El Blog del Próximo Administrador

Que tiene ese 7 que no tengo yo?

2012-01-25T16:00:00.000-03:00

Adquirir Windows 7 Professional OEM preinstalado en los equipos, permite a las organizaciones utilizar muchas características de este sistema operativo, pero no todas. Numerosas veces me han preguntado las razones para comprar (y pagar por segunda vez por el Windows que utilizarán las PC) Windows 7 Enterprise. No es fácil responder a esto, ya que son muchas características y derechos adicionales que tenemos sobre el sistema operativo con la versión Enterprise.

Nuevas Características

BranchCache: Permite reducir el tiempo de espera en la descarga de documentos en Servers centralizados desde una ubicación remota, compartiendo entre los equipos la información previamente cacheada.

DirectAccess: Les da movilidad a los usuarios permitiendo (según defina el Administrador) el acceso a la red corporativa cuando están conectados a Internet, sin necesidad de iniciar una conexión VPN. También permite a los Administradores configurar o actualizar el equipo como si estuviera en la red corporativa.

Bitlocker y BitlockerToGo: Ayuda a proteger la información en los HD o discos removibles encrestándolos. Además permite la administración de claves de recuperación almacenándolas en Active Directory.

AppLocker: Especifica qué software puede ejecutar el usuario en el equipo. Permite ser configurado por GPO, lo que le da facilidad de configuración y flexibilidad.

Soporte Multilenguaje: Ofrece la posibilidad de crear una única imagen del sistema operativo pudiendo ser distribuida en diferentes lenguajes.

Inicio desde VHD: El sistema operativo puede iniciar desde VHD (Virtual Hard Disk) nativamente en lugar de utilizar un HD.

VDI Rights: Con Windows 7 Enterprise están cubiertas las licencias de Sistema Operativo Desktop que ejecutemos en el datacenter como parte de una infraestructura de VDI

Sumando SA

Cuando se adquiere Windows 7 Enterprise, podemos sumarle SoftwareAssurance (SA). El beneficio directo de SA, es que si una nueva versión de Windows Client es lanzada al mercado, podremos utilizarla sin costo adicional. Otro beneficio de SA es la posibilidad de utilizar Windows ThinPC. Windows TPC es una versión reducida de Windows 7 optimizada para usarse como ThinClient en PC antiguas que forman parte de la infraestructura de VDA. Al tener SA tenemos la posibilidad de adquirir MDOP (Microsoft Desktop Optimization Pack), un conjunto de 6 aplicaciones que nos permiten reducir los costos de mantenimiento, extender la flexibilidad y simplificar la administración de nuestros desktops mediante la virtualización de aplicaciones, el manejo avanzado de GPO y la utilización de herramientas de recuperación.

Clonado de equipos

Para poder realizar clonado de equipos es necesario poseer lo que se llama “ReimagingRights”, que se adquiere junto a la versión Enterprise de Windows 7. Adicionalmente, para realizar el clonado de un equipo con Windows, es necesario ejecutar Sysprep. No está de más recordar que la ejecución de Sysprep en un equipo OEM no está soportada.

No hay duda de que Windows 7 tiene varias características avanzadas, pero para aprovechar por completo la flexibilidad, seguridad, simplicidad de administración y despliegue, es necesario contar con Windows 7 Enterprise.

Para aprender mas...

MDOP
Windows ThinPC
Windows 7 Enterprise
Reimaging Rights

Casos no soportados de DFS

2011-12-20T17:00:00.000-03:00

Existen doscasos de uso frecuente con DFS (Distributed File System), aunque ninguno deellos está soportado.

Con DFS-R(Replication) es habitual querer configurar una de las dos réplicas como desolo lectura, pero esa práctica no está soportada en Windows Server 2008 oversiones anteriores. Realizar este tipo de configuraciones puede llevar aproblemas de verificación de topología, stagging o problemas en la base dedatos de la replicación.

En caso de quese necesite soporte por problemas de replicación, es frecuente que uno de losprimeros pasos a realizar sea habilitar la replicación en ambos sentidos, unade las prácticas más acostumbradas cuando se quiere dejar una réplica delectura solamente.

Con WindowsServer 2008R2 se permite crear una réplica DFS-R ReadOnly, por lo que estapráctica queda soportada a partir de esta versión.

En el caso deun Windows Server 2008 RODC, en el que la carpeta SYSVOL está replicada porDFS-R en lugar de FRS, los cambios se permiten en la carpeta SYSVOL pero son sobrescritoscuando un DC replica dicha carpeta. En un Windows Server 2008R2 RODC, lacarpeta SYSVOL es de solo lectura, de modo que no pueden realizase cambios.

Con DFS-N(Namespaces) es usual utilizar un mismo nombre para la ubicación en la red en lacual se guardan los perfiles de usuarios, lo que posibilita que si un usuariocambia de ubicación geográfica puede ir a buscar su perfil de red al servidorque tenga la copia más cercana. Estapráctica no está soportada, ya que si se permite al sistema operativo quelocalice el perfil en dos ubicaciones diferentes (que probablemente no estén deltodo sincronizadas por problemas de replicación o por la propia demoraconfigurada en DFS-N), puede corromperse el perfil del usuario.

Para aprender más…
DFS-R en Technet

DFS-N en el blog de Askds

Codecamp 2011

2011-10-05T18:00:00.000-03:00

Se viente Codecamp 2011!

Muchas sesiones con temáticas diferentes.

Les dejo el banner para anotarse!!!

Impedir ejecución de programas con AppLocker

2011-09-20T13:00:00.000-03:00

AppLockeres una de las nuevas características de Windows 7 Enterprise (y tambiénpresente en Ultimate). Applocker permite bloquear la ejecución de aplicacionessi no están previamente autorizadas dentro del entorno organizacional.

Cuandoqueremos ejecutar por primera vez AppLocker, el asistente nos ofrece lacreación de 3 reglas predeterminadas:

1-Unadministrador del equipo puede ejecutar cualquier archivo
2-Cualquiera puede ejecutar todo lo que se encuentre en la carpeta %Windir%
3-Cualquiera puede ejecutar todo lo que se encuentre en la carpeta %ProgramFiles%

Con estastres simples reglas, ya podemos evitar la ejecución de portables, programas quese encuentren en ubicaciones remotas o fuera de los directorios predeterminadosde instalación.

Esimportante aclarar que todo lo que no esté autorizado por AppLocker, estanegado de forma predeterminada. Además de tener el permiso de AppLocker, elusuario necesita los permisos de NTFS o autorización propia de la aplicaciónpara ejecutarse.

Paramostrarlo en funcionamiento, vamos a explicar un caso que sucede en muchasorganizaciones: Con la finalidad de evitar el crecimiento de bases de datos queno estén normalizadas, estas deben correr en los servidores SQL Server. Labases de datos en motores que se ejecutan en equipos cliente no debíanutilizarse salvo en los casos excepcionales, por lo que se busca evitar lautilización de MS Access. También es necesario que la imagen corporativautilizada para instalar los equipos incluya MS Access en todos los equipos, yaque un usuario debería poder cambiar de equipo y continuar utilizando losprogramas que necesita. Como último requerimiento, el mantenimiento de quienutiliza o no MS Access debe ser simple, por lo que una membresía de un grupo deseguridad debe poder controlarlo.

Elprocedimiento que seguimos es el siguiente:

-Creaciónde un grupo de seguridad de Windows llamado “Access Users” desde la consola deADUC (Active Directory Users & Computers), PowerShell o cualquier otrométodo de preferencia.

-En laconsola de “Manage Group Policies”, creamos un nuevo objeto al que llamamosAppLocker (Fig 1) y lo editamos (Fig 2), seleccionando: Computer Configuration, Policies,Windows Settings, Security Settings, Application Control Policies, AppLocker,Excutable Rules y finalmente Create New Rule.

Fig 1

Fig 2

-Las reglaspueden basarse en una ubicación específica, el hash de un archivo o uncertificado digital. Para nuestro caso, utilizamos la opción de certificadodigital al ser un archivo firmado digitalmente.

-En lasopciones de Permissions, seleccionamos "Allow" y el grupo deseguridad que creamos previamente. En Conditions, seleccionamos"Publisher", "Next", "Browse..." y seleccionamosel archivo al que queremos aplicar la regla (este local o en un equipo remoto).Adicionalmente seleccionamos "Use Custom Values" para que no se puedautilizar ninguna version menor a 16 (Office 2010 es la versión 14, por lo quela 16 aún ni existe!) (Fig 3)

Fig 3

-Ante lacreación de una nueva regla, el asistente nos consulta sobre la creación de lasreglas predeterminadas (Fig 4), a lo que respondemos que sí (las reglas explicadas alinicio de este artículo).

Fig 4

-Ahoradebemos quitar MS Access de la regla por default que permite que todos ejecutencualquier programa instalado en %programfiles%. Para lograrlo, seleccionamos laregla a modificar, pulsamos el botón secundario y seleccionamos"Properties" y el en tab de "Exceptions" (Fig 5), seleccionamos MSAccess de forma similar a como hicimos cuando creamos la regla en el paso anterior.

Fig 5

-Porúltimo, para que AppLocker funcione e impida la ejecución de los programas, elservicio "Application Identity" debe estar en ejecución. En nuestroejemplo, lo activamos en el mismo GPO (Fig 6).

Fig 6

Solo nosresta ir a un equipo con MS Access y probar que pasa cuando un usuario intentaejecutarlo (Fig 7).

Fig 7

Si elusuario tiene permisos de ejecución (En nuestro ejemplo, que sea miembro delgrupo de seguridad "Access Users"), podra utilizar MS Access de formatransparente.

De estaforma, no importa en cual equipo este autenticado el usuario, solo podráutilizar MS Access si pertenece al grupo de seguridad correspondiente.

AppLockerpuede funcionar también en modo auditoría por lo que solamente crea un eventoen el log del sistema. Finalmente AppLocker puede impedir la ejecución deinstaladores y scripts.

Paraaprender más…
AppLocker en Technet

Primeras imagenes de Windows 8

2011-09-16T09:00:00.000-03:00

Les dejo unas primeras imagenes de Windows 8 corriendo en mi equipo.

Imagen del escritorio de Windows 8 e IE10 (Metro Style) con el perfile de Juanjo en Facebook

Escritorio e IE 10 (tradicional) con un video de Queen en Youtube y la aplicación Weather mostrando el estado del tiempo en vivo

Nuevo menu de inicio

Escritorio tradicional de Windows con el nuevo Task Manager

Para probarlo ya mismo esta este link de donde se lo pueden bajar. Recuerden que es una preview que aún no está ni en estado de Beta.

Windows 8 se asoma

2011-09-13T18:00:00.001-03:00

Hoy 13 de Septiembre en el evento Build, Microsoft mostró por primera vez en forma pública Windows 8 corriendo en vivo.

La promesa era ejecutar los mismos binarios en cualquier dispositivo, por lo que se mostró Windows 8 corriendo en netbooks de hace tres años, portátiles,teléfonos ,desktops, equipos con tres placas de video corriendo en paralelo y notebooks que aún no salieron al mercado, pero que son más delgadas que un conector RJ45. Adicionalmente, se espera que cualquier equipo que hoy ejecute Windows 7 se pueda utilzar para ejecutar Windows 8, por loque esta nueva versión sóloocupa 300 megas en un equipo con una instalación limpia y 1 GB de memoria (un 25% menos que Windows 7 Sp1).

Todo el código que seejecuta en Windows 7 se podrá utilizar en Windows 8. En las demos se mostró cómo modificar las aplicaciones actuales parapoder utilizar los sensores del hardware y el nuevo look & feel: MetroApps. Con Metro Apps, las aplicaciones podrán ser aplicaciones Web oaplicaciones ricas, lo cual resulta indiferentepara la experiencia del usuario.

Además de Windows 8 se mostraron versiones de Visual Studio, Expression Blend eInternet Explorer 10, este último vendrá incluido en el sistema operativo.

Con respecto a las cararterísticas del nuevo Windows, se mostró la nueva interface de copia de archivos (ya anticipada en el blog oficial de Windows 8), el mejorado ahorro de energía, la posibilidad de compartir archivos entre diferentes equipos para accederlos conprotocolos firewall-friendly, la selección multi-touch y picture-password, lo que nos permite ingresar un password basado en una fotografía y pulsar en puntos específicos para poder indentificarnos.

Aunque el movimiento de las pantallas ya es muy veloz y fluido cuando se maneja con el touch-screen, hay que recordar que no se trata de la versión final: aún es una Developer Preview, luego vendrá una versión Beta, otra RC (ReleaseCandidate) y una RTM (Ready to Manufacture), antes de la GA (General Availability), que pondrá a Windows 8 a disposición de todos.

Dos eventos en el MUG

2011-07-25T12:00:00.000-03:00

El día Miércoles 27 de Julio de 18:30 a 21:30, en el MUG (Microsoft User Group) de Argentina hay un evento gratuito donde voy a presentar una introducción del tema de Virtualizacion.

Entre otras cosas vamos a ver:
-¿Qué es Virtualizar?
-Oferta de Virtualización
-Virtualización de SO, Aplicaciones y Estado del usuario
-Herramientas de Virtualización.

En día 1 de Agosto de 18:30 a 21:30, también en el MUG (Microsoft User Group) de Argentina hay un evento de IPV6 que estará presentando Rodrigo De Los Santos.

Les dejo los dos links para que se anoten!
Introducción a la Virtualización
Descubriendo IP V6

Windows ThinPC

2011-05-30T12:00:00.000-03:00

Desde hace pocos días está disponible la RC (Release Candidate) de Windows ThinPC (WinTPC), una versión minimizada de Windows 7 que permite utilizar equipos viejos como Thin Client en nuestra red. Lo he probado en un equipo con 512 MB, procesador de 1Gb con un HD de 10 GB (se instala en 3Gb) con buenos resultados. Hay que tener en cuenta que el sistema operativo no tiene prestaciones como “Search” o la interface “Aero”, y se espera que en la versión final no soporte la instalación de aplicaciones. La finalidad principal es acceder a otros equipos mediante Remote Desktop Connection o a aplicaciones Web mediante Internet Explorer.

Escenarios posibles de uso:

-Ideal para reutilizar PC viejos como Thin Clients.
-En las terminales de una infraestructura VDI.
-En equipos de Kiosko.

Algunas características:

-Entorno administrable por GPO.
-Sistema Operativo y navegador actualizable.
-“Write filters” que impiden la modificación de archivos en el equipo.
-Incluido como un beneficio de Software Assurance.
-Se activa con la infraestructura de KMS existente.
-Soporte para RemoteFX.

Si bien la versión final se espera para mediados de 2011, ya se lo puede ir probando.

Windows ThinPC en Microsoft Connect

RSAT para Windows 7 SP1

2011-04-11T17:00:00.000-03:00

En una entrada anterior, se explicó que RSAT no solo debía instalarse en la versión de Windows correcta, sino que además había que tener en cuenta el service pack (SP) del SO.

La versión para Windows 7 SP1 ya está disponible.

RSAT Windows 7 SP1

Windows 7 para IT Pros

2011-03-30T17:00:00.000-03:00

El sistema operativo del desktop es cada vez más completo. Windows 7 tiene muchas características para usuarios finales pero también otros para los IT Pro.

El 6 de Abril en el MUG vamos a estar viendo caracteristicas de Windows que todos los IT Pro tienen que conocer.

Para anotarse... Click aquí

RSAT y SP1

2011-02-17T18:00:00.000-03:00

Si en un equipos que ejecuta Windows 7 actualizado con SP1, queremos instalar las herramientas administrativas remotas para servidores (RSAT), nos vamos a encontrar con un error.

Esto se debe a que RSAT hace una comprobación para verificar que no se pueda instalar en un sistema operativo más nuevo del para cual fue diseñado.

Por ahora, se deberá instalar primero RSAT y luego actualizar a SP1 (Que se publicara el 22 de Febrero de 2011 o el 16 de Febrero para quienes tengan suscripción con Microsoft).

Quienes no esten apurados por realizar la instalación, una versión de RSAT para Windows 7 SP1 va a estar disponible en Abril de 2011.

Para aprender más...

Descripción de RSAT

Windows 7/Windows Server 2008 SP1 y Bitlocker

2011-02-10T16:00:00.000-03:00

El SP1 de Windows 7/Windows Server 2008 R2 se podrá descargar a partir del 22 de Febrero, por este motivo quiero comentar un caso reciente que le será útil a todos los que poseen un equipo con Bitlocker y tienen una instalación física en un HD y otra sobre un VHD.

Supongamos que en un equipo está instalado Windows 7 con Bitlocker y además hay una instalación sobre un VHD de otro sistema operativo (otro Windows 7 o un Windows Server 2008R2) que se utiliza para hacer pruebas. En este ambiente, se quiere probar SP1 sobre el sistema que está en el VHD. Después de instalado se reinicia el equipo y se ingresa sin problemas. Pero cuando intentemos iniciar el equipo desde la instalación de Windows 7 que está con Bitlocker, nos informará que el sistema no puede iniciar porque se modificó la información en la partición de inicio desde que Bitlocker fue habilitado (efectivamente, cuando instalamos SP1 en el otro sistema). Todos los sistemas operativos, sin importar si se ejecutan desde un HD físico o desde un archivo VHD, comparten información en una partición de 100Mb que utiliza Windows 7 o Windows Server 2008 R2 para iniciar.

Si tenemos un USB con la información de la key de Bitlocker, deberemos insertarlo para que nuestro HD pueda iniciar. También se puede escribir la clave manualmente. Una vez dentro del sistema operativo, debemos pausar y resumir Bitlocker para que valide la nueva información, o cada vez que inicie se deberá insertar la clave.

Otra opción (y la única si no tenemos el Key de Bitlocker) es:

-Pausar Bitlocker en nuestro HD
-Iniciar el sistema desde el VHD
-Instalar SP1
-Re-habilitar Bitlocker

Boot desde VHD

2010-11-30T15:00:00.000-03:00

Windows 7 en sus ediciones Enterprise y Ultimate incluye la opción de poder iniciar el sistema desde una VHD. Windows Server 2008R2 también tiene esta característica.
Esto es interesante si necesitamos ejecutar un sistema operativo en nuestro equipo de manera diferente, especialmente si queremos utilizarlo para realizar pruebas, porque un VHD puede ser recuperado fácilmente.

Las mismas herramientas con las que se configuran los discos rígidos standard (Disk Management y Diskpart), se utilizan para trabajar con VHD. Podemos crear y conectar de unidad a un VHD desde Disk Mangement.

Desde Diskpart podemos crear la partición, formatearlo, asignar la letra de unidad y marcar la partición como activa.

Pueden usarse Disk Management o Diskpart; yo realicé algunas tareas con una herramienta y otras con la otra, para mostrar ambas en funcionamiento. No podemos instalar un sistema operativo en un VHD desde una unidad óptica o una imagen ISO, hay que hacerlo desde una imagen WIM, el nuevo formato de imágenes desde Windows Vista y Windows 2008. Por ese motivo la instalación debe realizarse utilizando imagex.exe, que es parte de MDT 2010 o desde un servidor WDS si lo tenemos instalado y configurado en nuestra red. En este caso utilizaremos imagex por ser la unica forma de hacerlo con solo un equipo.

Para realizar este test utilizamos un DVD de Windows Server 2008R2. La sintaxis de imagex es muy simple.

"/apply" indica que se aplicará una imagen a un HD o VHD

"z:\sources\install.wim" es la ubicación de la imagen de Windows 2008 R2 que está en el DVD

"1" indica que es la primera imagen dentro de todas las que están en el archivo wim, en nuestro caso Windows Server 2008 R2 Standard (Full Instalation).

"w:\" es la letra de unidad del VHD en donde instalamos el sistema operativo.

Después de instalar el sistema operativo, es necesario modificar el sector de inicio de Windows 7 para que pueda seleccionar entre cargar desde el HD o desde el VHD. La forma más simple es utilizar una herramienta gráfica y gratuita llamada EasyBCD 2.0.

Ventajas:
1. Utilizamos todos los recursos de hardware para el sistema de nuestro VHD.
2. Accedemos directamente a los dispositivos del hardware real, por lo que es una manera óptima de probar hardware en un sistema operativo diferente o nuevos drivers.
3. Cuando se copia el VHD, tenemos una copia completa de nuestro laboratorio.

Desventajas:
1. Si estamos probando otro sistema operativo diferente del de nuestro HD, debemos buscar los drivers.
2. Sólo podemos ejecutar un sistema operativo para que realice un boot desde un VHD a la vez, aunque podemos configurar varios VHD a la vez e iniciar alternadamente de uno u otro.
3. El VHD no es fácilmente portable a otro equipo, salvo que tenga el mismo hardware.
4. La instalación es un poco más compleja que si se utilizan equipos virtuales o físicos.

Como introducción éste es el punto de partida para poder armar un laboratorio en nuestro equipo sin modificar el Windows 7 que ya tenemos instalado.

Para aprender más…
http://www.microsoft.com/virtualization

Todos los equipos Windows tienen usuarios locales

2010-10-12T20:00:00.000-03:00

Todos los equipos Windows tienen usuarios locales. Muchos administradores creen que los Domain Controllers (DC) no los tienen, pero la realidad es que eso es un error. Los DC tienen una base SAM para guardar el password del usuario Administrator. Cuando se instala un DC con DCpromo, durante el proceso de promoción se solicita el password de este usuario. Aunque es raro que sea utilizado, algunas veces necesitamos iniciar un DC con este usuario, por ejemplo cuando se va a realizar un defrag off line de la base de datos de AD. El principal inconveniente es que muchos olvidan la password de este usuario, la cual no puede ser reseteada como la password de los demás usuarios locales de los equipos que no son DC, y tampoco se puede usar ADUC porque no es un usuario del dominio.

La única forma de hacerlo es mediante una utilidad de línea de comando llamada “ntdsutil”. Los pasos a seguir son:

1-Abrir una consola CMD
2-Ejecutar “ntdsutil”
3-Ingresar “set DSRM password” para indicar que se desea cambiar el password de DSRM (Directory Service Restore Mode)
4-Indicar que estamos ejecutando el comando con “reset password on server null” en el usuario del server. Reemplazando “server null” con el nombre de otro DC, podemos resetear el password en un DC remoto.
5-Tipear la nueva password y su confirmación
6-Salir de la utilidad con “Quit”

El procedimiento es muy similar desde Windows 2000 hasta Windows 2008 R2

Hacer Backup es solo la mitad

2010-09-30T19:00:00.000-03:00

Tener un backup es solamente la mitad de lo que se necesita para estar tranquilo de que nuestra información está respaldada. La otra mitad es poder hacer el restore.

Si tenemos un archivo de respaldo .BKF hecho con NTBackup en nuestro Windows Server 2003, Windows Server 2003 R2 o Windows XP, no vamos a poder hacer un restore en un sistema operativo más nuevo. A diferencia de los sistemas más viejos, Windows Vista, Windows 7, Windows Server 2008 y Windows Server 2008 R2 no tienen NTBackup incluido. Por lo cual nos podemos encontrar con un problema durante la migración a un sistema operativo más nuevo.

Para salvar este inconveniente existe NTBackup-Restore, un utilitario que debemos bajar desde la Web de Microsoft y tiene un look and feel muy similar al clásico NTBackup, pero sólo con opciones para realizar restore.

Para instalarlo, hace falta instalar (en Windows Server 2008) o activar (en Windows Vista) la característica “Removable Storage”. En Windows Server 2008 R2 y Windows 7 no existe la característica “Removable Storage”, por lo que la versión de NTBackup-Restore para 2008/Vista no funciona en 2008R2/7, pero de todos modos existe una versión diferente para estos sistemas.

Los links para poder descargar las distintas versiones son:

NTBackup-Restore para Windows 2008 y Windows Vista (x86 y x64)
NTBackup-Restore para Windows 7 (x86)
NTBackup-Restore para Windows 7 (x64)
NTBackup-Restore para Windows 2008 R2 (x64)

Usuarios inactivos

2010-08-31T15:00:00.000-03:00

Constantemente entran nuevos usuarios en la organización, y otros son dados de baja. Si los procedimientos están bien realizados, quien maneja el Active Directory tiene acceso a esa información en tiempo y forma, lo que permite deshabilitar cuentas de usuarios que ya no se utilizan.
La realidad es que existen muchos casos en donde esto no sucede, y muchas cuentas de usuario están habilitadas aunque no se hayan estado utilizando durante algún tiempo. Las causas pueden ser las siguientes:

a) Recursos Humanos no avisa de las renuncias o despidos.
b) Los usuarios se ausentan por largos períodos (Licencias por vacaciones, accidentes de trabajo, maternidad).
c) Cuentas de servicio que no se utilizan más.

Hay una forma simple de ver qué cuentas no se han estado utilizando desde hace algún tiempo.

dsquery user -inactive 2 -limit 0

Ejecutando ese comando, podemos ver qué usuarios no han registrado actividad las últimas dos semanas, el limite indica la cantidad de resultados que queremos ver, donde cero significa "sin límite".
Podemos ejecutar este comando utilizando pipes para combinarlo con otros y realizar alguna acción. O enviarlo a un archivo de texto con >

Para pasar la información a un archivo de texto:
dsquery user -inactive 2 -limit 0 > c:\Users\edeleo\Desktop\Users.txt

Para mover los usuarios inactivos a otra OU:
dsquery user -inactive 2 -limit 0 dsmove -newparent "OU=Para borrar,DC=Labemd,DC= NET"

Para deshabilitar a los usuarios inactivos:
dsquery user -inactive 2 -limit 0 dsmod user -disabled yes

Para borrar usuarios de cierta OU:
dsquery user "OU=Para borrar,DC=Labemd,DC= NET" dsrm

Las combinaciones son muchas y no están limitadas a estos ejemplos. También es muy útil utilizar "dsquery computer" para buscar equipos inactivos que no cambiaron su password o que tienen cuentas deshabilitadas, como se muestra en el ejemplo:

dsquery computer -disabled

En otro artículo de este blog, se muestra cómo buscar PCs deshabilitadas, utilizando "Active Directory user and Computers". La ventaja de utilizar herramientas de línea de comando en lugar de interface gráfica es la posibilidad de automatizar la tarea. De esta manera podemos crear una tarea para todos los viernes a las 18:30 en donde se muevan equipos de OU, se deshabiliten usuarios o cualquier otra cosa que necesitemos.

Para aprender más...
Dsquery en Techenet

FSMO FAQ

2010-07-23T13:00:00.000-03:00

En los últimos años me preguntaron en varias ocasiones sobres los roles FSMO. Aquí trato de hacer un listado de las preguntas que más se repitieron.

¿Qué son los FSMO?
Son roles especiales que cumple algún DC en el dominio o forest. Aunque el modelo de replicación de AD es multi-master y los cambios se pueden hacer en cualquier DC, algunos cambios específicos o controles no. El ejemplo más simple es que no puede haber dos DC con passwords diferentes de un mismo usuario, porque un atacante podría utilizar un password viejo para ganar acceso a un recurso.

¿Cuántos FSMO hay?
Son cinco roles diferentes. El Domain Master y el Schema Master son únicos en el Forest, por lo cual no importa cuántos dominios tenemos, siempre hay uno de cada uno. El PDC Emulator, Infrastructure Master y el RID son únicos en el dominio, por lo que si tenemos dos dominios tendremos dos de cada uno de estos tres.

¿Cuántos DC necesito para ejecutar estos roles?
Todos pueden convivir en el mismo DC, pero según el tamaño de la implementación de AD, podemos ponerlos en diferentes DC.

Ni sabía que existían, ¿cómo hago para instalarlos ahora que ya tengo mi AD en producción?
Cuando se instala el primer DC los 5 roles se instalan en forma automática en ese DC. De igual manera, cuando se instala el primer DC de un nuevo dominio, los 3 roles propios del dominio se instalan en ese DC.

¿Qué pasa si apagué mi primer DC, perdí los roles?
No necesariamente, si la decomisión del equipo se hizo en forma correcta, cuando se ejecuta DCpromo.exe para sacar la función de DC de un equipo, los roles son transferidos a otro DC que pueda ocupar ese rol.

¿Cómo puedo pasar el rol a otro equipo?
Los roles PDC Emulator, Infrastructure Master y RID, desde la herramienta "Active Directory User and Computers", el Domain Master desde "Active Directory Domain a Trusts" y el Schema Master desde "Active Directory Schema"

¿Dónde está el "Active Directory Schema"?
El Schema de AD es algo que normalmente no se debería modificar, por lo que antes de poder ver la herramienta "Active Direcroty Schema" se debe registrar una dll ejecutando desde un CMD:
"regsvr32 schmmgmt.dll"

Si apagué mal mi DC, se me rompió, me lo robaron... ¿Perdí los roles?
Si tu DC tenía algún rol, es probable que esa función no la esté cumpliendo ningún equipo. Puede pasar algún tiempo hasta que la falta de esa función afecte la operatoria de la empresa.

Si apagué mal mi DC, se me rompió, me lo robaron... ¿Cómo paso un rol a otro equipo?
En este caso hay que forzar el paso del rol utilizando la herramienta "ntdsutil", como lo indica el link:
http://technet.microsoft.com/en-us/library/cc757500(WS.10).aspx

¿Cualquier DC puede tener cualquier rol?
No, los RODC no pueden tener ninguno de estos roles. Tampoco se puede ejecutar el rol de Infrastructure Master en un DC que es Global Catalog, exceptuando que todos los DC sean Global Catalog.

¿Y si tengo un solo DC?, entonces mi DC es Global Catalog, ¿verdad?
Si, pero también entonces todos tus DC son Global Catalog.

¿Qué función cumple y qué pasa si no se ejecuta el rol del Domain Master?
El Domain Master guarda la información de dominios dentro del forest, si no se está ejecutando, no se puede agregar nuevos dominios al forest.

¿Qué función cumple y qué pasa si no se ejecuta el rol del Schema Master?
El Schema Master guarda la información del esquema de AD, si no se está ejecutando, no se puede modificar el esquema de AD.

¿Qué función cumple y qué pasa si no se ejecuta el rol del PDC Emulator?
El PDC Emulator sirve para que equipos con NT 4.0 (espero que nadie los siga usando) pueden autenticarse en la red como si fuese un PDC NT 4.0 y es el DC encargado de mantener actualizados los passwords de los usuarios y equipos en AD. Si no se está ejecutando, un equipo con NT 4.0 no va a poder autenticarse y los usuarios o equipos no van a poder cambiar su contraseña.

¿Qué función cumple y qué pasa si no se ejecuta el rol del RID?
El RID reparte los números de SID dentro del dominio. Si el RID no se está ejecutando y un DC quiere crear un objeto nuevo dentro de AD pero no tiene numero de SID para asignarle, no se podrá crear el objeto en ese DC. (Nota: el SID es el identificador de seguridad, un número único que tiene cada objeto de AD)

¿ Qué función cumple y qué pasa si no se ejecuta el rol del Insfrastructure Master ?
El Infrastructure Master se encarga de mantener las referencia de pertenencia de grupo de los usuarios en los diferentes dominios. Si el rol no está disponible, no se podrán mover usuarios entre diferentes dominios.

¿Cómo puedo ver dónde están ejecutándose los roles?
Utilizando las mismas herramientas gráficas que se utilizan para moverlos o ejecutando desde un CMD:
netdom query fsmo

Se Terminó el 2000

2010-07-13T09:00:00.000-03:00

Hoy martes 13 de Julio de 2010 se termina el soporte de Windows 2000 en todas sus versiones por parte de Microsoft. No hay más parches de seguridad, parches de funcionalidad, actualizaciones de artículos en la web de Microsoft ni asistencia de soporte. Aunque creo que poca gente aún tiene Windows 2000 como sistema operativo de PC para esta fecha, seguramente hay varios servers instalados prestando servicio.

Lo que va a preocupar a más gente, es que tampoco hay más soporte para Windows XP SP2 o versiones previas.

¡Espero que todos tengan actualizados sus equipos!

Server Core

2010-06-04T10:00:00.000-03:00

Aquí les comparto la información del evento de Server Core del 2 de Junio en el MUG.

Primero una lista de los comandos que yo utilizo habitualmente para configurar los equipos con Server Core. Recuerden que para R2 algunas cosas funcionan de una manera diferente.

Configuración inicial

Listar placas de Red
netsh interface ipv4 show interfaces

Mostrar información de IPv4
netsh interface ipv4 show address

Configurar IP estática
netsh interface ipv4 set address name=ID source=static address=ipadress mask=ipmask gateway=ipdefaultgateway

Configurar DNS Server
netsh interface ipv4 set dnsservers "Local Area Connection" static 10.0.0.1 primary

Renombrar el equipo
netdom renamecomputer %ComputerName% /NewName:NewComputerName

Unir equipo al dominio
netdom join %ComputerName% /domain:Domain
/userd:DomainUser /passwordd:*

Deshabilitar Firewall
netsh firewall set opmode disable (En Windows 2008)
netsh advfirewall set currentprofile state off (En Windows 2008 R2)

Configuración Básica

Instalar Rol (DHCP en Windows Server 2008)

start /w ocsetup DHCPServerCore
sc config dhcpserver start= auto
net start dhcpserver

Instalar Rol (DHCP en Windows Server 2008 R2)

Dism /online /enable-feature /featurename:DHCPServerCore
sc config dhcpserver start= auto
net start dhcpserver

Para configurar set de credenciales alternativas en un equipo para conectarse a un equipo que no está en el mismo dominio.
cmdkey /add: /user: /pass:

Comandos para administración

Control desk.cpl - Ver o configurar display settings.
Control intl.cpl - Ver o configurar regional and language options
Control sysdm.cpl - Ver o configurar system properties.
Control timedate.cpl - Ver o configurar date, time, y time zone.
Cscript slmgr.vbs –ato - Activar el sistema operativo.
DiskRaid.exe - Ver o configurar software RAID.
ipconfig /all - Muestra informacion de IP
PNPUtil.exe - Instala o actualiza hardware device drivers.
Sc query type=driver - Lista device drivers.
ServerWerOptin.exe - Configura Error Reporting.
SystemInfo - Lista detalles de configuration.
WEVUtil.exe - Manejo de Event View
Wmic datafile where name=“FullFilePath” get version - Muestra la versión de un archivo.
Wmic nicconfig index=9 call enabledhcp - Configura el uso de DHCP.
Wmic nicconfig index=9 call enablestatic(“IPAddress”), (“SubnetMask”) - Configura IP fija.
Wmic nicconfig index=9 call setgateways(“GatewayIPAddress”) - Configura el Default Gateway.
Wmic product get name /value “ - Lista MSI instalados ordenados por nombre.
Wmic product where name=“Name” call uninstall - Uninstall an MSI application.
Wmic qfe list - Lista updates y hotfixes instalados
Wusa.exe PatchName.msu /quiet - Aplica un update o hotfix al sistema operativo.

Aquí el link descargar el Core Configurator.

Para aprender mas...

Guía de instalación de Server Core

Diferencias del contexto "firewall" en netsh entre Windows Server 2008 y Windows Server2008 R2

Evento en el MUG

2010-05-18T15:00:00.000-03:00

A partir de Windows Server 2008 existe la opción de instalar el sistema operativo sin la interface gráfica. Esta forma de instalación es conocida como Server Core, en donde el sistema operativo queda recortado de su funcionalidad total pero se optimiza para la tarea específica que deseamos que cumpla.

El día Miércoles 2 de Junio de 18:30 a 21:30, en el MUG (Microsoft User Group) de Argentina hay un evento gratuito donde voy a presentar una introducción del tema.

Entre otras cosas vamos a ver:
-¿Qué es Server Core?
-Ventajas y desventajas
-Cuándo utilizar Server Core
-Configuración inicial
-Novedades en R2

Los espero!

Click aquí para anotarse

El primer DC Windows Server 2008 R2

2010-05-12T09:00:00.000-03:00

Para utilizar el primer Windows Server 2008 R2 en una red, no hay requerimientos previos. El sistema operativo puede convivir sin problemas con versiones más antiguas. Pero cuando la función que va a cumplir es de Domain Controler, hay algunos requisitos previos a cumplir.

a) No puede haber Windows NT 4.0 como BDC en la red.Deben ser removidos todos los DC anteriores a Windows 2000 Server, ya que la versión mínima requerida de nivel de funcionalidad de Dominio y Forest para poder tener Windows Server 2008 o Windows Server 2008 R2 es de Windows 2000 Native.

b) Hay que preparar el Forest y el Dominio para soportar la inclusión de la nueva versión de S.O.Incluso si el Forest fue preparado para Windows Server 2008, para Windows Server 2008 R2 el schema es diferente.

Windows 2000--> Versión 13
Windows 2003--> Versión 30

Windows 2003R2--> Versión 31

Windows 2008--> Versión 44

Windows 2008R2--> Versión 47

Windows Server 2008 R2 sólo tiene versiones de 64 bits, pero incluye una versión de adprep que funciona en 32 bits (llamada adprerp32) por si la estructura de la red en donde se desea ejecutar tiene solo DC de 32 bits.

Para preparar el Forest, en el Schema Master hay que ejecutar:
adprerp /forestprep

Para preparar el Dominio, en el Infraestructure Master hay que ejecutar:
adprep /domainprep

Para consultar cual equipo cumple las funciones de Schema Master y de Infraestructure Master hay que ejecutar:

netdom query fsmo

La versión de 32 bits de "adprep" se utiliza de igual forma, simplemente hay que recordar que se llama "adprep32", ambas estan en el mismo directorio en el DVD de Windows Server 2008 R2.

c) El nivel de Dominio debe ser como mínimo Windows 2000 Nativo.Preparar el Forest o el Dominio no eleva el nivel de funcionalidad por sí solo, hay que elevarlo manualmente.

Para elevar el dominio:

1.Abrir "Active Directory Users and Computers".

2.En la consola, pulsar botón secundario en el dominio que se desea elevar, y hacer click en "Raise Domain Functional Level".

3.Seleccionar un nivel disponible dentro de la lista, y hacer click en "Raise".

Para elevar el forest:

1.Abrir "Active Directory Domains and Trusts".

2.En la consola, pulsar botón secundario en "Active Directory Domains and Trusts", y hacer click en "Raise Forest Functional Level".

3.Seleccionar un nivel disponible dentro de la lista, y hacer click en "Raise".

Después de cumplir con estos pasos previos, podemos instalar Windows Server 2008 R2 como DC en la red.

Para aprender más...

Active Directory Functional Levels Technical Reference

R2

2010-05-03T23:00:00.000-03:00

La idea de esta nota no es describir todas las características nuevas de R2, sino simplemente mencionar algunos pequeños cambios introducidos, que justifican actualizar los Windows Server 2008 instalados.

1) Look and Feel: Puede parecer algo simple, pero realmente me parece muy útil tener disponibles las mejoras de visualización de Windows 7 en un sistema operativo de servidor. No me refiero a la interface Aero, sino a la posibilidad de anclar las ventanas a los costados o poder sacudir una ventana para minimizar el resto.

2) Wbadmin: Ahora en R2 podemos realizar un backup con granularidad de archivo. Para quienes no utilizaron Windows Server 2008 esto puede no ser una novedad, porque con versiones anteriores ya se podía hacer. Pero Windows Server 2008 toma backups en archivos de imagen, lo que hace simple las operaciones de respaldo y restauración, inclusive en otro hardware. El problema era que había que tomar backup de todo el disco rígido. Ahora con R2 podemos tener ambos beneficios: tomar backup en archivo de imágenes y con granularidad de archivo.

3) Server Core: Con server core ahora podemos utilizar Power Shell y .Net (al menos un sub-set). Esto nos permite ampliar mucho la utilidad de una instalación server core y nos da la posibilidad de utilizar nuestros scripts en Power Shell.

4) Hyper-V: Se pueden utilizar equipos virtuales con hasta 64 CPU lógicos. Aunque esto es importante sólo si tenemos un hardware capaz de ofrecer esta cantidad a nuestros equipos virtuales, cuando se presenta la ocasión es genial poder acceder a esta característica.

5) AD Recycle Bin: Cualquier administrador que necesite recuperar un usuario o un OU borrados, sabe que no es una operación simple. AD Recycle Bin cambia por completo la forma de recuperar objetos que fueron borrados (y aún están en el papelera). Aclaro que el Forest debe tener nivel de funcionalidad Windows Server 2008 R2 antes de usar esta característica.

6) BitLocker to Go: Especialmente útil si ya estamos utilizando Windows 7, nos permite utilizar BitLocker en dispositivos móviles como pendrives encriptados.

No está de más recordar que R2 sólo está disponible en plataforma de 64 bits (x64), por lo que no hay versión de 32 bits (x86).

La pregunta del millón

2010-04-09T15:00:00.000-03:00

Más de una vez alguien se preguntó: ¿ Están replicando los DC correctamente ?

Hay muchas formas de verificar la replicación, pero una muy simple es utilizar repadmin.exe. Antes de Windows Server 2008, esta herramienta estaba incluida en las support tools que debían instalarse por separado. A partir de Windows Server 2008, viene incluida con la instalación de AD DS o AD LDS, y también puede ser utilizada en un cliente de Windows 7 donde se instalaron las herramientas de administración RSAT. Para evitar problemas, hay que utilizar la versión correcta según el SO de nuestros DC.

Como ejemplo se pueden utilizar estos parámetros para verificar la replicación con los DC de nuestro dominio y ordenarlos por delta de replicación.

repadmin /replsummary /bysrc /bydest /sort:delta

Cada punto “.” representa un DC detectado, excepto los primeros tres, que son para indicar el inicio del proceso. En el gráfico puede verse 6 puntos, 3 del inicio y 3 más de cada DC.
Hay información sobre:

a-Las conexiones entrantes y saliente para cada DC.

b-El delta que indica la última vez que se replicó.

c-El total de réplica link y las fallas,

Existen muchos otros parámetros que se pueden utilizar para obtener información más detallada o específica; es una buena práctica familiarizarse con esta herramienta para evitar problemas de replicación.

Para los que utilizan Repmon.exe como herramienta de control, es necesario aclarar que Repmon.exe no está presente como herramienta para Windows Server 2008 o Windows Server 2008 R2.

Para aprender más…
Troubleshooting replication with repadmin

Evento en el MUG

2010-03-09T11:00:00.000-03:00

En Julio de 2008 se termina el soporte extendido de Windows 2000 Server y el soporte estándar de Windows Server 2003.

Los días jueves 25 de marzo y martes 30 de marzo de 18:30 a 21:30, en el MUG (Microsoft User Group) de Argentina hay un evento gratuito donde voy a mostrar como migrar una plataforma de AD basada en Windows 2000/2003 a Windows 2008.

Los espero!

Click aquí para anotarse

Borrar Multiples Objetos Computer Deshabilitados

2010-02-08T22:00:00.000-03:00

No siempre existe la posibilidad de instalar un AD desde cero y realizar su administración en forma exclusiva. Lo más común es administrar algún AD en forma compartida, donde varias personas realizan modificaciones. También es habitual formar parte de la administración de un AD que ya estaba funcionando hace algún tiempo, o Incluso tener que realizar la administración de varios entornos a la vez.

Es posible que muchas cuentas de PC sean deshabilitadas con el tiempo (Fig 1), pero es poco común el borrarlas, ya que hasta hace poco tiempo (con Windows 2008 R2 es muy diferente) cuando un objeto se borraba era muy difícil su recuperación.

Fig 1

Aunque la selección múltiple de objetos para borrarlos parece la forma más simple, se debería buscar por cada OU en donde hay objetos “Computer” deshabilitadas para borrar. En la figura 1 se observa que hay dos contenedores dentro de “Computes”: OldPC y StandardPC.

Para esto se puede acudir a las Queries que se pueden hacer desde ADUC.

En otro artículo explicamos cómo acceder y crear una Query.

Saved Queries--> New--> Query

Fig 2

También se observa en la figura 2 que la selección se realiza desde el contenedor “Objetos Labemd” para no buscar PC en otro lado.
En la figura 3 se ve el resultado: sólo se muestran los objetos “Computer” deshabilitados. Ahora podríamos seleccionarlos todos y borrarlos.

Fig 3

Preferentemente yo los movería a una OU que se llame “Computers a borrar DD/MM/AAAA”, donde DD/MM/AAAA seria una fecha dentro de 30 días para borrarlas una vez pasado ese tiempo.

Gracias a Alan que me hizo volver a escribir

Buscar equipos según el Service Pack

2009-11-17T15:00:00.000-03:00

Recientemente pidieron que todos los equipos de la empresa que tengan Windows XP, tengan instalado SP3. Para poder buscarlos hay varias formas, pero la que a mí me pareció simple (y reutilizable) es utilizar “Active Directory Users and Computers” (ADUC).

En “Saved Queries” podemos crear una consulta (Fig 1) para buscar equipos por Sistema Operativo y Service Pack.

Fig 1

Antes de efectuar la consulta debemos ingresar algunos datos (Fig 2):

Fig 2

Name: Nombre de la consulta
Description: Descripción del detalle de la consulta
Query Root: Desde dónde queremos realizar la consulta: puede ser todo el dominio, una OU o un árbol de OU.
Define Query: Nos permite ingresar la consulta.

Seleccionaremos “Custom Search” y en la solapa de Advanced ingresamos la consulta Ldap (Fig 3)

Fig 3

(&(objectCategory=computer)(objectClass=computer)(operatingSystem=Windows\20XP*)(operatingSystemServicePack=Service Pack 3))

Fig 4

El resultado que nos da son los equipos con Windows XP y SP3 (Fig 4). Modificar ligeramente la query nos permite poder realizar otras consultas.

Para buscar un sistema operativo, debemos modificar la parte donde dice “operatingSystem”, para buscar Windows Vista debemos sustituir “XP” por “Vista”

Para buscar un Service Pack, cambiamos donde dice “operatingSystemServicePack”. Cambiando el “3” por otro número.

El * después de XP se refiere a buscar sin importar la edición del sistema. Si agregamos un ! antes del nombre del campo, se refiere a no buscar el valor especificado.

Ejemplos

Para buscar Windows Vista con SP1

(&(objectCategory=computer)(objectClass=computer)(operatingSystem=Windows\20Vista*)(operatingSystemServicePack=Service Pack 1))

Para buscar Windows XP con SP1 y SP2 (Es decir, que no tengan SP3)

(&(objectCategory=computer)(objectClass=computer)(operatingSystem=Windows\20XP*)(!operatingSystemServicePack=Service Pack 3))

Lo bueno de este tipo de consultas es que no son estáticas, el resultado se actualiza con sólo pulsar F5. Con el último ejemplo buscamos todos los equipos con Windows XP sin SP3, en cuanto se vayan actualizando los equipos, la lista se irá vaciando.

Para aprender más…
Saved Queries en Windows Server 2003 usando ADUC
Using saved queries en Technet

Sin miedo a los 64

2009-11-16T16:00:00.000-03:00

Hace algunos años, la tecnología nuevamente se modernizó y llegaron los equipos de 64 Bits. También comenzó a llegar el software de 64 Bits. En conjunto, software y hardware traían ventajas y muchas dudas. Todos los cambios tienen su opositor. Múltiples excusas (o argumentos) se oían para no utilizar 64 Bits: “Ocupan más memoria”, “Funciona más lento”, “No hay drivers para 64 Bits”, “¿Por qué cambiar si con 32 Bits anda bien?”, etc.

La realidad es que el cambio a 64 Bits es inevitable, si bien equipos y software de 32 y 64 Bits conviven desde hace algunos años, Microsoft dio el puntapié inicial con Exchange 2007. Aunque existían versiones de 32 y de 64 Bits, la versión de Exchange 2007 de 32 Bits no estaba soportada para entornos de producción, solamente como testeo. En el año 2009 salió al mercado Windows Server 2008 R2, siendo el primer sistema operativo de Microsoft que solamente tiene versión de 64 Bits. A principios de noviembre Exchange 2010 fue lanzado al mercado, y no tendrá versiones de 32 Bits ni para realizar un laboratorio de test, solo 64 Bits.

Utilizar 64 Bits nos permite direccionar más memoria; al utilizar más memoria, podemos atender más consultas concurrentemente y de forma más rápida, ya que no hace falta bajar contenido de la memoria al disco rígido.

Hace años que los nuevos equipos que compramos soportan 64 Bits; el software de 32 Bits está desapareciendo. No hay que tirar hoy nuestro soft y hard de 32 Bits, pero sin duda ya tenemos que dejar de tenerle miedo a los 64 Bits.

Para aprender más…
Native x64 Software from Microsoft

Herramientas Administrativas en 7

2009-10-13T03:00:00.000-03:00

Anteriormente habíamos explicado cómo ejecutar desde Windows Vista las herramientas administrativas para nuestro dominio que aún está en 2003. Con Windows 7 ya listo para usar ahora debemos realizar la instalación en el nuevo sistema operativo.
A diferencia de lo que sucede con Windows XP y Windows Vista, no utilizaremos el adminpak.msi que era distribuido con Windows Server 2003. Hay un update (958830) que nos instala las herramientas para administrar remotamente los servidores en Windows 7 (Remote Server Administration Tools for Windows 7 o RSAT).
Una vez instaladas, hay que activarlas. Para eso seleccionamos “Turn Windows Features on or off” (Fig 1)

Fig 1

Dentro de las características para activar ahora tenemos RSAT (Fig 2) en donde podemos seleccionar lo que deseamos activar.

Fig 2

Mucho más simple que en Windows Vista.

Controlando los Pendrives USB

2009-10-09T15:00:00.000-03:00

Los Pendrives o discos USB son cada vez más utilizados. Su uso muchas veces es una necesidad, pero otras veces nos pueden traer problemas de seguridad, o estar en contra de las políticas de la empresa. Sin importar cuál sea el motivo, se vuelven un problema a la hora de realizar un efectivo control de los mismos, ya que deshabilitar los puertos USB no es la mejor solución. Algunas PC modernas no tienen puertos PS2 por lo que teclados y mouse también requieren puertos USB, al igual que impresoras, parlantes o escaners.

Para Windows XP SP2, Windows Vista y Windows 7 existen dos claves en el registro que pueden ayudarnos.

Para deshabilitar la escritura en Pendrive USB

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies

El DWORD "WriteProtect" debe estar en 1. Si lo ponemos en 0 lo volvemos a habilitar.

Para deshabilitar los Pendrive USB completamente

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\USBSTOR

El DWORD “Start” debe estar en 4. Con 3 lo volvemos a habilitar.

Como verán ambas keys se aplican sobre “Local Machine” lo que hace que sea un valor por equipo y no por usuarios. No debemos olvidarnos de este importante punto porque aunque seamos administradores del equipo no podremos utilizar los Pendrive USB si estamos en un equipo con estos valores modificados. De igual manera un usuario cualquiera podrá utilizar los Pendrive USB sin problema en un equipo que no tenga modificados estos valores.

Mi reino por una IP

2009-10-06T14:00:00.000-03:00

No importa la marca o el sistema operativo que utilice, cualquier PC que quiera conectarse a Internet necesita una dirección IP. Pero las direcciones IP no se utilizan sólo para Internet: hoy casi cualquier red es una red IP. Desde dos computadoras hogareñas conectadas por un cable, hasta cientos (o miles) de computadoras (impresoras, routers u otros dispositivos) que son parte de una red corporativa.

Cuando los equipos son pocos, por lo general es suficiente con asignar los números de IP en forma manual, pero cuando hay muchos equipos es necesario automatizar la tarea. El servicio utilizado para asignar IP de forma dinámica es el DHCP (Dynamic Host Configuration Protocol). El servicio se apoya en clientes DHCP y un servidor DHCP (pueden ser varios por cuestiones de alta disponibilidad).

Un cliente puede tomar dirección IP de varias formas.

a) Tiene IP fija configurada en su placa de red.
La primera verificación que realiza un dispositivo que necesita dirección IP es ver si tiene configurada una manualmente (IP Fija). Configurar una dirección IP manual deshabilita la posibilidad de obtener una dirección por otro método. Esta forma de asignar direcciones no realiza ninguna verificación sobre dónde está conectado el equipo, por lo que si tenemos un equipo con una IP Fija y lo movemos a otra red, aunque éste tenga dirección IP, no se comunicará con el resto de la red.

b) Recibe una IP asignada por el DHCP

Al no tener dirección IP Fija, los equipos realizan una petición DHCP a todos los equipos de la red informando la dirección MAC (dirección física única de la placa de red). Los servidores DHCP que reciben la solicitud responden informando que tienen IP para asignar. El cliente finalmente selecciona uno de los servidores y le informa que acepta la configuración IP que le proporciona.

Cuando el cliente acepta el ofrecimiento, el servidor revisa una lista de dirección MAC que posee para saber si ya existe una reserva para esa placa de red (IP Reservada). Esa IP es asignada únicamente a la MAC correspondiente, por lo cual siempre tendrá la misma IP cada vez que encendamos el equipo sin necesidad de configuración manual.

Si la MAC no tiene reserva, el servidor revisa una lista de direcciones que ha asignado para ver si recientemente se asignó una IP a esa MAC. En caso afirmativo, le asigna la misma IP. Si la MAC es nueva, busca la primer IP libre del rango que tiene para asignar y se la asigna.

Cuando el servidor DHCP no tiene más PC libres, busca la IP más vieja que ya hubiera asignado a otra MAC, pero que actualmente no esté en uso, y se la asigna a esta nueva MAC.

Al terminarse las IP porque todas están reservadas o en uso, el servidor DHCP no entrega más direcciones IP, aunque eso signifique dejar esta PC sin IP. No importa si una IP reservada no está en uso, el servidor no la entregará a otra MAC.

c) Se asigna a sí mismo una dirección.

Cuando todo lo anterior falla acude al direccionamiento APIPA (Automatic Private Internet Protocol Addressing). APIPA asigna una dirección en el rango 169.254.0.1 a 169.254.255.254 con máscara 255.255.0.0. Para buscar una dirección libre, recurre al broadcast de red. Este método puede ser útil solamente en una red muy pequeña. Es importante tener en cuenta que si hay un servidor DHCP en nuestra red y aparece alguna de estas direcciones, seguramente tendremos un problema en la red. El direccionamiento APIPA consulta por servidores DHCP periódicamente, por lo cual si un servidor DHCP se hace presente en la red, el equipo le pide IP y deja de lado el direccionamiento APIPA.

Para aprender más…

¿Que es DHCP? en Microsoft Technet

No More Net Print

2009-09-29T15:00:00.000-03:00

Con todo nuevo sistema operativo hay funcionalidades nuevas, algunas cambian y otras desaparecen. La desaparición no se da de un día para el otro, generalmente está activa por una versión conviviendo con la función que la reemplazará. Cuando empezamos a sumar a nuestra red equipos con nuevos sistemas operativos, debemos lograr que todos funcionen en la forma lo más transparente posible para el usuario.

Con Windows 7 no podemos conectar una impresora con el comando NET PRINT. La nueva forma de hacerlo es con unos scripts de administración de impresoras que están incluidos en el directorio (Fig 1)

C:\Windows\System32\Printing_Admin_Scripts\en-US>

Fig 1

NET PRINT era (o aún es) utilizado para capturar impresoras. Muchos incluimos el comando NET PRINT para capturar las impresoras de los usuarios en el inicio de sesión.

Los scripts ya estaban incluidos en Windows Vista, pero no en Windows XP. Igualmente pueden ser utilizados en Windows XP para capturar impresoras, eliminarlas, seleccionar la impresora predeterminada, etc.

Al ser un archivo .vbs debemos ejecutarlo con el comando cscript tanto en Windows XP, Vista o 7.

Ejemplos:

Capturar una impresora:
cscript prnmngr.vbs -ac -p \\PrintServer\Impresora

Borrar una Impresora:
cscript prnmngr.vbs -d -p \\PrintServer\Impresora

Seleccionar como predeterminada una impresora:
cscript prnmngr.vbs -t -p \\PrintServer\Impresora

Si queremos utilizar Windows 7 en nuestra red, éste es un ejemplo de algunas cosas que deberíamos cambiar antes, para no encontrarnos con problemas después de la implementación.

Para aprender más…
Command-line Reference (Prnmngr.vbs)

Instalación Remota

2009-09-07T10:00:00.000-03:00

En otro artículo hemos visto la forma de utilizar psexec (parte de la suite de pstools) para crear usuarios locales en una PC en forma remota.

Psexec es una herramienta de línea de comando muy útil, configurable con muchas opciones y que nos permite automatizar tareas al poder utilizarla en un script.

Fig 1

Run Remote tiene dos características que me gustaron mucho. La primera es que es muy simple de utilizar: simplemente seleccionamos el programa a ejecutar, algún parámetro si fuera necesario, y tildamos las opciones, olvidándonos de la sintaxis de la línea de comando. La segunda es que en el directorio en donde se instaló Run Remote, queda un archivo denominado “nombredeusuario-RunRemote.log” en donde podemos ver la sintaxis que se utilizó para ejecutar la aplicación, muy útil para reutilizar comandos o personalizarlos.

Para aprender más…

Run Remote

Suite PSTools

RDP Incompatible

2009-08-24T13:00:00.000-03:00

En un intento de acceder por Remote Desktop al equipo de un usuario, nos encontramos con un problema de incompatibilidad de software (Fig 1).

Fig 1

Despues de investigar un poco, encontramos que el problema se debe a que hay una clave en el registro que se incorpora con la instalación de Lotus Notes.

Debemos buscar el REG_SZ con el nombre Ginadll y valor ngina.dll dentro de la clave de registro siguiente:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon

Hay que eliminar el REG_SZ solamente, no hay que eliminar toda la clave.

Aunque existe una advertencia sobre problemas con el cliente Lotus Notes en el equipo, no sé de ningún caso de problemas de funcionamiento después de esta modificación en el registro.

Gracias, Leandro, por la información para resolver este problema.

Adaptador Fantasma

2009-08-10T10:00:00.000-03:00

Cuando cambiamos un adaptador con IP fija de red de un equipo, debemos manualmente volver a configurar la dirección IP. Al realizar la configuración, nos encontramos un mensaje de advertencia (Fig 1).

Fig 1

Aunque el mensaje puede ser ignorado sin ningún problema, nos advierte que le estamos poniendo una dirección IP a una placa de red cuando otra ya tenía la misma IP, pero la otra placa de red no aparece en el Device Manager (Administrador de Dispositivos) porque fue quitada de nuestro sistema.

Para no volver a ver esta advertencia cada vez que configuramos algo en nuestra nueva placa de red, debemos quitar la placa anterior. Sin embargo, la placa no está más en el equipo, se podría decir que sólo su recuerdo, por eso esto se conoce como Adaptador Fantasma.

La forma en que se la puede ver es mediante dos comandos desde un CMD:
Primero: Set devmgr_show_nonpresent_devices=1
Segundo: Start DEVMGMT.MSC

Fig 2

Cuando después del segundo comando se ejecuta el Device Manager, debemos seleccionar “Show hidden devices” en el menú “View” (Fig 2)

En nuestro ejemplo podemos ver cómo aparece el dispositivo fantasma “Intel 21140-Based PCI Fast Ethernet Adapter (Generic)”. Simplemente debemos borrarlo para que la advertencia no se muestre más.

Reconfigurar Outlook

2009-07-27T15:00:00.000-03:00

Cuando realizamos una configuración del Outlook, no tenemos mayores problemas. El usuario no tiene mails aún, ni contactos que quiera preservar. Pero varios motivos nos pueden llevar a tener que realizar una nueva configuración de una cuenta de correo, cuando ya hay información que no se debe perder.

No perder los datos del usuario no es una terea complicada, si tenemos en cuenta en qué parte de la PC está guardada la información que necesitamos conservar.

A) Los archivos PST

En los archivos PST se guardan mails, contactos, elementos de calendario, etc., que son sacados del Servidor de Correo para guardarse localmente. En forma predeterminada se guardan en la ubicación

C:\Users\NOMBREDEUSUARIO\AppData\Local\Microsoft\Outlook

(Para Windows Vista)

C:\Documents and Settings\NOMBREDEUSUARIO\Local Settings\Application Data\Microsoft\Outlook

(Para Windows XP)

Estos archivos pueden estar en otra ubicación, para fijarnos donde debemos seguir los pasos como se muestra en la Figura 1

Figura 1

1ro Botón secundario sobre el archivo PST listando en las carpetas del Mailbox.

2do En el menú que se despliega, seleccionar “Properties for” del PST.

3ro Pulsamos “Advanced” para poder ver donde está ubicado el archivo (Figura 2).

Figura 2

En nuestro ejemplo, el archivo “PST Esteban.pst” está en la carpeta “C:\EMD”

Para conectarlo en nuestra nueva instalación de Outlook, vamos a al menú y seleccionamos:

File-> Open->Outlook Data File

B) Los archivos NK2

En la Figura 3 vemos una característica muy interesante de Outloook. Cuando comenzamos a escribir un nombre, nos sugiere completar el mail.

Figura 3

Esta información está guardada en un archivo con extensión NK2 siempre en el mismo lugar, dependiendo del Sistema Operativo de nuestra PC.

C:\Users\NOMBREDEUSUARIO\AppData\Roaming\Microsoft\Outlook
(Para Windows Vista)

C:\Documents and Settings\NOMBREDEUSUARIO\Application Data\Microsoft\Outlook
(Para Windows XP)

Para utilizar los archives NK2 en la nueva instalación, debemos simplemente copiarlos a la carpeta correspondiente y renombrarlos con el nombre del perfil de Outlook que hemos creado.

Conectarse a un Router Cisco desde Windows Vista

2009-06-15T15:00:00.000-03:00

Con nuestro Windows Vista ya instalado, nos piden realizar una tarea simple en un router. Conectamos el cable de consola (Fig 1), el DB9 al puerto serie de nuestra PC y RJ45 al puerto de consola del router.

Fig 1

Pero cuando en nuestra PC queremos iniciar el Hyperterminal, no lo podemos encontrar. Nuestra preocupación aumenta cuando al intentar agregarlo, éste no está entre las opciones. La solución existe y se llama Putty. Un aplicativo de menos de 512 Kb que puede bajarse de la web en forma gratuita.

Cuando lo ejecutamos (Fig 2) debemos configurar las opciones para puerto serie.

Fig 2

Serial Line: COM1 (o COM2 según donde conectamos el cable)
Speed: 9600
Data Bits: 8
Stop Bits: 1 Parity:
NoneFlow control: Xon/Xoff

Después vamos a la categoría Session (Fig 3) y en “Connection Type” seleccionamos Serial.

Fig 3

Al pulsar “Open” nos conectará al router (Fig 4). Esto sólo nos da acceso al router. Debemos tener los passwords y usuarios para poder realizar laconfiguración en el equipo.

Fig 4

Como Habilitar RDP Remotamente

2009-06-08T13:00:00.000-03:00

Imaginate la siguiente situación: Estás preparando un servidor, como se está haciendo tarde y lo que queda por hacer es simple pero requiere mucho tiempo, te vas a tu casa y esperás terminarlo a la noche conectado por VPN. Por la noche te conectás y obtenés el siguiente mensaje (Fig 1):

Fig 1

En cuanto ves el error, empezás a maldecirte porque te das cuenta de que no habilitaste la opción de RDP en el equipo, que ahora está muy lejos. No hay que entrar en pánico, solo hay que configurar RDP remotamente!Primero abrís un regedit y te conectás al registro de la computadora donde querés habilitar RDP (Fig 2).

Fig 2

Luego navegás hasta la clave
HLM\SYSTEM\CurrentControlSet\Control\Terminal Server

Fig 3

Ahí tenés que buscar el DWORD fDenyTSConnections y ponerlo en 0 (Cero) (Fig 3).Después de eso te conectás con RDP sin problemas. No está de más aclarar que no debe haber un firewall en el medio que nos impida hacer las conexiones y que debemos tener permiso para modificar el registro del servidor.

No solo de Windows vive el Administrador

2009-05-20T13:00:00.000-03:00

Muchas veces nos sucede que llegamos a un nuevo puesto y tenemos un equipo de gente o al menos un compañero que nos transmite todo el conocimiento referente a los equipos: productos instalados, versiones, actualizaciones, etc.

Otras veces no somos tan afortunados y encontramos algunos equipos de los cuales no estamos seguros acerca de qué productos o versiones tienen instaladas.

Vamos a ver cómo fijarnos qué versión de ISA Server, SQL, Exchange y Windows está corriendo en un equipo.

Windows Server

Tal vez sea el más simple de ver. Si ejecutamos el comando “winver” nos muestra información básica del equipo (Fig 1).

Fig 1

En este caso vemos que es
Producto: Windows Server 2003 R2
Edición: Standard
Plataforma: x64
Service Pack: 2

SQL Server

En SQL debemos ejecutar un pequeño Query

SELECT 'SQL Server '
+ CAST(SERVERPROPERTY('productversion') AS VARCHAR) + ' - '
+ CAST(SERVERPROPERTY('productlevel') AS VARCHAR) + ' ('
+ CAST(SERVERPROPERTY('edition') AS VARCHAR) + ')'

Para ejecutarlo, debemos abrir una ventana de ejecución de SQL según el producto que sea, Query Analyzer para SQL 2000 (Fig 2) o Management Studio para SQL 2005 o 2008 (Fig 3).

Fig 2

Producto: SQL Server 2000 (Versión 8)
Edición: Standard
Plataforma: 32 bits
Service Pack: 4

Fig 3

Producto: SQL Server 2005 (Versión 9)
Edición: Enterprise
Plataforma: x64
Service Pack: 3

En Query es igual para SQL 2000, 2005 o 2008.

ISA Server

En ISA Server es un proceso de dos pasos, no sé de otra forma más simple.

En la consola de administración de ISA Server (Fig 4) tenemos que:

Fig 4

1.- Ver las Propiedades sobre el servidor, en este caso llamado isa01
Ahí nos indica la edición de ISA Server.

2.- Sobre “View ISA Server Computer Delails”, hacemos click y nos da la información de la Versión.

La versión nos da información de qué producto y SP está instalado, según la siguiente tabla.

4.0.2161.50 RTM - Final Version
4.0.2163.213 SP1
4.0.2165.594 SP2
4.0.2167.887 SP3
5.0.5720.100 RTM - Final Version
5.0.5720.157 RTM with Exchange Publishing Update
5.0.5721.240 RTM with Supportability Update
5.0.5723.493 Service Pack 1

La versión 4 corresponde a ISA Server 2004 y la versión 5 corresponde a ISA Server 2006

Para nuestro ejemplo:

Producto: ISA Server 2006 (Versión 5)
Edición: Standard
Service Pack: Sin SP

La tabla no está completa, puede darnos otro número si tenemos algún fix en particular aplicado o no, pero, por ejemplo, si tenemos un número entre 4.0.2165.594 y 4.0.2167.887 tenemos ISA Server 2004 con SP 2 y algún fix, pero no con SP3.

Exchange Server

Para Exchange Server, podemos utilizar la consola Exchange System Manager (Fig 5) y ahí podemos ver la información de los equipos

Fig 5

Por ejemplo para el equipo GlobalKEx01:

Producto: Exchange Server 2003 (Versión 6.5)
Edición: Standard
Service Pack: 2

Buscando Archivos

2009-04-30T11:00:00.000-03:00

Que los usuarios tengan una cuota de disco asignada y que tengamos un gran storage casi no tiene importancia ante la realidad de que el espacio de almacenamiento es limitado. Sabemos muy bien que los usuarios guardan documentos que no utilizan desde hace mucho tiempo, documentos obsoletos y archivos que no son necesarios para la empresa.

Si estos documentos quedan guardados en nuestro File Server, además de dejarnos sin espacio, crece el costo de los backups y la ventana necesaria para tomar el respaldo, ya que información estática es respaldada en sucesivos full backups.
Muchas veces me consultaron si podíamos:

A-Borrar/Copiar/Mover archivos que no se modificaron desde cierta fecha.
B-Borrar/Copiar/Mover archivos con un tipo particular de extensión.
C-Borrar/Copiar/Mover archivos creados anteriormente a cierta fecha.
D-Cuánto espacio se ahorraría al mover/borrar estos archivos.

Todas éstas son tareas similares, tareas que se repiten.

Cuando una tarea se vuelve repetitiva, no hay nada mejor que realizar un script para poder automatizarla.
---------------------------------------------------------------------
strDate = "20081231000000.000000+000"
Total=0
strComputer = "."
Set objWMIService = GetObject _
("winmgmts:\\" & strComputer & "\root\cimv2")
Set colFiles = objWMIService.ExecQuery _
("Select * From CIM_DataFile Where CreationDate < '" & strDate & "'")

For Each objFile in colFiles
Wscript.Echo objFile.Name
Total=Total+ objFile.FileSize
Next

wscript.echo Total
---------------------------------------------------------------------
Para ejecutar el script debemos copiar el texto en un Notepad y guardarlo con la extensión .vbs (Yo lo grabé con el nombre Files.vbs), y para ejecutarlo desde una línea de comando debemos ejecutarlo con cscript.

Cuando lo ejecutemos, podremos ver todos los archivos de nuestro equipo que tengan fecha de creación anterior al 31 de Diciembre de 2008, y finalmente el tamaño total de todos esos archivos.

Lo mejor de escribir nuestros propios scripts es que podemos personalizarlos completamente según nuestra necesidad.

Para cambiar la fecha desde la que estamos buscando archivos, debemos modificarla en la siguiente línea.

strDate = "20081231000000.000000+000"

Para indicar si buscamos archivos desde su fecha de creación o última modificación, hay que escribir en la siguiente línea “CreationDate” o “LastModified”.

("Select * From CIM_DataFile Where CreationDate < '" & strDate & "'")

En la misma línea podemos especificar en qué disco realizar la búsqueda, ya que tal como está, busca en todo el equipo. Por ejemplo para indicar solo el disco H:

("Select * From CIM_DataFile Where CreationDate < '" & strDate & "'" & " AND Drive = 'H:'")

Si en lugar de listar los archivos, queremos borrarlos debemos reemplazar .Name por .Delete en la siguiente línea.

Wscript.Echo objFile.Name

Tenemos la opción de agregar ambas líneas y así ver cuales archivos se están borrando.

Wscript.Echo objFile.Name
Wscript.Echo objFile.Delete

Hay que tener cuidado al utilizar la opción de borrar, pero debemos probar sin miedo cualquier otra combinación o modificación.

Para aprender mas...
Scripting Solutions for System Administration
Hey, Scripting Guy Page

Antología de Tips

2009-03-18T14:00:00.000-03:00

Habilitar RDP

Es muy útil poder controlar el equipo sin estar físicamente delante de él. Remote Desktop nos permite realizar esta función. Habilitarlo es muy simple (Fig 1).

Fig 1

Podemos hacerlo desde “My Computer” -> Botón Secundario-> Propiedades y buscamos la solapa “Remote”. Hay que habilitar el RDP en el equipo (“Enable Remote Desktop on this Computer”) y darle permiso a los usuarios que queremos que accedan al equipo (“Select Remote Users…”), si es parte del grupo “Administrators” el usuario ya tiene permisos.

Configurar Velocidad de Red

Fig 2

La velocidad de nuestra placa de red está por default en automática (“Auto”). Esto hace que la placa tenga que negociar la velocidad con el Switch cada vez que quiere transmitir. Colocar una velocidad fija ahorra mucho tiempo ya que la negociación no se realiza, directamente se conecta. Para que esto sea válido hay que especificar la velocidad tanto en el Switch como en la placa, y en ambos casos, debe ser igual velocidad. En la figura 2 se pueden ver las pantallas de configuración a las que tenemos que acceder. Primero vemos las propiedades de la conexión de red (Izquierda) y luego, cuando pulsamos el botón “Configure…”, se nos abre la ventana para seleccionar la velocidad (derecha).

Utilizar toda la memoria

Windows 2003 Server Standard, utiliza solamente hasta 4 Gb de memoria. Las versiones Enterprise y de 64 Bits no tienen este límite en 4 Gb. Igualmente puede suceder que nuestro Sistema no vea los 4 Gb que tenemos instalados (Fig 3). Para que el sistema utilice toda la memoria, hay que indicárselo en un archivo que se llama “Boot.ini” que se encuentra en el raíz del disco C:\. El mismo está oculto y podemos editarlo con un Notepad.

Fig 3

El archivo contiene una línea con un texto similar al siguiente:

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows Server 2003, Standard" /noexecute=optout /fastdetect

Si a esa línea le agregamos “/PAE”, guardamos los cambios y reiniciamos el equipo, se habilita la “Physical Adress Extension” y se utilizará toda la memoria (Fig 4).

Fig 4

Habilitar la Quota de disco.

En los equipos donde muchos usuarios tienen acceso para guardar archivos (como en los File Server), existe el problema de administrar el espacio disponible. Si accedemos a las propiedades de una unidad de disco, una de las solapas se llama “Quota”(Fig 5). Dentro de Quota podemos habilitar el uso de Quota de disco, definir una cuota por default para los nuevos usuarios, establecer un limita máximo, un limite de advertencia, seleccionar si se debe registrar en el log del equipo cuando algún limita se alcanza y un botón “Quota Entries” que nos permite asignar a cada usuario un límite diferente al default.

Fig 5

Para aprender mas...

Tips en el Blog de Daniel Petri

Armando un File Server

2009-02-23T15:00:00.000-02:00

Un File Server es uno de los servicios más básicos de una red: significa poder compartir información entre varias computadoras. La información debe estar protegida contra usuarios no autorizados, disponible para los autorizados y a salvo de posibles fallas en los sistemas. Para lograrlo, debemos considerar cómo configurar carpetas compartidas, controlar el acceso a los archivos, utilizar raid de discos, backup, etc.

A partir de lo que hemos discutido en las entradas anteriores, vamos a trabajar con una simple PC, que utiliza discos SATA, para armar nuestro equipo. Debe tenerse en cuenta que no se trata de la solución ideal, sino de un laboratorio (aunque puede ser válido para una pequeña oficina).
Empezamos por instalar un equipo con Windows Server 2003 Standard.

Luego de lo cual deberemos:

-Asegurarnos de actualizarlo con el último Service Pack y parches.

-Instalar, configurar y actualizar un anti-virus.

-Ponerle al equipo un nombre que sea representativo de su función.

-Verificar que las particiones del equipo tengan formato NTFS.

-Configurar una interface de red con IP fija.

Raid de discos

Una vez que tenemos el equipo funcionando, empezamos por configurar el Raid 1. Como tenemos una simple PC, sólo podemos hacer un RAID por software. Para realizarlo instalamos dos discos rígidos y desde el Disk Manager (Fig 1) convertimos los discos en dynamic (dinámicos). Para lograrlo pulsamos el botón secundario sobre el disco y nos aparece el asistente para convertirlos.

Fig. 1

Tendremos que reiniciar la PC, y después, pulsamos el botón secundario sobre el disco en el que tenemos instalado el Sistema Operativo y seleccionamos “Add Mirror”(Fig 2). Nuevamente aparece un asistente para poder seleccionar qué disco queremos sumar al Raid. Cuando los discos terminen de sincronizar, ya tendremos nuestro Raid 1 funcionando. Recordamos que el Raid 1 hace que dos discos se comporte como uno solo, por lo cual perderemos la mitad de capacidad, pero ante la falla de uno, el otro continúa funcionando, dándonos tiempo para reemplazarlo.

Fig. 2

Creación de carpetas compartidas

Para compartir los recursos, creamos una carpeta y configuramos en ella permisos compartidos (Con permisos Everyone Full Control) y permisos NTFS (a qué usuarios le queremos dar acceso, y el tipo de acceso). Como recomendación, esto lo debemos hacer en una partición distinta de la cual está instalado el Sistema Operativo.

Toma de respaldo

El Raid de discos no reemplaza al backup, por lo que debemos utilizar NTBACKUP (u otro producto de toma de backup) para guardar la información fuera del equipo. Lo mínimo recomendado es realizar un respaldo completo fuera una vez a la semana y realizar diferenciales (o incrementales) el resto de los días. Toda la programación de las tareas de toma de respaldo puede hacerse directamente con NTBACKUP.

Fig. 3

Para tomar respaldo seleccionamos los directorios que nos interesan (Fig 3) y el destino en donde queremos guardar la copia de seguridad. En nuestro ejemplo se ve que despaldamos el directorio "Compartido" con sus subdirectorios y los guardamos en un archivo llamado "Respaldo.bkf" en el servidor "Server2".

Hasta aquí vimos cómo armar un Servidor de Archivos muy básico, en el cual podemos compartir los archivos a varios usuarios, que puede continuar dando servicio, incluso ante la falla de uno de los discos, y con un respaldo en otro equipo que nos permite recuperar la información ante la falla total del equipo original o ante un error humano que borre información útil.
Es importante notar que ante la falla de uno de los discos, los usuarios continúan accediendo a los archivos sin problemas, lo que nos da tiempo de conseguir otro disco y reemplazarlo, sin la presión extra de los usuarios que reclamarían su acceso.

Para aprender más...

Home Page Windows Server 2003

Volver al Futuro

2009-02-17T17:00:00.000-02:00

La línea de comando a la cual podemos acceder mediante “CMD” o “Command” desde nuestro Windows a veces parece cosa del pasado. Sin embargo yo insisto en que es importante aprender a utilizar la línea de comando, porque muchas cosas se pueden hacer mucho más simples y rápidas desde ahí. Con pequeñas secuencias guardadas en un archivo .BAT podemos automatizar tareas repetitivas, lo que no es posible con la interface gráfica.

Aunque Microsoft presentaba interface gráfica en todos sus productos y parecía que los sistemas basados en Unix eran los dueños exclusivos de la línea de comando, desde el 2006, con las primeras ediciones de Exchange Server 2007 se veía venir un cambio de dirección. Exchage Server 2007 es administrable 100% desde línea de comando con la inclusión de Power Shell, un nuevo interpretador que complementa al CMD. En Windows Server 2008 existe una nueva forma de instalar que excluye por completo la interface gráfica, llamada Server Core.
Creo que no queda otra opción más que aprender, o recordar, esos comandos ignorados por quienes empezaron en Sistemas después de 1999.

Para empezar:

dir: Muestra el directorio
cd: Cambiar directorio
rd: Borrar Directorio
md: Crear Directorio
net: Maneja usuarios, grupos, servicios, etc.
ipconfig: Muestra la configuración de IP
ping: Envía una petición a un equipo y espera su respuesta para ver si están conectados entre sí
copy: Copia archivos
move: Mueve archivos
shutdown: Permite apagar el equipo
time: Muestra la hora
date: Muestra la fecha
diskpart: Maneja particiones y volúmenes de los Hard Disk
systeminfo: Muestra información del sistema
driverquery: Muestra Información de Drivers
tasklist: Lista los procesos
taskkill: Cierra un proceso

Nuevos en Vista o 2008
netsh firewall: Para configurar el Firewall
netsh interface: Para configurar la interface de red
whoami: Muestra el usuario autentificado en el equipo

Muchos comandos podemos escribirlos con la opción “/?” para ver un menú de ayuda con las opciones de cómo usarlo.

En el Blog de Ponicke se muestra cómo armar un Server Core con Hyper-V para máquinas virtuales en cluster, todo desde línea de comando! Aunque el concepto puede ser un poco avanzado, hay ejemplos de muchos pasos, cómo configurar la IP de los equipos, subir los equipos al dominio, etc.

Para aprender mas…

Como Armandar un Cluster con Hyper-V en Server Core (Ponicke)

Los permisos NTFS

2009-01-26T15:00:00.000-02:00

Los permisos de Share son necesarios para poder compartir un recurso en un servidor, pero el control verdadero y detallado sobre un recurso lo dan los permisos NTFS. Los permisos NTFS son los que definen el acceso a los recursos de File System. Pueden ser asignados a nivel de disco, directorios o incluso un simple archivo. Para ver los permisos NTFS utilizamos la solapa “Security” en las Propiedades del objeto que deseamos.

Fig 1

En la Figura 1 se ven las propiedades de Seguridad de la carpeta “DATA”. Los usuarios o grupos que tienen permisos sobre el recurso (o tienen negado específicamente el acceso) están listados debajo de “Group Or user names:”, esta lista se llama ACL o lista de control de acceso, por sus siglas en inglés. Más abajo aún podemos ver donde dice “Permissions for Users” el permiso que tiene cada uno de los usuarios listados arriba. En este ejemplo se ve que todos los usuarios del grupo “Users” del equipo “LAB” tienen permiso de “Read & Execute” (Lectura y ejecución), “List Folder Contents” (Listar contenido de directorio) y “Read” (Lectura ) sobre el directorio “Data”.

Con los botones “Add…” y “Remove” podemos agregar o quitar usuarios de la lista, para luego especificar qué permisos queremos darles o quitarles. Hasta aquí es bastante simple, pero falta un tema principal en cuanto a permisos: el concepto de herencia. Si observamos los permisos que tiene el grupo “Users”, vemos que los check box están grisados, esto quiere decir que no se pueden quitar, porque este permiso está heredado de un nivel superior. La herencia es muy práctica, porque si no existiera, a cada nuevo directorio o archivo creado se le deberían asignar permisos. Siguiendo con nuestro ejemplo, cada directorio nuevo o archivo que se crea dentro de la carpeta “DATA” tendrá para el grupo “Users” los mismos permisos que tiene en dicha carpeta, como éste es el caso más común, es el comportamiento por default y no requiere ninguna intervención.

Si por el contrario queremos quitar algún usuario (o grupo) de la lista o cambiar los permisos, deberemos abrir una nueva ventana con el botón “Advanced” como se ve en la Figura 2

Fig 2

Como introducción vamos a indicar las funciones que se encuentran en esta nueva ventana.

Con “Add…”, “Edit...” y “Remove” podemos agregar, quitar o editar los permisos con más opciones que en la solapa anterior.

Los check box nos permiten manejar la herencia. El check de “Allow inheritable permission…” hace que este objeto herede los mismos permisos que su contenedor superior, en nuestro caso el directorio “Data” hereda los permisos del disco X:\ ya que se encuentra en el directorio raíz de dicho volumen. Con “Replace permission entries…” hacemos que los objetos dentro del objeto que estamos configurando, hereden los mismos permisos que modificamos aquí.
La solapa de Owner nos permite tomar propiedad del objeto. Esto es útil por ejemplo para acceder a un directorio de un usuario que abandonó la empresa y su cuenta de usuario fue borrada. También es utilizado cuando estamos cambiando permisos o herencias y nos encontramos con el problema de dejarnos sin permisos a nosotros mismos.

Por suerte es mucho más simple poner todo esto en práctica que intentar aprenderlo de memoria.

Una última aclaración: los permisos NTFS són sólo una parte del NTFS File System.

Para aprender más…

http://nextadmin.blogspot.com/2008/12/share-permissions.html
http://support.microsoft.com/kb/100108
http://technet.microsoft.com/en-us/magazine/2005.11.howitworksntfs.aspx
http://technet.microsoft.com/en-us/library/cc754178.aspx

Share Permissions

2008-12-11T14:00:00.000-02:00

Un rol que no falta en casi ninguna organización por más pequeña que sea es el de un repositorio o File Server. Aunque esté implementado por un Share Point en alta disponibilidad o un sistema operativo de escritorio, compartir archivos es casi lo primero que se busca cuando se crea una red. Si bien los dos casos mencionados arriba son los extremos, vamos a explicar lo que debería ser el caso más habitual hoy: Un File Server con Windows 2003 Server.

Debemos pulsar el botón secundario sobre cualquier directorio que queremos compartir y seleccionar Properties (Propiedades), lo cual nos abrirá varias solapas. Luego debemos elegir Sharing (Compartir). Las opciones son bastante simples (Fig 1):

Fig 1

Primero, dos Option Button que nos permiten optar por compartir (Share This Folder) o no compartir la carpeta (Do not Share This Folder).

Si lo compartimos, el ícono de la carpeta va a cambiar y nos habilitará otras opciones, como el nombre del directorio compartido (Si le agregamos un signo $ al final del nombre, el directorio quedará oculto), y algún comentario que quisiéramos colocar. También podemos seleccionar la cantidad máxima de usuarios concurrentes o dejar lo máximo que permita el sistema operativo.

La ultima configuración a realizar es pulsando el botón Permission (Permisos) (Fig 2) en donde podremos seleccionar qué usuarios se podrán conectar a este recurso compartido y qué podrán hacer en el.

Fig 2

En Windows Server 2003 el permiso predeterminado es el de darle acceso a Everyone (Todos) de sólo lectura. Pero en esta solapa podemos agregar otros usuarios o grupos (Add... ) o quitar alguno (Remove), y a cada uno podemos Permitirle (Allow) o Negarle (Deny) la lectura, cambios o control total sobre la carpeta compartida.

Los permisos que tiene un usuario (o grupo de usuarios) es la sumatoria de todos los permisos. Así, puede tener permisos de lectura por pertenecer a un grupo y de escritura por pertenecer a otro, por lo que sus permisos serán la suma total de éstos. Aún así, hay que tener en cuenta que los permisos de donación toman precedencia, de modo que si tenemos permiso de lectura negado, no importa qué otros permisos tengamos, no podremos leer en esta carpeta.

Una vez configurado un directorio compartido, simplemente accedemos a él con el nombre del servidor en donde se encuentra, más el nombre del directorio. Por ejemplo: si nuestro servidor se llama "Fileserver01" y el directorio compartido es "Data" podemos conectarnos con las siguientes opciones.

Desde Run (Ejecutar)…

\\Fileserver01\Data

Podemos asignar una letra de unidad (por ejemplo la Z:\) a un directorio compartido desde línea de comando…

Net use Z: \\Fileserver01\Data

O podemos utilizar la opción “Map Network Drive…” con el botón secundario sobre el ícono de My Computer (Mi PC) o desde una ventana del Explorador.

Los permisos Share no son muy flexibles y tienen varios puntos en contra:
a-Se pierden si se mueve o renombra el directorio
b-Cuando se hace un backup, no se guarda la información de a quién y con qué permisos está compartido el directorio.
c-No se pueden auditar los permisos de Share

Si nuestro disco está formateado en FAT o FAT32, es la única opción que tenemos para controlar el acceso, pero en el mundo real, los discos de los servidores se formatean con formato NTSF. Los permisos NTFS tienen muchas ventajas y es por eso que los administradores asignan permisos de Everyone con Full Contol a los Share Permission y utilizan Permisos NTFS para el control de acceso. Los permisos NTFS los explicaremos en otro post.

Bye Bye “Run As…”

2008-11-19T11:00:00.000-02:00

La opción de ejecutar un programa como un usuario distinto al que está autenticado en el equipo es algo muy práctico para quienes necesitamos instalar o ejecutar algún programa en otro contexto de usuario. Desde Windows 2000 (XP y 2003 también) existía el comando “runas”, que nos permitía ejecutar como si fuésemos otro usuario. Lamentablemente, en Windows Vista y Windows Server 2008 no tenemos esa posibilidad, y ahora debemos utilizar UAC (User Account Control). UAC se comporta un poco diferente, porque el concepto de Runas y UAC es diferente. En XP podíamos autenticarnos con elevados permisos de administrador y podíamos ejecutar todo sin problemas; ahora con Vista nos autenticamos con permisos de administrador, pero cada vez que necesitamos realmente los permisos de administrador Windows nos pide nuestro consentimiento. Cualquier usuario puede ver si el Firewall está o no activado, pero para cambiar la configuración del Firewall o deshabilitarlo, son necesarios permisos de Administrador, y cada acción en la que es necesario actuar como Administrador está indicada con un escudo (Fig. 1).

Fig. 1

Cuando intentamos realizar cualquiera de estas acciones no muestra un mensaje consultando si realmente queremos ejecutarla. Si en lugar de que solo nos de la opción de continuar o no, queremos que nos consulte por usuario y contraseña, debemos modificar la política del equipo para que realice esta opción (Fig. 2).

1-Ejecutar “Local Security Policy”

2-Explorar “Local Policies”

3-Explorar “Security Options”

Fig. 2

Ahí encontraremos las opciones para cambiar el comportamiento de tres tipos de usuarios.

1-Administrador: Preguntar / No preguntar (Default)
2-Usuarios con privilegios de Administrador: Preguntar (Default) /No preguntar/Pedir Credenciales
3-Otros Usuarios.: Pedir Credenciales (Default) / Negar

Lamentablemente no se de forma alguna para poder ejecutar con permisos de usuarios de menor privilegio o simplemente con otro contexto de usuario que no sea administrador.

Espero que nadie deshabilite UAC y que al menos lo utilice para que siempre pregunte en caso de que una actividad en la cual se necesita permisos de administrador intente ejecutarse en el equipo

Las primeras versiones de Windows 7 que están disponibles muestran que se seguirá con la política del UAC pero con un poco mas de simplicidad en cuanto a la configuración.

Para aprender mas…

http://blogs.technet.com/ponicke/archive/2008/11/04/uac-en-windows-7.aspx
http://technet.microsoft.com/en-us/library/cc709691.aspx

Backup muy básico

2008-11-17T17:00:00.000-02:00

Si bien los equipos productivos deben tener Raid de discos que nos permitan la continuidad de operación ante una falla, nada reemplaza al backup. El backup no sólo nos permite recuperar la información eliminada, sino que también puede devolvernos la operatividad de un sistema o de una red entera. La realización de un backup tiene muchos temas a ser tomados en cuenta; yo sólo voy a enunciar temas básicos en forma muy general .

Es importante saber que existen diferentes tipos de backup que podemos realizar, cada uno tiene beneficios y contras, y generalmente la mejor solución se da combinándolos.

Normal (o Full): Realiza un backup completo de los archivos que seleccionemos. Al copiar todos los archivos, tarda mucho en realizarse, pero si tenemos que realizar una restauración sabremos que en este backup está toda la información en un cierto punto en el tiempo.

Diferencial: Realiza un backup de todos los archivos que fueron modificados o creados desde el ultimo backup Full. Es más rápido de realizar que un back up Normal, pero para realizar un restore hay que extraer información del último backup Normal y del último Diferencial.

Incremental: Realiza un backup de todos los archivos que fueron modificados o creados desde el ultimo backup Incremental o Normal. Es más rápido de realizar que un backup Normal o Diferencial, pero para realizar un restore hay que extraer información del último backup Normal y de todos los incrementales posteriores.

Diario: Respalda todos los archivos modificados o creados en el día.

Copia: Realiza un backup completo de toda la información, pero no podemos utilizarlo como punto de partida para luego tomar un backup Diferencial o Incremental.

Alguien podría preguntar porqué no hacer un backup de todos nuestros archivos regularmente y listo!!! Pero la respuesta es compleja, algunos temas que se debemos tener en cuenta son:

a- Ventana de backup , que es el tiempo al que podremos someter al equipo a una operación de backup sin perjudicar (o perjudicando lo menos posible) su real finalidad. El horario de toma de backup debe ser el momento de menor impacto según la utilización del equipo. Por lo general se realiza por la noche y los fines de semana ya que el equipo sufre degradación de performance mientras una operación de backup esta ejecutándose.

b- Disponibilidad del backup, referido al tiempo máximo que podemos estar sin servicio o esperando una recuperación de un backup . Si perdemos alguna información que tardaremos dos días en reconstruir y el restore de nuestro backup va a tardar 1 semana en realizarse, nuestro backup no nos sirvió de mucho.

c- Frecuencia del Back up, se relaciona con cuán actualizada esta la información que tenemos respaldada. Seguramente deseamos que ante la pérdida de una base de correo, la podamos recuperar lo mas actualizada posible para no perder los últimos mails.

d- Versionado del backup , es la posibilidad de restaurar diferentes versiones de un mismo archivo. Puede surgir necesidad de recuperar información que no necesariamente sea la más reciente.

e- Resguardo seguro del backup , porque de nada sirve realizar un backup , y dejar la cinta en el datacenter, ya que ante alguna eventualidad como un robo o incendio perderemos la información y su respaldo.

f- Integridad del backup , tan importante como realizar un backup es poder realizar un Restore, si no podemos realizar un Restore, de nada nos sirvió realizar el backup .

Con toda esta teoría, para ponernos a realizar el backup (o practicar primero) simplemente debemos ejecutar NTBACKUP.EXE en nuestro Windows XP, Windows 2000 o 2003. (Fig. 1)

Fig. 1

Si bien NTBACKUP es una herramienta básica, nos permite realizar varias acciones como:
-Realizar distintos tipos de backup.
-Programar para que se ejecuten en fecha y hora determinada.
-Ejecutar por línea de comando para tomar respaldo por script.
-Respaldar información de equipos remotos.
-Copiar a Cinta o Disco.

Algo a tener en cuenta es que NTBACKUP no permite realizar respaldo a unidades ópticas (CD o DVD).

Como sugerencias básicas se debe:
-Ejecutar el backup en los horarios de menor utilización del servidor.
-Realizar un backup Normal por semana, seguidos de incrementales o diferenciales.
-Transportar a un lugar remoto la información respaldada.
-Resguardar físicamente las copias de seguridad.
-Etiquetar los medios de respaldo adecuadamente para su identificación.
-Regularmente restorear información para probar que el backup se toma en forma exitosa.

Existen numerosos software de backup, pero NTBACKUP es gratuito y parte del sistema operativo.

Para poder realizar backup de un sistema, hay que ser miembro del grupo de Adminitradores o backup Operators.

Para aprender más...

http://technet.microsoft.com/en-us/library/cc875820.aspx
http://technet.microsoft.com/en-us/magazine/cc160782.aspx
http://support.microsoft.com/kb/814583/en-us

Un server y muchos discos

2008-10-29T19:00:00.000-02:00

En las PCs por lo general tenemos un disco rígido, y aunque existe la posibilidad de tener dos e incluso de crear particiones, es poco probable que tengamos mucho para trabajar con ellos. Prácticamente lo único que tenemos en cuenta es el espacio disponible en la unidad. En los servidores este tema cambia totalmente. Con varios discos podemos formar lo que se llama RAID (Redundant Array of Inexpensive Disks) algo así como “Conjunto redundante de discos baratos”. Con las tecnologías RAID podremos lograr:

1- Mayor capacidad.
2- Mayor velocidad.
3- Tolerancia a fallos.

Probablemente no todo a la vez pero sí alguna característica que se ajuste más a nuestras necesidades.

Hay cuatro tipos de Raid que son los más utilizados: Raid 0, Raid 1, Raid 5 y Raid 1+0.

Raid 0: Aquí los discos físicos son tratados de manera tal que el Sistema Operativo los ve como un único disco. Si tenemos 3 discos de 80 Gb en Raid 0, el sistema operativo ve un disco de 240 Gb.
Ventajas: Es el más rápido, ya que la lectura y escritura se separan en varios discos a la vez.
Desventajas: Si un disco falla, toda la información se pierde.
Cantidad mínima de discos necesarios: dos.

Raid 1: A este tipo de Raid se lo llama también “mirroring” o espejado, ya que cada dato que se graba en un disco, se graba en un segundo disco, que es su espejo.
Ventaja: Si un disco falla, su espejo toma el control y los datos no se pierden.
Desventaja: Los discos deben ponerse de a pares, lo que hace que sea caro de implementar si necesitamos muchos discos.
Cantidad mínima de discos necesarios: Dos, y siempre de a pares.

Raid 5: En un Raid 5, uno de los discos se utiliza para guardar información de paridad del resto de los discos, por lo cual, si un disco falla, la información se reconstruye a medida que es solicitada.
Ventaja: Es el más económico de los Raid ya que un solo disco se utiliza para reemplazar cualquiera de los otros.
Desventaja: Tiene peor performance, ya que la información es guardada, y también es guardada información de paridad. La performance de lectura empeora cuando el Raid tiene un disco defectuoso, ya que debe reconstruir la información consumiendo procesador y memoria del equipo.
Cantidad mínima de discos necesarios: Tres discos.

Raid 1+0: Simplemente es una forma de combinar el Raid 1 y el Raid 0, con lo que pondremos un Raid 0 de varios discos y otro Raid 0 para realizar un espejo del primero.
Ventaja: Performance de escritura y lectura más alta, porque lee y escribe en varios discos a la vez.
Desventaja: Es el más caro de todos los Raid y es difícil de justificar.
Cantidad mínima de discos necesarios: Cuatro discos y siempre de a pares.

Hay algunas otras cosas importantes a tener en cuenta a la hora de seleccionar un Raid:

Posibilidad de expansión: ¿Qué pasa si un Raid 1 de discos nos queda chico y necesitamos más espacio? Debemos ajustarnos al espacio que tenemos o cambiar el Raid de discos. Ante la misma situación en un Raid 5, simplemente podemos agregar otro disco y ampliar el Raid.

Hot Spare: Los Raid 1 y 5 tiene la posibilidad de utilizar lo que se llama Hot Spare. El Hot Spare es un disco que no se utiliza y esta a la espera que algún otro falle para tomar su lugar.

Si utilizamos el Raid por Software, el Sistema Operativo debe ocuparse de controlar el Raid, pero si compramos una placa para realizar Raid por Hardware, el Sistema Operativo sólo verá un disco, sin importar el Raid en el que esté. Por lo tanto, tiene mejor performance un Raid por Hardware.

Dónde poner un Raid 1: Es una buena opción para instalar un sistema operativo.
Dónde poner un Raid 5: La mejor opción para alojar base de datos.
Dónde poner un Raid 0: En un ambiente de laboratorio en donde necesitamos mucho espacio de disco y sólo tenemos unos viejos discos de 18 Gb.
Dónde poner un Raid 1+0: No se me ocurre fácilmente dónde poner un Raid 1+0. Es difícil de justificar.

En un Servidor pueden convivir sin problemas diferentes tipos de Raid, así por ejemplo se puede tener un equipo con cinco discos en el cual:
Dos discos físicos en Raid 1 forman el disco lógico “C:” donde instalamos el S.O.
Tres discos físicos en Raid para guardar la Base de Datos que forman el disco lógico “D:”

Es muy importante tener en cuenta que ningún Raid reemplaza la realización del backup de nuestra información.

Para aprender más...

http://en.wikipedia.org/wiki/Redundant_array_of_independent_disks
http://technet.microsoft.com/en-us/library/cc737048.aspx

¿ Como crear un usuario local en multiples PC ?

2008-10-23T15:00:00.000-02:00

Todas las PC del dominio del lugar en donde trabajo tienen una cuenta de usuario local que pertenece al grupo de Administradores local, como supongo debe estar implementado en todos lados. Recientemente se preparó una imagen con Windows XP y se replicó la misma a 60 computadoras. Después de tener las PCs listas y cuando más de 50 ya estaban siendo utilizadas por los usuarios, la gente de Field Service se acordó de que necesitaba agregar una cuenta local en las 60 PCs (para hacer un update). Si se realizaba con la imagen original, esta cuenta quedaba en todas las PCs, pero ahora el trabajo era largo:

a) Ir PC por PC.

b) Autenticarse con permisos para crear una cuenta local.

c) Crear la cuenta local.

A esto se le suman los posibles errores de tipeo en alguna de las PCs, las molestias a los usuarios o bien la necesidad de realizar esta tarea en horario fuera de trabajo. Entonces recordé que existe una herramienta llamada psexec.exe que permite ejecutar un proceso en un equipo remoto (Si tenemos permisos apropiados y no hay firewall que lo impida).

Creé un directorio llamado "Agregar User", copié la utilidad psexec.exe y el archivo ListaPC.txt con la lista de todas las PCs a las que había que agregar el usuario, y ejecuté dos comandos:

El primero, para crear el usuario denominado "ejemplo", con la password "Pa$$w0rd" en todas las PCs que estaban listadas en el archivo "Lista.txt":

C:\Agregar User>psexec.exe @ListaPC.txt net user ejemplo Pa$$w0rd /add

Una vez que todas las PCs tuvieron el usuario “ejemplo” creado, lo agregamos al grupo Administrators con este otro comando:

C:\Agregar User>psexec.exe @ListaPC.txt net localgroup Administrators ejemplo /add

Psexec.exe es parte de las utilidades de línea de comando de Pstools, desarrollado por Sysinternals y que Microsoft adquirió. Se pueden bajar gratuitamente de la Web de Microsoft y vale la pena conocerlas.

Para aprender más…

http://technet.microsoft.com/en-us/sysinternals/default.aspx

Herramientas Administrativas en Vista

2008-10-15T14:00:00.000-03:00

Después de instalar Windows Vista, comenzamos a instalar todas las herramientas que necesitamos para administrar nuestros servidores. Instalamos el adminpak.msi (que está en todos los Windows 2003 Server en el directorio c:\windows\system32) y cuando intentamos ejecutar alguna herramienta como “Active Directory Users and Computers” nos muestra un error en donde nos indica que el MMC no puede crear el snap in. Para poder utilizar las herramientas administrativas, debemos registrar algunas DLL.

Para simplificar el proceso, hay que copiar el siguiente script en un archivo con extensión .cmd, (por ejemplo RegAdminPack.cmd.)

-----------------------------------------------------

@echo off

set filelist=adprop.dll azroles.dll azroleui.dll ccfg95.dll
set filelist=%filelist% certadm.dll certmmc.dll certpdef.dll certtmpl.dll
set filelist=%filelist% certxds.dll cladmwiz.dll clcfgsrv.dll clnetrex.dll
set filelist=%filelist% cluadmex.dll cluadmmc.dll cmproxy.dll cmroute.dll
set filelist=%filelist% cmutoa.dll cnet16.dll debugex.dll dfscore.dll
set filelist=%filelist% dfsgui.dll dhcpsnap.dll dnsmgr.dll domadmin.dll
set filelist=%filelist% dsadmin.dll dsuiwiz.dll imadmui.dll lrwizdll.dll
set filelist=%filelist% mprsnap.dll msclus.dll mstsmhst.dll mstsmmc.dll
set filelist=%filelist% nntpadm.dll nntpapi.dll nntpsnap.dll ntdsbsrv.dll
set filelist=%filelist% ntfrsapi.dll rasuser.dll rigpsnap.dll rsadmin.dll
set filelist=%filelist% rscommon.dll rsconn.dll rsengps.dll rsjob.dll
set filelist=%filelist% rsservps.dll rsshell.dll rssubps.dll rtrfiltr.dll
set filelist=%filelist% schmmgmt.dll tapisnap.dll tsuserex.dll vsstskex.dll
set filelist=%filelist% w95inf16.dll w95inf32.dll winsevnt.dll winsmon.dll
set filelist=%filelist% winsrpc.dll winssnap.dll ws03res.dll

for %%i in (%filelist%) do (
echo Registering %%i ...
regsvr32 /s %%i
)

echo.
Echo Command Completed

-----------------------------------------------------

Lo debemos ejecutar en un CMD con permisos de Administrador en nuestro Vista, como muestra la figura (Fig 1)

Fig 1

Después de ejecutar el script que creamos con los permisos apropiados, éste registrará todas las DLL necesarias y podremos utilizar las herramientas para administrar nuestros equipos con Windows Server 2003 o Windows 2000 Server desde nuestro Windows Vista.

Existen algunos problemas menores que ocurren al utilizar las herramientas de administración de AD para Windows 2000/2003 desde Windows Vista que están documentados en el KB930056 de Microsoft.

Otra opción es tener un equipo (virtual o físico) con Windows XP, donde podremos poner todas las herramientas que utilicemos. (AD, SQL, Exchange, ISA, etc).

Para aprender más…

http://support.microsoft.com/kb/930056/en-us

Remote Desktop

2008-10-01T12:00:00.001-03:00

La administración remota de un equipo es una facilidad para nuestro trabajo cuando necesitamos realizar tareas en una computadora que no tenemos cerca. Tanto Windows Server 2003, como Windows XP, Windows 2000 Server, Windows Vista o Windows Server 2008 nos permiten conectarnos remotamente con Remote Desktop 0 RDP. Al ejecutarlo (mstsc.exe) nos consulta a qué equipo queremos conectarnos (Fig 1).

Fig 1

Podemos conectarnos por dirección IP o nombre de equipo, y si el equipo está habilitado para recibir conexiones remotas (y no hay un firewall que nos bloquee), se va a mostrar la pantalla de autentificación para que pongamos nombre de usuario y contraseña, dependiendo de cada sistema operativo al que nos queremos conectar.

Sin embargo podemos encontrar algunos inconvenientes , los dos problemas mas comunes son:

a) El número de conexiones remotas es limitado (Fig 2). Sólo podemos tener hasta dos conexiones remotas en el equipo, y si alguna otra persona las está usando o se olvidó de cerrar su sesión de usuario, es posible que se termine el cupo permitido.

b) Algunos programas sólo son accesibles por consola (Si nos sentamos en el equipo con teclado y mouse). Por ejemplo, si queremos ver un equipo que tiene Microsoft Virtual Server 2005, ya que por RDP no podemos ver la web de administración, o si queremos conectarnos a un servidor de IBM Lotus Domino, el cual no nos muestra la pantalla donde está la actividad del server.

Fig 2

Para remediar estos dos casos, hay una opción que nos puede evitar tener que ir hasta el equipo. Al ejecultar "mstsc /console" nos habilita una conexión directamente a la consola. Esto nos habilita una tercera conexión y su comportamiento es igual que si estuviéramos sentados frente a la computadora. La desventaja es que esta conexión es compartida, y si hay un usuario trabajando en la computadora, nos lo advierte (Fig 3) y nos da la opción de desconectarlo.

Fig 3

La opción /console no está disponible en RDP v6, si tenemos la version 6 hay que ejecutar "mstsc /admin". Esta nueva versión puede descargarse para usarse en Windows Server 2003 y Windows XP, en Windows Vista y Windows Server 2008 ya está incluida.

Para aprender más...

http://es.wikipedia.org/wiki/Remote_Desktop_Protocol

http://www.microsoft.com/windowsxp/using/mobility/rdfaq.mspx

Instalación simplificada de Office 2007

2008-09-16T13:00:00.000-03:00

Instalar un paquete de software de oficina no es nada complicado. Por ejemplo, con Office 2007 (casi igual que con 2003) debemos tener un origen de datos (CD, DVD, Imagen ISO o Directorio Compartido), una clave de producto, permisos para instalar software, saber qué opciones elegir y algo de tiempo. El problema es que cuando en lugar de una instalación debemos hacer diez, el tiempo necesario aumenta y peor aún si son cien. Una buena idea es realizar un archivo .MSP que nos permite simplificar las cosas. Para crearlo, debemos abrir una consola de comandos, acceder a la ubicación en donde está el archivo de instalación y ejecutar "setup.exe /admin". (Fig 1)

Fig 1

Luego de ejecutar este comando, nos aparecerá una pantalla en la cual podemos seleccionar un archivo .MSP existente o crear uno nuevo.

Fig 2

Despues de la selección, nos muestra una pantalla (Fig 2) donde podemos configurar muchas opciones. Tal vez las más interesantes son "Establecer los estados de instalación de las características" en donde podemos seleccionar qué opciones se instalarán de cada componente de Office y "Licencia e interfaz de usuario", en donde podemos escribir la clave del producto (la cual queda oculta) y seleccionar la forma en que mostrará el progreso de la instalación.

Cuando terminamos con nuestra personalización, simplemente podemos grabar el archivo resultante dentro de la carpeta "UPDATES" de nuestro Office 2007. De esta manera, cuando ejecutemos el setup, realizará la instalación tal como la hemos seleccionado.Si creamos un CD en el que agregamos este archivo en la carpeta "UPDATES" del propio CD, para instalar el Office solo debemos insertar el medio óptico en la lectora y esperar a que la instalación termine. Hay que recordar que se debe estar autenticado con un usuario con permisos para instalar programas en la PC.

Para aprender más...
http://technet.microsoft.com/en-us/library/cc179097.aspx

¿ Dónde guardar los mails ?

2008-09-08T12:00:00.000-03:00

En cada implementación de Exchange, siempre hay un tema complicado: ¿dónde guardar los mails que no entran en el Server? Sean 100 Mb o 1 Gb, siempre el espacio es menos de lo que el usuario desearía tener. Por suerte existe una forma de guardar los mails fuera del servidor, los archivos PST. En versiones previas a Outlook 2003, estos archivos tenían un limite de 2Gb, pero desde Outlook 2003 se cambió esta limitación y ahora podemos tener archivos de 20 Gb. Pero estos nuevos archivos nos traen nuevos problemas:

Como no están en el servidor, no son respaldados como parte del backup que respalda la información del servidor.

No pueden ser accedidos mediante OWA (Outlook Web Access), ya que el OWA sólo trae los mails del servidor.

Algunos tienen la idea de guardar estos archivos en una ubicación de red para que así se los respalde al igual que los archivos de Word o Excel que están en el File Server. Ésta es una muy mala idea, ya que tal práctica no esta soportada por Microsoft y puede traer más de un dolor de cabeza, corrompiendo la información de los PST, bajando la performance de la red y causando que las desktop dejen de responder.

Todos conocemos el riesgo de no tener backup de nuestros mails, así que una opción es utilizar un complemento de Outlook que se llama”Personal Folders Backup”, el mismo se puede descargar de Microsoft y es para Outlook 2007, 2003 y 2002.

Figura 1

Este complemente nos agrega una opción que podemos ver en la figura y se llama "Backup..." (Fig 1). Si la seleccionamos, tendremos la posibilidad de ingresar a las opciones (Fig 2)en donde podemos personalizar nuestras preferencias tales como con qué frecuencia nos recuerde hacer backup, hacerlo en forma automática, a qué ubicación hacer el respaldo o cuáles PST queremos respaldar, por si tenemos más de uno.

Figura 2

Ya tenemos los mails fuera del server, respaldados y con mucho espacio disponible. Ahora nos falta acceder a los mismos desde cualquier lugar, pero lamentablemente, el OWA solo nos muestra los mails que estan en el servidor. Una opción puede ser utilizar PSTWay, una herramienta que nos permite utilizar PST en nuestro OWA. Como esta herramiente requiere instalación en el servidor de Exchange, no voy a explicar en esta nota mucho mas, simplemente sepan de su utilidad y las posibilidades que existen.

Para aprender más…

http://en.wikipedia.org/wiki/Outlook_Web_Access
http://support.microsoft.com/kb/297019/en-us
http://support.microsoft.com/kb/238782/en-us

http://www.everywherenetworks.com/owa-pstway.php

Problemas al subir PC al Dominio

2008-09-04T09:30:00.001-03:00

Una de las preguntas que he recibido de la gente de soporte es "Por qué no puedo subir la PC al dominio?". Hay más de una respuesta a este interrogante:

No tenés permisos
No tenés red
El sistema operativo no soporta unirse a un dominio

Cada respuesta abre más opciones:

a) Sin permisos suficientes, no se puede realizar ninguna acción. Para unir un equipo a un dominio necesitas dos permisos:

En el equipo local: Permisos de Administrador
En el Dominio: Permisos para unir un equipo

Si antes podías unir equipos y ahora no, el problema también se abre en varias partes:

Antes tenías permisos y ahora no (A la cuenta que estás usando para unir el equipo al Dominio le sacaron el permiso que tenía o no tenés permiso en el equipo local).
Tenías permisos para unir equipos específicos al dominio (En las PC que antes uniste te habían asignado permisos específicamente para unirlas al dominio).
Se agotó la cuota de equipos que podes subir al dominio (Por default podés unir 10 equipos a un dominio).

b) Para unirte al dominio necesitás estar conectado. Comprobá que tenés la red configurada correctamente antes de unirte al dominio.
Chequear: Dirección IP, Máscara de Subred, DNS, WIN, Default Getway.
Podés utilizar el comando PING para probar si tenés conexión con el dominio.

c) No podés unir cualquier equipo a un dominio.

En la página de Microsoft dice claramente una de las limitaciones de la versión Home de Windows XP: “Warning. Computers running Windows XP Home Edition cannot join corporate domains. For this reason, features that require machine accounts within a domain, such as Group Policy, are not available in Windows XP Home Edition.”

Todas estas situaciones me han pasado más de una vez.

Para aprender más...

http://technet.microsoft.com/en-us/library/bb457127.aspx#EBAA
http://es.wikipedia.org/wiki/Ping

http://support.microsoft.com/kb/887212/en-us

http://support.microsoft.com/kb/929543/en-us