Mejor experiencia funcionando junto con Windows 7
Windows Server 2008 R2 dispone de muchas funcionalidades diseñadas específicamente para trabajar con clientes con S.O. Windows 7. Windows 7 es la nueva versión del sistema operativo Windows de Microsoft.
Entre las características y funcionalidades que solamente se pueden utilizar cuando funcionan juntos el cliente Windows 7 y el servidor Windows Server 2008 R2 destacan las siguientes:
-
Simplificación de la conexión remota de máquinas corporativas utilizando la funcionalidad DirectAccess
Un problema muy habitual en muchas organizaciones es el de la conectividad remota de los usuarios en movilidad. Una de las soluciones más extendidas para establecer conexiones remotas es hacerlo a través de VPNs (Redes Privadas Virtuales). Dependiendo del tipo de VPN, los usuarios pueden necesitar instalarse software de cliente VPN en sus equipos portátiles y después conectarse por Internet. La funcionalidad DirectAccess de Windows 7 y Windows Server 2008 R2 permite a los clientes Windows 7 conectarse directamente a los recursos de la intranet sin tener que establecer una conexión VPN. El usuario tiene la misma experiencia de conexión dentro y fuera de su oficina. El diagrama siguiente compara las actuales soluciones basadas en VPN con DirectAccess.
DirectAccess está diseñado como solución transparente y siempre disponible que elimina mucha complejidad de cara al usuario final, ofrece herramientas sencillas para su administración y configuración y no compromete la seguridad de las conexiones remotas. Para ello, DirectAccess incorpora una serie de características muy importantes:
-
Autenticación. DirectAccess autentifica la máquina, lo que permite que la máquina se conecte a la intranet antes de que el usuario inicie la sesión. DirectAccess además puede autentificar al usuario y admite autenticación bifactorial con smart-cards.
-
Cifrado de datos. DirectAccess utiliza el protocolo IPSec (Internet Protocol security) para cifrar las conexiones a través de Internet.
-
Control de acceso. Los departamentos de IT pueden designar los recursos de la intranet a los cuales pueden accederse mediante DirectAccess. También se puede dar acceso ilimitado a la red corporativa, o permitir únicamente el acceso a un conjunto concreto de servidores o subredes. Además pueden aplicarse políticas de seguridad específicas para ciertas aplicaciones. Por ejemplo, puede exigirse que una aplicación que maneja información sensible utilice cifrado de datos con IPSec y dejar como opcional el cifrado para otras aplicaciones.
-
Integración con NAP (Network Access Protection). NAP, una función integrada en Windows Server 2008 R2 y Windows 7, se puede utilizar con DirectAccess para verificar si una máquina cliente que se conecta cumple con los requisitos de salud del sistema establecidos, como pueden ser tener ciertas actualizaciones de seguridad y protección antivirus, antes de permitirle establecer una conexión DirectAccess.
-
Separación del tráfico de la intranet e Internet. Por defecto, solo se envía a través del servidor de DirectAccess el tráfico destinado a la intranet. En una VPN tradicional, el tráfico destinado a Internet también suele pasar hacia la intranet, ralentizando el acceso a Internet (o incluso impidiéndolo) a los usuarios remotos. Puede también modificarse este comportamiento para que coincida con el normal de las VPNs.
Otra de las diferencias entre DirectAccess y las VPNs es que las conexiones DirectAccess se establecen antes de que el usuario inicie la sesión. Esto quiere decir que se puede gestionar una máquina remota conectada mediante DirecAccess aunque el usuario no haya iniciado una sesión, para por ejemplo, aplicarle ciertas Políticas de Grupo. No obstante, para que un usuario pueda acceder a los recursos de la intranet ha de abrir sesión.
Para poder utilizar DirectAccess, primero hay que poder acceder a los recursos de la red corporativa utilizando IPv6. Si la organización dispone de una infraestructura habilitada para IPv6 -bien de forma nativa o mediante túnel ISATAP (Intra-Site Automatic Tunnel Addressing Protocol)- , no se necesitan servicios de traducción IPv6-a-IPv4. Si hay recursos que solamente soportan IPv4, habrá que establecer un servicio de traducción IPv6-a-IPv4 con algún dispositivo NAT-PT (Network Address Translation-Protocol Translation). Si se utiliza un dispositivo NAT-PT, no es necesario el uso de IPv6 nativo o ISATAP. El servidor DirectAccess soporta ISATAP como tecnología corporativa de transición y, para la conectividad con IPv6 a través de Internet (que utiliza IPv4), las tecnologías de transición Teredo y 6to4.
DirectAccess ofrece una serie de ventajas importantes:
-
Transparencia en la conexión. DirectAccess está siempre activa y disponible a través de cualquier acceso a Internet, y permite el acceso a los recursos internos de la red tanto en viajes de trabajo como desde locales públicos o desde casa.
-
Gestión remota. Los administradores de IT pueden conectar directamente las máquinas de cliente con DirectAccess para monitorizarlas, administrarlas y aplicar actualizaciones incluso sin que un usuario abra sesión desde ellas. Con esta capacidad se reduce el coste de gestión de las máquinas remotas, y se las mantiene siempre al día con actualizaciones críticas y los cambios de configuración necesarios.
-
Mayor seguridad. DirectAccess utiliza IPsec para la autenticación y el cifrado de datos. Opcionalmente pueden utilizarse smart cards para la autenticación de los usuarios. DirectAccess se integra con NAP para establecer un mecanismo de comprobación del cumplimiento de directivas sobre los equipos remotos antes de que puedan acceder a los recursos de la red interna. Los administradores de IT pueden configurar el servidor de DirectAccess para determinar a qué servidores concretos pueden acceder los usuarios y las aplicaciones de manera individualizada.
Puede encontrar más información en http://www.micrsosoft.com/directaccess.
-
Seguridad en la conexión remota para equipos privados y públicos
Otro problema muy frecuente para usuarios remotos es la posibilidad de acceder a los recursos de la intranet desde sistemas que no pertenecen a la propia organización a la cual pretende acceder, como sucede con equipos de uso público y quioscos de Internet. Si la organización no les suministra un portátil, la mayoría de los usuarios no pueden acceder a la red corporativa desde el exterior. Una combinación de las funcionalidades Área de Trabajo Remoto, Virtualización de la Presentación y la Pasarela para Escritorio Remoto permite a los usuarios desde clientes Windows 7 acceder en remoto a sus redes corporativas sin necesidad de instalar software adicional en el equipo cliente Windows 7. Con ello se facilita acceso remoto a su escritorio de la misma forma que si estuviesen en sus equipos de la oficina. Desde el punto de vista del usuario, el escritorio en el cliente remoto Windows 7 se transforma para emular exactamente el escritorio del usuario en la máquina de la oficina, incluyendo iconos, los elementos del menú Inicio y las aplicaciones instaladas, de manera que la experiencia del usuario es la misma que en su equipo habitual de la empresa. Cuando el usuario termina la sesión remota todo el entorno de usuario de Windows 7 se recupera a su configuración anterior.
-
Mejoras en el rendimiento en redes de oficinas
En la línea de reducir el coste y la complejidad de las tecnologías de información en redes de oficinas, las organizaciones tienden a centralizar sus aplicaciones. No obstante, a medida que se centralizan dependen cada vez más de la disponibilidad y la calidad de los enlaces WAN. El resultado inmediato del proceso es una creciente utilización de estos enlaces y la degradación del rendimiento de las aplicaciones. Ciertos estudios recientes demuestran que independientemente de la reducción de costes que puedan haberse producido en los enlaces WAN, los costes de dichos enlaces siguen siendo uno de los capítulos más importantes de los costes operativos de las empresas.
La funcionalidad BranchCache de Windows Server 2008 R2 y Windows 7 reduce el nivel de utilización de los enlaces WAN que interconectan las redes de oficinas y mejora la experiencia de usuario en los centros remotos, al cachear en local los contenidos más frecuentemente utilizados en esos centros remotos. Conforme los clientes de las oficinas remotas descargan datos desde los servidores del centro de datos corporativo, se realiza una copia de dichos datos o contenidos en la red de la oficina remota. Las peticiones posteriores de este mismo contenido se responden utilizando la copia local en la propia oficina, lo que mejora sustancialmente los tiempos de respuesta y reduce el consumo de ancho de banda de la WAN entre la oficina remota y los centros de datos. BranchCache precarga contenidos tanto de tipo HTML como SMB y verifica que solamente pueden acceder a él los usuarios autorizados, puesto que el proceso de autorización se lleva a cabo en los servidores ubicados en los centros de datos. BranchCache funciona con contenidos cifrados mediante SSL o IPSec y acelera notablemente su distribución.
BranchCache se puede implementar de dos maneras:
-
La primera supone el almacenamiento del contenido cacheado en un servidor dedicado para BranchCache en la oficina remota, lo que mejora la disponibilidad de los contenidos descargados. Este escenario probablemente será el más habitual y es el que corresponde a grandes redes corporativas donde hay muchos usuarios que acceden a los contenidos de BranchCache simultáneamente. Un servidor BranchCache en la oficina remota garantiza que el contenido estará siempre disponible y que se mantiene la seguridad extremo-a-extremo para todas las peticiones.
-
El segundo escenario se orienta a las peticiones entre máquinas en modo "peer-to-peer" y realmente solo se aplica a oficinas remotas muy pequeñas, con un máximo entre 5 y 10 usuarios que no disponen de un servidor local dedicado a esta labor. En tal situación el servidor de BranchCache en la red corporativa recibe una petición de un cliente y si el contenido ya ha sido solicitado en esa misma oficina, se le devuelve una serie de direcciones hash hacia la ubicación de dicho contenido en su propia red local, habitualmente en la máquina de otro compañero. El contenido se obtiene de ese equipo. Si el contenido no había sido solicitado antes, o si el usuario que hizo anteriormente la petición ya no está conectado, el contenido se transmite por la WAN como se haría normalmente.
-
Mejoras en la seguridad para redes de oficinas
Windows Server 2008 incorpora la funcionalidad de controlador de dominio de solo-lectura, que contiene una copia de solo-lectura del Directorio Activo, para situarlo en entornos con un nivel de seguridad menor, como pueden ser las oficinas remotas. Windows Server 2008 R2 dispone de soporte para hacer copias de solo lectura de la información contenida en las réplicas de DFS (Distributed File System). Las réplicas de solo-lectura de DFS ayudan a proteger la información permitiendo el acceso en modo de solo lectura en las oficinas a la información replicada mediante este sistema. Puesto que los datos son de solo lectura, no se pueden modificar y ello impide su borrado o modificación accidental.
-
Gestión de la energía más eficiente
Windows 7 incluye diversas características de gestión de la energía que permiten controlarlo en entornos corporativos con un elevado nivel de detalle, más que en las versiones anteriores del sistema operativo. Con Windows 7 se pueden aprovechar las últimas tecnologías de hardware en reducción del consumo energético para equipos de escritorio y portátiles. Windows Server 2008 R2 dispone de toda una serie de Políticas de Grupo para gestionar de forma centralizada el consumo de energía de los equipos con S.O. Windows 7.
-
Mejoras en la integración del desktop virtualizado
Windows 7 incorpora la funcionalidad RAD (RemoteApp and Desktop) que ayuda a integrar los desktops y aplicaciones virtualizados, empleando los Servicios de Escritorio Remoto con la interfaz de usuario de Windows 7. Esta integración hace que la experiencia del usuario ejecutando aplicaciones o desktops virtuales sea la misma que si ejecuta las aplicaciones en local.
-
Mayor tolerancia a fallos de conectividad entre sitios remotos
Uno de los aspectos más importantes que deben resolver actualmente las organizaciones es el de la conectividad entre centros dispersos. Muchas organizaciones conectan sus oficinas y centros de trabajo utilizando túneles VPN sobre redes públicas, como Internet. Uno de los problemas que afectan a las soluciones actuales basadas en VPN se que son especialmente sensibles a las desconexiones y los fallos de hardware. Cuando aparece un fallo en un equipo, el túnel VPN se cierra y ha de restablecerse, lo que provoca pérdidas de conectividad. La funcionalidad Agile VPN de Windows Server 2008 R2 hace posible que una misma VPN disponga de varias rutas de red entre puntos por las cuales puede establecerse el túnel. En caso de fallo, Agile VPN conmuta automáticamente a otra ruta alternativa, manteniendo activo el túnel VPN sin interrupción de la conexión.
-
Mayor protección para los discos extraíbles
En Windows Server 2008 y sistemas operativos anteriores existe BitLocker Drive Encryption (BitLocker) para proteger un volumen del sistema operativo. La información contenida en otros volúmenes, y especialmente en los discos extraíbles, tenía que cifrarse mediante EFS (Encrypted File System). En Windows 7 se pueden cifrar los discos extraíbles con BitLocker, por ejemplo discos duros eSATA, discos externos USB, memorias USB o discos CompactFlash. Con ello se protege la información almacenada en dispositivos extraíbles aplicando un nivel de protección equivalente al del volumen del sistema. BitLocker requiere el uso de un dispositivo TPM (Trusted Platform Module) o una llave física para acceder a la información cifrada. Puede también pedirse al usuario la introducción de un número de identificación personal (PIN), además del dispositivo TPM o la llave física.
-
Mejoras para evitar la pérdida de datos a usuarios en movilidad
La funcionalidad de Archivos sin Conexión (Offline Files) permite indicar qué archivos y carpetas dentro de carpetas compartidas de la red podrán utilizarse aun en el caso de que las carpetas compartidas no estén disponibles (offline). Por ejemplo, cuando un usuario desconecta el portátil de la red de la empresa y trabaja en un sitio remoto. En Windows Server 2008 y Windows Vista, la funcionalidad de Archivos sin Conexión se configura en modo online por defecto. En Windows Server 2008 R2 y Windows 7, esta funcionalidad permite la transición al modo offline cuando por defecto cuando detecta una red lenta. De esta forma contribuye a reducir el tráfico cuando el equipo está conectado en la intranet, ya que los usuarios modifican copias cacheadas en local de la información contenida en la cache local de los Archivos sin Conexión. No obstante, la información guardada en la cache local de los Archivos sin Conexión sigue estando protegida frente a posibles pérdidas puesto que esta información se sincroniza con la carpeta compartida de la red.
Última actualización de esta página: 30 de Marzo de 2009

