Buenos días, siguiendo con las tareas de creación de objetos cotidianos en Active Directoty desde PowerShell vamos a ver como listar los grupos y como crear estos desde PoweShell.
En primer lugar vamos a ver como listar los grupos que tenemos en nuestro Active Directory, el script es básicamente el mismo que vimos para el listado de usuarios, únicamente modificamos el objeto que deseamos extraer de un usuario a un grupo.
Buenos días, vamos a continuar con la serie sobre administración con Powershell de funciones de dominio, en este caso vamos a ver como generar usuarios de forma masiva importándolos desde un archivo CSV.
Para ello lo primero que vamos a hacer es generar un excell que luego convertiremos a csv, el excell tendrá el siguiente aspecto:
Buenos días, siguiendo con la serie de post sobre PowerShell y tras ver como inicializar servidores y como conectar a controladores de dominio, vamos a seguir viendo diferentes tareas que podemos hacer una vez conectados a nuestro controlador.
Recordar que en la lista teníamos las siguientes funcionalidades:
Hace unos días vimos como podíamos realizar la configuración inicial de un servidor mediante PowerShell, como mencione en dicha publicación era una parte de un script con mas opciones, asi que hoy vamos a ver un poquito mas de el.
Buenos días a tod@s, después de un largo parón por diversos motivos personales vuelvo a la carga con cosas nuevas. Últimamente he tenido que generar diversos Scripts con Powershell para la realización de tareas cotidianas realizadas al implementar nuevos servidores como la asignación de direccionamiento estático, desactivar el firewall o cambiar su perfil, deshabilitar funciones de la tarjeta de red y su unión a dominio. Este script lo tengo implementado en todas las plantillas para el despliegue de servidores y en las imágenes WIM agregadas al MDT.
Voy a separar cada línea del script con un salto de línea, ya que algunos cmdlets por su longitud superan este tamaño, así podréis ver donde empieza y termina cada línea con claridad.
Durante unas semanas hemos visto poco a poco como segmentar nuestra infraestructura de red, ahora, vamos a ver un resumen donde os dejare los enlaces al resto de artículos necesarios para poder llevar a cabo todo el proceso completo.
Recordemos que la finalidad de la segmentación de una infraestructura de red son muchas:
Dispositivos de capa 3.
Después de ver la configuración de los dispositivos de capa 2 y la de los clientes, ya solo nos queda ver las configuraciones necesarias en nuestro dispositivo de capa 3, para ello podemos hacer uso de un router o un switch con funcionalidad de capa 3, generalmente la mejor solución es hacer uso de un switch capa 3, ya que si hacemos uso de un router o del servicio RRAS de Windows necesitaremos una interfaz dedicada para cada segmento de red o contar con la posibilidad de generar sub-interfaces lógicas dentro de la física del router, además del cuello de botella que podría generarse.
Requisitos previos. Read more
Dispositivos de capa 2.
Ya vimos la semana pasada como configurar nuestros clientes para trabajar con Vlan´s, y como estos quedaban automáticamente configurados sin necesidad de mucho esfuerzo. Ahora es el momento de configurar nuestros switchs para poder trabajar correctamente.
Si retomamos la imagen de arriba, ahora nos centramos en las configuraciones correspondientes a la capa 2. Como podéis observar podemos diferenciar dos tipos de enlaces:
La diferencia de estos dos tipos de enlaces es muy simple, si establecemos una comunicación desde el primer cliente de la izquierda hacia el ultimo cliente, el camino que seguirá contara de 4 saltos:
Siguiendo los saltos, mirando la imagen y teniendo en cuenta que los clientes conectados al primer switch de la derecha esta cada uno en un Vlan diferente, diferenciamos 3 enlaces:
Antes de poder asignar la pertenencia a vlan de una interfaz deberemos realizar unos pasos previos.
Generación de Vlan´s.
Para poder asignar una interfaz a una vlan, primero debemos contar con las vlan necesarias para ello, deberemos crearlas en nuestro swtich. Este paso es muy sencillo, tan solo deberemos acceder a nuestros dispositivos y generar las vlan que necesitemos. Normalmente podemos hacerlos desde línea de comandos o desde la interfaz gráfica del dispositivo, generando así en cada dispositivo las vlan necesarias.
En redes amplias puede llegar a ser muy tedioso ir uno a uno por cada switch generando las vlan correspondientes, así que es más que recomendable, a la hora de comprar este tipo de dispositivos, tener en cuenta que este cuenta con algún protocolo de transmisión, como por ejemplo VTP, protocolo propietario de cisco que se encarga de pasar la base de datos de vlan entre dispositivos de red. También es posible “jugar” con los archivos de configuración de los para este propósito, podemos maquetar un switch con todas la vlan necesarias para nuestra infraestructura, exportar la configuración e irla cargando en el resto de switchs, pero tenéis que tener en cuenta todos los parámetros que se pasan con la configuración o editar, si es posible dicho archivo.
Una vez hemos generado las vlan necesarias en los dispositivos pasaremos al siguiente paso.
Configuración de puertos de acceso.
Los puertos de acceso, como su nombre indica, son los encargados de dar acceso a nuestros clientes a la red. Deberemos tener en cuenta unas cuantas cosas:
Una vez tenemos estos dos puntos claros, tenemos dos métodos para asignar la pertenencia a vlan en las interfaces del swtich:
El tipo de método de asignación ya depende de vosotros. Pero si os puedo orientar un poquito, para recopilar las MAC podéis hacer uso por ejemplo del servidor dhcp, ya que podréis ver el nombre, la IP concedida y la MAC del equipo en todo momento. Pasemos al último paso en los dispositivos de capa 2.
Configuración de enlaces troncales (802.1q).
Con los puertos de acceso configurados para que etiqueten las tramas con los vlan Id que corresponda, solo nos queda asegurarnos de que las comunicaciones pueden ser reenviadas entre los dispositivos de red de nuestra infraestructura. Para ello, como podéis observar en la imagen, es necesario que una serie de interfaces sean capaces de reenviar el trafico sea cual sea el vlan id que contengan las tramas.
Para ello es necesario que activemos el protocolo de enlaces troncales 802.1q en estas interfaces. La activación al igual que con la asignación de los puertos de acceso depende del proveedor del dispositivo. Por ejemplo en cisco deberemos usar el comando switchport mode trunk, mientras que en Netgear deberemos marcar como tagged para todas las vlan necesarias este tipo de puertos. Con esto permitiremos que el puerto deje pasar las tramas sea cual sea el vlan Id que contenga.
Llegados a este punto ya solo nos queda la configuración de nuestro dispositivo de capa 3, que como podéis recordar será el encargado de re-direccionar, gracias a las funciones de routing, las tramas entre las diferentes vlan´s.
Como siempre espero os sea útil la información, para cualquier duda, consulta etcétera podéis contactar conmigo. No olvidéis compartir el contenido si os parece interesante y apuntaros al RSS para recibir las ultimas actualizaciones. Nos vemos pronto.
Fundamentos.
Hasta la fecha, hemos visto como configurar un relay dhcp y la configuración de nuestro dhcp para asignar direccionamiento a los distintos dispositivos dentro de nuestra red. Para completar nuestra configuración por completo, nos falta la configuración de los dispositivos de red, esta parte la vamos a abarcar entre los siguientes 3 artículos.
Para poder comunicarnos entre nuestras vlan, deberemos tener un dispositivo que sea capaz de re-direccionar el tráfico entre los diferentes segmentos de nuestra red. Lo más lógico es hacer uso de un switch con funcionalidad de capa 3. Este será el core de nuestra red, siendo capaz de intercomunicar nuestras vlan. Para el resto haremos uso de switch´s con funcionalidad de capa 2.
Asignación de interfaces.
Si seguimos el esquema de arriba, las interfaces de los switch de capa 2 correspondientes a los clientes, deberán estar configuradas en modo acceso para la vlan correspondiente, asignando así la pertenencia del equipo a la vlan. Mientas que las que comunican con nuestro dispositivo capa 3, deben estar en modo troncal, habilitando así el protocolo 802.1q. Mas adelante veremos el porqué de estas configuraciones.
Por último tendremos nuestro dispositivo de capa 3, este será el encargado, como he dicho en varias ocasiones, de re-direccionar el tráfico entre las diferentes vlan. Para poder llevar a cabo este cometido será el que haga de Gateway para las diferentes vlan, por lo tanto este además de tener configuradas las diferentes vlan, también tendrá que ser capaz de enrutarlas, para lo cual tendremos que configurar la parte correspondiente al routing asignado un rango y una ip a cada una de ellas en el dispositivo, siendo la ip que asignemos la que hará de puerta de enlace para la vlan correspondiente. También deberemos configurar en este una ruta por defecto para que sea capaz de reenviar fuera de nuestra red local el tráfico pertinente.
Configuración de los clientes.
Vamos a ir viendo las configuraciones para cada una de las partes del esquema, empezaremos por los clientes, en el siguiente post veremos la configuración de dispositivos de red de capa 2 y en el ultimo la de los dispositivos de capa 3.
En realidad, la configuración de los clientes ya la tenemos realizada, ya que cuando conectemos un dispositivo a la red seguirá el siguiente proceso:
Como podéis ver el proceso es bastante sencillo. En principio, cuando terminemos de configurar todo, dispondremos de una red segmentada en la que los dispositivos podrán comunicarse entre si. Si deseamos que esto no sea así, podemos hacer uso de diferentes métodos como puede ser la aplicación de ACL´s para las vlan. Este método es bastante sencillo de implementar, sin embargo mi intención es ir mas allá. Digamos que esta serie de post sobre segmentación de redes pretende ser el preludio para una serie de post en los que veremos como proteger nuestra infraestructura. Para conseguir este fin podemos hacer uso, entre otras cosas, de:
Estas son algunas de las funcionalidades que se me ocurren podemos implementar y que espero poder ir publicando poco a poco si el tiempo y los recursos me dejan.
Hasta el próximo post.
No olvidéis compartir el contenido si os gusta y dejar algún comentario, pregunta, reseña, etcétera. Siempre intento contestar las preguntas, ayudar y echar una mano, ya que, a mi entender es la finalidad de cualquier blog, acercar el conocimiento a los demás y aprender de ellos. Siempre se puede aprender de las criticas y no todo siempre todo tienen que ser halagos.
