Capítulo 5
Redes en Windows NT
5.1 Introducción a Windows NT
Windows NT es un sistema operativo de servidor y como tal tiene una serie de características que lo distinguen de los sistemas operativos domésticos como pueda ser Windows 98 o Windows Me. Windows NT ha evolucionado en Windows 2000 y Windows 2000 en Windows XP. Sin embargo y a pesar de su antigüedad, NT se sigue utilizando en un elevado número de empresas. La razón es sencilla: los cambios de sistemas en las empresas pueden acarrear consecuencias imprevistas. ¿Qué administrador de red se arriesga a cambiar un sistema NT que cumple perfectamente con sus funciones por un sistema nuevo en el que todavía no tiene confianza? Esto explica el que las empresas siempre vayan retrasadas respecto al mercado. Windows NT sigue teniendo una elevada implantación en servidores. Veamos algunas características destacadas:
Windows NT tiene una versión diseñada para los puestos de trabajo (Windows NT Workstation) y una familia de versiones para trabajar en los servidores (Windows NT Server). En este Capítulo estudiamos las versiones de servidor de Windows NT. El estudio de la versión Workstation queda fuera de las pretensiones del Curso: en su lugar hemos estudiado Windows 98 como cliente de red.
5.2 Instalación de Windows NT
(No disponible)
5.3 Creación de un servidor de usuarios y archivos
La mayor parte de las empresas necesitan uno o más servidores de usuarios y archivos. Windows NT incorpora las herramientas necesarias para que la configuración de estos servicios se realice cómodamente.
Un servidor de usuarios es aquella máquina que valida a los usuarios de la red cuando escriben su nombre de usuario y contraseña al iniciar sesión. Si el nombre de usuario y contraseña escritos por el usuario no son reconocidos por el servidor de usuarios, no se le permitirá acceder a los recursos en red. En Windows NT esta máquina recibe el nombre de Controlador principal de dominio. Los usuarios de la red se dice que inician sesión en el dominio del servidor (tienen que haber sido dados de alta previamente en el servidor como usuarios del dominio). El administrador de la red se encarga de la gestión de usuarios: altas, bajas, cambios de contraseña, etc.
Un servidor de archivos es la máquina que contiene los archivos privados de cada usuario, los de su grupo de trabajo y los archivos públicos de la red. En realidad, se trata de una colección de carpetas compartidas pero con distintos permisos de acceso. El administrador de la red debe preocuparse de establecer los permisos de acceso correctamente y de realizar las pertinentes copias de seguridad.
Las tareas de servidor de usuarios y archivos puede realizarlas una misma máquina Windows NT Server o bien, distintas máquinas. Incluso, puede haber varios servidores de usuarios y varios servidores de archivos según las dimensiones de la red. En este apartado nos centraremos en el primer caso: un solo ordenador realiza ambas tareas.
Gestión de usuarios. Grupos globales y locales
Cada usuario de la red necesita un nombre de usuario y contraseña para iniciar sesión en el dominio desde su puesto de trabajo. Estos dos datos se establecen en el servidor de usuarios (Controlador principal de dominio). La gestión de usuarios se realiza desde el programa Administrador de usuarios que se encuentra en Menú Inicio / Programas / Herramientas administrativas. La siguiente ventana muestra los campos que se deben introducir para el alta de un nuevo usuario. Únicamente son obligatorios el nombre de usuario y la contraseña, la cual hay que escribirla dos veces a modo de confirmación.
Los puestos de trabajo (Windows 98) se deben configurar para que inicien sesión en el dominio de Windows NT que hemos configurado según se explica en el apartado Contraseña de red Microsoft y contraseña de Windows. El nombre del dominio es el que hemos indicado durante la instalación de Windows NT (se puede consultar en las propiedades de Entorno de red, pestaña Identificación) y es distinto al nombre del servidor.
Después de la instalación de Windows NT, hay varios usuarios que aparecen ya creados en el Administrador de usuarios:
Si bien es cierto que a cada usuario se le pueden asignar individualmente permisos distintos, no suele ser lo más práctico. En su lugar, se crean grupos de usuarios que comparten los mismos privilegios (por ejemplo, todos los usuarios de un mismo departamento de la empresa). La gestión de permisos se simplifica considerablemente de esta forma.
Un grupo es un conjunto de usuarios con los mismos privilegios. Un grupo puede ser de dos tipos:
). Puede contener usuarios de un mismo dominio.
Por ejemplo, el grupo "Admins. del dominio" (ver imagen superior).
). Puede contener grupos globales y usuarios de distintos
dominios. Por ejemplo, el grupo "Administradores".La norma habitual es crear dos grupos de usuarios (uno global y otro local) para cada agrupación de usuarios que deseemos crear. Procederemos de la siguiente forma:
Los usuarios nuevos que creemos deben pertenecer siempre al grupo global predeterminado "usuarios del dominio", aunque pueden pertenecer además a otros grupos globales que nosotros creemos.
Veamos un ejemplo: Los usuarios de la red María, Pablo e Isabel son alumnos y necesitan tener una carpeta en el servidor que les permita realizar sus prácticas:
Si más adelante necesitamos dar de alta a algún alumno nuevo, bastará con incluirlo en el grupo global "alumnos del dominio" y automáticamente tendrá los mismos permisos de acceso que el resto de alumnos (podrá acceder a la carpeta "practicas").
En el siguiente ejemplo vamos a crear un mayor número de grupos. Supongamos que tenemos dos grupos de alumnos: unos que asisten a clase por la mañana y otros que lo hacen por la tarde. Cada grupo tendrá una carpeta distinta para almacenar sus prácticas. Estará disponible, además, una carpeta común para ambos grupos de alumnos. Finalmente, crearemos una carpeta pública que sea accesible no sólo por los alumnos sino también por el resto de usuarios del dominio.
Creación de carpetas para usuarios y grupos
Una vez que hemos creado los usuarios, grupos globales y locales es el momento de diseñar una estructura de carpetas en el servidor para que los usuarios de la red puedan almacenar sus archivos privados y compartir documentos con otros usuarios. En los ejemplos anteriores ya hemos introducido el concepto de carpetas de grupos; sin embargo, ahora vamos a verlo con más detalle.
Las necesidades de almacenamiento de archivos en una red se suelen reducir a tres tipos de carpetas para cada usuario:
¿Cómo organizar las carpetas en el disco duro del servidor? Es recomendable que se almacenen en una partición NTFS para disponer de seguridad. Las particiones FAT no son las más indicadas puesto que no permiten la configuración de permisos locales de acceso aunque sí permisos a la hora de compartir carpetas en la red. Este punto lo estudiaremos detenidamente más abajo.
A continuación se muestra un ejemplo de organización del disco duro del servidor que trata de diferenciar las carpetas de usuarios, grupos y pública.
Las únicas carpetas que se comparten son las del último nivel (nunca las carpetas "compartir", "usuarios" o "grupos"); en concreto, las carpetas "alumnos", "mañanas", "tardes", "publico", "aladino", "fulanito" y "menganito". Cada una de estas carpetas tendrá unos permisos de acceso distintos. Lo habitual es dar permiso de control total al propietario de la carpeta (ya sea el usuario o un grupo local) en Compartir y control total a todos en Seguridad. En el caso de la carpeta "publico" daremos control total al grupo "usuarios" en Compartir. Los permisos se asignan accediendo a las propiedades de la carpeta. Obsérvese que las pestañas Compartir y Seguridad pueden tener permisos distintos. Veamos cómo quedarían los permisos de la carpeta "alumnos". Podemos seguir este mismo esquema para el resto de carpetas.
Diferencia entre los permisos de Compartir y de Seguridad
¿Qué permisos necesitamos?
Forma de proceder:
Los archivos de inicio de sesión son una serie de comandos que se ejecutan cada vez que un usuario inicia sesión en su puesto de trabajo. Su mayor utilidad es la conexión a las unidades de red del usuario. De esta forma conseguimos que cada usuario vea siempre sus unidades de red independientemente del puesto (Windows 98) en el que inicie sesión (carpeta del usuario (U:), carpeta del grupo (G:) y carpeta pública (P:)) evitándole la incómoda tarea de buscar los recursos compartidos sobre los que tiene permisos en Entorno de red.
Los archivos de inicio de sesión se almacenan en la carpeta \winnt\System32\Repl\Import\Scripts del servidor. Para cada usuario crearemos un archivo de inicio de sesión (script) distinto. Estos archivos siguen la sintaxis de los archivos por lotes de MS-DOS. Se pueden crear con cualquier editor de textos, incluido el Bloc de notas. El siguiente script para el usuario menganito se puede utilizar como esquema (lo llamaremos "menganito.bat"):
@echo off
echo **************************************
echo Hola Menganito, bienvenido a Minerva
echo Espera unos instantes, por favor...
echo **************************************
echo.
net use u: \\minerva\menganito
net use g: \\minerva\tardes
net use p: \\minerva\publico
En el ejemplo anterior, "minerva" es el nombre del servidor y "menganito", "tardes" y "publico", recursos compartidos del servidor "minerva". Este archivo generará en Mi PC las unidades de red U:, G: y P: según se indica en el script, cada vez que el usuario Menganito inicie sesión en cualquier Windows 98 de la red.
Una vez creados los archivos de inicio de sesión tenemos que asociar cada uno de ellos a cada usuario. Esto se realiza escribiendo el nombre del script en el cuadro Archivo de comandos de inicio de sesión de las propiedades de cada usuario del Administrador de usuarios (botón Perfil), según se muestra en la siguiente imagen:
5.4 Relaciones de confianza entre dominios
Hasta ahora no hemos dado una definición formal de dominio; sin embargo, hemos tenido la noción intuitiva de que un dominio es la estructura de recursos y usuarios que utilizan las redes de Windows NT. Podemos definir dominio como una colección de equipos que comparten una base de datos de directorio común (SAM). Cada usuario tiene que validarse en el dominio para poder acceder a sus recursos mediante un nombre de usuario y contraseña que le asignará el administrador. Los servidores del dominio ofrecen recursos y servicios a los usuarios (clientes) de su dominio.
Lo habitual es tener un solo dominio en cada red. Sin embargo, por motivos organizativos en ocasiones es interesante utilizar varios dominios interconectados entre sí. Esto lo veremos más adelante cuando tratemos las relaciones de confianza. El caso más sencillo es un solo dominio y un solo servidor en el dominio. Sin embargo, en un mismo dominio pueden coexistir distintos servidores.
Funciones de un servidor Windows NT
Un máquina Windows NT dentro de un dominio puede actuar de una de estas tres maneras (estas funciones se eligen durante la instalación de NT):
Si el controlador principal tiene una avería, el controlador de reserva puede cambiar su función a controlador principal. Esto se consigue desde el Administrador de servidores / Menú Equipo / Promover a controlador principal de dominio.
Creación de una relación de confianza
Las relaciones de confianza se utilizan para que los usuarios de un dominio puedan acceder a los recursos de otro dominio.
Sean A y B dominios, se dice que B confía en A si usuarios de A pueden acceder a recursos de B. Gráficamente se representa:
Para crear la relación de confianza anterior:
Estos cuadros se encuentran en el Administrador de usuarios / Menú Directivas / Relaciones de confianza.
Las relaciones de confianza habitualmente se crean siguiendo una serie de modelos predefinidos que se amoldan a la mayoría de las necesidades.
5.5 Mensajería entre sistemas Windows
Los usuarios de sistemas Windows pueden enviar mensajes a otros usuarios Windows de la red. Los equipos Windows NT necesitan tener iniciado el servicio "Mensajería" (Panel de control / Servicios). Los equipos Windows 98 requieren tener abierto el programa "Winpopup" (escribir "winpopup" en Menú Inicio / Ejecutar). Si el programa Winpopup está cerrado, los mensajes enviados se perderán.
Los mensajes desde estaciones Windows NT se envían mediante el comando NET SEND.
El siguiente ejemplo, envía un mensaje a todos los usuarios del dominio. Sólo recibirán el mensaje aquellos Windows 98 que tengan abierto el programa Winpopup y aquellos Windows NT que tengan iniciado el servicio de mensajería.
net send /users El servidor se apagará en 10 minutos. Por favor, vaya guardando sus documentos.
5.6 Servidor WINS
WINS es un servidor de resolución dinámica de nombres NetBIOS. La utilización de un servidor WINS en la red mejora la eficiencia de la red al evitar la difusión de mensajes de broadcasting. Además, agiliza la localización de recursos mediante Entorno de red. Se recomienda la utilización de un servidor WINS en redes grandes con elevado tráfico para aumentar la eficiencia de la red.
Instalación del servidor WINS:
Las estadísticas de uso de WINS se pueden consultar desde Herramientas administrativas / Administrador de WINS.
Configuración de los clientes WINS:
En los clientes podemos comprobar que se está utilizando un servidor de nombres mediante el comando NBTSTAT -r, en lugar de enviar mensajes de difusión a la red.
5.7 Servidor DHCP
Hasta ahora hemos configurado manualmente los parámetros TCP/IP de cada puesto de la red. Sin embargo, estos parámetros se pueden asignar dinámicamente mediante la utilización de un servidor DHCP (Dynamic Host Configuration Protocol, protocolo de configuración dinámica de host). Lo mínimo que puede asignar un servidor DHCP es la dirección IP y máscara de subred a cada puesto de la red, aunque también se pueden establecer el resto de parámetros de la configuración TCP/IP.
La utilización de un servidor DHCP evita la tarea de configurar manualmente los parámetros TCP/IP de cada puesto de la red y facilita los posibles cambios de configuración. Aunque tiene el inconveniente de requerir una máquina NT con este servicio configurado. Por otro lado, una red que utilice DHCP puede dificultar el rastreo y seguimiento de las tareas que cada usuario ha realizado en la red si no se asignan direcciones IP únicas a cada host de la red.
Instalación y configuración del servidor DHCP:
Nota: El tipo de nodo 0x8 es el conocido como nodo híbrido. Significa que los clientes tratarán de resolver cada nombre en primer lugar mediante un servidor WINS y, si no lo consiguieran, mediante un broadcasting a la red. Es el nodo recomendado para la mayoría de las configuraciones.
Configuración de los clientes DHCP:
A continuación se muestra un ejemplo de diseño de una red con conexión a Internet que utiliza servidores DNS, WINS y DHCP. A la derecha se ofrece el resultado de la orden WINIPCFG para uno de los puestos de la red, el cual ha obtenido toda la configuración dinámicamente de un servidor DHCP (comparar con la imagen anterior).
 |
 |
Las direcciones IP se pueden reservar para conseguir que cada host tome siempre la misma dirección IP. Esto permite rastrear los movimientos de cada host en la red y es recomendable su utilización por motivos de seguridad. Las reservas se hacen desde el menú Ámbito / Agregar reservas. Cada host se identifica mediante la dirección física de su tarjeta de red. Este número se debe introducir en el cuadro "Identificador único" como una secuencia de 12 caracteres sin utilizar ningún separador entre cada byte.
Obsérvese que la configuración DHCP se asigna a los clientes durante un determinado periodo de tiempo (llamado concesión o permiso). Durante ese tiempo el cliente no requiere realizar conexiones al servidor DHCP (el servidor podría estar incluso apagado y el cliente conservaría toda su configuración). Antes de que el permiso caduque, el cliente renovará automáticamente su configuración preguntando al servidor DHCP.
La configuración de DHCP se puede renovar anticipadamente utilizando los botones "Liberar" y "Renovar" de WINIPCFG o bien, el comando IPCONFIG (escribir IPCONFIG /? para conocer sus parámetros).