Alternativa al Directorio Activo de Windows Server
Días atrás leía aquel libro titulado !Sálvese Quien Pueda!, del periodista, escritor y conferencista Andres Openheimer. Entre sus páginas se pronosticaba que los trabajos del futuro requerirán profesionales más expertos en problemas, que en soluciones. Dentro de su contexto se refiere a los retos que nos está trayendo los avances de la automatización. Además el dólar y la inflación hace que como profesionales nos replanteemos el escenario de las TIC, es decir, hablo de una reestructuración de la infraestructura debido a los costos. Por eso en esta ocasión vamos a hablar de Zentyal, una distribución GNU/Linux económica que nos representa una buena alternativa al Directorio Activo de Windows Server de Microsoft.
Alternativa al Directorio Activo de Windows Server económica
Zentyal es de esas distribuciones que viene en dos versiones: una libre y gratuita (community version), y otra comercial. Aunque ésta última de pago sigue siendo muy económica comparado con un Microsoft Windows Server en cualquiera de sus formas; bien sea montado en un servidor propio, o virtualizado como un servicio mensual facturado, o por conversión monetaria.
“Dejen que las empresas se vayan a la nube, porque pronto regresaran.”
Para nosotros es claro que alquilar un Directorio Activo en la nube, tipo Windows, con los grandes proveedores de servicios Cloud, y además conectado con un MPLS (proporcionado por la misma corporación) es un servicio que no es económico a largo plazo, no ayuda mucho a generar ventas, ni a incrementar ingresos, además de la mala atención postventa de estos proveedores Cloud, y las trabas que nos imponen para cancelarlos. A eso le sumamos la latencia y los jitters que la nube le adiciona al servicio, los cortes de fibra óptica, las famosas ‘fallas masivas‘ del ISP. En resumen, una solución en la nube con Windows es demasiado costosa comparado con una alternativa tipo Zentyal funcionando on-premises.
Zentyal solución integral
Además del servicio de Controlador de Dominio, Zentyal nos ofrece la mayoría de servicios de red que una infraestructura requiere para un funcionamiento estándar.
En la red empresarial que administro lo montamos, lo probamos y quedamos satisfechos. Así que nuestro equipo de trabajo ejecutó la migración desde el Controlador de Dominio de Windows, hacía el Controlador de Dominio de Zentyal.
Esta distribución de GNU/Linux es liviana, por lo que podemos ponerla a funcionar perfectamente en una máquina virtual tipo VirtualBox, asignándole 4 GB de RAM y dos hilos de CPU.
Esta alternativa al Directorio Activo de Windows Server de Microsoft, cubre perfectamente las necesidades de un Controlador de Dominio para pequeñas y medianas empresas. Bueno, en realidad sirve perfectamente para toda empresa que cuente con un solo bosque (por ahora Zentyal no soporta la agrupación de varios dominios).
Proceso de implementación del Controlador de Dominio con Zentyal
Los pasos que voy a mostrar a continuación son exactamente los mismos que ejecutamos durante la implementación para la empresa en la que trabajo, por lo que hay datos tapados intencionalmente por privacidad.
La instalación de Zentyal no tiene ningún misterio, es como cualquiera otra distribución GNU/Linux, por lo que no voy a tratarlo en este espacio. Sin embargo, puedes revisar este video que lo explica:
Ya instalado, debemos ejecutar los siguientes pasos:
1- instalamos y activamos el módulo de red para configurarle una dirección IP.
2- Definimos el nombre del servidor y su dominio
3- Instalación del módulo de Controlador de dominio y compartición de archivos
Al instalar el módulo de Controlador de Dominio y compartición de archivos, se instalará automáticamente los módulos de DNS Server y firewall. Zentyal también nos recomienda que evitemos nombrar un dominio con sufijo .local.
4- Definimos la contraseña del Administrador
Llegados a este punto ya podemos comenzar a unir clientes a este dominio. Nosotros comenzamos uniendo un equipo con Windows 7 y otro con Windows 10.
5- Creamos un usuario llamado andrex
Ya creado, configuramos el usuario andrex en el computador con Windows 7 que acabamos de promover en nuestro dominio.
Administración de Políticas de Grupo (GPO)
Como Zentyal usa a Samba como Controlador de Dominio, Directorio Activo, y Bind como servidor DNS, podemos hacer uso de herramientas de gestión remota de Windows, llamada RSAT, para administrar el DNS de Zentyal, así como los usuarios y políticas de grupo (fondo de escritorio, contraseñas, etc), tal como lo haríamos en un Directorio Activo de Windows normal.
La instalación de RSAT (Remote Support Administration Tools – Herramienta de Administración Remota), podemos hacerla en un computador cualquiera, que esté promovido en el dominio, y que funcione solo con Windows 10 Professional. En este punto Microsoft es claro indicando que si se instala en otra versión de Windows se infrinjirá la licencia de Windows. Además, debe gestionarse con el usuario Administrator del dominio.
Instalador de RSAT para Windows 10.
Si el instalador independiente de RSAT no te funciona, inténtalo instalándolo desde Aplicaciones y características, el cual explico más abajo.
Ya instalado en nuestro computador, podemos ubicarlo como Group Policy Managment
Una forma de verificar el correcto funcionamiento entre los clientes y las GPO, es empleando el comando ‘gpupdate /force‘ desde Windows.
Instalación de RSAT desde Aplicaciones y características
La ruta para instalar este complemento es el siguiente Aplicaciones y características -> Características opcionales -> Agregar una característica.
El paquete de Herramientas de Active Directory Domain Services y Lightweight Directory Services no es más que la consola de Administración de Grupos y Usuarios.
Comandos de gestión para la alternativa al Directorio Activo
A menos que compremos una licencia comercial de Zentyal, para tener todas las funciones de la interfaz gráfica de usuario, debemos hacer algunas actividades de administración por medio de la consola de comandos. A continuación algunos de los comandos de gestión de cuentas y políticas.
Visualizar la versión de Samba
smbstatus --version
Bloquear la cuenta a los tres intentos
sudo pdbedit -P "bad lockout attempt" -C 5
Mantener la cuenta bloqueada durante 1140 minutos
sudo pdbedit -P "lockout duration" -C 1440
Solicitar cambio de contraseña al iniciar sesión:
Para versiones anteriores la versión 7:
pdbedit -u usuario --pwd-must-change-time 0
Para las versiones nuevas:
net sam set pwdmustchangenow usuario yes
Verificar estado de la cuenta
pdbedit -L -v -u usuario
Las políticas relativas a las cuentas y contraseñas del dominio se gestionan con el comando ‘samba-tool domain passwordsettings’. A continuación un ejemplo:
sudo samba-tool domain passwordsettings set --account-lockout-threshold=3 --account-lockout-duration=10
El comando se explica así:
• La cuenta del usuario del dominio se bloquea tras 3 intentos fallidos de autenticación.
• Se reiniciará el número de intentos fallidos por parte del usuario pasados 30 minutos.
• La cuenta se desbloqueará pasados 10 minutos de forma automática.
Una vez aplicados estos cambios, podremos ver que tiene una configuración similar a la siguiente:
sudo samba-tool domain passwordsettings show
Y eso es todo. Espero que esta experiencia que les comparto contribuya en sus funciones de toma de decisiones, y a que también se conviertan poco a poco en expertos del problema (y no de una solución).
Aunque la contraseña del Administrador del dominio la podemos definir vía interfaz web, también podemos acudir a este comando para el mismo propósito:
sudo samba-tool user setpassword Administrator --newpassword=TuNuevaContraseñaSegura
Para verirficar el cambio
kinit Administrator@TU_DOMINIO.LOCAL
Configurar un Reenviador Condicional en Zentyal – Los Stubs
Cada vez que modificamos la configuración desde la interfaz web de Zentyal, se modifican los archivos de configuración del servicio en cuestión. Por eso, si modificamos manualmente la configuración del servicio directamente desde su archivo de configuración, al guardar cualquier cambio desde la interfaz web, o desde una actualización del sistema, la configuración manual se perderá. Los Stubs nos ayudan a hacer permanentes esos cambios manuales.
Por ejemplo, necesitamos hacer resolución de nombres de otro dominio, que está en otra red, que se llama «elotrodominio.com«, y cuyo servidor DNS Autoritativo tiene la dirección IP 192.168.120.1.
Desde la interfaz web de Zentyal Community no podemos adicionar reenviadores condicionales. Pero sí podemos hacerlo directamente en el archivo de configuración de nuestro DNS, adicionando al final del archivo named.conf el reenviador condicional, así:
_$ sudo nano /etc/bind/named.conf zone "elotrodominio.com" { type forward; forwarders {192.168.120.1;}; };
Para que este ajuste persista, debemos adicionarlo al final del archivo de plantilla del DNS de Zentyal /usr/share/zentyal/stubs/dns/named.conf.options.mas, así:
_$ sudo mkdir -p /etc/zentyal/stubs/dns
_$ sudo cp /usr/share/zentyal/stubs/dns/named.conf.mas /etc/zentyal/stubs/dns
La próxima vez que realicemos un cambio en nuestro servicio DNS desde la interfaz web, nuestro reenviador condicional se conservará.
¿Se requiere de una máquina robusta para Zentyal como Directorio Activo?
Absolutamente no. No se requiere una máquina costosa para el funcionamiento de Zentyal. Basta con que la máquina cuente con al menos 4 GB de RAM, un procesador doble núcleo y 120 GB de almacenamiento. En mi caso lo tengo funcionando sobre una máquina virtual tipo VirtualBox con esa configuración y funciona fluido.
De todas formas, si nuestro plan es probar la versión community de Zentyal en una red relativamente grande, de más de 100 equipos y por un buen tiempo, recomiendo aplicarle la siguiente optimización, se trata de aumentarle la caché de solicitudes al servicio de resolución de nombres, DNS, que Zentyal implementa con Bind:
a. Copiamos el stub de las opciones de Bind y abrimos el archivo de opciones de Bind, respectivamente
sudo cp /usr/share/zentyal/stubs/dns/named.conf.options.mas /etc/zentyal/stubs/dns/
sudo nano /etc/zentyal/stubs/dns/named.conf.options.mas
b. Dentro de named.conf.options.mas , adicionamos la línea max-cache-size 90%; (podemos ponerla después de la línea directory «/var/cache/bind»; ) Reiniciamos el servicio, y listo.
c. Podemos verificar este ajuste reiniciando el servicio y luego ejecutamos sudo journalctl -eu named, con lo que podemos ver algo como esto:
none:100: 'max-cache-size 90%' - setting to 3287MB (out of 3874MB)
Tenga en cuenta que BIND no utilizará el 90% de su RAM inmediatamente, él ocupará esos 90% reservados a medida que le lleguen muchas solicitudes.
Si estás usando la versión gratuita de Zentyal, puede suceder que al cabo de un tiempo la resolución DNS deje de funcionar. Eso es debido a que la caché del servicio se ha llenado. Automatizando el siguiente script en /etc/crontab podemos solucionarlo:
#!/bin/bash rndc flush rndc reload sleep 1 rndc dumpdb -cache exit 0
Puedes ver cómo robustecer o afinar una máquina Linux, aquí
Valora este artículo
Pingback: 🥇 Comandos de Gestión de Named Bind - Servidor DNS en Linux
Pingback: 🥇 Seguridad Informática en las Empresas y de la Información