y UDP que no está protegido por IPsec. Si se deshabilita IPsec en un equipo, se producirán interrupciones de conectividad con dichos equipos remotos que tienen establecidas asociaciones de seguridad IPsec actualmente. Cuando se detiene el servicio IPsec, IKE envía notificaciones de eliminación para todas las asociaciones de seguridad IPsec y para la asociación de seguridad IKE a todos los equipos conectados de forma activa. Los equipos remotos con una directiva IPsec que permita retroceder a texto no cifrado volverán a establecer la conectividad al cabo de un retraso de tres segundos. Los equipos remotos con una directiva IPsec que no permita el retroceso a texto no cifrado no podrán establecer comunicación. Por lo tanto, es importante que utilice las técnicas descritas en las secciones siguientes para solucionar problemas de escenarios de aislamiento sin detener el servicio IPsec. Sólo se deshabilitará el servicio IPsec como último recurso para descartar problemas relacionados con IPsec en las siguientes situaciones: Entornos de tráfico de difusión y multidifusión Conexiones a equipos remotos que no requieran IPsec para el acceso entrante (por ejemplo, equipos que sean miembros de la lista de exenciones) En Windows 2000, al detener el servicio IPsec se desenlazará el controlador IPsec de TCP/IP y se descargará de la memoria. En Windows XP y Windows Server 2003, al detener el servicio IPsec se eliminarán todos los filtros del controlador IPsec y el modo del mismo se establecerá en PERMITIR. No se descarga el controlador IPsec de la memoria. Para impedir la carga del controlador IPsec, se debe deshabilitar el servicio IPsec y reiniciar el equipo. En Windows 2000 y SP1 de Windows XP, el registro de IKE en el archivo Oakley.log requiere el reinicio del servicio IPsec. No es necesario detener el servicio para habilitar y deshabilitar el registro de IKE en el archivo Oakley.log en SP2 de Windows XP y Windows Server La última actualización de Ipseccmd para SP2 de Windows XP proporciona la sintaxis ipseccmd set logike e ipseccmd set dontlogike para habilitar y deshabilitar dinámicamente el registro de IKE en el archivo Oakley.log. El registro de IKE de Windows Server 2003 se puede habilitar dinámicamente mediante los comandos de Netsh descritos en la ayuda en línea. Comprobación de la conectividad de red Si el equipo de soporte técnico del nivel 1 identifica posibles problemas de conectividad de red, el primer paso es determinar si existe conectividad de red básica. Esta determinación implica comprobar que se utiliza la configuración IP correcta, que existe una ruta de red válida entre el iniciador y el equipo contestador y que funcionan los servicios de resolución de nombres. Problemas de configuración de dirección IP de red Si la configuración IP dinámica no se realiza correctamente, o si las comunicaciones están bloqueadas después de reiniciar el equipo (o incluso durante el funcionamiento normal), es posible que la causa sea IPsec. En Windows Server 2003, dichos problemas pueden estar relacionados con el comportamiento a prueba de errores de IPsec (por ejemplo, si el equipo se inicia en el modo a prueba de errores o en el modo de recuperación de Active Directory). Nota: para obtener información detallada acerca del comportamiento a prueba de errores de Windows Server 2003, consulte "Understanding IPSec Protection During Computer Startup" en "Deploying IPsec" del Windows Server 2003 Deployment Kit en documentation/windowsserv/2003/all/deployguide/ en-us/dnsbj_ips.asp. Windows Server 2003 recurre al comportamiento a prueba de errores si el servicio IPsec no se puede iniciar correctamente o no se puede aplicar la directiva asignada. La protección a prueba de errores sólo se aplica cuando se asigna una directiva IPsec al equipo y cuando el servicio IPsec no está deshabilitado. Por lo tanto, se puede producir un error en la conectividad a un equipo o desde él durante el funcionamiento normal porque el controlador IPsec no exige la directiva IPsec basada en dominio. Después de determinar el tráfico que está permitido y bloqueado por las configuraciones de modo de inicio y19 persistentes, un error de comunicaciones se puede explicar fácilmente. Para obtener información alternativa o adicional, puede consultar el estado actual desde la línea de comandos con la sintaxis siguiente: netsh ipsec dynamic show config Para Windows Server 2003, el controlador IPsec se carga durante el inicio del equipo con el controlador TCP/IP. Por lo tanto, para anular el comportamiento a prueba de errores del controlador IPsec, se debe deshabilitar el servicio IPsec y reiniciar el equipo. En el capítulo de implementación IPsec mencionado anteriormente se incluye la configuración recomendada de las exenciones de inicio para dejar exentas las conexiones entrantes de Protocolo de escritorio remoto, lo que garantizará que esté disponible el acceso remoto al servidor cuando esté bloqueado otro tráfico. En una aplicación de aislamiento de servidor y dominio, el tráfico de difusión y el tráfico a los servidores DHCP están exentos para garantizar que la configuración de IP dinámica funciona correctamente. No obstante, la lista de exenciones se debe actualizar manualmente y puede quedar obsoleta. Si un equipo no puede obtener una configuración DHCP correcta (por ejemplo, si utiliza una dirección IP de autoconfiguración x.x) o tiene problemas para renovar la concesión, se debe examinar la directiva IPsec para comprobar si están las exenciones correctas. Con el servicio IPsec en ejecución, utilice Ipconfig para confirmar que no existen problemas para obtener una dirección: Para los clientes DHCP, abra una ventana de comando y ejecute ipconfig /release seguido de ipconfig /renew. Si los problemas de configuración de dirección sólo se producen durante el inicio del equipo para SP2 de Windows XP y Windows Server 2003, se debe inspeccionar la configuración de las exenciones (las predeterminadas y las de inicio). Problemas de resolución de nombres El diseño de directiva IPsec empleado en los escenarios de aislamiento de servidor y dominio no debe interferir en los procedimientos habituales que se utilizan para determinar si funciona la resolución de nombres. Por ejemplo, en el escenario de Woodgrove Bank, el diseño de la directiva IPsec deja exento todo el tráfico a los servidores DNS y WINS. No obstante, es posible configurar los servidores DNS y WINS para no responder a las solicitudes de Ping. Conteste las siguientes preguntas para confirmar que la resolución de nombres funciona correctamente mientras se ejecuta el servicio IPsec: Puede el cliente utilizar el comando ping con la dirección IP del servidor DNS incluida en su configuración IP? Puede el comando nslookup encontrar un servidor DNS? Puede el cliente utilizar el comando ping con el nombre DNS completo del destino? Puede el cliente utilizar el comando ping con el nombre DNS abreviado o NetBIOS del destino? Las posibles fuentes de problemas de resolución de nombres son: un archivo HOSTS activo y configurado incorrectamente, una entrada de servidor DNS configurada incorrectamente en las propiedades de IP, anotaciones de registros DNS incorrectas, problemas de actualización de archivos de zona, problemas de replicación de Active Directory, uso de retroceso a texto no cifrado para los servidores DNS y problemas de autoactualización de DHCP. Los posibles motivos de los errores de la resolución de nombres NetBIOS son: un archivo LMHOSTS activo y configurado incorrectamente, una entrada de servidor WINS configurada incorrectamente en las propiedades de IP, falta de disponibilidad de servidores WINS, registro WINS incorrecto, problemas de replicación WINS, errores de servidor proxy WINS y tiempo de espera de red para conectar con el servidor WINS. Para consutar los procedimientos para solucionar problemas de DNS integrado en Active Directory, visite la página Troubleshooting Active Directory - Related DNS Problems de Microsoft.com en windows2000serv/technologies/activedirectory/ maintain/opsguide/part1/adogd10.mspx. Algunos entornos de alta seguridad pueden necesitar que los servidores DNS y WINS se protejan con IPsec, lo que puede provocar problemas de resolución de nombres. Por ejemplo, si DNS está integrado en Active Directory y existen filtros duplicados para la misma dirección IP en la directiva IPsec, un filtro puede negociar la seguridad con el servidor DNS y otro puede dejar exentos los controladores de dominio. Para obtener más información, consulte la sección "Solución de problemas de la directiva IPsec", que aparece más adelante en este capítulo. Si continúan los problemas de resolución de nombres, puede obtener la lista de filtros del iniciador y comprobar si existen filtros duplicados. Puede utilizar las siguientes opciones de la línea de comandos para ver las listas de filtros de esta tarea:20 Ipseccmd show filters Netsh ipsec static show all Si se siguen produciendo los problemas de resolución de nombres, el servicio IPsec se debe detener brevemente (si es posible) mientras se repiten las pruebas de resolución de nombres. Si se producen errores en las pruebas de resolución de nombres únicamente cuando el servicio IPsec está en ejecución, debe proseguir la investigación para determinar la directiva IPsec que se aplica, según se describe más adelante en esta sección. Comprobación de la conectividad y la autenticación con los controladores de dominio Debido a que la entrega de la directiva IPsec, la autenticación IKE y los protocolos de capa superiores dependen del acceso a los controladores de dominio, las pruebas de la conectividad de red y del funcionamiento correcto de los servicios de autenticación se deben llevar a cabo antes que los pasos de solución de problemas específicos de IPsec (descritos en la sección siguiente). En un escenario como Woodgrove Bank, el diseño de la directiva IPsec deja exento todo el tráfico a los controladores de dominio, por lo que las pruebas de conectividad de red a ellos no deberían verse afectadas por IPsec. No obstante, la lista de las direcciones IP de controlador de dominio de la lista de exenciones se debe actualizar manualmente. Si la negociación IKE se lleva a cabo en una dirección IP de controlador de dominio, es posible que la directiva IPsec se haya asignado incorrectamente o no se haya actualizado. Para solucionar problemas de acceso a los servicios de red en Active Directory Compruebe que el cliente puede utilizar el comando ping con cada dirección IP de controlador de dominio. Si no puede, consulte los pasos de conectividad de red anteriores. Identifique las direcciones IP que se utilizan para los controladores de dominio del miembro de dominio. Utilice nslookup <nombre de dominio> para volver a la lista completa de direcciones IP. En un escenario de aislamiento de servidor y dominio, debe haber un filtro específico de modo rápido con una directiva de negociación (acción de filtrado) permitir para cada una de estas direcciones. Utilice la versión 2.0 o posterior de la herramienta portqry.exe o la herramienta PortQueryUI para probar el acceso a los puertos UDP, LDAP y RPC del controlador de dominio. Los mensajes de protocolo UDP que utiliza portqry normalmente no necesitan autenticación de protocolo de capa superior, por lo que pueden comprobar la disponibilidad del servicio aunque no esté disponible la autenticación. Estos pasos se explican en HOW TO: Use Portqry to Troubleshoot Active Directory Connectivity Issues, disponible en Al conectarse a la red interna, utilice netdiag /v >archivosalida.txt para llevar a cabo numerosas pruebas de conectividad relacionadas con DNS y con controladores de dominio. Netdiag utiliza varias conexiones y protocolos de red para realizar las pruebas. Si alguna de estas conexiones activa las negociaciones IKE y se produce un error en la autenticación porque IKE no puede encontrar un controlador de dominio para la autenticación Kerberos, se puede almacenar el error del suceso 547 en el registro de seguridad. Se puede utilizar la herramienta de soporte técnico de Windows klist.exe para comprobar si el inicio de sesión y la autenticación Kerberos se realizan correctamente. Klist se debe ejecutar en el contexto de sistema local para ver los vales Kerberos para el equipo. Para ver los vales del servicio Kerberos para el usuario que ha iniciado sesión en el dominio Abra un símbolo del sistema y escriba lo siguiente: klist tickets Para ver los vales de equipo de dominio 1. Compruebe que el servicio Programador de tareas está en ejecución y que el usuario que ha iniciado la sesión es miembro del grupo Administradores local. 2. En un símbolo del sistema elija una hora que sea un minuto posterior a la hora del sistema actual (como 4:38 p.m.) y escriba lo siguiente: at 4:38pm /interactive cmd /k klist tickets Mostrar más
ADMINISTRADOR DE XARXES LOCALS Administración de un entorno Microsoft Windows Server 2003 Módulo 1: Introducción a la administración de cuentas y recursos El entorno Windows Server 2003 Iniciar la sesión Más detalles Utilizar los servicios de Index Service para buscar información de forma rápida y segura, ya sea localmente o en la red.
Funciones de servidor La familia Windows Server 2003 ofrece varias funciones de servidor. Para configurar una función de servidor, instale dicha función mediante el Asistente para configurar su servidor; Más detalles Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo Apéndice B: Resumen de la directiva IPsec
Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo Apéndice B: Resumen de la directiva IPsec Actualizado: febrero 16, aaaa Este apéndice proporciona un listado conciso de información Más detalles WINDOWS SERVER 2003 - SERVICIOS DE RED Y DIRECTORIO ACTIVO
Índice Capítulo 1. Novedades y características... 1 Introducción a Windows Server 2008... 1 Administración de servidor... 3 Seguridad y cumplimiento de directivas... 5 El concepto de Virtualización... Más detalles Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo Apéndice A: Descripción general de los conceptos de la directiva IPsec
Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo Apéndice A: Descripción general de los conceptos de la directiva IPsec Actualizado: febrero 16, aaaa Este apéndice proporciona una Más detalles NIVEL 1. INFRAESTRUCTURA DE REDES
NIVEL 1. INFRAESTRUCTURA DE REDES INFORMES@COMPUSUR.COM.MX WWW.COMPUSUR.COM.MX 1 Contenido NIVEL 1. INFRAESTRUCTURA DE REDES... 4 1.1.- FUNDAMENTOS DE WINDOWS SERVER 2008 Y APLICACIONES DE INFRAESTRUCTURA Más detalles : COMPUTACIÓN E INFORMATICA : Ingeniería de Redes y Comunicaciones : Administración de Servidores II : Z-RED119
I. DATOS INFORMATIVOS Carrera Especialidad Curso Código Ciclo : Quinto Requisitos Duración Horas Semana : 08 horas Versión : v.0811 II. SUMILLA: : COMPUTACIÓN E INFORMATICA : Ingeniería de Redes y Comunicaciones Más detalles Administración de Windows NT Server 4
Índice general Índice general 5 Capítulo 1: Presentación de Windows Server 2008... 19 LAS NOVEDADES EN WINDOWS SERVER 2008... 21 LAS EDICIONES DE WINDOWS SERVER 2008... 25 Edición Standard... 26 Edición Más detalles Guía de implementación
Backup Exec Continuous Protection Server Guía de instalación rápida Guía de instalación rápida Este documento incluye los temas siguientes: Antes de la instalación Requisitos del sistema para el producto Más detalles Domine Microsoft Windows Server 2003. José Luis Raya Laura Raya Miguel Á. Martínez
Domine Microsoft Windows Server 2003 José Luis Raya Laura Raya Miguel Á. Martínez Reseña: Este libro ofrece al lector, de forma sencilla, el proceso de instalación y configuración de un servidor Windows Más detalles REQUIERE ATENDER DESCONFIGURACIÓN DEL C.P.U.
REQUIERE ATENDER DESCONFIGURACIÓN DEL C.P.U. Si deseas checar todo lo que tiene tu cpu sigue los siguientes pasos: 1.-Vas a inicio, click en "ejecutar" escribes: dxdiag 2.-Se abre una ventana, en la pestania Más detalles Configuring and Troubleshooting Windows Server 2008 Active Directory Domain Services
Configuring and Troubleshooting Windows Server 2008 Active Directory Domain Services Módulo 1: Introducción de servicios de dominio de Active Directory Este módulo proporciona un Resumen de componentes Más detalles Protección de los clientes contra los ataques a la red
Protección de los clientes contra los ataques a la red La información incluida en este documento representa el punto de vista actual de Microsoft Corporation acerca de los temas tratados hasta la fecha Más detalles INFRAESTRUCTURA DE SERVIDORES MICROSOFT
INFRAESTRUCTURA DE SERVIDORES MICROSOFT TABLA DE CONTENIDO INTRODUCCION... 3 ESTRUCTURA PROGRAMATICA... 4 TEMA 1: ADMINISTRACION, SOPORTE Y MANTENIMIENTO DE WINDOWS SERVER 2008... 4 Preparar la administración Más detalles 2277 Implementing, Managing, and Maintaining a Microsoft Windows Server 2003 Network Infrastructure: Network Services
2277 Implementing, Managing, and Maintaining a Microsoft Windows Server 2003 Network Infrastructure: Network Services Introducción Este curso de cinco días impartido por instructor provee a estudiantes Más detalles índice CONVENCIONES USADAs...17
índice CONVENCIONES USADAs...17 capítulo 1. INSTALAción del servidor...19 1.1 Novedades en Windows Server 2012...19 1.2 La familia de Windows Server 2012...20 1.3 Roles de Windows Server 2012...21 1.4 Más detalles Componentes de Integración entre Plataformas Información Detallada
Componentes de Integración entre Plataformas Información Detallada Active Directory Integration Integración con el Directorio Activo Active Directory es el servicio de directorio para Windows 2000 Server. Más detalles Funciones Avanzadas de los Firewalls. Ing. Camilo Zapata czapata@udea.edu.co Universidad de Antioquia
Funciones Avanzadas de los Firewalls. Ing. Camilo Zapata czapata@udea.edu.co Universidad de Antioquia Con el tiempo a los firewalls se les ha agregado mas características: Autenticación de Usuarios VPN Más detalles DIPLOMADO DE INFRAESTRUCTURA DE SERVIDORES MICROSOFT
DIPLOMADO DE INFRAESTRUCTURA DE SERVIDORES MICROSOFT TABLA DE CONTENIDO INTRODUCCION... 3 ESTRUCTURA DEL DIPLOMADO... 4 TEMA 1: ADMINISTRACION, SOPORTE Y MANTENIMIENTO DE WINDOWS SERVER 2012... 4 Preparar Más detalles Roles y Características
dominio Roles y Características Una vez instalado Windows Server 2008 y configuradas algunas opciones básicas de Windows Server 2008 desde el Panel de Control o desde el Administrador del Servidor, las Más detalles Windows Server 2012: Zonas DNS
Windows Server 2012: Zonas DNS 2 Tabla de Contenidos Objetivos... 5 Zonas DNS... 7 Qué es una zona DNS?... 7 Tipos de zonas DNS... 7 Zona principal... 8 Zona secundaria... 8 Zona de rutas internas... 8 Más detalles Configuración del acceso a Internet en una red
Configuración del acceso a Internet en una red Contenido Descripción general 1 Opciones para conectar una red a Internet 2 Configuración del acceso a Internet utilizando un router 12 Configuración del Más detalles INDICE I. Parte: Conceptos sobre TCP/IP 1. Introducción a TCP/IP 2. Arquitectura TCP/IP 3. La Capa de Acceso a la Red
INDICE Introducción XV I. Parte: Conceptos sobre TCP/IP 1. Introducción a TCP/IP 3 Breve historia de TCP/IP 4 La necesidad de normas abiertas 6 El proceso de normalización de Internet 9 Borradores de Internet Más detalles Asignar direccionamiento IP mediante el Protocolo de configuración dinámica de host (DHCP)
Asignar direccionamiento IP mediante el Protocolo de configuración dinámica de host (DHCP) Contenido Introducción 2 Presentación multimedia: Función de DHCP en las infraestructuras de redes 3 Lección: Más detalles Guía paso a paso de la directiva de auditoría de seguridad avanzada
Al usar este sitio acepta el uso de cookies para análisis, contenido personalizado y publicidad. Saber más Guía paso a paso de la directiva de auditoría de seguridad avanzada Personas que lo han encontrado Más detalles A) EJEMPLOS DE COMA DOS CO FIGURACIÓ DE CO EXIÓ RED E WI DOWS. A)EJEMPLOS DE COMA DOS CO FIGURACIÓ DE CO EXIÓ RED E WI DOWS:
Índice: A) EJEMPLOS DE COMA DOS CO FIGURACIÓ DE CO EXIÓ RED E WI DOWS. B) COMADOS ÚTILES DE CO EXIÓ RED. A)EJEMPLOS DE COMA DOS CO FIGURACIÓ DE CO EXIÓ RED E WI DOWS: Formato de la orden netsh netsh interface Más detalles Copyright 2005 Danware Data A/S. Algunas partes de este producto se utilizan bajo licencia de terceros. Reservados todos los derechos.
Copyright 2005 Danware Data A/S. Algunas partes de este producto se utilizan bajo licencia de terceros. Reservados todos los derechos. Revisión del documento: 2005252 Envíe sus comentarios a: Danware Data Más detalles El iphone en la empresa Guía de configuración para usuarios
El iphone en la empresa Guía de configuración para usuarios El iphone está listo para los negocios. Es compatible con Exchange ActiveSync de Microsoft y admite servicios basados en estándares, por lo que Más detalles Administración de Sistemas Operativos Fecha: 20-09-13
Página 1 de 19 RESUMEN DE LA PROGRAMACIÓN ADMINISTRACIÓN DE SISTEMAS INFORMÁTICOS EN RED CURSO AC. 2012 / 2013 ÁREA / MATERIA / MÓDULO PROFESIONAL Administración de Sistemas Operativos (126 horas 6 h. Más detalles Dell SupportAssist versión 1.1 para Microsoft System Center Operations Manager Guía de inicio rápido
Dell SupportAssist versión 1.1 para Microsoft System Center Operations Manager Guía de inicio rápido Notas, precauciones y avisos NOTA: Una NOTA proporciona información importante que le ayuda a utilizar Más detalles Guía de administración. BlackBerry Professional Software per Microsoft Exchange. Versión: 4.1 Service Pack: 4
BlackBerry Professional Software per Microsoft Exchange Versión: 4.1 Service Pack: 4 SWD-313211-0911044452-005 Contenido 1 Gestión de cuentas de usuario... 7 Adición de una cuenta de usuario... 7 Agregar Más detalles Programa de Capacitación y Certificación.
Programa de Capacitación y Certificación. NIVEL 2. DIRECTORIO ACTIVO INFORMES@COMPUSUR.COM.MX WWW.COMPUSUR.COM.MX 1 Contenido CARRERA DE CERTIFICACION. ADMINISTRADOR DE SERVIDORES (PERFIL)... 3 CARRERA Más detalles Programa de Capacitación y Certificación.
NIVEL 1.- INFRAESTRUCTURA DE REDES Programa de Capacitación y Certificación. INFORMES@COMPUSUR.COM.MX WWW.COMPUSUR.COM.MX 1 Contenido NIVEL 1. INFRAESTRUCTURA DE REDES... 4 6421 CONFIGURANDO Y RESOLVIENDO Más detalles Guía detallada de administración de Active Directory
How to: Servidor DHCP en Windows Server 2008 En este tutorial instalaremos: Crear un servidor DHCP en Windows Server 2008 Antes de comenzar con la explicación de cómo se crea un Servidor DHCP vamos a dar Más detalles Windows Server 2012 Las bases imprescindibles para administrar y configurar su servidor
Introducción 1. Organización del libro 11 2. Generalidades de Windows Server 20 12 3. Presentación de las novedades 12 3.1 El rol ADCS (Active Directory Certificate Services) 12 3.2 El rol ADDS (Active Más detalles BlackBerry Enterprise Server Express for IBM Lotus Domino Versión: 5.0 Service Pack: 2. Guía de administración
BlackBerry Enterprise Server Express for IBM Lotus Domino Versión: 5.0 Service Pack: 2 Guía de administración Publicado: 2010-10-19 SWDT487521-1188261-1019040248-005 Contenido 1 BlackBerry Enterprise Server Más detalles El gráfico siguiente muestra un uso básico de DNS, consistente en la búsqueda de la dirección IP de un equipo basada en su nombre.
Definición de DNS DNS es una abreviatura para Sistema de nombres de dominio (Domain Name System), un sistema para asignar nombres a equipos y servicios de red que se organiza en una jerarquía de dominios. Más detalles PRACTICA CAPITULO 2 MODULO 1 PROTOCOLOS Y LA FUNCIONALIDAD DE LA CAPA DE APLICACIÓN
Práctica de laboratorio 4.5.2: Protocolos de la capa de Transporte TCP/IP, TCP y UDP Diagrama de topología Este documento es información pública de Cisco. Página 1 de 10 Tabla de direccionamiento Dispositivo Más detalles Instituto Tecnológico de Costa Rica Escuela de Ingeniería Electrónica. Programa de Técnico en Mantenimiento de Computadoras. Red Adhoc.
Instituto Tecnológico de Costa Rica Escuela de Ingeniería Electrónica. Programa de Técnico en Mantenimiento de Computadoras Red Adhoc. Ver 02_10 Ad hoc es una locución latina que significa literalmente Más detalles MS_20697 Installing and Configuring Windows 10
Gold Learning Gold Business Intelligence Silver Data Plataform Installing and Configuring Windows 10 www.ked.com.mx Por favor no imprimas este documento si no es necesario. Introducción. Este curso está Más detalles Guía de Implementación. Versión de Software 7.0
Guía de Implementación Versión de Software 7.0 Instalación de Software Tabla de Contenido Información General sobre Implementación de Software Servidor CommNet Windows Clúster de Windows - Servidor Virtual Más detalles Windows Server 2012 R2 Administración
Generalidades 1. El administrador del servidor 11 1.1 Creación de un grupo de servidores 19 1.2 Instalación remota de un rol 21 1.3 Eliminar un grupo de servidores 22 2. Servidor en modo instalación mínima Más detalles INFRAESTRUCTURA REDES II
Programa de Capacitación y Certificación. Asociado de Soluciones Ms Windows Server 2012 Contenido 20410 - Instalación y Configuración de Windows Server 2012 3 20411. Administración de Windows Server 2012 Más detalles 9243059 Edición 1 ES. Nokia y Nokia Connecting People son marcas comerciales registradas de Nokia Corporation
9243059 Edición 1 ES Nokia y Nokia Connecting People son marcas comerciales registradas de Nokia Corporation Cliente de VPN Guía de usuario 9243059 Edición 1 Copyright 2005 Nokia. Reservados todos los Más detalles Acronis Backup & Recovery 10 Advanced Editions. Guía rápida de inicio
Acronis Backup & Recovery 10 Server for Windows Guía de instalación Contenido 1 Antes de la instalación...3 1.1 Componentes de Acronis Backup & Recovery 10... 3 1.1.1 Agente de Windows... 3 1.1.2 Management Más detalles Implementación, aprovisionamiento y actualización de Windows Server con System Center
Windows Server 2003 Windows Server 2003 Es un sistema operativo de la familia Windows de la marca Microsoft para servidores que salió al mercado en el año 2003. Está basada en tecnología NT y su versión Más detalles Una ACL es una lista secuencial de sentencias de permiso o denegación que se aplican a direcciones IP o protocolos de capa superior.
Listas de control de acceso o ACL. Listas de control de acceso o ACL. Una ACL es una lista secuencial de sentencias de permiso o denegación que se aplican a direcciones IP o protocolos de capa superior. Más detalles Procedimiento de Instalación y Configuración del. cliente VPN. Acceso Remoto a la Red Corporativa
Acceso Remoto a la Red Corporativa Acceso Remoto a la Red Corporativa Página 1 de 30 Procedimiento de Instalación y Configuración del cliente VPN Acceso Remoto a la Red Corporativa Este documento es confidencial Más detalles Configurando Windows 8.1
Configurando Windows 8.1 MOC 20487 Duración: 35 Horas Perfil de audiencia Este curso está dirigido a profesionales de ti que administran y soporte Windows 8.1 PC, dispositivos, usuarios y recursos de red Más detalles OBJETIVOS DE APRENDIZAJE
PLAN DE ESTUDIOS: SEGUNDO CICLO ESPECIALIDAD COMPUTACIÓN 4 to AÑO CAMPO DE FORMACIÓN: ESPECIALIZACIÓN ÁREA DE ESPECIALIZACIÓN: EQUIPOS, INSTALACIONES Y SISTEMAS UNIDAD CURRICULAR: ADMINISTRACIÓN DE SISTEMAS Más detalles Guía de Instalación Rápida
Guía de Instalación Rápida 1. Resumen de la instalación Gracias por elegir BitDefender Business Solutions para proteger su negocio. Este documento le permite empezar rápidamente con la instalación de BitDefender Más detalles CARRERA ADMINISTRADOR-USUARIO EN REDES
CARRERA ADMINISTRADOR-USUARIO EN REDES MATERIAS Requisito: Nociones de Redes SERVIDOR WINDOWS SERVER 30 horas MS EXCHANGE 15 horas ISA SERVER 15 horas LINUX 30 horas 3 MESES DE LUNES A VIERNES WINDOWS Más detalles CURSO DE REDES Y WINDOWS 2003 SERVER
CURSO DE REDES Y WINDOWS 2003 SERVER Windows 2003 Server es el principal sistema operativo de las empresas. En este curso se pretende dar una presentación al mundo de las redes de ordenadores y una buena Más detalles Implementación, administración y mantenimiento de infraestructuras de redes en Microsoft Windows Server 2008: Servicios de red
Implementación, administración y mantenimiento de infraestructuras de redes en Microsoft Windows Server 2008: Servicios de red En este seminario el instructor ofrece a los alumnos los conocimientos y las Más detalles Laboratorio de PCs. Práctica 3: Montaje de una red de Área local
Laboratorio de PCs Práctica 3: Montaje de una red de Área local INTRODUCCIÓN Se pretende que el alumno comprenda una serie de aspectos básicos para el montaje y funcionamiento de una red de área local Más detalles Título de la pista: Windows Server 2012 Detalles técnicos de redes
Título de la pista: Windows Server 2012 Detalles técnicos de redes Módulo 2: Administración de la dirección IP Manual del módulo Autor: James Hamilton-Adams, Content Master Publicado: [introducir fecha] Más detalles BlackBerry Enterprise Server Express for Microsoft Exchange
BlackBerry Enterprise Server Express for Microsoft Exchange Versión: 5.0 Service Pack: 3 Guía de administración Publicado: 2011-05-01 SWDT487521-1547341-0501100720-005 Contenido 1 BlackBerry Enterprise Más detalles HOWTO: Cómo configurar el túnel VPN L2TP de usuario remoto (roadwarrior) a oficina remota (gateway)
HOWTO: Cómo configurar el túnel VPN L2TP de usuario remoto (roadwarrior) a oficina remota (gateway) Casos de uso para configurar VPN con GateDefender Integra Panda Security desea que obtenga el máximo Más detalles PROGRAMA FORMATIVO OBJETIVOS CONTENIDOS
Windows Server 2012 Introducir al alumno en los conceptos de redes (a nivel físico (hardware) y de programas para gestionarlas (software). Lo prepara además para crear y montar este sistema dentro de una Más detalles Benicassim-wifi INSTRUCCIONES DE CONEXIÓN. Windows Vista. soportewifi@sofistic.net
INSTRUCCIONES DE CONEXIÓN Windows Vista soportewifi@sofistic.net 1 2 Activamos el adaptador de redes inalámbricas de nuestro ordenador. Accedemos al Panel de control 3 4 Si lo deseamos, cambiamos al modo Más detalles Guía Rápida de Inicio
Guía Rápida de Inicio 1. Acerca de esta Guía Esta guía le ayudará a instalar y dar los primeros pasos con BitDefender Security for Mail Servers. Para disponer de instrucciones detalladas, por favor, diríjase Más detalles Microsoft TechNet Latinoamérica - How to
Página 1 de 10 Haga clic aquí para instalar Silverlight Latinoamérica Cambiar Todos los sitios de Microsoft Buscar Microsoft.com Enviar consulta Home Inicio Biblioteca Entrenamiento Descarga Soporte Comunidad Más detalles Práctica 1: Configuración básica de redes TCP/IP
Práctica 1: Configuración básica de redes TCP/IP Apartado a) Configuración básica TCP/IP de red del PC Objetivo Identificar las herramientas utilizadas para detectar la configuración de una red informática Más detalles 4. La instantánea se pone en línea y está listo para su uso.
1 er RESUMEN TRADUCIDO. Las instantáneas de SQL Server 2005. Una vista de DBA en SQL 2005 instantáneas de base de datos Las instantáneas de bases de datos son un instrumento nuevo Enterprise Edition sólo, Más detalles PRÁCTICA DNS- SERVER
PRÁCTICA DNS- SERVER OBJETIVO Instalar y configurar Windows 003 Server como servidor DNS y servidor Proxy. METODOLOGÍA Practica por parejas. Una pareja de alumnos configura el servidor del aula: crean Más detalles Actualización de Windows XP a Windows 7
La actualización del equipo de Windows XP a Windows 7 requiere una instalación personalizada que no conserva los programas, los archivos ni la configuración. Por esa razón, a menudo se la denomina instalación Más detalles Symantec Backup Exec 12.5 for Windows Servers. Guía de instalación rápida
Cómo unir un equipo al dominio de las aulas tecnológicas Es requisito indispensable unir el equipo primero en MAX y luego en Windows, si se hace al revés Windows dará un error cuando intentemos iniciar Más detalles Ayuda de Symantec pcanywhere Web Remote
Guía de Implementación Instalación de Software Tabla de Contenido Información General sobre Implementación de Software Servidor CommNet Windows Clúster de Windows - Servidor Virtual Agente de la Red de Más detalles Redes Privadas Virtuales (VPN)
Redes Privadas Virtuales (VPN) Integrantes: - Diego Álvarez Delgado - Carolina Jorquera Cáceres - Gabriel Sepúlveda Jorquera - Camila Zamora Esquivel Fecha: 28 de Julio de 2014 Profesor: Agustín González Más detalles Comandos MS-DOS PING (Packet Internet Grouper). Ping -t: Ping -a: Ping -l:
Comandos MS-DOS PING (Packet Internet Grouper). Se trata de una utilidad que comprueba el estado de la conexión con uno o varios equipos remotos por medio de los paquetes de solicitud de eco y de respuesta Más detalles Escuela Especializada en Ingeniería ITCA-FEPADE Técnico en Ingeniería de Redes Informáticas (Virtual) Tecnología de Servidores
Escuela Especializada en Ingeniería ITCA-FEPADE Técnico en Ingeniería de Redes Informáticas (Virtual) Tecnología de Servidores Práctica 1: Implementación DNS, WEB y FTP en Windows Server 2003 Introducción Más detalles Material de apoyo para la configuración de ibjeos en Active Directory
Material de apoyo para la configuración de ibjeos en Active Directory Introducción Como administrador de sistemas, no es su función elegir el diseño estructural de Active Directory para su organización. Más detalles 55047 Evaluación posterior al curso
55047 Evaluación posterior al curso Usted tendrá 30 minutos para contestar 20 preguntas seleccionadas. Puntaje de Aprobación: 80% No Preguntas Ayuda 1 Qué versiones de Windows 7 soportan el uso de idiomas Más detalles Configuración de Escanear a e-mail
Guía de configuración rápida de funciones de escaneado XE3024ES0-2 Esta guía incluye instrucciones para: Configuración de Escanear a e-mail en la página 1 Configuración de Escanear a buzón en la página Más detalles Prólogo Marcas registradas
Guía de instalación Prólogo ScanRouter V2 Lite es un servidor de entrega que puede entregar en un destino especificado documentos leídos por un escáner o procedentes de DeskTopBinder V2 a través de una Más detalles TALLER DE TECNOLOGÍAS PARA LA EDUCACIÓN: PerúEduca Guía de Instalación y Configuración para Servidores
TALLER DE TECNOLOGÍAS PARA LA EDUCACIÓN: PerúEduca Guía de Instalación y Configuración para Servidores 1 GUÍA DE INSTALACIÓN Y CONFIGURACIÓN PARA SERVIDORES 1. INTRODUCCIÓN El sistema para servidores Más detalles EMC Soporte remoto seguro para VNXe Requisitos y configuración Número de referencia 302-000-196 Rev. 01 Mayo de 2014
EMC Soporte remoto seguro para VNXe Requisitos y configuración Número de referencia 302-000-196 Rev. 01 Mayo de 2014 Este documento proporciona información sobre la función de soporte remoto seguro de Más detalles CA Nimsoft Monitor. Guía de sondas de Monitorización de la conectividad de red. Serie de net_connect 3.0
CA Nimsoft Monitor Guía de sondas de Monitorización de la conectividad de red Serie de net_connect 3.0 Aviso de copyright de CA Nimsoft Monitor Este sistema de ayuda en línea (el "Sistema") se proporciona Más detalles Índice. agradecimientos...19
Índice agradecimientos...19 CAPÍTULO 1. CARACTERIZACIÓN DE SISTEMAS OPERATIVOS...21 1.1 El sistema informático...22 1.1.1 Clasificación de los sistemas informáticos...24 1.2 El sistema operativo... 26 Más detalles INDICE. Agradecimientos Introducción Parte I Fundamentos de la conectividad de redes XIX XXI
INDICE Agradecimientos Introducción Parte I Fundamentos de la conectividad de redes 3 1 El negocio de la conectividad Conectividad de redes: la perspectiva corporativa Qué necesita su compañía? 4 Puestos Más detalles Configuración y solución de problemas a Windows Server 2008 Network Infrastructure 6421 B Temario
Configuración y solución de problemas a Windows Server 2008 Network Infrastructure 6421 B Temario Temario de Contenidos Capacitación Tecnología: Windows Server 2008 Duración de la capacitación Modalidad Más detalles MENU MULTIINICIO WINDOWS XP
MENU MULTIINICIO WINDOWS XP Windows XP, al igual que otras versiones de Windows, puede presentar determinados problemas en el arranque. Las opciones que Windows XP permite para arrancar un PC después de Más detalles 55047 Evaluación previa al curso (Respuestas)
55047 Evaluación previa al curso (Respuestas) Puntaje de Aprobación: 80% No Preguntas Puntos 1 Qué opción de seguridad está disponible con las Directivas de Restricción de Software, que no se puede utilizar Más detalles CA Nimsoft Monitor Snap
CA Nimsoft Monitor Snap Guía de configuración de Monitorización de la conectividad de red Serie de net_connect 2.9 Aviso de copyright de CA Nimsoft Monitor Snap Este sistema de ayuda en línea (el "Sistema") Más detalles Administración de Windows 2003 Server 1ª Parte
Administración de Windows 2003 Server 1ª Parte Sistema La hoja de propiedades Sistema, disponible en el Panel de control, es en esencia la misma que en versiones anteriores con algunas novedades. También Más detalles Avisos legales. Información sobre marcas comerciales. 2013 KYOCERA Document Solutions Inc.
Guía del usuario Versión 4.0.1 Fecha de publicación: Enero de 2005 Copyright 2005 Xerox Corporation. Reservados todos los derechos. Xerox, The Document Company, la X digital y DocuShare son marcas comerciales Más detalles UNIDAD DIDACTICA 2 DOMINIOS EN REDES WINDOWS
UNIDAD DIDACTICA 2 DOMINIOS EN REDES WINDOWS Eduard Lara 1 1. DEFINICIÓN DE DOMINIO Y SERVICIO DE DIRECTORIO Un dominio de sistemas permite tener centralizada la información administrativa de una red (cuentas Más detalles Tecnologías De La Información Y Comunicación I. Firewall Y Proxy. Integrantes: Héctor Duran. Katherine Zumelzu
Firewall Y Proxy Integrantes: Héctor Duran Katherine Zumelzu Fecha: 15/04/2015 Índice Qué es un firewall?... 3 Tipos de Firewall... 4 -Nivel de aplicación de Pasarela:... 4 -Circuito a nivel de Pasarela:... Más detalles ETI/Domo. Español. www.bpt.it. ETI-Domo Config 24810170 ES 29-07-14

References: Resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución