Evento de VLans & Network en el MUG

El Miércoles 16 de diciembre de 2015, de 18:30 a 21:00 hs, en el Auditorio del MUG, Rivadavia 1479  Primer Piso "A", Buenos Aires. Vamos a estar con Rodrigo De Los Santos para ver administración de redes separadas dentro de VLANs, especialmente como configurar un switch para poder utilizar múltiples segmentos en conjunto con Windows Server sin que entren en conflicto.

El evento es gratuito y puede registrarse en este link.

Cambiar configuracion TCP/IP con un usuario no Administrador

Mi amigo Mariano me consultó si me era posible ayudar a resolver el siguiente planteo:

"Hay muchos usuarios que trabajan como consultores en diferentes empresas, algunos necesitan cambiar la configuración TCP/IP de sus equipos cuando se conectan en las redes de las otras empresas, pero ninguno es administrador local de su equipo. ¿Se puede permitir a usuarios que no son administradores cambiar la configuración TCP/IP? ".

La respuesta fácil es "Si, se puede" pero me pareció más interesante dar la respuesta completa.

Para equipos con Windows 7, es posible incluir a los usuarios en el grupo "Network Configuration Operators", lo que les dará la posibilidad de cambiar las configuraciones de red pero sin la necesidad de ser administradores del equipo. Claro que para configurar muchos equipos, debemos utilizar GPOs. Comenzamos creando dos grupos de seguridad en nuestro AD (Figura 1). Uno de ellos lo usamos para administrar los usuarios que queremos que tengan derecho de cambiar la configuración de red y el otro para administrar los equipos sobre los cuales se va a poder realizar este cambio.

Figura 1

Luego creamos una GPO que configuramos para que actualice el grupo "Network configuation Operators (built-in)" con el grupo de usuarios que queremos que modifique la configuración de TCP/IP (Figura 2) (Computer Configuration-->Preferences-->Control Panel Settings-->Local Users and Groups).

Figura 2

En la GPO, cambiamos los Security Filtering (Figura 3) en donde quitamos "Authenticated Users" y agregamos al grupo de seguridad que incluye los equipos en donde queremos que se pueda realizar el cambio de configuración. Esta configuración, nos va a aplicar la GPO solo en esos equipos y no en todos los de la OU.

Figura 3

Cuando un usuario quiera cambiar la configuración TCP/IP de un equipo, el UAC va a pedir credenciales para poder hacer este cambio. Si el usuario y el equipo en donde está realizando la acción están incluidos en los grupos de seguridad que creamos previamente, solo debe introducir sus propias credenciales (Figura 4).

Figura 4

Realizar todas estas configuraciones es recomendable, que ya no queremos que todos los usuarios puedan cambiar la configuracion TCP/IP de cualquier equipo de la red. De igual manera tampoco queremos tener que realizar la configuración manualmente equipo por equipo.

Adicionalmente, podemos realizar otras restricciones sobre que pueden hacer los “Network Configuration Operators” (Figura 5) si no queremos, por ejemplo, que accedan a las configuraciones avanzadas de TCP/IP (User Configuration-->Policies-->Administrative Templates-->Network-->Network Connections).

Mi reino por una IP

No importa la marca o el sistema operativo que utilice, cualquier PC que quiera conectarse a Internet necesita una dirección IP. Pero las direcciones IP no se utilizan sólo para Internet: hoy casi cualquier red es una red IP. Desde dos computadoras hogareñas conectadas por un cable, hasta cientos (o miles) de computadoras (impresoras, routers u otros dispositivos) que son parte de una red corporativa.

Cuando los equipos son pocos, por lo general es suficiente con asignar los números de IP en forma manual, pero cuando hay muchos equipos es necesario automatizar la tarea. El servicio utilizado para asignar IP de forma dinámica es el DHCP (Dynamic Host Configuration Protocol). El servicio se apoya en clientes DHCP y un servidor DHCP (pueden ser varios por cuestiones de alta disponibilidad).

Un cliente puede tomar dirección IP de varias formas.

a) Tiene IP fija configurada en su placa de red.
La primera verificación que realiza un dispositivo que necesita dirección IP es ver si tiene configurada una manualmente (IP Fija). Configurar una dirección IP manual deshabilita la posibilidad de obtener una dirección por otro método. Esta forma de asignar direcciones no realiza ninguna verificación sobre dónde está conectado el equipo, por lo que si tenemos un equipo con una IP Fija y lo movemos a otra red, aunque éste tenga dirección IP, no se comunicará con el resto de la red.

b) Recibe una IP asignada por el DHCP

Al no tener dirección IP Fija, los equipos realizan una petición DHCP a todos los equipos de la red informando la dirección MAC (dirección física única de la placa de red). Los servidores DHCP que reciben la solicitud responden informando que tienen IP para asignar. El cliente finalmente selecciona uno de los servidores y le informa que acepta la configuración IP que le proporciona.

Cuando el cliente acepta el ofrecimiento, el servidor revisa una lista de dirección MAC que posee para saber si ya existe una reserva para esa placa de red (IP Reservada). Esa IP es asignada únicamente a la MAC correspondiente, por lo cual siempre tendrá la misma IP cada vez que encendamos el equipo sin necesidad de configuración manual.

Si la MAC no tiene reserva, el servidor revisa una lista de direcciones que ha asignado para ver si recientemente se asignó una IP a esa MAC. En caso afirmativo, le asigna la misma IP. Si la MAC es nueva, busca la primer IP libre del rango que tiene para asignar y se la asigna.

Cuando el servidor DHCP no tiene más PC libres, busca la IP más vieja que ya hubiera asignado a otra MAC, pero que actualmente no esté en uso, y se la asigna a esta nueva MAC.

Al terminarse las IP porque todas están reservadas o en uso, el servidor DHCP no entrega más direcciones IP, aunque eso signifique dejar esta PC sin IP. No importa si una IP reservada no está en uso, el servidor no la entregará a otra MAC.

c) Se asigna a sí mismo una dirección.

Cuando todo lo anterior falla acude al direccionamiento APIPA (Automatic Private Internet Protocol Addressing). APIPA asigna una dirección en el rango 169.254.0.1 a 169.254.255.254 con máscara 255.255.0.0. Para buscar una dirección libre, recurre al broadcast de red. Este método puede ser útil solamente en una red muy pequeña. Es importante tener en cuenta que si hay un servidor DHCP en nuestra red y aparece alguna de estas direcciones, seguramente tendremos un problema en la red. El direccionamiento APIPA consulta por servidores DHCP periódicamente, por lo cual si un servidor DHCP se hace presente en la red, el equipo le pide IP y deja de lado el direccionamiento APIPA.

Para aprender más…

¿Que es DHCP? en Microsoft Technet

Adaptador Fantasma

Cuando cambiamos un adaptador con IP fija de red de un equipo, debemos manualmente volver a configurar la dirección IP. Al realizar la configuración, nos encontramos un mensaje de advertencia (Fig 1).

Fig 1

Aunque el mensaje puede ser ignorado sin ningún problema, nos advierte que le estamos poniendo una dirección IP a una placa de red cuando otra ya tenía la misma IP, pero la otra placa de red no aparece en el Device Manager (Administrador de Dispositivos) porque fue quitada de nuestro sistema.

Para no volver a ver esta advertencia cada vez que configuramos algo en nuestra nueva placa de red, debemos quitar la placa anterior. Sin embargo, la placa no está más en el equipo, se podría decir que sólo su recuerdo, por eso esto se conoce como Adaptador Fantasma.

La forma en que se la puede ver es mediante dos comandos desde un CMD:
Primero: Set devmgr_show_nonpresent_devices=1
Segundo: Start DEVMGMT.MSC

Fig 2

Cuando después del segundo comando se ejecuta el Device Manager, debemos seleccionar “Show hidden devices” en el menú “View” (Fig 2)

En nuestro ejemplo podemos ver cómo aparece el dispositivo fantasma “Intel 21140-Based PCI Fast Ethernet Adapter (Generic)”. Simplemente debemos borrarlo para que la advertencia no se muestre más.

Conectarse a un Router Cisco desde Windows Vista

Con nuestro Windows Vista ya instalado, nos piden realizar una tarea simple en un router. Conectamos el cable de consola (Fig 1), el DB9 al puerto serie de nuestra PC y RJ45 al puerto de consola del router.

Fig 1

Pero cuando en nuestra PC queremos iniciar el Hyperterminal, no lo podemos encontrar. Nuestra preocupación aumenta cuando al intentar agregarlo, éste no está entre las opciones. La solución existe y se llama Putty. Un aplicativo de menos de 512 Kb que puede bajarse de la web en forma gratuita.

Cuando lo ejecutamos (Fig 2) debemos configurar las opciones para puerto serie.

Fig 2

Serial Line: COM1 (o COM2 según donde conectamos el cable)
Speed: 9600
Data Bits: 8
Stop Bits: 1 Parity:
NoneFlow control: Xon/Xoff

Después vamos a la categoría Session (Fig 3) y en “Connection Type” seleccionamos Serial.

Fig 3

Al pulsar “Open” nos conectará al router (Fig 4). Esto sólo nos da acceso al router. Debemos tener los passwords y usuarios para poder realizar laconfiguración en el equipo.

Fig 4

Antología de Tips

Habilitar RDP

Es muy útil poder controlar el equipo sin estar físicamente delante de él. Remote Desktop nos permite realizar esta función. Habilitarlo es muy simple (Fig 1).

Fig 1

Podemos hacerlo desde “My Computer” -> Botón Secundario-> Propiedades y buscamos la solapa “Remote”. Hay que habilitar el RDP en el equipo (“Enable Remote Desktop on this Computer”) y darle permiso a los usuarios que queremos que accedan al equipo (“Select Remote Users…”), si es parte del grupo “Administrators” el usuario ya tiene permisos.

Configurar Velocidad de Red

Fig 2

La velocidad de nuestra placa de red está por default en automática (“Auto”). Esto hace que la placa tenga que negociar la velocidad con el Switch cada vez que quiere transmitir. Colocar una velocidad fija ahorra mucho tiempo ya que la negociación no se realiza, directamente se conecta. Para que esto sea válido hay que especificar la velocidad tanto en el Switch como en la placa, y en ambos casos, debe ser igual velocidad. En la figura 2 se pueden ver las pantallas de configuración a las que tenemos que acceder. Primero vemos las propiedades de la conexión de red (Izquierda) y luego, cuando pulsamos el botón “Configure…”, se nos abre la ventana para seleccionar la velocidad (derecha).

Utilizar toda la memoria

Windows 2003 Server Standard, utiliza solamente hasta 4 Gb de memoria. Las versiones Enterprise y de 64 Bits no tienen este límite en 4 Gb. Igualmente puede suceder que nuestro Sistema no vea los 4 Gb que tenemos instalados (Fig 3). Para que el sistema utilice toda la memoria, hay que indicárselo en un archivo que se llama “Boot.ini” que se encuentra en el raíz del disco C:\. El mismo está oculto y podemos editarlo con un Notepad.

Fig 3

El archivo contiene una línea con un texto similar al siguiente:

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows Server 2003, Standard" /noexecute=optout /fastdetect

Si a esa línea le agregamos “/PAE”, guardamos los cambios y reiniciamos el equipo, se habilita la “Physical Adress Extension” y se utilizará toda la memoria (Fig 4).

Fig 4

Habilitar la Quota de disco.

En los equipos donde muchos usuarios tienen acceso para guardar archivos (como en los File Server), existe el problema de administrar el espacio disponible. Si accedemos a las propiedades de una unidad de disco, una de las solapas se llama “Quota”(Fig 5). Dentro de Quota podemos habilitar el uso de Quota de disco, definir una cuota por default para los nuevos usuarios, establecer un limita máximo, un limite de advertencia, seleccionar si se debe registrar en el log del equipo cuando algún limita se alcanza y un botón “Quota Entries” que nos permite asignar a cada usuario un límite diferente al default.

Fig 5

Para aprender mas...

Tips en el Blog de Daniel Petri