Aislamiento de servidor y dominio mediante IPsec y Directiva de grupo

Este apéndice proporciona una guía completa para crear la infraestructura necesaria que permita grupos de aislamiento que utilicen IPsec. En esta guía se trata la instalación y configuración de Microsoft® Windows Server™ 2003, la preparación del servicio de directorio Active Directory® y la configuración de la directiva IPsec.

Este apéndice también proporciona las instrucciones de implementación que se utilizaron para la ejecución de la directiva IPsec de línea de base en el escenario de Woodgrove Bank, descrito anteriormente en esta guía.

Este apéndice ha sido diseñado para su utilización junto con el resto de los capítulos de esta guía, que explican el proceso de diseño y la lógica tras las decisiones de implementación que se utilizan en este apéndice. En este apéndice también se explican las tareas y procesos necesarios para crear e implementar satisfactoriamente una infraestructura de directiva IPsec. Si todavía no lo ha hecho, le recomendamos que lea los capítulos anteriores antes de seguir con este apéndice. También debería leer y entender las implicaciones de los requisitos de compatibilidad que se especifican en el capítulo 6, "Administración de un entorno de aislamiento de servidor y dominio", antes de implementar los pasos de este apéndice.

En esta página

	Requisitos previos
	Implementación de la directiva de la línea de base
	Implementación de las directivas IPsec
	Utilización del método de constitución de directivas para habilitar la directiva IPsec de línea de base
	Secuencias y herramientas de prueba para las pruebas de funcionalidad
	Habilitación de la lista de filtros de subredes seguras de la organización en las directivas restantes
	Cómo habilitar la configuración del grupo de acceso de red
	Cómo habilitar el dominio de aislamiento
	Cómo habilitar el grupo de aislamiento Sin reserva
	Cómo habilitar el grupo de aislamiento Cifrado
	Cómo habilitar el grupo de aislamiento Límite
	Configuración del dominio de aislamiento como grupo de aislamiento predeterminado
	Pruebas funcionales definitivas: habilitación de todos los grupos de aislamiento
	Resumen

Requisitos previos

Esta sección contiene información que le ayudará a determinar la capacitación de su organización para implementar la solución.

Requisitos previos de conocimientos

Debe estar familiarizado con los conceptos de IPsec, redes y arquitectura de red. También debe estar familiarizado con Windows Server 2003 en las siguientes áreas:

Antes de seguir con este apéndice, debería haber leído las instrucciones de planificación de esta guía y debería comprender bien los conceptos arquitectónicos y de diseño de la solución.

Requisitos previos organizativos

Debe consultar a otras personas de su organización que quizás necesiten implicarse en la planificación de la solución. Entre ellas podrían encontrarse las siguientes:

Requisitos previos de la infraestructura de TI

El apéndice también asume que existe la infraestructura de TI siguiente:

Requisitos previos para la implementación de la línea de base

Antes de llevar a cabo las tareas de este apéndice, deben comprobarse diversos elementos para garantizar una implementación satisfactoria.

Requisitos de hardware

Antes de transferir la infraestructura IPsec de línea de base, asegúrese de que la infraestructura actual es capaz físicamente de admitir la carga de la implementación de IPsec. El proceso que le ayudará a comprobar esta capacidad se trata en el capítulo 3, "Cómo determinar el estado actual de su infraestructura de TI", incluido en esta guía.

Herramientas

Pueden utilizarse cuatro herramientas primarias para configurar las directivas IPsec y habilitarlas mediante los GPO de Active Directory. Estas herramientas son las siguientes:

Se recomienda obtener e instalar estas herramientas en las estaciones de trabajo del equipo de implementación, de modo que los miembros del equipo puedan dedicar algún tiempo a familiarizarse con la funcionalidad de cada herramienta antes de que se inicie la implementación.

Principio de la página

Implementación de la directiva de la línea de base

Woodgrove Bank optó por realizar su implementación desplazando en primer lugar todos los equipos al grupo de aislamiento Límite mediante el método de generación. Este método permitió a los administradores avanzar lentamente y resolver cualquier problema pendiente, sin que ello afectara de manera significativa a las comunicaciones entre todos los sistemas. Al implementar en primer lugar una directiva sin ninguna subred segura, el equipo de administración fue capaz de identificar todos los equipos que tenían asignada una directiva IPsec local y pudo aprovechar esa información. A medida que se iban agregando las subredes a la directiva, se iban resolviendo todos los conflictos que surgieron.

Cuando los equipos estuvieron en funcionamiento bajo la directiva del grupo de aislamiento Límite, el equipo pasó a implementar los grupos de aislamiento Estándar, Texto no cifrado saliente permitido y Cifrado. Estos grupos de aislamiento se implementaron utilizando el método de implementación por grupo que se explica en el capítulo 4, "Diseño y planificación de grupos de aislamiento", de esta guía. Se seleccionó un conjunto de equipos para una prueba piloto y se agregó a los grupos apropiados que controlaban las directivas nuevas. A medida que surgían, los problemas se fueron resolviendo y se agregaron otros equipos a los grupos de aislamiento, hasta que éstos estuvieron completamente llenos.

Principio de la página

Implementación de las directivas IPsec

El proceso de conseguir la directiva IPsec adecuada para cada equipo de una organización voluminosa puede llegar a ser demasiado complejo rápidamente. El mecanismo de directivas disponible en Active Directory puede simplificar enormemente este proceso. Las siguientes secciones de este apéndice proporcionan la información necesaria para implementar las directivas IPsec.

Copia de las secuencias de comandos de configuración

Para configurar las directivas IPsec, la primera tarea consiste en copiar las secuencias de comandos de configuración requeridas en el controlador de dominio que se utilizará para almacenarlas. Para configurar el laboratorio de Woodgrove Bank, se utilizaron las secuencias de comandos de configuración facilitadas con la solución. En el escenario de Woodgrove Bank, se llevaron a cabo los pasos siguientes:

Copia de las secuencias de comandos de configuración

Instalación de la consola de administración de directivas de grupo

La GPMC se utiliza para instalar y configurar los GPO que utiliza la solución. La GPMC sólo debe instalarse en IPS-CH-DC-01; su instalación en otros servidores es opcional.

Nota: la instalación de la GPMC modifica ligeramente la interfaz de usuario de Active Directory Users and Computers MMC para el equipo en el que se instala. Para obtener más información acerca de la utilización de la GPMC y descargar el archivo de instalación, consulte la página Consola de administración de directiva de grupo con Service Pack 1 del Centro de descarga de Microsoft en www.microsoft.com/downloads/details.aspx?
familyid=0a6d4c24-8cbd-4b35-9272-dd3cbfc81887&displaylang=en.

Instalación de la consola de administración de directivas de grupo

Implementación de listas de filtros IPsec y acciones de filtrado

La creación de las listas de filtros IPsec y las acciones de filtrado se lleva a cabo utilizando la herramienta Netsh o el complemento Administrador de las directivas de seguridad de IP para MMC.

Aunque el complemento Administrador de las directivas de seguridad de IP para MMC proporciona una interfaz gráfica para IPsec, muchos administradores consideran más sencillo mantener y actualizar secuencias de comandos que utilicen la herramienta de línea de comando Netsh. Además, resulta sencillo transportar las secuencias de comandos a través de dominios o bosques. En esta solución, las secuencias de comandos Netsh se utilizaron para implementar las listas de filtros IPsec y las acciones de filtrado.

Nota: contraste las secuencias de comandos con los almacenes de directivas locales de un equipo con Windows Server 2003 definiendo el enfoque del almacén como local. Tras depurar las secuencias de comandos, modifique la configuración del almacén para centrarse en el dominio para la importación final.

Para crear listas de filtros IPsec y acciones de filtrado

Implementación de las directivas IPsec

Tras crear las listas de filtros y las acciones de filtrado, pueden ejecutarse las secuencias de comandos que crean las directivas IPsec.

Nota: las directivas creadas mediante las secuencias de comandos se configuran con un intervalo de sondeo de cinco minutos con fines de prueba.

En la tabla siguiente aparece el nombre de la directiva y el archivo de comandos que crea la directiva. El nombre del archivo de comandos se utilizará en el paso 2 del procedimiento siguiente.

Tabla C.1: directiva IPsec para asignación de archivos de comandos

Para crear las directivas IPsec

netsh –f "c:\IPsec Scripts\<Script Filename>" 
and then press ENTER.

Creación de GPO para directivas IPsec

En Woodgrove Bank se crearon cuatro GPO para directivas IPsec. Cada uno de estos GPO se denominó igual que la directiva IPsec asignada en el GPO. Hasta que las directivas no se vinculen en Active Directory, estos GPO no suministrarán ninguna directiva IPsec al entorno.

En la tabla siguiente aparece el nombre de cada GPO y el nombre de la directiva IPsec que suministra dicho GPO.

Tabla C.2: GPO de Woodgrove Bank para asignación de IPsec

Para crear los GPO para directivas IPsec

Configuración de la seguridad en las directivas de grupo IPsec

En Woodgrove Bank se utilizaron ACL de seguridad en el GPO que contiene las directivas IPsec para controlar la aplicación de las directivas. La principal ventaja es que todas las directivas pudieron vincularse en el nivel de dominio, en lugar de utilizar múltiples unidades organizativas (OU), y ello ayudó a simplificar la administración de la aplicación de directivas. Además, se implementó una ejecución por fases sin desplazar ninguna cuenta de equipo a OU especiales. Por el contrario, las cuentas de equipo que participaron en la prueba piloto se agregaron a los grupos apropiados. El inconveniente es que la organización debe tener buenas herramientas de administración de grupos.

Creación de grupos

Se creó un conjunto de grupos para controlar el modo en que se aplicaba la directiva en la organización Woodgrove Bank. Puesto que el bosque de Woodgrove Bank se encontraba en modo Nativo, se utilizaron grupos universales para controlar la directiva en todos los dominios.

Tabla C.3: Grupos universales de Woodgrove Bank

Para crear los grupos universales de Woodgrove Bank

Configuración de la seguridad de GPO

Los grupos se utilizan para controlar qué equipos obtienen qué directivas de participación IPsec. Es preciso configurar las ACL de seguridad en cada una de las directivas IPsec recién creadas para configurar los grupos apropiados. En la tabla siguiente se muestran las ACL que se agregan a cada GPO.

Nota: si una organización delega derechos administrativos para las directivas IPsec usuarios ajenos al grupo de Administradores del dominio, el grupo administrativo delegado necesitará Control total en el contenedor Seguridad IP de Active Directory.

Tabla C.4: Permisos de grupo de directiva para Woodgrove Bank

Nota: la directiva del grupo de aislamiento Límite está configurada para permitir que el grupo de Equipos del dominio aplique la directiva para el proceso inicial de constitución colocando el grupo de Equipos del dominio en el grupo CG_BoundaryIG_computers. Tras desplazar todos los equipos a sus grupos respectivos, los equipos del dominio se eliminarán del grupo CG_BoundaryIG_computers.

Para definir los permisos de grupo en el GPO

Cómo impedir que los equipos del grupo de aislamiento Límite puedan establecer conexiones con equipos del grupo de aislamiento Cifrado

En Woodgrove Bank era un requisito que ningún equipo del grupo de aislamiento Límite pudiera establecer comunicaciones con los equipos del grupo de aislamiento Cifrado. Para implementar esta restricción, se creó el grupo DNAG_EncryptionIG_computers para que sus miembros no pudieran tener acceso a los equipos del grupo de aislamiento Cifrado. La directiva del grupo de aislamiento Cifrado se configuró de forma que al grupo DNAG_EncryptionIG_computers se le concedió el derecho "Denegar acceso desde la red a este equipo", y el grupo CG_BoundaryIG_computers se colocó en el grupo DNAG_EncryptionIG_computers. Esta configuración se consiguió modificando el GPO IPSEC – Directiva de grupo de aislamiento Cifrado.

Para crear el grupo DNAG_EncryptionIG_computers

Para configurar IPSEC – Directiva de grupo de aislamiento Cifrado para bloquear a los miembros del grupo DNAG_EncryptionIG_computers

Para rellenar el grupo DNAG_EncryptionIG_computers con el grupo CG_BoundaryIG_computers

Cómo agregar equipos del dominio al grupo Límite

En la implementación inicial, el grupo de aislamiento Límite se utiliza como el grupo de aislamiento predeterminado para los clientes basados en IPsec de la organización. El grupo Equipos del dominio se agrega al grupo CG_BoundaryIG_computers para implementar este plan.

Para agregar equipos del dominio al grupo CG_BoundaryIG_computers

Cómo agregar servidores de infraestructura al grupo CG_NoIPSec_Computers

Para garantizar que los servidores de infraestructura no reciben una directiva que pueda interrumpir la comunicación (por ejemplo, si cambia la dirección IP de un servidor), se agregaron las siguientes cuentas de equipo de servidores de infraestructura al grupo de seguridad CG_NoIPsec_computers.

Para agregar servidores de infraestructura al grupo CG_NoIPsec_computers.

Cómo vincular directivas IPsec y GPO en un entorno de dominio

Antes de poder distribuir las directivas IPsec, deben vincularse con ubicaciones del entorno del dominio. Puesto que en Woodgrove Bank se decidió administrar los GPO utilizando grupos de seguridad, la estructura de OU no es demasiado importante para la distribución de directivas. Sin embargo, si existen OU que bloquean la aplicación de directivas, los GPO para IPsec deberían vincularse directamente con las OU para que funcione la aplicación de directivas. Otra alternativa sería habilitar la obligatoriedad de la directiva en los GPO de la directiva IPsec del dominio.

Para vincular las directivas IPsec con los GPO existentes

Principio de la página

Utilización del método de constitución de directivas para habilitar la directiva IPsec de línea de base

La primera tarea en la ejecución de la infraestructura IPsec consiste en implementar la directiva de grupo de aislamiento Límite utilizando el método de implementación de constitución de directiva. Aunque el grupo de aislamiento Límite no pretende ser el dominio de aislamiento para todos los equipos del entorno de Woodgrove Bank, está configurado de forma que se aplique a todos los equipos en la primera fase de la implementación.

Puesto que la directiva de grupo de aislamiento Límite permite y acepta la comunicación con equipos ajenos a IPsec, se consideró la directiva más segura para la implementación gradual en el entorno. Inicialmente, la directiva se implementó sin definir subredes seguras. De este modo, los administradores de Woodgrove Bank pudieron corregir las directivas IPsec locales existentes. Seguidamente se agregaron subredes una a una y se probaron para comprobar que la negociación IPsec transcurría correctamente.

Cómo agregar subredes a la lista de filtros de subredes seguras

Tras aplicar la directiva de grupo de aislamiento Límite vacía a los equipos de la organización y resolver todo conflicto con las directivas IPsec locales existentes, los administradores de Woodgrove Bank empezaron a constituir la directiva.

La constitución de la directiva consistía en identificar las subredes organizativas que debían protegerse. Las subredes identificadas se agregaron a la directiva una a una. Tras agregar la primera entrada a la lista de filtros, la lista de filtros se agrega a la directiva.

Cuando se hubieron agregado todas las subredes, se dejó tiempo para aplicar la directiva a los equipos de la organización y resolver los conflictos. Este proceso se repitió hasta implementar toda la lista de filtros de subredes seguras.

En la tabla siguiente aparecen las subredes seguras identificadas que se utilizaron en el laboratorio de Woodgrove Bank para reflejar fielmente su red de producción:

Tabla C.6: Lista de subredes seguras para el laboratorio de pruebas de Woodgrove Bank

Para crear la primera entrada en la lista de filtros de subredes seguras

Para agregar la lista de filtros de subredes seguras a la directiva de grupo de aislamiento Límite

Para agregar las subredes restantes a la lista de filtros de subredes seguras

Verificación de la implementación básica

Tras crear los objetos de directiva e implementarlos en Active Directory en un estado inactivo, deberá iniciarse un proceso de verificación antes de configurar la directiva base para aplicar el grupo de aislamiento Base a todos los equipos de la organización. La verificación puede ayudar a minimizar cualquier interrupción potencial para los hosts participantes en caso de error en la configuración base.

Pruebas de implementación funcionales

La prueba más sencilla que puede llevarse a cabo para confirmar la funcionalidad de IPsec es intentar la ejecución de los comandos net view para los equipos de la red organizativa segura y para los equipos que no se encuentran en las subredes de la red organizativa segura.

Los equipos de una subred segura deberían negociar una SA por hardware que esté visible en el complemento de MMC Monitor de seguridad IP. Deberá crearse una SA por software entre un participante IPsec y un equipo que no esté en una subred de la red organizativa segura.

Para comprobar la funcionalidad de las directivas IPsec que se aplican

Principio de la página

Secuencias y herramientas de prueba para las pruebas de funcionalidad

Durante las pruebas de funcionalidad, deben supervisarse diversos valores de configuración. Aunque la mayoría de estos valores pueden supervisarse con herramientas estándar, hay dos tareas que requieren herramientas con las que el administrador estándar podría no estar familiarizado. Estas tareas implican la identificación de la directiva IPsec actualmente activa en el equipo y la identificación del tipo de SA que se negoció.

Comprobación de la aplicación de la directiva IPsec

La identificación de la directiva IPsec activa en un equipo supone un reto, ya que no existe ningún método consistente para todas las plataformas. En algunos casos, se puede identificar la directiva IPsec a través de la interfaz de usuario gráfica (GUI), mientras que otras situaciones requieren una herramienta de línea de comandos que puede o no instalarse con el sistema operativo.

Windows 2000

Para equipos con Windows 2000 Server, el administrador puede identificar la directiva IPsec aplicada actualmente utilizando el comando Netdiag. Para recuperar la información y nombre de la directiva, el administrador inicia la sesión en el equipo, inicia un símbolo del sistema y escribe lo siguiente:

Netdiag /test:IPsec

Ejemplo de salida de este comando:

IP Security test . . . . . . . . . : Passed
    Directory IPsec Policy Active: ' IPSEC – Isolation 
Domain IPsec Policy (1.0.041001.1600)'

Windows XP

Para equipos con Windows XP, el administrador puede identificar la directiva IPsec aplicada actualmente utilizando la herramienta de línea de comandos IPseccmd.exe. Para recuperar la información y nombre de la directiva, el administrador inicia la sesión en el equipo, inicia un símbolo del sistema y escribe lo siguiente:

IPseccmd show gpo

Ejemplo de salida de este comando:

Active Directory Policy
-----------------------
     Directory Policy Name: IPSEC – Isolation Domain IPsec 
Policy (1.0.041001.1600)
     Description: Isolation Domain Policy (Allow Outbound) 
     Last Change: Fri Sep 03 15:20:29 2004
     Group Policy Object: IPSEC – Isolation Domain Policy
     Organizational Unit: 
LDAP://DC=americas,DC=woodgrovebank,DC=com
     Policy Path: LDAP://CN=IPsecPolicy{efa2185d-1a1d-40f6-
b977-314f152643ca},CN=IP
Security,CN=System,DC=americas,DC=woodgrovebank,DC=com

Windows Server 2003

Para equipos con Windows Server 2003, el administrador puede identificar la directiva IPsec aplicada actualmente utilizando la herramienta de línea de comandos Netsh. Para recuperar la información y nombre de la directiva, el administrador inicia la sesión en el equipo, inicia un símbolo del sistema y escribe lo siguiente:

netsh IPsec static show gpoassignedpolicy

Ejemplo de salida de este comando:

Source Machine          : Local Computer GPO 
for <IPS-TZ-W2K-02>
GPO Name                : IPSEC – Isolation Domain Policy
Local IPsec Policy Name : NONE
AD IPsec Policy Name    : IPSEC – Isolation 
Domain IPsec Policy 
(1.0.041001.1600)
AD Policy DN            : LDAP://CN=IPsecPolicy
{efa2185d-1a1d-40f6-b977-314f152643ca},CN=IP 
Security,CN=System,DC=americas,DC=woodgrovebank,DC=com
Local IPsec Policy Assigned: Yes, but AD Policy is
Overriding

Utilización del Monitor de seguridad IP para determinar el tipo de SA

El complemento de MMC Monitor de seguridad IP se utiliza para examinar las SA de modo principal y modo rápido, los filtros asociados, las directivas de intercambio de claves de Internet (IKE) y las directivas de negociación. Durante la resolución de problemas, puede utilizarse el complemento de MMC Monitor de seguridad IP para determinar qué tipo de SA se ha negociado entre principales. Mediante la inspección de las SA bajo el árbol Modo rápido, un administrador del sistema puede identificar principales IPsec para el equipo en el que se está ejecutando la herramienta.

Cuando un equipo negocia una conexión IPsec, se crea una SA por hardware. Esta SA tendrá un valor distinto a <Ninguno> en uno o varios de los campos Autenticación, Confidencialidad ESP o Integridad ESP. Por ejemplo, ESP con SHA1 y sin autenticación tendría HMAC-SHA1 bajo el campo Integridad ESP y <Ninguno> para los otros dos campos. Si la SA por hardware también incluye la negociación del cifrado, el campo Confidencial ESP incluirá DES o bien 3DES.

Una SA por software tendrá <Ninguno> bajo los tres campos, indicando que el contestador efectuó un retroceso a texto no cifrado.

Principio de la página

Habilitación de la lista de filtros de subredes seguras de la organización en las directivas restantes

Antes de habilitar las directivas IPsec que quedan, deberá agregarse a cada directiva la lista de filtros de la red organizativa segura. Esta tarea es necesaria porque en el momento de crear la directiva, la lista de filtros de la red organizativa segura estaba vacía y no pudo agregarse a la directiva.

Anteriormente, en este mismo apéndice, se implementó la lista de filtros de la red organizativa segura y ahora puede agregarse a las directivas restantes. La tabla siguiente muestra los nombres de directiva y la acción de filtrado asociada que se ha asignado a la lista de filtros de la red organizativa segura.

Tabla C.7: Asignación de directiva y acciones de filtrado

Para agregar la lista de filtros de la red organizativa segura a las directivas IPsec

Principio de la página

Cómo habilitar la configuración del grupo de acceso de red

Los grupos de acceso de red se utilizan para que el contestador IPsec acepte sólo conexiones de un grupo seleccionado de equipos iniciadores y usuarios identificados. Por ejemplo, mediante grupos de acceso de red, los administradores pueden configurar los equipos cliente ejecutivos de forma que sólo acepten el tráfico entrante iniciado por los equipos ejecutivos pero mantengan su habilidad de iniciar tráfico dirigido a otros recursos.

Nota: debe definir esta opción con cuidado, pues los equipos que necesitan iniciar una comunicación con equipos del grupo de acceso de red (por ejemplo, sistemas de supervisión que emplean sondeo) darán error si no están incluidos en el grupo de acceso de red.

Implementación de grupos de acceso de red

Los diseñadores de Woodgrove Bank decidieron implementar los grupos de acceso de red utilizando grupos locales de dominio. Estos grupos se utilizaron para definir los iniciadores. Otorgaron al grupo de iniciadores derecho de "Tener acceso a este equipo desde la red" para los contestadores y denegaron este derecho al grupo de Usuarios autenticados. En Woodgrove Bank se implementó el grupo de acceso de red utilizando grupos locales de dominio porque estos grupos se guardan en el vale de sesión, que se actualiza cada 60 minutos. Si se hubieran utilizado grupos globales o universales, el grupo de acceso de red se habría guardado en el vale de concesión de vales (TGT), que tiene una duración de 8 horas. Utilizando grupos locales de dominio, los cambios entran en vigor mucho antes.

Nota: aunque esta solución utiliza grupos locales de dominio con el derecho de "Tener acceso a este equipo desde la red" para implementar el grupo de acceso de red, podrían utilizarse claves previamente compartidas o certificados para implementar grupos de acceso de red individuales.

Los diseñadores de Woodgrove Bank identificaron un grupo de red, que se utiliza para controlar el acceso en el grupo de aislamiento Cifrado.

Creación de grupos de seguridad para controlar el acceso

Tabla C.8: Grupos de seguridad del grupo de acceso de red de Woodgrove Bank

Para crear los grupos que aparecen en la tabla anterior

Cómo agregar cuentas a los grupos de seguridad del grupo de acceso de red

Woodgrove Bank agregó los equipos identificados que actúan como iniciadores de tráfico en el grupo de acceso de red a los grupos locales de dominio apropiados que se utilizan para implementar el grupo de acceso de red.

En la tabla siguiente aparece la pertenencia al grupo de acceso de red identificado por Woodgrove Bank.

Tabla C.9: Pertenencia al grupo de aislamiento para Woodgrove Bank

Para rellenar los grupos que aparecen en la tabla anterior

Cómo agregar cuentas de usuario a los grupos de seguridad del grupo de acceso de red

Woodgrove Bank identificó las cuentas de usuario autorizadas para iniciar tráfico en el grupo de acceso de red y las agregó a los grupos locales de dominio apropiados que se utilizan para implementar el grupo de acceso de red.

En la tabla siguiente aparece la pertenencia al grupo de acceso de red identificado por Woodgrove Bank.

Tabla C.10: Pertenencia al grupo de acceso de red de Woodgrove Bank

Para rellenar los grupos que aparecen en la tabla anterior

Creación de un objeto de directiva de grupo para otorgar el derecho "Tener acceso a este equipo desde la red"

En Woodgrove Bank se creó un GPO para implantar el grupo de acceso de red definido. En concreto, el GPO asignó a los grupos de seguridad del grupo de acceso de red apropiado el derecho de "Tener acceso a este equipo desde la red" para los equipos apropiados que actúan como contestadores.

Los administradores crearon la tabla siguiente, que muestra el nombre del GPO y los nombres de grupo asociados utilizados para implementar el grupo de acceso de red.

Tabla C.11: Definición de directiva de grupo de aislamiento para Woodgrove Bank

Nota: como mínimo, deben agregarse los grupos enumerados. El administrador deberá determinar si es preciso otorgar este derecho a otros grupos.

Para asignar el derecho "Tener acceso a este equipo desde la red"

Cómo vincular los objetos de directiva de grupo de acceso de red

Antes de distribuir las directivas de grupo de acceso de red, es preciso vincular los GPO con una ubicación dentro del entorno del dominio. En Woodgrove Bank se distribuyó el GPO enlazándolo con la OU apropiada de Active Directory, tal como se muestra en la tabla siguiente.

Tabla C.12: Nombre de GPO del grupo de acceso de red y OU de destino

Para vincular una directiva GPO con una OU de destino

Comprobación de la implementación de grupos de acceso de red

Tras crear e implementar los objetos de directiva y los grupos de acceso de red, los administradores comprobaron la funcionalidad de los equipos en los grupos de acceso de red.

Pruebas de implementación de requisitos previos

Antes de probar la funcionalidad de los equipos en el grupo de acceso de red, Woodgrove Bank confirmó que las asignaciones de los derechos de usuario se estaban actualizando correctamente. Tras dejar tiempo suficiente para la replicación y la actualización de directivas, se llevaron a cabo los pasos siguientes en los equipos que aparecen en la tabla siguiente.

Tabla C.13: Pertenencia al grupo de acceso de red

Para confirmar la pertenencia al grupo adecuado en el grupo de acceso de red

Pruebas de implementación funcionales

Tras confirmar en Woodgrove Bank que a los grupos de seguridad se les otorgaba el derecho de usuario adecuado, se contrastaron los equipos que pertenecían a los grupos de acceso de red entre sí. Woodgrove Bank utilizó esta información para confirmar que las restricciones de derecho de acceso existían y estaban en funcionamiento. Woodgrove intentó ejecutar comandos net view para varias combinaciones de iniciador y contestador. Además de esta prueba, se utilizó el complemento de MMC Monitor de seguridad IP para confirmar que se creaban las SA adecuadas. En la tabla siguiente aparece el iniciador y contestador para cada ejecución de net view y se indica si debe tener éxito o dar error, junto con el tipo de SA negociada.

Tabla C.14: Resultados esperados de la prueba funcional del grupo de acceso de red

Para completar la prueba funcional

net view \\<Responder>

Principio de la página

Cómo habilitar el dominio de aislamiento

Antes de transferir las directivas de dominio de aislamiento, el administrador debe identificar un grupo de equipos que se utilizarán para la prueba piloto. De forma ideal, este grupo de equipos debería ser una muestra representativa de la infraestructura de TI de la organización e incluir tanto clientes como servidores.

Las cuentas de los equipos identificados se agregarán al grupo CG_IsolationDomain_computers. Tras dejar tiempo suficiente para la replicación, la directiva de dominio de aislamiento deberá aplicarse a los equipos de la prueba piloto y entrar en vigor.

Implementación del dominio de aislamiento

En Woodgrove Bank se identificaron los equipos siguientes para su utilización en la prueba piloto:

Para agregar equipos piloto al grupo CG_IsolationDomain_computers

Comprobación de la implementación del dominio de aislamiento

Tras crear e implementar los objetos de directiva en Active Directory en el estado activo, deberá llevarse a cabo un proceso de comprobación para confirmar que el equipo funciona correctamente en el grupo de aislamiento.

Pruebas de implementación de requisitos previos

Antes de ejecutar pruebas de funcionamiento para los equipos del dominio de aislamiento, en Woodgrove Bank se confirmó que había transcurrido tiempo suficiente para la replicación y la actualización de directivas y que se aplicaba la directiva IPsec correcta.

Para confirmar que se ha aplicado la directiva IPsec correcta en IPS-TZ-XP-06

IPseccmd show gpo

Pruebas de implementación funcionales

Tras confirmar en Woodgrove Bank que la directiva se había aplicado a IPS-TZ-XP-06, el paso siguiente fue realizar algunas pruebas funcionales básicas para asegurarse de que la directiva estaba funcionando del modo esperado. Woodgrove Bank intentó llevar a cabo comandos net view desde IPS-TZ-XP-06 a varios equipos de otros grupos de aislamiento. Además, se utilizó el complemento de MMC Monitor de seguridad IP para confirmar que se creaban las SA adecuadas. En la tabla siguiente aparecen los equipos de destino para cada ejecución de net view y se indica si debe tener éxito o dar error, junto con el tipo de SA negociada.

Nota: cuando se intenta un comando net view para un equipo que no es de confianza, deben pasarse las credenciales del administrador local del equipo de destino.

Tabla C.15: Resultados esperados de la prueba funcional del dominio de aislamiento

Para llevar a cabo la prueba funcional para cada equipo de destino

net view \\<Target Computer>

Principio de la página

Cómo habilitar el grupo de aislamiento Sin reserva

Los equipos del grupo de aislamiento Sin reserva no pueden iniciar tráfico sin autenticar con equipos que no son de confianza.

Implementación del grupo de aislamiento Sin reserva

En Woodgrove Bank, los equipos que no pueden iniciar una comunicación sin autenticar con equipos que no son de confianza se colocaron en el grupo universal CG_NoFallbackIG_computers.

Para rellenar el grupo CG_NoFallbackIG_computers

Comprobación de la implementación del grupo de aislamiento Sin reserva

Tras crear e implementar los objetos de directiva en Active Directory en el estado activo, deberá llevarse a cabo un proceso de comprobación para confirmar que el equipo funciona correctamente en el grupo de aislamiento.

Pruebas de implementación de requisitos previos

Antes de ejecutar pruebas de funcionamiento para los equipos del grupo de aislamiento Sin reserva, en Woodgrove Bank se confirmó que había transcurrido tiempo suficiente para la replicación y la actualización de directivas y que se aplicaba la directiva IPsec correcta.

Para confirmar que se ha aplicado la directiva IPsec correcta en IPS-LT-XP-01

IPseccmd show gpo

Pruebas de implementación funcionales

Tras confirmar en Woodgrove Bank que la directiva se había aplicado a IPS-LT-XP-01, el paso siguiente fue realizar algunas pruebas funcionales básicas para asegurarse de que la directiva estaba funcionando del modo esperado. Woodgrove Bank intentó llevar a cabo comandos net view desde IPS-LT-XP-01 a varios equipos de otros grupos de aislamiento. Además, se utilizó el complemento de MMC Monitor de seguridad IP para confirmar que se creaban las SA adecuadas. En la tabla siguiente aparecen los equipos de destino para cada ejecución de net view y se indica si debe tener éxito o dar error, junto con el tipo de SA negociada.

Nota: cuando se intenta un comando net view para un equipo que no es de confianza, deben pasarse las credenciales del administrador local del equipo de destino.

Tabla C.16: Resultados esperados de la prueba funcional de texto no cifrado saliente permitido

Para llevar a cabo la prueba funcional para cada equipo de destino

net view \\<Target Computer>

Principio de la página

Cómo habilitar el grupo de aislamiento Cifrado

Los equipos del grupo de aislamiento Cifrado requieren tráfico cifrado. Además, los servidores que alojan los datos están configurados para