Aquí una nota sobre porque implementar redes con Windows Vista. Muy buenos argumentos. Saludos. Roberto Di Lello.

La misma la pueden ver en TechNet donde salio publicada.

—-

Redes más sólidas con Windows Vista

Publicado: Abril 22, 2008

A más de un año de su lanzamiento comercial, Windows Vista comienza a ganar terreno en el parque tecnológico de cualquier organización. Ayudado por la reciente publicación de su Service Pack 1 y el boom de ventas de equipos portátiles que lo incluyen pre-instalado, cualquier Profesional de TI deberá considerar que la administración de la seguridad de redes fijas e inalámbricas para estos equipos se convierte en tema de estudio obligado.

Con Windows Vista, se introdujeron mejoras a los Grupos de Políticas que potencian significativamente la habilidad para planear, organizar, instalar, administrar, solucionar problemas y generar reportes de implementaciones de Grupos de Políticas. Repasaremos algunas de esas mejoras.

Herramientas políticas

La Consola de Administración de Políticas (GPMC) provee por sí sola la herramienta administrativa para manejar los Grupos de Política en toda la organización. Originalmente GPMC era provista como descarga de componente optativo para Microsoft Windows XP y Windows Server 2003. Ahora está integrada directamente en el sistema operativo de Windows Vista y es la herramienta estándar para administración de Grupos de Política, junto con el Editor de Objetos de Política de Grupo.

En la práctica, cada grupo de configuraciones puede ser implementado en forma local (LGPOs), o general, desde el servidor, donde estos objetos son almacenados en dos sitios:

• Un contenedor de Objetos de Grupos de Políticas (GPOs) que se ubica en el Directorio Activo (AD) con las propiedades de cada uno: versión, estado, una lista de componentes configurados para el GPO, seguridad, etc.
• Plantillas (Group Policy Templates) archivadas en el Sistema de Archivos (Filesystem), que incluyen configuraciones de seguridad y scripts.

Las nuevas funcionalidades y mejoras introducidas por el Service Pack 1 para Windows Vista fortalecen la fiabilidad y seguridad tanto en las conexiones IPSec sobre TCP/IP versión 6 (IPv6), ahora integradas con el Windows Firewall, como en las inalámbricas ad-hoc (computadora a computadora a través de Wi-Fi), lo cual facilita y extiende la cobertura de aplicación de las políticas. Sin embargo, una de las tareas del instalador de SP1 consiste en remover precisamente GPMC del sistema. ¿Por qué? A no alarmarse.

A continuación, debe instalarse una versión mejorada de esta consola que forma parte del Remote Server Administration Tools (RSAT), y se activa con un simple checkbox luego de la instalación. De esta forma, se logra extender la administración de Políticas de Grupo a los clientes con Windows Vista SP1 que operen tanto en redes con Windows Server 2008 como con Windows Server 2003.

Seguridad e Integración

Configurado el entorno correctamente, uno de los primeros aspectos que diferencian el funcionamiento del nuevo Servicio de Grupo de Políticas (GPS) en Windows Vista, reside en su aislamiento del proceso de Winlogon (logueo del usuario), que otorga más rendimiento (se utilizan menos recursos), eficiencia y robustez (arquitectura reforzada) a la conexión. Y con la introducción de User Account Control (UAC), Windows Vista permite una mejor diferenciación de prioridades de uso administrativo en el sistema.

Sumado a esto, Windows Vista ahora es capaz de adaptar la distribución y aplicación de las políticas a las condiciones de la Red, con el nuevo componente Network Awareness, y permite configurar los grupos de políticas diferenciando el tipo de conexión (por cable o inalámbrica). Además, las funciones de auditoría de eventos ha sido rediseñada para contener mensajes amplios y fáciles de interpretar, utilizando archivos Logs que permiten obtener una visión consolidada de eventos cliente y servidor, a través de una nueva herramienta de gestión para Windows Vista y Windows Server 2008: Windows Event Log Service, que guarda información administrativa y operativa en formato XML. De la misma forma, las Plantillas Administrativas serán almacenadas como ficheros XML con extensión .ADMX, aunque se conserva la compatibilidad con los sistemas anteriores que utilizaban la extensión .ADM. Este nuevo formato de plantillas se almacena en el Central Store (carpeta de SYSVOL) y gracias a la introducción de soporte multilenguaje simplifica el tráfico de replicación de DFS (distributed file system) y SYSVOL, optimizado también para que sólo se dupliquen los cambios realizados bit a bit.

En el plano estricto de la seguridad, el programa anti spyware Windows Defender presenta una interfaz rediseñada y funcionamiento mejorado en el monitoreo de las funciones básicas del sistema en tiempo real, y ahora universaliza su utilización al poder ejecutarse con cualquier configuración de privilegios en el sistema.

Windows Vista y Windows Server 2008 están preparados para que los administradores puedan configurar clientes NAP para determinar el estado de salud de una terminal y asignar un plazo para reparar o presentar un buen funcionamiento, superado el cual puede derivarla a un área de cuarentena donde se preservan ciertas características para que pueda recomponerse de esa situación.

Las políticas han sido integradas con Internet Explorer 7.0 para manipular las nuevas opciones del navegador por defecto de Windows Vista y prescindir del Internet Explorer Administration Kit, antes necesario para personalizar la tecnología de las versiones anteriores, logrando así unificar la distribución y administración de soluciones Web.

En otro rubro de integración, las políticas de Calidad de Servicio (QoS) se realizan ahora en forma centralizada en la capa de la red, independiente y por debajo de la capa de la aplicación, hecho que prescinde a las aplicaciones de negocio del requisito de tener una compatibilidad expresa para ejecutar funciones de QoS y así su arquitectura puede resultar más simple.

La creciente popularidad de los dispositivos de almacenamiento removibles (pen drives, discos externos con conexión usb, etc.) necesita establecer parámetros para ejercer un control inteligente ante la posible fuga de información en nuestro ecosistema. Para ello se ampliaron las políticas de seguridad referentes a la instalación de dispositivos removibles. Windows Vista puede reconocer ya sea su clasificación (tipo de periférico) o la cadena de identificación del dispositivo propia del fabricante, y decidir en base a esa información si permite o no su instalación.

Seguridad en conexiones wireless

Las redes inalámbricas están más expuestas a conexiones anónimas que la red física, pero con Windows Vista y Windows Server 2008 la seguridad puede ejercerse eficientemente utilizando nuevas características y funcionalidades. Incluye soporte nativo para Wi-Fi y un servicio de auto configuración para redes wireless, que de forma dinámica selecciona las redes wireless disponibles de acuerdo a las preferencias del usuario y a la configuración del equipo.

Las opciones de seguridad que brinda Windows Vista en este ámbito, están basadas en los protocolos de seguridad estándares de la industria como el Windows Protected Access 2 (WPA2) y el nuevo Extensible Authentication Protocol (EAP), y para redes ad-hoc seguras en WPA2 con seguridad personalizada, sumada a encriptación y reglas de negociación más robustas, permitiendo además que terceros ejecuten métodos de EAP.

El empleo de un solo punto de entrada a la red utilizando la solución provista por Windows Vista con Wireless Single Sign-On, permitirá que la autenticación basada en IEEE 802.1X de las credenciales del usuario para lograr una conexión inalámbrica protegida, se realice previo al inicio de sesión en Windows Vista, lo cual mejora la experiencia del usuario y puede favorecer el empleo de políticas en ese proceso.

Potenciadas por esta característica, las opciones de Políticas de Grupo amplían el abanico de posibilidades a la hora de asegurar y robustecer la dinámica de este tipo de conexión. Para ello Windows Vista permite que puedan aplicarse perfiles de configuración (en formato XML) y permisos de red establecidos en una lista de nombres de redes permitidas o no aprobadas por el administrador. Y gracias a la posibilidad de operar políticas a través del lenguaje de líneas de comandos se le incorpora al comando “netsh” el contexto “wlan” que tiene como ventajas la posibilidad de manejar el scritpting, configurar WPA y WPA2, y puede bloquear redes inalámbricas no deseadas.

Resumen y enlaces

Herramientas mejoradas, sistemas más seguros, incorporación de nuevas tecnologías y sólida integración de Windows Vista y Windows Server 2008, harán el trabajo silencioso, confiable y eficiente en las redes de tu organización. Conócelos más en profundidad en los siguientes links:

• Guía de recursos de Windows Vista TechCenter
• Implementando Grupo de Políticas utilizando Windows Vista (inglés)
• Implementando Grupo de Políticas utilizando Windows Vista (español)
• Wireless Single Sign-On
• Calidad de Servicio (QoS)