844819974 x

Administración
y gestión de una red
de área local
7

Al finalizar esta Unidad podrás…

Conocer las principales tareas
y responsabilidades del
administrador de red.

Analizar los parámetros de los
que depende el rendimiento
de una red, proponiendo mejoras.

Diseñar la estructura de servicios
de una red de área local y realizar
el despliegue de los mismos.

Conocer los criterios de seguridad
que garanticen el correcto
funcionamiento de los servicios
de la red y la confidencialidad
de los datos de usuario.

Elaborar la documentación
necesaria tanto para los usuarios
como para el mantenimiento
de la red.

7. Administración y gestión de una red de área local
7.2 Organización de la red

rados, tanto en el servidor como en los clientes, es nece-
Introducción saria la definición de los servicios, modos de acceso y
parámetros de los sistemas de ficheros de cada servidor
En la Unidad anterior estudiamos la configuración de un o de todo su conjunto; es decir, hay que darle forma al
servidor para que corriera distintos tipos de protocolos conjunto de servidores y clientes de modo que faciliten
coexistiendo entre sí, analizando las preguntas habitua- su utilización a los usuarios autorizados.
les que se suelen hacer en tiempo de instalación o pos-
teriormente en la configuración del sistema. Todas estas funciones son propias de la administración,
gestión y seguridad de los sistemas en red de área local.
Llegados a este punto, una vez que el servidor está en
marcha y los distintos protocolos de conexión configu-

7.1 El administrador de la red
La persona encargada de las tareas de administración, ges- tiempo. Ello exige tener las herramientas adecuadas
tión y seguridad en los equipos conectados a la red y de y los conocimientos necesarios para realizar esta
la red en su conjunto, tomada como una unidad global, es función.
el administrador de red. Este conjunto abarca tanto a
servidores como a las estaciones clientes, el hardware y el • En ocasiones, estos conocimientos sólo se pueden
software de la red, los servicios de red, las cuentas de adquirir en los departamentos de formación de las
usuario, las relaciones de la red con el exterior, etcétera. compañías suministradoras del hardware y software
de las redes o entidades similares. El trabajo pro-
Algunas de estas tareas han sido previamente explicadas: pio de mantenimiento puede ser realizado por
configuración de protocolos, instalación del NOS, diseño miembros de la propia empresa, o bien contratar
e implementación del cableado, etc. No obstante, apare- estos servicios con terceras empresas (outsourcing).
cen funciones nuevas que se apoyan en las anteriormente
citadas y que estudiaremos a continuación. • Determinar las necesidades y el grado de utilización
de los distintos servicios de la red, así como los
De entre las muchas funciones que se le pueden asignar accesos de los usuarios a la red.
al administrador de red vamos a destacar algunas de
ellas, por la especial importancia que revisten: • Diagnosticar los problemas y evaluar las posibles
mejoras.
• Instalación y mantenimiento de la red. Es la función
primaria del administrador. No basta con instalar el • Documentar el sistema de red y sus características.
NOS en los equipos, sino que además hay que garan-
tizar su correcto funcionamiento con el paso del • Informar a los usuarios de la red.

Corresponde al administrador de la red, como tarea espe- caciones que se instalan sobre el sistema operativo y
cialmente importante, la decisión de planificar qué orde- que ayudan al administrador a gestionar la red con pro-
nadores tendrán la función de servidores y cuáles la de cedimientos preestablecidos, atendiendo a los eventos
estaciones clientes, de acuerdo con las necesidades exis- que se producen mediante un sistema de alarmas.
tentes en cada departamento u organización.
Además, los usuarios se benefician de estos servicios
Del mismo modo, se ocupará de las relaciones con otros remotos de modo transparente, debido al avance que
departamentos, grupos o dominios de red, en lo que se han tenido los protocolos y aplicaciones de capas supe-
refiere a la utilización de los recursos de otros grupos, riores.
así como de la comunicación entre los diferentes domi-
nios de gestión. La tendencia en los NOS contempla la posibilidad de uti-
lizar los recursos de red (ficheros, impresoras, progra-
En la actualidad es común la utilización de servicios que mas, etc.) sin preocuparse de su localización física en la
se encuentran en el exterior de la red, es decir, de apli- red.

07
193


A. Servidores de la red estudiado en la Unidad anterior que el mundo informá-
tico habla, en general, TCP/IP.
Cuando se establece una estrategia de red es importante,
en primer lugar, realizar una buena elección de los ser- Si instalamos más protocolos de los que realmente se
vidores con los que se contará. El número y prestaciones utilizarán haremos un consumo excesivo e inútil de
de los servidores de red están en función de las necesi- memoria central, así como una sobrecarga en el software
dades de acceso, velocidad de respuesta, volumen de de red de las estaciones, lo que ralentizará tanto los pro-
datos y seguridad en una organización. cesos informáticos como los de comunicaciones.

Las características técnicas de los servidores de acuerdo También hay que asegurarse de que si una aplicación
con la función que vayan a desempeñar es un tema que tiene previsto utilizar un interfaz de aplicaciones con-
ya ha sido estudiado en la Unidad 6. creto, por ejemplo, NetBIOS, debe estar instalado, ya
que de lo contrario la aplicación de usuario no podrá
El número de servidores determina en gran medida la gestionar las unidades de red remotas. Éste sería el tra-
configuración de la red. Efectivamente, si sólo dispone- bajo típico de un redirector, como ya se veía en la Uni-
mos de un único servidor, éste debe ser compartido por dad anterior.
toda la organización. Sin embargo, si se dispone de
varios servidores cabe la posibilidad de arbitrar distin- El administrador debe valorar el modo en que trabajarán
tas configuraciones. los usuarios, con información local o centralizada. Pode-
mos encontrarnos con tres tipos de configuraciones para
A pesar de que la carga de trabajo en una organización los clientes:
no exija más de un servidor, puede ser recomendable la
existencia de varios servidores, por razones de seguridad, • Los programas y aplicaciones están instalados en el
de reparto de flujo de datos, de localización geográfica, disco duro local de la estación y no son compartidos
etcétera. por la red. Cada usuario tiene una copia de cada
aplicación. Los datos residen también de modo habi-
En este sentido, los NOS disponen de herramientas de tual en el disco local, aunque es posible centralizar
trabajo en red para establecer dominios o grupos que la información en los servidores.
pueden compartir configuraciones de acceso y seguri-
dad. También incorporan capacidades de administración • Los programas están instalados en el servidor y
centralizada de los nodos de la red. todos los usuarios acceden al servidor para disparar
sus aplicaciones. Por tanto, se instala una única
Cuanto mayor es el número de servidores de una red, copia de las aplicaciones, lo que ahorra espacio en
mayor es la carga administrativa, incrementándose tam- disco. Hay que tener en cuenta, no obstante, que no
bién los costes de mantenimiento. Por tanto, en una red todas las aplicaciones permiten esta operativa de
no debe haber más servidores que los necesarios. trabajo. Los datos de usuario pueden seguir estando
distribuidos por las estaciones clientes, aunque tam-
El crecimiento de la red hace que paulatinamente se bién pueden residir en el servidor.
vayan incrementando el número de servidores, lo que
provoca que ocasionalmente haya que replantearse la Hay un caso particular de esta configuración: los
asignación de servicios a servidores de modo que se ins- clientes ligeros o las estaciones que no poseen disco
talen servidores más grandes pero en menor número. A local (o que poseyéndolo, no lo utilizan para alma-
esta operación se le denomina consolidación de servi- cenar aplicaciones o datos) y que deben arrancar
dores. remotamente a través de la red desde un servidor de
sistemas operativos.

B. Estaciones clientes • La instalación de aplicaciones distribuidas exige la
colaboración del cliente y del servidor, o entre varios
En las estaciones de trabajo se han de instalar y confi- servidores, para completar la aplicación. Por ejem-
gurar todos los protocolos necesarios para la conexión a plo, una aplicación de correo electrónico consta de
cuantos servidores necesiten los usuarios. una parte denominada cliente, que se instala en la
estación cliente, y una parte denominada servidor,
Por ejemplo, habrá que instalar TCP/IP si se desea hacer que se instala en el servidor de correo.
una conexión hacia máquinas UNIX, NetBEUI para reali-
zar conexiones sencillas a servidores Microsoft e IPX para Otros ejemplos de aplicaciones distribuidas son las
la conexión con servidores Novell, aunque ya hemos construidas según la tecnología cliente-servidor,

07
194


como las bases de datos distribuidas. Han aparecido constituida por distintas LAN en lugares geográficos dis-
nuevas tendencias en la programación de objetos tintos.
que facilitan la comunicación entre componentes a
través de la red. Algunos nombres que nos hablan de También es posible la comunicación entre dos LAN per-
estas técnicas son CORBA, DCOM, COM+, ORB, etcé- tenecientes a distintas organizaciones. Esta comunica-
tera. ción se realiza a través de redes WAN.

La clasificación anterior está muy simplificada. La reali- El acceso de un usuario remoto puede ser similar al
dad es mucho más compleja. Lo habitual en el mundo de acceso de un usuario local, disponiendo de los mismos
los sistemas de red son combinaciones de todas estas servicios, aunque con rendimientos menores, debido a la
posibilidades y, por ejemplo, máquinas que son servido- inferior capacidad de transferencia de las líneas de trans-
ras con respecto de un tipo de servicio son clientes con misión de las redes WAN utilizadas en la conexión. Para
respecto de otros. ello, basta con disponer de los servicios de conexión y
validación apropiados. Éste es el fundamento del tele-
De la eficacia al diseñar esta estructura de red depende trabajo.
el éxito del administrador de red dando un buen servicio
a los usuarios de la red que administra. Para poder acceder a estos servicios remotos, es necesa-
rio que las LAN posean nodos especializados en servicios
de comunicaciones remotas, que también deben estar
C. Conexiones externas a la red correctamente configurados.

Además de los clientes y servidores de la red, es común Las conexiones con el exterior requieren dispositivos
la comunicación de datos entre la red de área local y el especializados que dependen del tipo de conexión y de
exterior, ya sea con usuarios de la misma o de distinta la WAN que se utilice. Por ejemplo, servidores y clientes
organización, pertenecientes o no a la misma red corpo- RAS o de redes privadas virtuales, interfaces X.25, RDSI,
rativa. Por ejemplo, una red corporativa puede estar ATM, etc., que serán estudiados en la Unidad 8.

3 servidores

3 servidores

3 servidores
3 servidores

WAN
3 servidores

Figura 7.1. Ejemplos de diagramas de red WAN para una compañía con varias sedes sociales.

En la Figura 7.1 tenemos un ejemplo de red de área comunicación a lo largo de todo un amplio territorio, así
extendida de una compañía distribuida en varias sedes. como los modos de conexión entre los distintos seg-
En estos diagramas se pueden observar las líneas de mentos de red remotos.

07
195

7.3 El sistema de acceso a la red

El acceso a la red es el primer aspecto en que debemos Una vez que hayamos dado un nombre a cada host, ten-
fijarnos una vez instalado el software de red. Los servi- dremos que registrar éste en algún servicio de directo-
cios que ofrece una estación conectada a la red pueden rio, el equivalente a las páginas amarillas de una guía
ser utilizados por cualquier usuario que utilice esa esta- telefónica.
ción de trabajo.
Sobre este tema abundaremos más adelante. Por ahora,
El orden y la confidencialidad de cada puesto de trabajo basta con aclarar que los nombres de red suelen ser un
o proyecto requieren un sistema que garantice que cada término alfanumérico, o varios separados por puntos,
persona tenga acceso a sus datos y aplicaciones, evitando aunque esto depende del tipo de red.
que otros usuarios puedan ser perjudicados por el uso
indebido del sistema o por la falta de una intención recta. En el caso de las direcciones ocurre algo parecido. La tec-
nología de red condiciona el tipo de dirección. Para nues-
Todo esto apunta a un nuevo problema que siempre hay tro estudio, nos centraremos en el sistema de direcciona-
que tener en cuenta y que afecta a la seguridad de los miento IP, que ya conocemos de Unidades anteriores.
sistemas: el intrusismo o hacking.
Si el host que pretendemos configurar va a estar en
En general, hay tres términos que definen la actuación Internet, su dirección IP viene condicionada por la nor-
ilegal oculta en la red: mativa internacional de asignación de direcciones IP.

• Hackers. Es la persona que trata de «reventar» el Sin embargo, si el nodo va estar en una red de área
sistema operativo, violando su sistema de claves de local, podemos asignarle una dirección elegida entre un
acceso, con objeto de apoderarse de información rango que la normativa IP ha reservado para estos casos
reservada o por la mera satisfacción de superar esa y que vienen especificadas en el RFC 1918. Estos bloques
dificultad. de direcciones son del 10.0.0.0 al 10.255.255.255, del
172.16.0.0 al 172.31.255.255 y del 192.168.0.0 al
• Crackers. En este caso, se violentan las proteccio- 192.168.255.255.
nes anticopia del software.
Además de la dirección IP tendremos que configurar
• Phreakers. Son individuos que buscan la forma de otros parámetros como la máscara. De la asignación de
usar o abusar del teléfono ajeno a su antojo. rutas nos ocuparemos con más detalle en la Unidad 9.

Cualquier administrador de sistema o de red tiene que
tener en cuenta el posible asalto a la red por parte de B. Cuentas de usuario
personas que se dedican a este tipo de actividades,
sabiendo que el ataque puede venir tanto desde fuera Las cuentas de usuario son el modo habitual de perso-
como desde dentro de su organización. nalizar el acceso a la red. Así, toda persona que utilice
la red con regularidad debe tener una cuenta de acceso.
El modo de hacer distinciones entre los diferentes usua-
rios, implica la confección de cuentas de acceso perso- Para que el control de este acceso sea suficientemente
nalizadas y un sistema de validación o autenticación que bueno, las cuentas deben ser personales, es decir, dos
permite o impide el acceso de los usuarios a los recursos usuarios no deben compartir la misma cuenta.
disponibles.
La cuenta proporciona el acceso a la red y lleva asocia-
das todas las características y propiedades del usuario
A. Asignación de nombres útiles en las labores de administración (Figura 7.2). Las
y direcciones cuentas de usuario suelen tener parámetros semejantes
a los que a continuación se describen, aunque cada sis-
El primer problema al que hay que hacer frente en el tema operativo de red tiene los suyos propios.
diseño de la estructura lógica de la red consiste en la
asignación de nombres y direcciones de red a todos • Nombre de usuario. Es el nombre único atribuido al
los ordenadores que vayan a convivir con ella. Tanto los usuario y que utiliza para identificarse en la red.
nombres como las direcciones han de ser únicos en la Suele ser una cadena de caracteres corta (entre uno
red, pues identifican a los equipos. y 16 caracteres, normalmente).

07
196


• Contraseña. Es la cadena de caracteres que codifica
una clave secreta de acceso a la red para cada usua-
rio. La contraseña va ligada al nombre de usuario.
Proporciona la llave que protege los datos persona-
les del usuario que la posee1.

• Nombre completo del usuario. Es una cadena de
caracteres con el nombre completo del usuario. El
nombre de usuario suele ser una abreviatura del
nombre completo. En este campo se permite un nú-
mero mayor de caracteres, incluyendo espacios en
blanco, para identificar totalmente al usuario. Algu-
nos examinadores de red muestran este nombre al
solicitar una inspección de la red.

• Horario permitido de acceso a la red. Es un campo
que describe las horas y los días en que el usuario
tiene acceso a la red. En cualquier otro tiempo el
usuario no puede presentarse en la red o es forzado
a abandonarla. Por defecto, los sistemas operativos
de red permiten el acceso de los usuarios cualquier
día a cualquier hora. Figura 7.2. Ficha de creación de un nuevo usuario en un Directorio Activo
de Windows.
• Estaciones de inicio de sesión. Describe el nombre
de los equipos desde los que el usuario puede pre- Además, el administrador puede establecer una serie de 1
El establecimiento de una
sentarse en la red. condiciones por defecto asignadas a cada cuenta y ges- buena contraseña es muy
tionadas mediante políticas (policies), que facilitan su importante para la seguridad
• Caducidad. Describe la fecha en que la cuenta expi- gestión o que mejoran su seguridad. Entre ellas se del sistema. Se recomiendan
rará. Es útil para cuentas de usuarios que sólo encuentran las siguientes: contraseñas suficientemente
requieren accesos por periodos de tiempo concretos.
largas, con caracteres tanto
Al desactivarse la cuenta, se impide que otros posi- • El usuario debe cambiar la contraseña en el si- en mayúsculas como en
bles usuarios (intrusos) se apropien indebidamente guiente inicio de sesión. minúsculas, e incluso combi-
de ella y, por tanto, protegen y descargan al servi-
nados con dígitos, espacios
dor de accesos indebidos o indeseados. • El usuario no puede cambiar su contraseña. en blanco u otros caracteres
especiales. No se recomien-
• Directorio particular. Es el lugar físico dentro del • La contraseña no caducará nunca. dan como contraseñas térmi-
sistema de ficheros de la red en donde el usuario
nos que se puedan encontrar
puede guardar sus datos. Al presentarse en la red, el • La cuenta quedará desactivada en un plazo de tiempo. en algún diccionario, con
sistema operativo le posiciona en su directorio par-
independencia del idioma.
ticular o le concede acceso al mismo. • La cuenta se bloqueará si ocurre un número de fallos
de presentación consecutivos previamente fijado.
• Archivos de inicio de sesión. Permiten configurar
un conjunto de comandos que se ejecutarán auto- Además de las cuentas que puede definir el administra-
máticamente al inicio de la sesión de red. Están dor de la red, los sistemas operativos de red poseen unas
ligados a cada cuenta de usuario, aunque se permite cuentas por defecto con una funcionalidad específica,
que varios usuarios compartan el archivo de inicio. que normalmente no se pueden borrar, aunque sí modi-
ficar y desactivar. Entre estas cuentas se encuentran:
• Otros parámetros. Algunos sistemas operativos per-
miten configurar otros parámetros como son los perfi- • El supervisor (en Novell), administrador (en Win-
les de usuario, la cantidad de disco de que dispondrá dows), root (en UNIX o Linux), system (en VMS),
cada usuario, disponibilidad de memoria central, etc. Es la cuenta privilegiada por excelencia y que
tiempo de CPU, capacidad de entrada/salida, etc. Estos suele ser utilizada por el administrador del sistema.
parámetros tienen una especial importancia en gran-
des sistemas multiusuario. En la Figura 7.2 se pueden • Invitado o guest. Es una cuenta a la que normal-
ver las fichas que se han de rellenar para la creación mente no se le asocia contraseña y que carece de
de un usuario en el Directorio Activo de Windows. privilegios. Sirve para que aquellos usuarios que no

07
197


tienen cuenta en el sistema puedan acceder a los C. Derechos de acceso
servicios mínimos, que define el administrador. Por
defecto, esta cuenta está desactivada al instalar el Una vez que se ha identificado a cada usuario con
sistema operativo de red con objeto de no generar acceso a la red, se pueden arbitrar sus derechos de
agujeros de seguridad sin el consentimiento explí- acceso. Corresponde al administrador determinar el uso
cito del administrador, que regulará los derechos y de cada recurso de la red o las operaciones que cada
permisos de estos usuarios invitados. usuario puede realizar en cada estación de trabajo.
Ejemplo de estas operaciones son el derecho de acceso
a un servidor o a otro equipo a través de la red, forzar el
apagado de otro equipo remotamente, reiniciar un
equipo, cambiar la hora del sistema, etcétera.

Cada recurso, servicio o utilidad tiene, de este modo, una
información asociada que le indica quién puede utilizar-
los o ejecutarlos y quién carece de privilegios sobre ellos.

No hay que confundir derechos con permisos:

• Un derecho autoriza a un usuario o a un grupo de
usuarios a realizar determinadas operaciones sobre
un servidor o estación de trabajo.

• Un permiso o privilegio es una marca asociada a
cada recurso de red: ficheros, directorios, impreso-
ras, etc., que regulan qué usuario tiene acceso y de
qué manera.

De esta forma, los derechos se refieren a operaciones
Figura 7.3. Parámetros habituales en la definición de una cuenta de usuario en Windows. propias del sistema operativo, por ejemplo, el derecho a
hacer copias de seguridad. Sin embargo, un permiso se
En sistemas integrados con dominios o servicios de refiere al acceso a los distintos objetos de red, por ejem-
directorio es posible crear cuentas de acceso tanto en plo, derecho a leer un fichero concreto. Los derechos pre-
las estaciones locales, para usuarios que sólo se podrían valecen sobre los permisos.
presentar en el sistema local y acceder sólo a sus recur-
sos, o en el dominio o directorio activo. En este segundo Por ejemplo, un operador de consola tiene derecho para
caso, las cuentas son válidas para todos los ordenadores hacer una copia de seguridad sobre todo un disco; sin
que se gestionen desde ese dominio de administración. embargo, puede tener restringido el acceso a determi-
Ésta es la situación más común en corporaciones gran- nados directorios de usuarios porque se lo niega un per-
des y medianas. miso sobre esos directorios: podrá hacer la copia de
seguridad, puesto que el derecho de backup prevalece a
la restricción de los permisos.

La asignación de permisos en una red se hace en dos
fases:

a) En primer lugar, se determina el permiso de acceso
sobre el servicio de red; por ejemplo, se puede asig-
nar el permiso de poderse conectar a un disco de un
ordenador remoto. Esto evita que se puedan abrir
unidades remotas de red sobre las que después no se
tengan privilegios de acceso a los ficheros que con-
tiene, lo que puede sobrecargar al servidor.

Figura 7.4. Parámetros habituales en la definición de una b) En segundo lugar, deben configurarse los permisos
cuenta de usuario en un gestor de usuarios con interfaz KDE de los ficheros y directorios (o carpetas) que con-
en Linux. tiene ese servicio de red.

07
198


Dependiendo del sistema operativo de red, las marcas de Apple hay tres permisos posibles: ver archivos, ver
asociadas al objeto de red varían, aunque en general carpetas y hacer cambios (Figura 7.5, abajo a la dere-
podemos encontrar las de lectura, escritura, ejecución, cha).
borrado, privilegio de cambio de permisos, etcétera.
Sin embargo en Windows NT aparecen nuevos permisos:
En redes en las que hay que hacer coexistir sistemas lectura, escritura, borrado, ejecución, cambio de per-
operativos de red de distintos fabricantes, hay que miso y toma de posesión. Windows 2000 complica
determinar los permisos para cada uno de ellos. A veces extraordinariamente su sistema de permisos cuando las
los permisos de un tipo de sistema son trasladables particiones de disco son NTFS, aunque mantiene com-
fácilmente a otros sistemas, aunque normalmente no patibilidad con particiones FAT, que carece totalmente
coinciden con exactitud. Por ejemplo, en los sistemas de permisos.

Figura 7.5. Configuración de privilegios sobre ficheros en distintos sistemas operativos de red.

D. Cuentas de grupo dades, derechos, características, permisos y privilegios
de ese grupo. En este sentido, las cuentas de grupo pro-
Para facilitar las tareas de administración de red, el uso porcionan una forma sencilla de configurar los servicios
de los servicios o recursos y organizar coherentemente de red para un conjunto de usuarios de características
el acceso a la red, existen en los sistemas operativos de similares.
red otras entidades de administración denominadas
cuentas de grupo o simplemente grupos. Los NOS tienen unos grupos predefinidos que ayudan a la
administración de la red según las necesidades más comu-
Una cuenta de grupo es una colección de cuentas de nes que se suelen presentar: administradores, operadores
usuario. Al conceder a un usuario la pertenencia a un de copia, operadores de cuentas, operadores de impresión,
grupo se le asignan automáticamente todas las propie- usuarios avanzados, usuarios comunes, etcétera.

07
199


E. Perfiles de usuario En Windows integrado con su Directorio Activo es posi-
ble configurar las cuentas de los usuarios de modo que
En ocasiones interesa que el usuario pueda presentarse cuando alguien se presente al sistema desde distintos
en más de una estación de trabajo y que esa conexión puntos, incluso remotos, esto se haga de modo que al
sea independiente del lugar, haciendo transparente el usuario le sigan tanto su escritorio como sus datos, e
trabajo en una u otra estación. incluso, sus aplicaciones (tecnología IntelliMirror).

Además, puede interesar al administrador tener la posi-
bilidad de forzar el uso de determinados programas o F. Sistemas globales de acceso
restringir los cambios en la apariencia del interfaz grá-
fico a ciertos grupos de usuarios. De este modo, los NOS El crecimiento de las redes (en cuanto al número de
incorporan utilidades que asocian a cada cuenta de nodos se refiere) y su organización en grupos de tra-
usuario o grupo un perfil concreto. bajo (subredes, dominios, etc.), así como la integra-
ción de NOS de distintos fabricantes, ha llevado a dise-
En Novell el login script general, es decir, el conjunto de ñar un sistema de presentación de los usuarios más
órdenes que se ejecutan automáticamente en la presen- globalizador.
tación, permite asignar los parámetros de inicio que ten-
drá el usuario. Además de este login general, cada usua- De este modo, el usuario no tiene que presentarse en
rio tiene un login script propio con el fin de personalizar múltiples sistemas; basta con que se presente en uno de
a su medida el comienzo de la sesión. ellos y la red se encarga de facilitarle el acceso a todos
los servicios y sistemas de la red en los que tiene dere-
Las últimas versiones del NOS de Novell incorporan un cho de modo automático.
sistema de administración de red orientado a objetos:
todos los elementos de la red se tratan como obje- En algunos NOS, como en Windows, se establecen unas
tos. Los perfiles de usuario son un objeto más. relaciones de confianza entre los distintos grupos de
red. En las organizaciones en las que el número de nodos
Un objeto-perfil es un login script que se ejecuta entre es elevado, conviene ordenar todo el conjunto de la red
el login script general del sistema y el del usuario. Este en grupos o dominios. El sistema de cuentas es propio
sistema de administración se llama NDS (Novell Directory de cada grupo o dominio.
System). Windows tiene su equivalente en su Directorio
Activo. Una relación de confianza es un vínculo entre grupos o
dominios que facilita la utilización de recursos de ambos
En otros NOS se pueden encontrar herramientas especia- grupos o dominios, dando lugar a una única unidad
lizadas en la construcción de perfiles. En Windows, los administrativa de gestión de red.
perfiles contienen todas las preferencias y opciones de
configuración para cada usuario: una instantánea del Con el fin de optimizar la organización de la red, es con-
escritorio, las conexiones de red permanentes, las impre- veniente establecer un dominio maestro centralizador de
soras a las que se tendrá acceso, etcétera. todas las cuentas de la organización y crear una serie
de dominios poseedores de recursos sobre los que esta-
Los perfiles de usuario pueden estar asociados a una blecer las relaciones de confianza necesarias para su uti-
estación de red concreta o bien pueden ser depositados lización.
en un servidor de red, de modo que cuando un usuario
se presenta, se le asocie el perfil de su propiedad inde- En la configuración del sistema habrá que indicar el
pendientemente de la estación por la que acceda a la modo en que se transmitirán las contraseñas de los usua-
red: son perfiles móviles. rios, que son informaciones extraordinariamente sensi-
bles y delicadas.
En sistemas operativos que soportan otros interfaces
gráficos como X-Windows para UNIX, OpenVMS, etc., Hay varios mecanismos para realizar este procedimiento,
también son posibles las configuraciones de perfiles, que abarcan desde enviar las contraseñas por la red tal
aunque son mucho más simples que las de los sistemas y como son escritas por el usuario, sin ningún tipo de
basados en Windows o Macintosh. protección, hasta la utilización de los más sofisticados
sistemas de encriptación, utilizando procedimientos de
Sin embargo, el sistema de cuentas y de comandos de interrogación y respuesta o servidores de autenticación
inicio (login de presentación) es más flexible, es decir, basados en políticas de certificaciones digitales, como
permite al administrador un mayor control sobre los el sistema Kerberos, utilizado por muchos sistemas UNIX
usuarios. y Windows.

07
200


G. Un ejemplo: el Directorio
Activo de Microsoft
El Directorio Activo, como su nombre indica, es un ser-
vicio de directorio propietario de Microsoft que consiste
en una gran base de datos jerárquica (véase Figura 7.6)
que organiza todos los objetos necesarios para adminis-
trar un sistema Windows en red: usuarios, equipos,
datos, aplicaciones, etcétera.

Las principales características del Directorio Activo (DA)
son:

• El DA proporciona toda la información necesaria
sobre directivas de seguridad y las cuentas de
acceso al sistema de cada usuario o grupos de ellos. Figura 7.6. Modelos de estructuras de dominios en un Directorio Activo de Microsoft.

• Permite la delegación de la administración, es decir, • El esquema de objetos utilizados por el DA es exten-
el administrador puede delegar parte de su trabajo sible, es decir, se puede personalizar para que
en otras cuentas en las que confía. incluya cualquier tipo de información útil al admi-
nistrador del sistema.
• Gestiona un sistema de nombres articulado y jerar-
quizado en múltiples niveles agrupando todas las • Lleva un servidor DDNS (Dynamic DNS) integrado en
cuentas en unidades organizativas, que se conver- el propio DA, lo que le convierte en un servicio
tirán en unidades específicas de administración. extraordinariamente flexible.

• Las relaciones de confianza establecidas entre dos • Todas las tareas del DA se pueden automatizar a tra-
dominios cualesquiera del DA son transitivas. vés de scripts o mediante aplicaciones con lenguajes
de programación tradicionales orientados a objetos.
• Todos los servidores que son controladores de domi-
nio en la misma red de un DA están permanente- • Se permite una gestión basada en políticas o directi-
mente sincronizados, por lo que es fácil la confec- vas aplicables a las unidades organizativas accesibles
ción de configuraciones de seguridad. mediante consolas de administración (Figura 7.7).

Figura 7.7. Consola de administración de directivas para un dominio de un Directorio Activo Windows.

07
201


Ejercicio

1 El administrador de usuarios en Linux Operativa

Linux aporta varias herramientas para la gestión de usuarios y grupos. Linuxconf es una utilidad general para la configuración del sistema ope-
Es muy importante que la administración de usuarios esté bien dise- rativo. Uno de los elementos que puede gestionar son los usuarios y
ñada, especialmente si debe habilitarse posteriormente un buen sistema grupos. También se pueden utilizar otras herramientas como el gestor
de permisos de acceso a ficheros, servicios y aplicaciones. de usuarios. El gestor de usuarios de Linux es la herramienta por exce-
lencia y específica para la gestión de usuarios y grupos. Es una herra-
La instalación del sistema operativo crea automáticamente la cuenta mienta de aspecto similar al gestor de usuarios en Windows.
del administrador del sistema, que es llamada root. La clave de
acceso de esta cuenta es generada en tiempo de instalación. Además, Las anteriores herramientas funcionan en un entorno gráfico X-Windows o
Linux crea algunas cuentas y grupos más en tiempo de instalación. similar en Linux. No obstante, este sistema operativo, como cualquier sis-
Sin embargo, toda la gestión de usuarios debe hacerse posterior- tema UNIX, permite la gestión de usuarios y grupos desde la línea de
mente. comandos. Para ello se pueden utilizar comandos como /usr/sbin/ addu-
ser que gestionan los ficheros de cuentas y claves de acceso, que son:

Materiales necesarios • /etc/passwd (fichero de cuentas y claves de acceso).

• Un PC con Linux instalado. • /etc/group (fichero de grupos).

• Acceso a la cuenta «root» de administrador en Linux o similar. • /etc/shadow (fichero de claves de acceso, si hemos elegido la
opción shadow passwords en tiempo de instalación).
• Documentación: manual de instalación de Linux y la utilidad «man»
del propio Linux. El aspecto de estos ficheros es el siguiente:

/etc/pwawd root:/wbUU5z9dJjlo:0:0:root:/root:/bin/bash uucp:*:10:14:uucp:/var/spool/uucp:
bin:*:1:1:bin:/bin: operator:*:11:0:operator:/root:
daemon:*:2:2:daemon:/sbin: games:*:12:100:games:/usr/games:
adm:*:3:4:adm:/var/adm: gopher:*:13:30:gopher:/usr/lib/gopher-data:
lp:*:4:7:lp:/var/spool/lpd: ftp:*:14:50:FTP User:/home/ftp:
sync:*:5:0:sync:/sbin:/bin/sync nobody:*:99:99:Nobody:/:
shutdown:*:6:0:shutdown:/sbin:/sbin/shutdown postgres:!!:100:233:PostgreSQL Server:/var/lib/pgsql:/bin/bash
halt:*:7:0:halt:/sbin:/sbin/halt xfs:!!:101:234:X Font Server:/etc/X11/fs:/bin/false
mail:*:8:12:mail:/var/spool/mail: gdm:!!:42:42::/home/gdm:/bin/bash
news:*:9:13:news:/var/spool/news:

/etc/group root::0:root mail::12:mail console:x:101:
bin::1:root,bin,daemon news::13:news utmp:x:102:
daemon::2:root,bin,daemon uucp::14:uucp pppusers:x:230:
sys::3:root,bin,adm man::15: popusers:x:231:
adm::4:root,adm,daemon games::20: slipusers:x:232:
tty::5: gopher::30: postgres:x:233:
disk::6:root dip::40: slocate:x:21:
lp::7:daemon,lp ftp::50: xfs:x:234:
mem::8: nobody::99: gdm:x:42:
kmem::9: users::100: Usuarios:*:501:
wheel::10:root floppy:x:19:

Tabla 7.1. Aspecto de los ficheros /etc/passwd y /etc/group.

a) Después de familiarizarte con las utilidades de administración de b) Realiza esta misma operación sobre sistemas Windows en dos con-
usuarios y grupos, crea un sistema de cuentas para un sistema Linux. figuraciones: sobre clientes independientes de un dominio y sobre
Prueba las distintas cuentas. Escribe una guía de operación básica un servidor controlador de dominio en un Directorio Activo.
de gestión de usuarios para administradores de sistemas Linux.

07
202

7.4 Gestión de los servicios

Una vez cubierta la fase de acceso a la red, cada usuario características de los volúmenes, dado que los objetos o
podrá utilizar los servicios a los que tenga derecho de volúmenes virtuales (lógicos) son más flexibles y mane-
acceso. Sin embargo, una consideración previa del admi- jables. Un volumen virtual puede crecer o disminuir su
nistrador debe ser el modo de disponer los servicios. Una tamaño sin afectar la información que contiene. Tanto
buena elección en el diseño de estos servicios propor- para el usuario como para las aplicaciones, un disco vir-
cionará un mayor rendimiento de la red. tual tiene el mismo aspecto que un disco físico. Para el
administrador del sistema, los discos virtuales pueden
A continuación estudiaremos los parámetros que hay que reasignarse sin esfuerzo y sin realizar modificaciones
tener en cuenta para conseguir mayor eficacia en los ser- físicas en el hardware ni interrumpir las aplicaciones en
vicios de red. ejecución. Adicionalmente, un sistema de virtualización
significa una sencillez en la administración del almace-
Para la utilización pública de los servicios de red, el namiento.
administrador debe publicarlos en un servicio de direc-
torio. El servicio más básico es NetBIOS, pero se pueden
sofisticar con la tecnología de servicios de directorio Actividad
más complejos, como NDS o Directorio Activo.

1 Sobre un sistema Windows, en un volumen del disco duro que no sea el del sis-
A. Gestión de los discos tema, crea un conjunto de particiones y formatéalas en distintos formatos: FAT y
NTFS. Una vez creadas, arranca el PC con un disquete botable DOS y comprueba
En el caso de los servidores de ficheros es importante que sólo se pueden ver las particiones FAT, al ser DOS incompatible con sistemas
la configuración de los discos duros; en ellos reside la de ficheros NTFS. Utiliza el administrador de discos del sistema para probar varias
información centralizada, tanto del NOS como de los configuraciones con los discos de que se dispongan.
datos de los usuarios. Por tanto, la correcta elección del
sistema de discos influirá positivamente en la velocidad Tomando un sistema Linux, instálale un disco duro nuevo. Prueba las utilidades de
y en la seguridad del sistema. creación de particiones y formatea las particiones creadas. Realiza particiones de dife-
rente naturaleza: FAT, ext2, etc. Monta los nuevos volúmenes y prueba su funciona-
En el caso de servidores interesan interfaces rápidos, miento.
por ejemplo, discos SCSI, especialmente las últimas
versiones de esta tecnología (Ultra/Wide SCSI). En las Crea una impresora en Windows y Linux para su conexión al puerto paralelo o USB.
estaciones de trabajo basta con interfaces IDE o simi- Añade permisos para que pueda imprimir algún usuario y realiza pruebas de impresión.
lares. Otros sistemas de red tienen interfaces propie- Cambia algunas propiedades de la impresora y prueba los cambios. Realiza una guía de
tarios para conectar sus discos. Especial importancia operación.
cobra la conexión Fibre Channel para la conexión de
discos con unas especificaciones de velocidad extre-
mas.
Estándar Fibre Channel
Fibre Channel es la tecnología tradicionalmente utili-
zada para la creación de redes SAN (Storage Area Net- Fibre Channel nació en 1988 como una tecnología de
work, red de área de almacenamiento), que serán estu- interconexión de banda ancha, aunque los primeros pro-
diadas más adelante. No obstante, por la importancia ductos comerciales no aparecieron hasta 1994. Este
que reviste este estándar en la arquitectura de comuni- estándar consta de un conjunto de normas desarrolladas
caciones de los sistemas, asimilaremos aquí algunas de por ANSI que definen nuevos protocolos para alcanzar
sus características. transferencias de datos de gran volumen y de muy alto
rendimiento.
La tendencia actual de los sistemas de almacenamiento
se dirige a hacer transparente a los usuarios el lugar y Su ámbito de utilización es muy variado, pero funda-
modo en que residen los datos en el sistema, por ello se mentalmente se está utilizando en las comunicaciones
puede hablar de una auténtica virtualización del alma- de alta velocidad por red y en el acceso a los medios
cenamiento, que no es más que un sistema que permite masivos de almacenamiento. Se puede aplicar, por tanto,
generar y administrar volúmenes virtuales (lógicamente a redes locales, redes de campus, conjuntos asociados de
simulados) a partir de volúmenes físicos en disco. A tra- ordenadores (clusters), etc. La distancia máxima permi-
vés de este mecanismo se logran eliminar las rígidas tida por esta tecnología es de 10 Km.

07
203


El estándar Fibre Channel es capaz de transportar los La red de comunicaciones
protocolos SCSI, IP, IPI (Intelligent Peripheral Interface), y la red de datos
HIPPI (High Performance Parallel Interface), los proto-
colos IEEE 802 e incluso ATM. Actualmente se encuen- Es frecuente que el volumen de datos a los que se tenga
tran en el mercado suficiente número de productos como que acceder por una red sea inmenso. En estas situacio-
para poder construir sistemas de comunicación comple- nes, mover los datos por la red origina fuertes cuellos de
tos: hubs, switches, sistemas, adaptadores y sistemas de botella que hacen que se tengan que modificar las arqui-
almacenamiento. tecturas de red para dar respuesta a estas especificacio-
nes tan exigentes, por encima de tecnologías como
Originalmente, Fibre Channel se implementó sobre fibra Gigabit Ethernet o ATM.
óptica, por eso inicialmente se llamó Fiber Channel. Pos-
teriormente se introdujo también el cable de cobre y Tradicionalmente, el mercado de tecnologías de almace-
cambió su terminología inglesa «Fiber» por la francesa namiento ha dado varias soluciones que se relacionan a
«Fibre», en un intento de desligar la tecnología a la fibra su vez con sendas arquitecturas:
óptica con exclusividad. En las instalaciones reales, se
suelen utilizar típicamente distancias de 20 m para seg- • Almacenamiento de conexión directa (Direct Atta-
mentos de cobre y hasta 500 m para segmentos sobre ched Storage, DAS). Cada estación de red tiene sus
fibra. discos y los sirve a la red a través de su interfaz de
red. DAS es la solución de almacenamiento natural
Con Fibre Channel son posibles tres topologías de red de cualquier ordenador.
distintas:
• Almacenamiento centralizado (Centralized sto-
• Punto a punto. Se utiliza para conectar dos dispo- rage). Varios servidores o estaciones pueden com-
sitivos, típicamente un ordenador a un periférico o partir discos físicamente ligados entre sí.
dos ordenadores entre sí.
• Almacenamiento de conexión a red (Network atta-
• Bucle o Arbitrated Loop. Permite la conexión de ched storage, NAS). Los discos están conectados a
hasta 126 dispositivos en bucle cerrado. la red y las estaciones o servidores utilizan la red
para acceder a ellos. Con servidores NAS la red de
• Fabric. Permite la interconexión de los dispositivos área local hace crecer su capacidad de almacena-
con un comportamiento orientado a la conexión, miento de una forma fácil y rápida sin necesidad de
similar al de una red telefónica convencional. interrumpir su funcionamiento y a un menor coste
que si se adquiere un servidor de archivos tradicio-
nal DAS (véase Figura 7.8).

• Redes de área de almacenamiento (Storage area
network, SAN). SAN es una arquitectura de almace-
namiento en red de alta velocidad y gran ancho de
banda, creada para aliviar los problemas surgidos
por el crecimiento del número de los servidores y
los datos que contienen en las redes modernas.
LAN SAN sigue una arquitectura en la que se diferencian
Servidores y separan dos redes: la red de área local tradicional
y la red de acceso a datos. Hay, por tanto, dos
redes: un backbone de transmisión de mensajes
Switch Fibre Channel entre nodos y una estructura de switches de canal
Servidor NAS de fibra (duplicados por seguridad) y de muy alto
rendimiento que conecta todos los medios de alma-
cenamiento. Los entornos en que está indicada una
Red solución SAN son aquéllos en que los backups son
Servidor Disco Disco
de almacenamiento críticos, en los clusters de alta disponibilidad, en
SAN
las aplicaciones con bases de datos de gran volu-
men, etc. Los equipos SAN más modernos pueden
alcanzar velocidades de transmisión de datos desde
los discos de varios Gbps (véase Figura 7.8).
Figura 7.8. Modelo de almacenamiento NAS (a la izquierda) y SAN (a la derecha).

07
204


Los switches de una red SAN suelen utilizar la tecnolo- • Controlador de impresora. Es un programa que
gía Fibre Channel y frecuentemente están duplicados convierte el documento electrónico de su formato
para garantizar el servicio. Como veíamos, están apare- original a un formato legible por el dispositivo de
ciendo otras tecnologías que no siguen este estándar, impresión. Existen varios lenguajes descriptores
por ejemplo, la tecnología iSCSI, que utiliza protocolos de páginas (PDL) legibles por los dispositivos de
TCP/IP para transportar por la red comandos propios de impresión como PCL de Hewlett-Packard, PostScript
la tecnología SCSI. de Adobe, Interpress de Xerox, etcétera.

• Cola de impresora. Es un sistema gestor de los
B. Gestión de impresoras documentos que permanecen a la espera para ser
impresos. En algunos sistemas operativos de red, las
No todos los usuarios de una red tienen a su disposición colas de impresora coinciden con las impresoras
dispositivos de impresión en sus ordenadores locales. lógicas, siendo aquéllas una característica técnica
Las redes ofrecen la posibilidad de compartir estos dis- más de éstas.
positivos, de modo que las inversiones sean más asequi-
bles. Las redes de área local permiten a los clientes la • Administrador de trabajos en espera o spooler. Es
conexión a las impresoras disponibles en toda la red y a un sistema que gestiona las colas de impresora, es
las que tengan derecho de acceso. Incluso es posible la decir, es el encargado de recibir trabajos, distribuir-
conexión a impresoras que estén conectadas a redes de los entre las impresoras, descargarlos de la cola una
otros fabricantes. Por ejemplo, desde una estación Win- vez impresos, avisar de la finalización de la impre-
dows se puede imprimir en una impresora conectada al sión, informar de posibles errores, etcétera.
puerto paralelo de un servidor NetWare.

La labor del administrador de red se simplifica cuando el
sistema de impresoras está centralizado en los servido-
res, ya que tendrá un mayor control sobre los recursos de
impresión. El administrador puede controlar los servido-
res de impresión, las impresoras remotas, las colas de
impresoras, etcétera.

Existen servidores de impresión expresamente dedicados
a este tipo de tareas, gestionando todas las tareas de
impresión con arreglo a unos parámetros concretos:
velocidad de impresión, calidad de impresión, privile-
gios, prioridades, costes, etc. Otras configuraciones, más
comunes, para los servidores no dedicados se limitan a
servir las impresoras que se les conectan a sus puertos
de comunicaciones.

Conceptos relativos al sistema
de impresión de red

Describiremos aquí los términos y conceptos más utiliza-
dos para la descripción de un sistema de impresión en red:
Figura 7.9. Entorno de impresoras en Windows: arriba, conexión a una impresora de red; abajo, admi-
• Dispositivo de impresión. Son los dispositivos físi- nistrador de impresoras desde donde se dispara el asistente de conexión; a la derecha, ficha de propie-
cos (hardware) que son capaces de producir un docu- dades de la impresora.
mento impreso. Son dispositivos de impresión las
impresoras de papel, las filmadoras de película foto- Para conseguir un rendimiento elevado y equilibrado de
gráfica, los plotters o trazadores gráficos, etcétera. los dispositivos de impresión, estos parámetros deben
estar correctamente configurados en el NOS (Figura 7.9).
• Impresoras lógicas. Son los dispositivos lógicos Como con cualquier otro recurso de red, también aquí son
(software) que nos proporciona el NOS y que conec- aplicables los permisos de uso y su administración remota.
tan con el dispositivo de impresión a través de un Para ello, es recomendable la utilización de los documen-
puerto de comunicaciones. tos de ayuda que proporciona el fabricante del NOS.

07
205


Diseño del sistema de impresión b) Asignación de las impresoras a los equipos.
Seguidamente, hemos de distribuir las impresoras
Un buen diseño del sistema de impresión redunda en una por toda la red teniendo en cuenta las caracterís-
mayor eficacia del sistema, así como en un abaratamiento ticas de los equipos. Se puede considerar lo si-
de los costes de instalación, al poder reducir el núme- guiente:
ro de impresoras sin perder funcionalidad. Articularemos
el diseño del sistema de impresión en diversas fases: — El proceso de impresión consume muchos recur-
sos de CPU; por tanto, las impresoras servidas a
a) Elección de los dispositivos de impresión. Deben la red deben residir en máquinas con suficiente
ser elegidos de acuerdo con las necesidades de los potencia si se prevé que la impresión va a ser
usuarios. Es útil considerar los siguientes elementos frecuente.
antes de tomar las decisiones de instalación:
— Además, normalmente, cada trabajo por impri-
— Pocos dispositivos de impresión de alto rendi- mir debe almacenarse en el disco duro del
miento frente a muchos dispositivos de ren- servidor de la impresora, con lo que debemos
dimiento moderado. asegurarnos que tendrá suficiente espacio libre.

— Número de páginas totales que se van a impri- — Las impresoras deben estar geográficamente dis-
mir y velocidad de impresión de las mismas. tribuidas por toda la organización de acuerdo
con unos criterios. Hay empresas que prefieren
— Calidad de impresión, elección de color o blanco centralizar todas las impresoras con el fin de
y negro, tamaño de la página impresa, etcétera. evitar ruidos, especialmente en el caso de im-
presoras matriciales o de línea, mientras que
— Conectividad del dispositivo de impresión. otras prefieren una distribución por departa-
Impresoras conectadas a un puerto paralelo o mentos o, incluso, la asignación de una impre-
USB de un servidor, impresoras conectadas sora por cada usuario.
directamente a la red, etcétera.
c) Acceso a las impresoras. Para definir el acceso a las
— Tecnología de impresión. Las impresoras pueden impresoras, hemos de considerar dos partes bien
ser matriciales, láser, de inyección de tinta, de diferenciadas:
sublimación, etcétera.
— La asignación de impresoras lógicas a dispositi-
— Protocolos de comunicación. En el caso de las vos de impresión. Pueden darse los casos de una
impresoras de red, hay que tener en cuenta el a uno, una a varios y varias a uno. Todos los sis-
protocolo que utiliza para que los clientes rea- temas admiten la asignación uno a uno. El resto
licen la conexión con la impresora. de asignaciones son posibles en función de los
sistemas operativos: frecuentemente es necesa-
— Costes de los equipamientos de impresión y de rio instalar software de terceras partes.
sus consumibles, costes por página impresa,
etcétera. — La asignación de los derechos de acceso para
cada usuario o para cada grupo (Figura 7.10).

Algunos NOS disponen de herramientas de administra-
ción para lograr que las impresoras disparen trabajos en
determinadas circunstancias. Por ejemplo, a partir de
cierta hora nocturna, una impresora matricial inicia la
impresión de unos recibos que han sido confeccionados
y enviados a la impresora durante el día.

Del mismo modo, se pueden asignar prioridades a los
diferentes trabajos, de modo que se altere el orden en
que los trabajos serán seleccionados por el spooler para
ser impresos. Además, cuando una cola atiende a varios
dispositivos de impresión, el primero que quede libre
Figura 7.10. Asignación de permisos para un recurso de recibirá el siguiente de entre todos los trabajos pen-
impresión. dientes en esa cola.

07
206


Creación de una impresora lógica Impresoras IPP

El proceso de creación de una impresora lógica suele ser IPP o Internet Printing Protocol (Protocolo de Impresión
un procedimiento asistido por el NOS, que facilita la Internet) es el modo de utilizar tecnología web para
tarea del administrador (Figuras 7.9 y 7.10). En general transmitir los ficheros que se quiere imprimir a una
se puede dividir en tres fases: impresora compatible con esta tecnología.

• Selección de la impresora y del software contro- IPP utiliza HTTP para realizar estas transmisiones, lo que
lador. En esta primera fase se le indica al NOS qué la hace muy interesante ya que puede atravesar los cor-
tipo de impresora queremos instalar, así como cuál tafuegos con los que las organizaciones se protegen sin
será el controlador que debe utilizar para la gestión necesidad de abrir nuevos puertos de comunicación que
de la impresora. Cada NOS admite una amplia varie- aumenten la superficie de exposición a riesgos innece-
dad de impresoras, que además se actualizan fre- sarios.
cuentemente.
En la parte izquierda de la Figura 7.12 pueden verse las
No obstante, si la impresora es posterior a la fecha propiedades del puerto de una impresora conectada a la
de fabricación del NOS, es posible que el fabrican- red y compatible con IPP; en la parte derecha aparece
te de la impresora tenga que suministrarnos un dis- una página web con la administración de la impresora.
quete o CD-ROM con el software controlador propio
del sistema operativo sobre el que pretendemos rea-
lizar la instalación.

Conviene pasarse periódicamente por las sedes web
de los fabricantes del hardware de que disponemos
por si han liberado nuevas versiones de los drivers
con errores corregidos, mejores prestaciones o mayor
funcionalidad.

• Establecimiento del nombre de la impresora. Con-
siste en la asignación de un nombre que identificará
unívocamente a la impresora. En algunos NOS, tam-
bién se proporcionan otros datos informativos como
la situación geográfica en donde se ubicará el dispo-
sitivo impresor, el nombre del propietario, etcétera.

• Elección de los parámetros por defecto de la
impresora (Figura 7.11). Aquí se especifica el ta-
maño del papel, la resolución, la conversión de color Figura 7.11. Configuración de una impresora de red instalada en
a gris, etcétera. un entorno Windows.

Figura 7.12. Configuración del puerto de una impresora IPP y página de administración.

07
207


Windows incorpora IPP para que las impresoras defini- C. Configuración del correo
das en sus servidores puedan ser gestionadas a través de electrónico
IPP. Como el protocolo de transporte de información se
basa en HTTP, es indispensable que el servidor tenga El correo electrónico es una de las aplicaciones de red
instalado IIS, el servidor web de Windows. Se puede más utilizadas en las redes de área local corporativas.
acceder a las impresoras una vez instalados el compo- Proporciona un medio de comunicación eficaz y libre de
nente IPP y el servidor web a través de la dirección errores entre los usuarios de la red y puede dejar cons-
http://nombre_servidor/printers (véase Figura 7.13). tancia escrita de los mensajes intercambiados.

Una aplicación completa de correo electrónico consta de
un cliente y un servidor. El servidor gestiona los mensa-
jes de modo que lleguen a sus destinatarios. Para ello, a
veces ha de pasar los mensajes a los sistemas de correo
de otras redes (relay o retransmisión de mensajes). Por
ejemplo, si una corporación tiene dos delegaciones
situadas en distintas ciudades y quieren conectar sus sis-
temas de mensajería electrónica, necesitarán un servi-
dor de correo que se encargue de traspasar los mensajes
en una y otra dirección, de modo que todos alcancen su
destino. Además, los servidores de correo contienen los
buzones de sus usuarios, que almacenan sus mensajes en
espera de ser leídos.

El cliente de correo electrónico es el interfaz que permite
a los usuarios la edición, visualización y la impresión de
mensajes, así como otras funciones propias de los siste-
mas de correo.

El administrador de red debe encargarse de la gestión de
cuentas de correo, de situar la oficina de correos en un
lugar accesible a todos los usuarios con derecho a correo
y de velar por el correcto funcionamiento del servicio de
correos.

La operativa que permite enviar un mensaje de correo
electrónico tiene los siguientes pasos:
Figura 7.13. Configuración desde Windows de una impresora gestionada vía web.
a) Se ejecuta la aplicación cliente de correo electró-
nico, presentándose en el sistema a través de su
Actividad nombre de usuario y su clave de acceso.

b) Si en el momento de la presentación hay correo en
2 Crea una impresora en Windows y Linux para su conexión al puerto paralelo o USB.
el buzón del usuario, el sistema le informa de la
Añade permisos para que pueda imprimir algún usuario y realiza pruebas de impre-
existencia de nuevos mensajes por si desea leerlos.
sión. Cambia algunas propiedades de la impresora y prueba los cambios.
c) Seguidamente, se redacta el mensaje que deseamos
Asigna permisos a los distintos usuarios de la impresora y verifica que su funciona-
enviar. Algunos sistemas de correo permiten editar
miento es correcto.
el texto utilizando procesadores de texto comunes
en el mercado ofimático. También se permite la
Sirve la impresora a la red y comprueba que desde otros clientes que se puedan conec-
incorporación de ficheros externos al mensaje en
tar a la impresora se puede imprimir por ella a través de la red.
cualquier formato (ficheros adjuntos).
Ahora, sobre el sistema Windows, instala el protocolo de impresión por Internet, es
d) A continuación, se rellenan los parámetros de envío:
decir, el protocolo IPP. Comprueba que puedes gobernar la impresora desde el explo-
nombre del destinatario, dirección del destinatario
rador de Internet mediante el protocolo IPP.
(si se encuentra en otra red), solicitud de acuse de
recibo, prioridad del mensaje, etcétera.

07
208

7.5 Protección del sistema

e) En la fase final se procede al envío del mensaje, través de una línea de teléfono. En recepción, el fax
dejando al sistema la responsabilidad de la entrega recoge la información en un fichero gráfico, que
a su destinatario una vez lo haya convertido a un seremos capaces de visualizar por un monitor o de
formato de envío adecuado. imprimir por una impresora. El software suele incor-
porar utilidades para rotar la imagen, cortarla, aña-
Además, el sistema de correo permite otras operaciones dir notas, etc. Para el usuario, el fax no es más que
básicas sobre los mensajes recibidos: hacer copias en una cola de impresora y su gestión es similar a la
forma de ficheros independientes, responder al remitente, descrita para la gestión de estas colas.
responder a todos los miembros de la oficina de correos,
eliminar un mensaje, imprimirlo, almacenarlo en alguna c) En una tercera fase, el sistema de fax se puede
carpeta pública o privada, encriptarlo, certificarlo, etc. En integrar dentro del sistema de mensajería elec-
el caso de que se disponga de un servidor de correo, la trónica de la red, por ejemplo, en un servidor de
configuración es más compleja, pero mucho más versátil. mail. Esta opción se utiliza, sobre todo, para la
recepción centralizada de faxes, con el servidor
como encargado de su distribución a los destinata-
D. Configuración del servicio rios apropiados. De este modo, los mensajes se
de fax reparten eficazmente entre los usuarios de la red,
independientemente de que provengan de correo
Algunos sistemas operativos permiten la conexión de un electrónico interno, correo de Internet o mensajes
módem/fax interno o externo que habilitan las conexio- gráficos en formato facsímil.
nes de fax tanto en envío como en recepción. La confi-
guración de un fax exige tres pasos: Se empiezan a instalar sistemas en los que se integra la
voz (teléfono), el fax y el correo electrónico en un único
a) Preparación del módem/fax con los parámetros sistema de mensajería electrónico que contiene todas las
adecuados. Se debe configurar el módem para ade- pasarelas necesarias para que pueda haber intercomuni-
cuar la velocidad de transmisión y recepción, el cación entre sistemas tan distintos: nos referimos a la
puerto serie o USB al que se conectará, etc. Normal- convergencia de tecnologías de mensajería.
mente, esta configuración se realiza a través de
comandos Hayes. En la actualidad casi todos los
módems analógicos (y también gran parte de los digi- Actividad
tales a partir de la implantación de RDSI) incorporan
las normas fax, por lo que se les llama fax-módem.
3 Sobre un sistema Windows instala el servicio de comunicación por fax. Observa-
b) Configuración del software en el NOS. La mayor rás que si tienes definido un módem-fax, el servicio de fax verá a éste como una
parte de las aplicaciones de fax configuran el soft- impresora: cualquier documento que sea impreso por esa impresora lógica seguirá
ware como si se tratara de una impresora más que, el protocolo de comunicación por fax. Prueba su funcionamiento.
en vez de imprimir en un papel, envía los datos a

La protección de la red comienza inmediatamente des- A. Protección eléctrica
pués de la instalación. Un sistema que cubra muchas
necesidades, antes de pasar al régimen de explotación Todos los dispositivos electrónicos de una red necesitan
debe ser muy seguro, ya que es una herramienta de la corriente eléctrica para su funcionamiento. Los ordena-
que depende el trabajo de muchas personas. dores son dispositivos especialmente sensibles a pertur-
baciones en la corriente eléctrica. Cualquier estación de
La seguridad ocupa gran parte del tiempo y esfuerzo de trabajo puede sufrir estas perturbaciones y perjudicar al
los administradores. Lo habitual es que antes de hacer usuario conectado en ese momento en la estación. Sin
una instalación de red, el administrador ya haya pensado embargo, si el problema se produce en un servidor, el
en su seguridad. daño es mucho mayor, ya que está en juego el trabajo de
toda o gran parte de una organización. Por tanto, los
Hay que establecer unos mecanismos de seguridad con- servidores deberán estar especialmente protegidos de la
tra los distintos riesgos que pudieran atacar al sistema problemática generada por fallos en el suministro del
de red. Analizaremos aquí los riesgos más comunes. fluido eléctrico.

07
209


Algunos factores eléctricos que influyen en el funciona- • Correcta distribución del fluido eléctrico y equili-
miento del sistema de red son los siguientes: brio entre las fases de corriente. En primer lugar,
no podemos conectar a un enchufe de corriente más
• Potencia eléctrica en cada nodo, especialmente en equipos de los que puede soportar. Encadenar ladro-
los servidores, que son los que soportan más dispo- nes de corriente en cascada no es una buena solu-
sitivos, por ejemplo, discos. A un servidor que posea ción. Además, las tomas de tierra (referencia común
una fuente de alimentación de 200 vatios no le en toda comunicación) deben ser lo mejores posibles.
podemos conectar discos y tarjetas que superen este
consumo, o incluso que estén en el límite. Hay que Si la instalación es mediana o grande, deben insta-
guardar un cierto margen de seguridad si no quere- larse picas de tierra en varios lugares y asegurarse
mos que cualquier pequeña fluctuación de corriente de que todas las tierras de la instalación tienen
afecte al sistema. Los grandes servidores corporati- valores similares. Una toma de tierra defectuosa es
vos suelen tener fuentes de alimentación de mayor una gran fuente de problemas intermitentes para
potencia con objeto de poder alimentar más hard- toda la red, además de un importante riesgo para los
ware y, además, redundantes para evitar problemas equipos.
en caso de fallos en la fuente.
• Garantizar la continuidad de la corriente. Esto se
• La corriente eléctrica debe ser estable. Si la ins- consigue con un SAI (Sistema de Alimentación Inin-
talación eléctrica es defectuosa, deberemos instalar terrumpida) o UPS.
unos estabilizadores de corriente que aseguren los
parámetros básicos de la entrada de corriente en las Normalmente, los sistemas de alimentación ininterrum-
fuentes de alimentación de los equipos. Por ejem- pida corrigen todas las deficiencias de la corriente eléc-
plo, garantizando tensiones de 220 voltios y 50 Hz trica: actúan de estabilizadores, garantizan el fluido
de frecuencia. El estabilizador evita los picos de frente a cortes de corriente, proporcionan el flujo eléc-
corriente, especialmente los producidos en los arran- trico adecuado, etcétera.
ques de la maquinaria.
El SAI contiene en su interior unos acumuladores que se
cargan en el régimen normal de funcionamiento. En caso
de corte de corriente, los acumuladores producen la
energía eléctrica que permite cerrar el sistema de red
adecuadamente, guardar los datos que tuvieran abiertos
las aplicaciones de los usuarios y cerrar ordenadamente
los sistemas operativos.

Si además no queremos vernos obligados a parar nuestra
actividad, hay que instalar grupos electrógenos u otros
generadores de corriente conectados a nuestra red eléc-
trica. Básicamente hay dos tipos de SAI:

• SAI de modo directo. La corriente eléctrica ali-
menta al SAI y éste suministra energía constan-
temente al ordenador. Estos dispositivos realizan
también la función de estabilización de corriente.

• SAI de modo reserva. La corriente se suministra al
ordenador directamente. El SAI sólo actúa en caso
de corte de corriente.

Los servidores pueden comunicarse con un SAI a través
de alguno de sus puertos de comunicaciones, de modo
que el SAI informa al servidor de las incidencias que
observa en la corriente eléctrica.

En la Figura 7.14 se pueden observar algunos de los
parámetros que se pueden configurar en un ordenador
Figura 7.14. Parámetros configurables en una estación para el gobierno de un SAI. para el gobierno del SAI.

07
210


Windows, por ejemplo, lleva ya preconfigurada una lista
de SAI de los principales fabricantes con objeto de faci-
litar lo más posible la utilización de estos útiles dispo-
sitivos.

B. Protección contra virus
Los virus informáticos son programas o segmentos de
código maligno que se extienden (infección) por los
ficheros, memoria y discos de los ordenadores produ-
ciendo efectos no deseables y, en ocasiones, altamente
dañinos.

Algunas empresas de software, especializadas en segu-
ridad, han creado programas (antivirus) que detectan y Figura 7.15. Consola de administración centralizada para toda una red de un conocido antivirus sobre
limpian las infecciones virulentas. Windows.

Si ya es importante que una estación de trabajo aislada
no se infecte con virus, mucho más importante es evitar
Actividad
las infecciones en un servidor o en cualquier puesto de
red, ya que al ser nodos de intercambio de datos, propa-
garían extraordinariamente la infección por todos los 4 Instala una aplicación antivirus que puedes descargar de Internet en una esta-
puestos de la red. ción cliente. Verifica la limpieza del sistema en que se ha instalado.

Es posible la instalación de aplicaciones antivirus en los Seguidamente, descarga de Internet la versión de servidor de un antivirus y prueba a
servidores, corriendo en background, que analizan cual- hacer una instalación en red. Para realizar esto deberás seguir las instrucciones del
quier fichero que se deposita en el servidor. fabricante.

Esto ralentiza el servidor, puesto que consume parte de Desde la consola de administración, ensaya la instalación del antivirus de cliente desde
los recursos de procesamiento, pero eleva la seguridad. un punto central hasta el resto de las estaciones de la red.

El auge de Internet y las aplicaciones instaladas en ella
o que se pueden descargar desde servidores web ha pro-
vocado una explosión de virus transmitidos a su través:
los virus más comunes en la actualidad se transmiten C. Protección contra accesos
dentro de los mismos mensajes de correo electrónico. indebidos
Las compañías fabricantes de software antivirus han Además de las cuentas personalizadas de usuario, los
tenido que idear utilidades antivíricas que chequean NOS disponen de herramientas para limitar, impedir o
estos correos electrónicos y vigilar intensivamente cual- frustrar conexiones indebidas a los recursos de la red.
quier software que entre por las líneas de conexión a
Internet. Para ello, se pueden realizar auditorías de los recursos y
llevar un registro de los accesos a cada uno de ellos.
Los más modernos antivirus pueden llegar a centralizar
sus operaciones sobre una consola que vigila atenta- Si un usuario utilizara algún recurso al que no tiene
mente toda la red (Figura 7.15). derecho, seríamos capaces de detectarlo o, al menos, de
registrar el evento.
Corresponde al administrador advertir de estos riesgos a
los usuarios de la red, limitar los accesos a las aplica- Conviene realizar un plan de auditorías en que se dise-
ciones y a los datos que puedan portar virus e impedir la ñen los sucesos que serán auditados. Las auditorías se
entrada de datos indeseados, por ejemplo, a través de pueden realizar sobre conexiones, accesos, utilización
disquetes, CD-ROM o Internet. de dispositivos de impresión, uso de ficheros o aplica-
ciones concretas, etcétera. El auditor genera un registro
Debe planificar las copias de seguridad con la debida fre- de accesos que puede ser consultado por el administra-
cuencia para restituir el sistema en caso de desastre. dor de red en cualquier momento.

07
211


Además, es posible definir el disparo de alarmas que avi- D. Protección de los datos
sen de que ciertos eventos han ocurrido en la red, utili-
zando el sistema de mensajería electrónica del NOS El software más importante en las estaciones de traba-
(Figura 7.16). jo de cualquier organización está representado por los
datos de usuario, ya que cualquier aplicación puede ser
reinstalada de nuevo en caso de problemas; los datos, no.

La duplicación de los datos

El modo más seguro de proteger los datos ante cualquier
tipo de problemas es duplicarlos. Se puede tener un
doble sistema de almacenamiento en disco, pero esto
genera nuevos problemas, entre los que destacamos:

• Cuando se tiene información duplicada es difícil
determinar cuál de las copias es la correcta.

• La duplicación de información requiere la inversión
Figura 7.16. Visor de sucesos de Windows. de más recursos económicos, al ocupar más espacio
en los dispositivos de almacenamiento.
También es posible visualizar el estado de las conexio-
nes y accesos al servidor: observar la corrección de su
utilización, detener conexiones, estadísticas de utiliza- Copias de seguridad
ción, etcétera.
La copia de seguridad o backup es una duplicación
Cada conexión al servidor consume recursos del servidor, controlada de los datos o aplicaciones de los usuarios.
normalmente CPU y memoria. Por tanto, es aconsejable Se realiza a través de utilidades propias de los sistemas
limitar el número máximo de conexiones que se permiti- operativos y del hardware apropiado.
rán en cada recurso, teniendo en cuenta las necesidades
de los usuarios y el rendimiento del sistema. Cabe la posibilidad de que las unidades de backup estén
centralizadas en los servidores, de modo que con pocas
Hay programas cuyo propósito es la captura del nombre unidades se puedan realizar las copias de todo el sistema.
y la contraseña de los usuarios de la red o hacerse con El software de las utilidades de backup puede automati-
información privilegiada para su posterior uso ilegal. zarse para que las copias se realicen automáticamente en
Estos programas pertenecen al grupo de los denomina- periodos apropiados, por ejemplo, por la noche, salvando
dos caballos de Troya. Los sistemas deben estar prote- los datos que hayan sido modificados durante el día. Los
gidos contra estos programas. medios físicos más comunes para realizar este tipo de
volcado son la cinta magnética y el CD o DVD regraba-
Ante la abundancia de redes de organizaciones que se bles. La relación capacidad/coste es mayor que en el
conectan a otras redes WAN, se deben instalar unos dis- caso de discos duplicados. Las desventajas residen en
positivos denominados cortafuegos, que limitan los que la lectura de los datos de un backup no es directa
accesos de usuarios externos a la propia LAN. En la Uni- por las aplicaciones y requieren un volcado inverso (de
dad 9 se estudiarán con mayor profundidad estos dispo- cinta a disco) previo.
sitivos de red.
Ejemplos de cintas utilizadas para backup son las DLT,
QIC, DAT, streamers, etc. Algunas de ellas pueden alcan-
Actividad zar una gran capacidad utilizando sofisticadas técnicas de
compresión de datos, por encima de los 100 Gbytes. En la
operación de backup también se pueden utilizar discos,
5 Define en un sistema un conjunto de alertas y auditorías que dejen un rastro claro normalmente removibles, e incluso CD o DVD grabables.
de la actividad del sistema o de los accesos de los usuarios. Deja el sistema fun- En cualquier caso, siempre hay que exigir que el dispo-
cionando durante un tiempo provocando accesos no autorizados y vuelve más sitivo de backup tenga capacidad para almacenar los
tarde a observar los ficheros de registro de actividad. Extrae las conclusiones per- datos que haya que guardar, lo que normalmente exigirá
tinentes y propón soluciones contra los accesos indebidos. que el sistema pueda generar múltiples volúmenes en un
único backup.

07
212


Se pueden establecer distintos tipos de copias de segu-
ridad, destacamos aquí dos de ellas:

• Backup normal. Es una copia de los archivos selec-
cionados sin ninguna restricción, posiblemente
directorios completos y sus subdirectorios.

• Backup progresivo, diferencial o incremental. En
este caso, la copia sólo se realiza sobre los ficheros
seleccionados que hayan sido modificados o creados
después del anterior backup.

Las copias de seguridad realizadas sobre cualquier sis-
tema deben estar perfectamente etiquetadas y docu-
mentadas con el fin de garantizar que la recuperación de
ficheros, en caso de problemas, sea de la copia correcta
(Figura 7.17).

Sistemas tolerantes a errores
Figura 7.17. Utilidad para la copia de seguridad en Windows.
Un sistema tolerante a errores es aquél que está capaci-
tado para seguir operando aunque se presenten fallos en
alguno de sus componentes. Actividad

La tolerancia a fallos está diseñada para combatir fallos
en periféricos, en el software de sistema operativo, en
6 Establece un directorio de datos como objetivo de un backup. Realiza una copia
la alimentación eléctrica de los equipos, etcétera. de seguridad del mismo. Ahora elimina el directorio copiado y restaura la infor-
mación comprobando que la información restaurada es idéntica a la que se salvó.
La tolerancia a fallos más común es la que consiste en
duplicar los elementos del sistema, por ejemplo, que Ahora, según vas cambiando algunos datos del directorio objetivo, ve haciendo bac-
cada equipo posea dos fuentes de alimentación: cuando kups incrementales. Finalmente, restaura todos los backups y comprueba que la infor-
falla una de ellas, automáticamente se pone en funcio- mación restaurada es la correcta.
namiento la segunda.
Genera un automatismo para que se haga un backup del sistema a cierta hora y com-
En el caso de discos, el método de redundancia más senci- prueba que a la hora prevista se dispara el backup.
llo es la configuración de discos espejo (mirror). Para ello,
se duplican los discos, de modo que cualquier operación
de escritura sobre uno de los discos se duplica en el otro. Tecnología RAID

En la lectura, cualquier disco puede proporcionar los La tecnología más extendida para la duplicación de dis-
datos solicitados, puesto que son iguales. cos es la RAID (Redundant Array of Inexpensive Disks,
serie redundante de discos económicos), que ofrece una
Los sistemas operativos de red avanzados poseen soft- serie de niveles de seguridad o crecimiento de presta-
ware para la automatización de los procesos de toleran- ciones catalogados de 0 a 5, aunque algunos no se uti-
cia a errores. lizan:

En los sistemas actuales se proporcionan un conjunto de • RAID de nivel 0. Los datos se reparten entre varios
tecnologías que, en conjunto, contribuyen a crear siste- discos mejorando las prestaciones del acceso a
mas seguros, escalables y de alta disponibilidad. La exi- disco, aunque no se ofrece ningún tipo de redun-
gencia de muchos sistemas es 24 x 7, es decir, 24 horas dancia.
diarias y 7 días por semana.
• RAID de nivel 1. La redundancia de datos se
Se considera que un sistema es seguro si tiene una dis- obtiene almacenando copias exactas cada dos dis-
ponibilidad superior al 99,99 %, es decir, un día de paro cos, es decir, es el sistema de espejos al que nos
de sistema por cada 10 000 de utilización. hemos referido anteriormente.

07
213


• RAID de nivel 2. No ha sido implementado comer-
cialmente, pero se basa en la redundancia conse- Actividad
guida con múltiples discos una vez que los datos se
han dividido en el nivel de bit. 7 Sobre un servidor Windows (no funcionaría
sobre una versión cliente), instala dos dis-
• RAID de nivel 3. Los datos se dividen en el nivel de cos duros, en uno de los cuales instalarás el
byte. En una unidad separada se almacena la infor- sistema operativo.
mación de paridad.
Una vez instalado, comprueba que el sistema ve
• RAID de nivel 4. Es similar al nivel 3, pero divi- los dos discos físicos desde el administrador de
diendo los datos en bloques. discos de Windows. Ahora convierte en dinámicos
los dos discos. Crea un espejo del disco de sis-
• RAID de nivel 5. Los datos se dividen en bloques tema en el segundo disco. Una vez terminada la
repartiéndose la información de paridad de modo operación, comprueba que puedes arrancar un sis-
rotativo entre todos los discos. tema idéntico desde cualquiera de los dos discos.

Por ejemplo, Windows NT, Windows 2000 y Windows Posteriormente, estando el sistema en funciona-
2003 soportan RAID 1 y RAID 5 en cualquiera de sus ver- miento con el espejo correctamente realizado,
siones servidoras. Microsoft denomina espejos o mirrors apaga abruptamente el equipo desconectando la
a RAID 1 y sistemas de bandas con paridad a RAID 5. alimentación. Vuelve a encender el equipo, pre-
En la Figura 7.18 hay un ejemplo de gestor de discos con séntate en él y arranca el administrador de discos.
RAID 1 en un sistema servidor Windows.
Observarás que el espejo se está reconstruyendo
Para establecer discos espejo (RAID 1) sólo son necesa- para garantizar la integridad de la información
rios dos discos, mientras que para la utilización de las en los dos discos: el apagón no permitió la sin-
bandas con paridad, el mínimo de discos es de tres. cronización de datos y ahora el sistema pone en
marcha mecanismos de reparación.
Todas las operaciones de gestión de discos se realizan
desde el administrador de discos que se halla integrado
en la consola de administración local del equipo en el
caso de Windows (Figura 7.18). Dispositivos extraíbles en caliente

Llegar a estos niveles de disponibilidad en los sistemas
no es nada sencillo; los ordenadores no son más que
máquinas electrónicas y, por tanto, están expuestos a
todo tipo de catástrofes.

Algunas compañías han diseñado componentes de orde-
nadores que son intercambiables en caliente, es decir,
sin apagar el ordenador.

Esta característica está muy extendida en los discos
duros de un cierto nivel. De hecho, en general, los dis-
cos en configuración RAID suelen residir en torres de
discos conectadas al procesador central o a la red a tra-
vés de buses de comunicaciones muy rápidos, y suelen
ser intercambiables en caliente.

Últimamente, en servidores muy especializados, están
apareciendo tarjetas que también se pueden cambiar en
caliente.

El desarrollo de las técnicas Plug & Play en los sistemas
operativos, por ejemplo en Windows, hace que el sis-
tema reconozca inmediatamente la nueva tarjeta y pro-
Figura 7.18. Gestor de discos en Windows Server con un volumen RAID 1. siga su funcionamiento en pocos segundos.

07
214


Configuraciones en cluster Pretendemos aquí dar, a modo de ejemplo, unos cuantos
consejos tomados de publicaciones del sector que se
Para una instalación, disponer de un único servidor es deben tener en cuenta cuando se planifica la seguridad
un gran riesgo: el trabajo de una empresa se puede de la red de una corporación:
paralizar si su servidor corporativo falla. Los clusters de
servidores vienen a solucionar, entre otros, este pro- • La seguridad y la complejidad suelen guardar una
blema. relación de proporcionalidad inversa, es decir, a
mayor seguridad, se simplifican los procedimientos,
Un cluster es una asociación de ordenadores que com- ya que la seguridad es limitadora de las posibilida-
parten periféricos de almacenamiento y entre los que se des.
establecen unas fuertes relaciones de cooperación en el
trabajo que realizan. • Además, la educación de los usuarios de la red debe
ser lo más intensa posible.
Así, si uno de los servidores del cluster deja de funcio-
nar, otro miembro de ese cluster absorberá su trabajo. El • La seguridad y la facilidad de uso suelen guardar fre-
rendimiento del sistema se resentirá de algún modo (se cuentemente una relación de proporcionalidad
ha perdido un servidor), pero no se perderá la funciona- inversa; por tanto, resulta conveniente concentrarse
lidad total del sistema. en reducir el riesgo, pero sin desperdiciar recursos
intentando eliminarlo por completo, lo que es impo-
Entre los sistemas operativos de red capaces de organi- sible.
zarse en forma de clusters están algunas versiones de
UNIX, Windows NT Advanced Sever, Windows 2000 • Un buen nivel de seguridad ahora es mejor que un
Advanced Server y Datacenter Server, y las versiones nivel perfecto de seguridad nunca.
superiores de Windows 2003 Server.
• Por ejemplo, se pueden detectar diez acciones por
Plan de contingencias ante desastres hacer; si de ellas lleva a cabo cuatro, el sistema será
más seguro que si se espera a poder resolver las
Aunque se pongan todas las medidas imaginables, siem- diez.
pre puede darse una situación no prevista en la que el
sistema deje de funcionar. • Es mejor conocer los propios puntos débiles y evitar
riesgos imposibles de cuantificar.
El tiempo de parada será menor si está previsto (e
incluso probado) con antelación cómo hacer frente a • La seguridad es tan potente como su punto más
cada avería concreta. débil, por lo que interesa centrarse en estos últimos
puntos.
El documento que recoge qué hacer en cada momento se
denomina plan de contingencias. Es uno de los docu- • Lo mejor es concentrase en amenazas probables y
mentos más importantes que debe preparar el adminis- conocidas.
trador de red.
• La seguridad no es un gasto para la empresa, sino
El plan de contingencias es la mayor garantía de que no que debe ser considerada como una inversión.
se dejará llevar por la precipitación ante una situación
de desastre. Al plantearse el diseño de la seguridad de la red a la luz
de los consejos anteriores, hay que seguir una serie de
pasos, entre los que destacan los siguientes:
E. La seguridad en la red
• Evaluar los riesgos que corremos.
Teniendo en cuenta que muchas redes se conectan a
Internet a través de dispositivos que las ocultan, la cifra • Definir la política fundamental de seguridad de la
de ordenadores que pueden volcar datos a Internet es red.
gigantesca.
• Elegir el diseño de las tácticas de seguridad.
Lo que a nosotros nos interesa ahora es que la inseguri-
dad de nuestro sistema puede venir, entre otros facto- • Tener previstos unos procedimientos de incidencias-
res, por cualquiera de esos nodos de la red. respuesta, etcétera.

07
215

7.6 Control remoto en la red

Cuando una instalación de red es de tamaño reducido o A. El gestor de equipos
no se extiende mucho en su ámbito geográfico, el admi- e instalaciones
nistrador de red puede desplazarse con facilidad por las
distintas estaciones y servidores para realizar su función Un gestor de instalaciones es un conjunto de herra-
profesional sobre ellos. mientas integradas entre sí y con el sistema operativo
sobre el que se instala que es capaz de llevar un control
Sin embargo, cuando no se cumplen estos requisitos, exhaustivo sobre el software de cada sistema, así como
son necesarias herramientas especializadas en la gestión de su configuración y funcionamiento.
remota de los ordenadores y dispositivos de la red. La
mayor parte de estas herramientas son capaces de saltar En muchos casos, este software es capaz de controlar
la barrera impuesta por la redes de área local, propor- también los escritorios y accesos de los usuarios que se
cionando sus beneficios también a través de redes de presentan en cada estación de la red. Cada fabricante de
área extensa. El objetivo básico de cualquiera de estas software incorpora unas funciones a sus productos de
herramientas es reducir al máximo posible el coste total gestión; sin embargo, las funciones básicas más comu-
de propiedad (TCO, Total Cost of Ownership) de los equi- nes de un gestor de equipos son las siguientes:
pos, facilitando el retorno de la inversión (ROI, Return
Of Investment). • Despliegue de sistemas y de software. El gestor es
capaz de instalar sistemas operativos y software adi-
Fundamentalmente, hay dos modelos de gestores remo- cional desde los servidores de gestión en los que se
tos: los que se encargan de la gestión de equipos y los apoya de acuerdo con la parametrización que diseña
que tienen por función la gestión de consolas. El número el administrador de sistemas.
de elementos en una red que se puede gestionar es tan
grande que es imposible abarcarlo todo, proponemos • Configuración de los equipos. Una vez instalados
como ejemplo la iniciativa WfM (Wired for Management, los equipos, el gestor es capaz de proporcionar las
conectado para la gestión) de Intel, o la interfaz WMI de configuraciones básicas de cada equipo o de cada
Microsoft. usuario; por ejemplo, el administrador del sistema
podría definir las aplicaciones a las que se tienen
acceso, los recursos que serán visibles para cada
usuario, etcétera.

• Control de equipos y de la red. El gestor puede
analizar cada una de las incidencias ocurridas en
los equipos de la red y tomar las acciones previstas
por el administrador de red en cada uno de los
eventos.

Con Windows 2000 Server y versiones superiores, Micro-
soft ha dado un gran paso adelante, integrando en su
sistema herramientas avanzadas de instalación, todo ello
controlado a través de una política de directivas inte-
gradas en su Directorio Activo, aunque su herramienta
de gestión por excelencia para grandes redes es SMS
(Server Management System).

B. El gestor de consolas
Un gestor de consolas o simplemente gestor de control
remoto es una aplicación que es capaz de visualizar
sobre una consola local lo que está ocurriendo en una
consola remota. Los más avanzados son capaces tam-
Figura 7.19. Conexión remota desde Windows 2000 con destino en otro sistema Windows con Remote bién de crear verdaderas sesiones remotas, no sólo simu-
Administrator, un gestor de conexiones comercial. larlas.

07
216


Además, los gestores más avanzados son capaces de eje- En Windows XP y Windows 2003 Server también se pue-
cutar acciones en el sistema remoto comandados desde den crear conexiones remotas a través de la gestión
el sistema local. remota del escritorio.

Un gestor remoto ofrece grandes ayudas; sin embargo,
las funciones más beneficiadas son las siguientes:

• Administración de red. Desde un único punto geo-
gráfico pueden controlar todos los servidores y esta-
ciones de la red: crear, modificar o eliminar usuarios
o grupos, instalar o configurar aplicaciones, reini-
ciar ordenadores, etcétera.

• Teletrabajadores. Cualquier persona desde el exte-
rior de la red podrá conectarse y acceder a su infor-
mación de red.

• Soporte, asistencia técnica y mantenimiento.
Estas funciones constituyen uno de los mayores
ámbitos comerciales para este tipo de aplicaciones,
pues se pueden brindar todos estos servicios remo-
tamente sin necesidad de costosos desplazamien-
tos.

• Formación. La tecnología utilizada por un gestor de
consolas es muy apropiada para su configuración en
forma de aula virtual, en el seno de la cual se pueda
Figura 7.20. Asistente de conexión y conexión realizada desde una estación Windows a un servidor
impartir formación. Para ello, es necesario que el Windows.
gestor permita que varias sesiones locales puedan
conectarse a una única sesión remota.

El transporte de red necesitado por estos gestores para
mover datos a través de la red utiliza los protocolos
Actividad
básicos que ya hemos estudiado: TCP/IP, IPX/SPX, etcé-
tera. 8 Descarga de Internet la aplicación gratuita VNC. Esta aplicación consta de un
cliente (visualizador) y un servidor, que se instala como un servicio automático
Destacamos la solución VNC por ser freeware y de amplio del sistema operativo.
uso (se puede descargar desde www.realvnc.com) y, ade-
más, por estar soportada por muchos UNIX, Linux, Win- Instálala en dos nodos de la red con el mismo sistema operativo y configúralos para
dows en todas sus variantes, OS/2, BeOS, MacOS, PalmOS que puedan hacerse conexiones cruzadas.
y muchos más sistemas operativos.
Comprueba que puedes hacer conexiones remotas.
Microsoft con Windows NT propuso un modelo de crea-
ción de sesiones remotas desde estaciones de la red con Ahora instala VNC en otro nodo de la red con sistema operativo distinto, incluso Linux
su versión Terminal Edition. Windows 2000 ha recogido o MacOS X (existen versiones de VNC también para estos sistemas operativos). Prueba
esta tecnología y permite que una estación de trabajo se su funcionalidad.
conecte a un servidor Windows 2000 como si fuera un
cliente ligero.

Se permiten hasta dos conexiones con objeto de hacer
administración remota sin necesidad de licencia adicio- C. Iniciativa WfM de Intel
nal. El cliente puede ser cualquiera de las versiones Win-
dows de Microsoft, incluida Windows 3.11. WfM (Wired for Management, conectado para la gestión)
es una iniciativa de Intel para establecer un estándar
En la Figura 7.20 se puede ver el asistente de conexión con algunas de las propiedades de la gestión remota de
y la consola local una vez realizada la conexión remota. las estaciones de red.

07
217

7.7 Autenticación y certificación

WfM se apoya sobre otros estándares ya establecidos, Con la tecnología PXE la tarjeta de red permanece siem-
pero su gestión se centra en cuatro niveles: pre a la escucha de la red, aún con el PC apagado, de
modo que a una orden concreta del servidor, la tarjeta
• Gestión previa al inicio del sistema. ordena encenderse al PC arrancando el software de sis-
tema: una tecnología denominada WOL (Wake On LAN).
• Gestión del consumo energético.
Pero un PC que pueda despertarse también tiene que
• Gestión de la información. ser capaz de autoapagarse; por eso, WfM integra la
tecnología ACPI (Advanced Configuration Power Inter-
• Agentes de soporte. face, Interfaz de consumo energético y configuración
avanzada) en las BIOS, que es capaz de realizar estas
La gestión previa al inicio de WfM está enfocada a la ges- operaciones.
tión de estaciones de trabajo cuando éstas están apaga-
das. La tecnología PXE (Previous eXecution Environment, También se necesita un entorno de gestión de informa-
entorno de ejecución previo al inicio), especificación para ción. WfM se adapta a cualquier entorno de gestión que
la gestión en adaptadores de red, es obligatoria bajo hayamos cargado con el software de red: agentes SNMP,
WfM: tanto la BIOS del PC como la tarjeta de red deben DMI o CIM.
soportarlo.
WOL despierta a un equipo cuando recibe por la tarjeta
de red, que permanece siempre a la escucha aun con el
Actividad equipo apagado (que no desconectado de la red eléc-
trica), una trama específica denominada trama mágica
9 Instala un equipo Windows en red que tenga una tarjeta de red compatible con desde un gestor de arranque.
la tecnología PXE y con esta funcionalidad habilitada. Deja esta estación apagada
pero conectada a la corriente eléctrica. La placa madre de este sistema tiene que Como esta característica opera en el nivel de enlace
contemplar también la posibilidad de arranque del sistema por red. (capa 2 de OSI), el encendido sólo funcionará dentro del
mismo segmento de la red de área local. Si se quieren
Busca en Internet una aplicación Wake on LAN que sea capaz de despertar al equipo. despertar máquinas remotas, hay que utilizar mecanis-
Instala en el mismo segmento de red otra estación en la que se ejecutará la aplicación. mos de enrutamiento junto con WOL.
Ejecútala pasándole como argumento la dirección física de la tarjeta PXE y comprueba
que la estación se enciende automáticamente.

El avance de la etapa comercial en el desarrollo de Inter- • Confidencialidad. Los datos sólo deben ser legibles
net y la integración de la venta electrónica de productos por los destinatarios autorizados.
o transacciones financieras electrónicas ha generado
unas expectativas en el volumen de negocio en las que • Integridad. Los datos deben ser genuinos. El sis-
el principal problema reside en la seguridad. Analizare- tema debe detectar si los datos originales han sido
mos en este epígrafe los conceptos básicos utilizados en cambiados.
Internet, y por extensión en el resto de las redes, sobre
tecnologías y protocolos de seguridad. • Autenticación. Se trata de asegurarse de que la
información fue originada por quien se dice en el
mensaje. Más adelante estudiaremos este asunto con
A. La criptografía más profundidad.

Encriptar un mensaje no es más que codificarlo de nuevo El principal problema de la criptografía es cómo custodiar
de acuerdo con un código que sólo el destinatario de la la información de codificación, ya que quien la posea
información conoce, haciendo por tanto ilegible el men- será capaz de restituir el mensaje original, perdiéndose,
saje al resto de los posibles receptores. En Internet, es por tanto, su privacidad. Muchos algoritmos de encripta-
típico codificar la información económica sensible, como ción utilizan una clave que modifica particularmente el
los datos de la tarjeta de crédito. Entre las funciones comportamiento del algoritmo, de modo que sólo quien
básicas del cifrado podemos citar las siguientes: conozca esa clave podrá desencriptar el mensaje.

07
218


Se pueden utilizar muchos algoritmos para encriptar usuarios, normalmente accesibles desde su navegador de
mensajes: Internet. El ámbito de utilización de las firmas electró-
nicas es muy amplio; aquí destacamos algunas aplica-
• DES, Data Encription Standard. Es el sistema de ciones más comunes:
encriptación oficial americano. Emplea un algoritmo
con clave secreta de 56 bits, lo que significa que • Justificación ante las administraciones. La firma
oculta la clave entre más de 72 000 billones de posi- electrónica sirve como documento de identidad elec-
bles combinaciones. Para hacernos una idea, un trónico y válido, por ejemplo, se pueden pagar los
algoritmo de este tipo utilizado habitualmente en impuestos a través de Internet con seguridad.
Internet utiliza una clave de 1 024 bits.
• Comercio electrónico. Con la firma digital se puede
• RSA, Rivest, Shamir, Adleman. Este algoritmo lleva evitar que los compradores repudien operaciones
por nombre las iniciales de los apellidos de sus cre- de compra realmente realizadas o bien asegurarse de
adores, investigadores del MIT (Massachussets Ins- que el web de comercio electrónico es auténtico: no
titute of Technology) y que crearon este algoritmo es la suplantación de un tercero.
en 1997. Se basa en dos claves, una pública y otra
privada, que son complementarias entre sí, pero que • Transacciones financieras. Un ejemplo claro es el
no son deducibles una a partir de la otra. El mensaje de los monederos electrónicos seguros. La firma
encriptado con una clave pública sólo puede ser digital puede ir asociada al monedero garantizando
desencriptado con la clave privada complementaria la transacción.
y viceversa. RSA es el pionero en la tecnología PKI
(Public Key Infrastructure). • Software legal. Cualquier software instalado en un
equipo debe ir correctamente firmado como garan-
Por la importancia que reviste el algoritmo RSA, merece tía del fabricante.
la pena dedicarle algo más de atención. Veamos breve-
mente cómo funciona el algoritmo. Cuando un emi- • Correo electrónico. Con la firma digital se asegura
sor quiere enviar un mensaje a un receptor, el emisor la autenticación del remitente del mensaje.
encripta el mensaje utilizando la clave pública (de todos
conocida) del receptor. El receptor es el único que Formalmente, un certificado digital es un documento
conoce y posee su propia clave privada. El mensaje electrónico emitido por una entidad de certificación
encriptado sólo puede ser desencriptado por quien autorizada para una persona física o jurídica, con el fin
conozca la clave privada del receptor, es decir, sólo de almacenar la información y las claves necesarias para
podrá ser leído por el receptor a quien el emisor designó. prevenir la suplantación de su identidad. Dependiendo
Por tanto, cualquier persona puede enviar mensajes de la política de certificación propuesta por la Autoridad
encriptados a cualquier receptor, ya que las claves públi- de Certificación, cambiarán los requisitos para la obten-
cas son eso, públicas. Sin embargo, sólo un receptor, el ción de un certificado, llegándose incluso al caso de
que posea la clave privada del destinatario del mensaje, tener que presentarse físicamente el interesado para
podrá leerlo. acreditar su identidad.

No son estos los únicos sistemas de encriptación utili- Por ejemplo, la ACE (Agencia de Certificación Electrónica
zados en Internet; basta con pasearse por las opciones en España) emite tres tipos de certificados: el de clase 1
o preferencias de cualquier navegador de Internet para no exige contrastar ninguna información especial, basta
observar la inclusión dentro del navegador de muchos con el nombre del usuario y una dirección de correo a
otros algoritmos. donde se le enviará el certificado. Para la clase 2, el usua-
rio debe presentar documentación que acredite su iden-
tidad, pero no requiere su presencia. Sin embargo, para
B. Certificados digitales los de clase 3 sí se requiere la presencia física del usua-
rio que solicita el certificado. Este certificado ACE de
El certificado digital es una credencial que proporciona clase 3 es equivalente en cuanto a seguridad a los de cla-
una Autoridad de Certificación que confirma la identidad se 2 emitidos por la Fábrica Nacional de Moneda y Timbre
del poseedor del certificado, es decir, garantiza que es en España para la Agencia Tributaria.
quien dice ser.
El certificado está protegido por un identificador que
La Autoridad de Certificación actúa de modo semejante sólo conoce el propietario del mismo, aunque es posible
a un notario digital y es quien expide los certificados su almacenamiento en dispositivos más seguros como
electrónicos que se guardan en los ordenadores de los tarjetas inteligentes (smartcards) o llaves USB.

07
219


C. Autenticación Por tanto, una PKI incluye los elementos de red, servi-
dores, aplicaciones, etc. Ahora vamos a identificar algu-
Cuando el usuario de una red se presenta en su sistema, nos de los componentes lógicos básicos de una infraes-
lo que realmente está haciendo es informando a la red tructura de clave pública.
de quién es para que el sistema le proporcione los dere-
chos, permisos y recursos que tenga asignados perso- • Autoridad de certificación CA. Una autoridad de
nalmente. ¿Cómo sabe la red que el usuario que se certificación es el componente responsable de esta-
intenta presentar es quien dice ser? Éste es el problema blecer las identidades y de crear los certificados que
que resuelven los sistemas de autenticación. forman una asociación entre la identidad y una
pareja de claves pública y privada.
El certificado digital proporciona un mecanismo seguro
para producir una correcta autenticación, ya que la Auto- • Autoridad de registro RA. Una autoridad de regis-
ridad de Certificación asegura la veracidad de la infor- tro es la responsable del registro y la autenticación
mación. En los sistemas de red, los certificados digita- inicial de los usuarios a quienes se les expedirá un
les residen en un servicio de directorio al que accede el certificado posteriormente si cumplen todos los
sistema para contrastar la información procedente de la requisitos.
Autoridad de Certificación.
• Servidor de certificados. Es el componente encar-
Windows Server y muchas versiones de UNIX son ejem- gado de expedir los certificados aprobados por la
plos típicos de este sistema de autenticación. El sistema autoridad de registro. La clave pública generada para
operativo lleva incorporado un generador y servidor de el usuario se combina con otros datos de identifica-
certificados para ser utilizados internamente en la red si ción y todo ello se firma digitalmente con la clave
no se desean utilizar los servicios de una compañía cer- privada de la autoridad de certificación.
tificadora externa a la red. Kerberos es la tecnología de
autenticación mediante firma electrónica más extendida • Repositorio de certificados. Es el componente
actualmente. encargado de hacer disponibles las claves públicas
de las identidades registradas antes de que puedan
utilizar sus certificados. Suelen ser repositorios
X.500 o LDAP. Cuando el usuario necesita validar un
certificado debe consultar el repositorio de certifi-
cados para verificar la firma del firmante del certi-
ficado, garantizar la vigencia del certificado com-
probando su periodo de validez y que no ha sido
revocado por la CA y que además cumple con los
requisitos para los que se expidió el certificado; por
ejemplo, que el certificado sirve para firmar correo
electrónico.

Los sistemas operativos avanzados como Windows Ser-
ver suelen incorporar software suficiente para construir
una infraestructura de clave pública completa (Figura
7.21).

En el cifrado de la información pueden emplearse muchos
métodos, pero fundamentalmente se utilizan dos: siste-
Figura 7.21. Consola de administración de una entidad emisora de certificados integrante de una PKI mas de una sola clave y sistemas de dos claves, una pri-
en Windows Server 2003. vada y otra pública.

En el caso de utilizar una única clave, tanto el emisor
D. Componentes de una PKI como el receptor deben compartir esa única clave, pues
es necesaria para desencriptar la información.
Una PKI (Public Key Infrastructure, infraestructura de
clave pública) es un conjunto de elementos de infraes- Hasta aquí no hay ningún problema; sin embargo, el pro-
tructura necesarios para la gestión de forma segura de cedimiento de envío de esta clave al receptor que debe
todos los componentes de una o varias Autoridades descifrar el mensaje puede ser atacado permitiendo que
de Certificación. un intruso se apodere de esa clave.

07
220


Mucho más seguros son los procedimientos de doble
clave. Consisten en confeccionar un par de claves com-
plementarias, una de las cuales será pública, y que por EMISOR RECEPTOR
tanto puede transmitirse libremente, y otra privada que
sólo debe estar en posesión del propietario del certifi-
cado y que no necesitará viajar. El algoritmo hace que un
mensaje cifrado con la clave pública sólo pueda desci-
frarse con la clave privada que le complementa y vice-
versa. CLAVE CLAVE
PRIVADA PÚBLICA
Cuando el emisor quiere enviar un mensaje a un recep- Mensaje Mensaje
tor, cifra la información con su clave privada que sólo él cifrado cifrado
posee. El receptor, una vez que le haya llegado el men- Mensaje Mensaje
saje cifrado, procederá a descifrarlo con la clave pública original original
del emisor (Figura 7.22).

E. Firma electrónica Figura 7.22. Cifrado y descifrado utilizando algoritmos de parejas de claves: pública y privada.

La firma electrónica sirve para garantizar la integridad
de un mensaje firmado, es decir, asegura que la in-
formación no fue manipulada por el camino. La firma Actividad
normalmente es un resumen del propio mensaje fir-
mado. Este resumen se obtiene mediante algoritmos de 10 Sobre un servidor Windows instala los servicios de certificación. Crea una oficina
resumen y cifrado como SHA-1 o MD5, que comprimen
de certificación siguiendo la documentación que proporciona el fabricante con el
el mensaje de forma que el receptor, aplicando el
sistema. Ahora ensaya distintas soluciones para generar certificados digitales.
mismo algoritmo al mensaje recibido, debe obtener un
resumen idéntico al que ha recibido adjuntado al men-
Genera un certificado para un servidor web concreto. Descarga el certificado e instá-
saje por el emisor y que ha obtenido por el mismo pro-
lalo en el servidor web a través de la ficha correspondiente del IIS. Habilita la cone-
cedimiento. Cualquier manipulación del mensaje gene-
xión al servidor web a través de SSL y prueba que puedes acceder a alguna página de
raría en el destino un resumen distinto del elaborado
ese servidor desde el explorador a través del protocolo HTTPS.
por el emisor, y se detectaría así la intrusión.

F. Protocolos seguros Aunque las claves generadas por SSL son débiles, es difí-
cil romperlas en el tiempo que dura una transacción, por
Haremos aquí una descripción de los protocolos y tec- lo que, sin ser el mejor protocolo de seguridad, es muy
nologías que se utilizan en la actualidad para dotar a los válido. SSL es uno de los protocolos más utilizados en la
sistemas en red de mecanismos de comunicación segu- creación de redes privadas virtuales (VPN, Virtual Private
ros. Networks).

SSL, sin embargo, no resuelve el problema de la auten-
Protocolo SSL ticación. Además, el receptor de la información puede
acceder a toda la información, lo que en el caso del
Desde hace algunos años, el protocolo más utilizado comercio electrónico es un problema: el vendedor no
para encriptar comunicaciones por Internet es SSL sólo tendría acceso al pedido (datos a los que tiene
(Secure Sockets Layer), desarrollado por Netscape. Se derecho), sino también la información bancaria del com-
trata de un protocolo que encripta una comunicación prador, datos que son propios de las entidades bancarias.
punto a punto seleccionando un método de encripta-
ción y generando las claves necesarias para toda la Cuando desde el navegador se pretende realizar una
sesión. En la arquitectura de red se sitúa inmediata- compra por Internet, SSL suele activarse en el momento
mente por encima de la capa de transporte; por ejem- de realizar el pago, de modo que la información de la
plo, en una transmisión de páginas web seguras desde tarjeta de crédito viaja encriptada. Esta activación se
un servidor web hasta un navegador, SSL estaría entre produce en la web del comerciante utilizando el proto-
la capa del protocolo http y la capa de transporte pro- colo https, una variante de http que incorpora las técni-
pia de TCP o UDP. cas de encriptación.

07
221


Veamos algo más detenidamente cómo funciona SSL SET
desde un navegador de Internet a través de las fases que
atraviesa: Los problemas de SSL están solucionados en SET (Secure
Electronic Transaction, Transacción electrónica segura).
a) En la primera fase, el navegador solicita una página En 1995, Visa y MasterCard, ayudados por otras compa-
a un servidor seguro. La petición queda identificada ñías como Microsoft, IBM, Netscape, RSA o VeriSign,
por el protocolo https en vez de http, utilizado en desarrollaron SET ante el retraimiento tanto de las
páginas no seguras. A continuación, navegador y compañías comerciantes como de los posibles compra-
servidor negocian las capacidades de seguridad que dores hacia el comercio electrónico o financiero.
utilizarán a partir de ese momento.
SET es muy complicado, así que resumiremos aquí bre-
b) Seguidamente, se ponen de acuerdo en los algorit- vemente su funcionamiento. Cuando A quiere efectuar
mos que garanticen la confidencialidad, integridad una compra en B, genera un pedido para B y decide el
y autenticidad. medio de pago. Entonces B genera un identificador de
proceso para la compra y lo envía a A con su clave
c) En una tercera fase, el servidor envía al navegador pública y la de una pasarela de pago C que se utilizará
su certificado de norma X.509 que contiene su clave en la transacción. El comprador envía a B dos informa-
pública y, si la aplicación lo requiere, solicita a su ciones: la primera es el pedido, que estará encriptado
vez el certificado del cliente. con la clave pública de B, de manera que sólo el vende-
dor pueda leer el pedido.
d) A continuación, el navegador envía al servidor una
clave maestra a partir de la cual se generará la clave La segunda información es el modo de pago, que A
de sesión para cifrar los datos que se hayan de inter- encriptará con la clave pública de la pasarela de pagos
cambiar como seguros. El envío de esta clave se C. De este modo, aunque la información sea recibida ini-
hace cifrándola con la clave pública del servidor que cialmente por B, sólo C podrá leer los datos bancarios.
extrajo previamente de su certificado. El banco, sin embargo, no puede leer el pedido reali-
zado, que sólo puede ser desencriptado por B, su desti-
e) Finalmente, se comprueba la autenticidad de las natario; por tanto, el banco no puede realizar un estu-
partes implicadas y, si el canal ha sido establecido dio del perfil del comprador.
con seguridad, comenzarán las transferencias de
datos. A partir de aquí, la pasarela de pagos C consultará con los
bancos emisor y receptor de la transacción para que se
Los certificados X.509 se utilizan para garantizar que autorice. Si se cumplen todos los requisitos, se produce
una clave pública pertenece realmente a quien se atri- la transacción, informando al vendedor y comprador de
buye. Son documentos firmados digitalmente por una que la operación de compra-venta ha sido realizada
autoridad de certificación, que asegura que los datos son correctamente.
ciertos tras demostrárselo el solicitante del certificado
documentalmente.
Protocolos seguros para correo
Contienen la clave pública los datos que identifican al y el acceso a redes
propietario, los datos de la autoridad de certificación y
la firma digital generada al encriptar con la clave privada Además de SSL y SET existen otros protocolos que ayudan
de la autoridad de certificación. a mantener comunicaciones seguras. Las técnicas cripto-
gráficas no dejan de avanzar porque de las garantías de
SSL aporta muchas ventajas a las comunicaciones segu- seguridad en las comunicaciones depende en gran medida
ras. En primer lugar, goza de gran popularidad y se el avance en el comercio electrónico, las oficinas elec-
encuentra ampliamente extendido en Internet, además trónicas de la administración pública, etcétera.
de estar soportado por la mayor parte de los navegado-
res actuales. Encriptación PGP

También asegura cualquier comunicación punto a punto, PGP son las siglas de Pretty Good Privacy. Se trata de un
no necesariamente de transmisión de páginas web, aun- sistema de encriptación gratuito de cualquier tipo de
que ésta es la aplicación de mayor uso. Por último, el información, aunque se ha extendido sobre todo por su
usuario no necesita realizar ninguna operación especial capacidad de cifrar mensajes de correo electrónico
para activar el protocolo: basta con sustituir en el nave- basado en el modelo de firma digital, de modo que se
gador la secuencia http por https. garantiza la autenticación del remitente.

07
222

7.8 Optimización de la red

Está ampliamente extendido en la comunidad Internet y Protocolo IPSec
se integra en la mayoría de los clientes de correo elec-
trónico. También se puede encontrar como una suite de Se trata de un conjunto de extensiones del TCP/IP que
aplicaciones separadas. añade autenticación y encriptación en la transmisión de
paquetes.
Es posible descargar el software necesario para gran
parte de los sistemas operativos de muchos servidores IPSec consta de tres elementos diferenciados: cabeceras
en Internet de la dirección www.pgpi. com/download. de autenticación, bloques de seguridad y un protocolo
de negociación e intercambio de claves. Con estos ele-
Protocolo PPTP mentos se pueden producir fenómenos de transporte tra-
dicionales o bien en forma de túneles, seguros en cual-
PPTP son las siglas de Point to Point Tunneling Protocol quiera de los casos. Microsoft incorpora IPSec a partir de
o protocolo de túnel punto a punto. Es un protocolo Windows 2000. En la Unidad 9 también nos extendere-
definido en el RFC 2637 que pretende mantener un ser- mos en este protocolo.
vicio punto a punto cifrado protegiendo la comunicación
del exterior. Actividad

Frecuentemente, PPTP se combina con otros protocolos
como L2TP, que estudiaremos más adelante. 11 Siguiendo la información proporcionada por la web oficial de PGP, instala un sis-
tema de encriptación PGP y prueba su funcionamiento.
PPTP es bastante popular en redes privadas virtuales, ya
que Microsoft incorporó un servidor y un cliente PPTP Prueba a enviar mensajes de correo electrónico cifrados con PGP de manera que los des-
gratuitos a partir de Windows NT. En la Unidad 9 habla- tinatarios de los mensajes, provistos también con esta tecnología, puedan descifrarlos.
remos más extensamente de VPN y PPTP.

Una vez instalada la red, y en pleno funcionamiento, se Rendimiento de la CPU
debe pasar al periodo de observación y medida con el fin de los servidores
de asegurarnos que se obtiene el mayor rendimiento
posible. Los servidores de red son máquinas altamente consumi-
doras de recursos de procesamiento. Si el servidor tiene
Esta tarea se compone de una fase de análisis de la red que brindar muchos servicios distintos o a muchos usua-
con la elaboración de unas estadísticas sencillas que sir- rios, es posible que el cuello de botella se sitúe en la
van de apoyo para la proposición de medidas correcto- velocidad de proceso de la CPU, ralentizando todo el tra-
ras en los cuellos de botella que se produzcan o en la bajo de la red (Figura 7.23).
incorporación de mejoras.

En el mercado, existen paquetes de software capaces de
hacer estos análisis de red, aunque siempre exigen la
decisión globalizadora del responsable de la red.

A. Análisis de problemas
y medidas correctoras
Los parámetros en los que hay que detenerse a la hora
de analizar una red varían de unas redes a otras; sin
embargo aquí expondremos los más comunes.

Una vez detectado el problema se propondrán diversos
tipos de soluciones posibles.

Figura 7.23. Ejemplos de monitorización de algunos parámetros en un servidor Windows.

07
223


El bajo rendimiento se manifiesta notablemente cuan- sitan una gran cantidad de recursos de memoria para
do el servidor no es capaz de suministrar información ejecutar las aplicaciones.
a los dispositivos de impresión que tiene conectados
en los puertos o si tiene que gestionar entradas/sali- Como la memoria central es un bien escaso en cualquier
das en tiempo real. equipo informático, el sistema se las ingenia volcando a
disco (memoria virtual paginada) los datos residentes en
Éste es el caso, por ejemplo, de la recepción o envío de memoria que prevé no utilizar de momento. El proceso
datos a través del módem que tiene conectado por un de intercambio de datos entre memoria y disco recibe el
puerto serie. nombre de paginación.

Las soluciones a este problema de escalabilidad se pue- El tiempo de acceso medio a memoria central es de unas
den enfocar desde distintos puntos de vista: decenas de nanosegundos, mientras que el de acceso a
disco es de una decena de milisegundos. Por tanto, si un
• Sustitución del procesador por otro más rápido. sistema pagina demasiado, se ralentizarán todas las ope-
Esto no siempre es posible, puesto que los procesa- raciones. Si el nivel de paginación es elevado, interesa
dores más modernos llevan diferentes encapsulados incorporar más memoria central al sistema. Es bastante
y patillajes de conexión a la placa madre. común obtener fuertes incrementos en el rendimiento
del sistema sin más que ampliar su memoria RAM, ya que
• Además, no todas las placas son compatibles con decrecerá el nivel de paginación.
todos los procesadores, aunque el zócalo del proce-
sador sí sea compatible. Por ejemplo, no todas las
placas soportan las mismas velocidades de reloj. Niveles de transferencia de entrada
y de salida
• Incorporar más procesadores al servidor. Si el
hardware y el software lo permiten, esta solución A veces, el cuello de botella se sitúa en los discos:
mejora sensiblemente el problema, especialmente si demasiados usuarios realizando operaciones de entrada
los buses de comunicaciones de los procesadores o salida de los discos, la paginación del sistema, el dis-
con memoria son rápidos. En la actualidad, muchos paro de aplicaciones remotas desde el servidor, etcétera.
servidores incorporan ya de serie más de un proce-
sador. Aunque el sistema disponga de una CPU muy rápida y de
grandes cantidades de memoria, si hay demasiadas ope-
• Incrementar el número de servidores. Esta solu- raciones de entrada y salida de los discos, la CPU estará
ción fracciona la red de modo que se reparte la carga casi siempre en estado de espera y el rendimiento de-
entre todos los servidores. En su aspecto más avan- caerá notablemente.
zado, se puede llegar a una configuración de pro-
ceso distribuido, transparente al usuario, con lo que En estos casos se pueden tomar las siguientes medidas
se consiguen buenos equilibrios de carga. de mejora:

Algunas de las soluciones comentadas requieren siste- • Mejorar el rendimiento de los controladores de
mas operativos escalables como UNIX, o sistemas Win- disco o del bus de comunicaciones. Por ejemplo, si
dows a partir de su versión 2000. En general, interesa tenemos un bus IDE, se podría incorporar un bus SCSI
que las CPU de servidores sean procesadores aventajados de alta velocidad o tecnologías de Fibre Channel.
de 32 o 64 bits, que incorporen características avanza-
das con el fin de obtener altos rendimientos. Además, Además los controladores disponen de varios modos
conviene que estén construidas de acuerdo con arqui- de funcionamiento, de manera que podremos selec-
tecturas escalares, es decir, que permitan el crecimiento cionar aquél que más convenga al tipo de discos de
de la tecnología en el sistema y que permitan que el que dispongamos.
mismo software pueda correr en procesadores de distin-
tas prestaciones. • Incrementar el número de discos. Al tener un
mayor número de discos, la carga de entrada y salida
se repartirá entre todos ellos, mejorando el rendi-
Paginación miento global del sistema.

Cuando un servidor está escaso de memoria central • Repartir los accesos a discos entre varios volú-
genera un cuello de botella en el sistema de paginación. menes, que pertenezcan a distintos discos o incluso
Los sistemas operativos utilizados en la actualidad nece- a distintos sistemas.

07
224


Tráfico de red dos a otra red a través de encaminadores, ya que estas
máquinas trabajan con paquetes de protocolos previa-
Como ya hemos estudiado, algunas redes como Token mente seleccionados. Estos dispositivos serán estudia-
Ring gestionan perfectamente las situaciones de tráfico dos con profundidad en la Unidad 9.
intenso en la red. Sin embargo, otras como Ethernet se
comportan mal cuando están sobrecargadas. Cuando se dan situaciones de este tipo, es necesario
observar frecuentemente el estado de puentes, encami-
Esto hace importante la observación periódica del trá- nadores y pasarelas, puesto que un cuello de botella en
fico de red, así como de los parámetros por los que se alguno de estos elementos puede perjudicar la marcha
regula; por ejemplo, en Ethernet, se podría medir el global de la red, aunque en ella no haya un tráfico
nivel de colisiones habidas frente al volumen de datos intenso.
transferidos con éxito.

En el mercado existen aplicaciones que analizan el trá-
fico de red. A veces, incluso vienen incorporadas con el
propio sistema operativo de red (Figura 7.24).

Los parámetros que suelen analizar son muy variados y
dependen del tipo de protocolo utilizado y del tipo de
red, así como de la topología de la misma.

Algunos analizadores de red tienen mecanismos que
generan tráfico controlado para observar la respuesta de
la red en situaciones concretas a través de un proceso
de simulación de situaciones reales.

Posibles soluciones de mejora para estos problemas
podrían ser la asignación de máscaras de red más ajusta-
das a las necesidades de la propia red, modificaciones en
la topología de red, concentrar los nodos que generan
mucho tráfico en segmentos de red rápidos, asegurarse de
que se cumplen las especificaciones de los fabricantes en Figura 7.24. Parametrización de un analizador de red básico incorporado en Windows y accesible desde
cuanto a longitudes de cables y parámetros eléctricos, etc. el administrador de sistema.

También es posible segmentar la red con la utilización
de switches y encaminadores. B. Protocolos para la gestión
de redes
Si el tráfico de red es muy intenso, no habrá más remedio
que dar un salto tecnológico en la composición de la red. El crecimiento experimentado por las redes de área local
y, sobre todo, la aparición de sistemas distribuidos, ha
Por ejemplo, la evolución natural de una red Ethernet es generado la aparición de técnicas y protocolos especia-
pasar a Fast Ethernet y de ésta a Gigabit Ethernet. Tam- lizados en la gestión de redes.
bién se pueden construir segmentos de fibra óptica o
configurar la red con ATM, tecnología que será estudiada La idea de partida es conseguir que desde un único
en la Unidad 8. puesto de la red (el del administrador) denominado con-
sola, se pueda monitorizar toda la red.

Monitorización de los protocolos de red Estas tecnologías recogen información de cada uno de
los nodos, observando el tráfico en cada uno de los seg-
La mayor parte de los analizadores de red son capaces de mentos de la red, avisando en el caso de que se llegue a
elaborar estadísticas sobre el tipo de tráfico que obser- situaciones que el administrador de la red defina como
van en la red, determinando qué tramas han sido gene- alarmantes.
radas por cada protocolo que convive en la red.
En muchos sistemas también se permite la reconfigura-
Esto es especialmente importante cuando los paquetes ción de la red y la simulación de situaciones comprome-
generados por algunos protocolos deben ser transporta- tidas para la red.

07
225


Los dispositivos gestionados en una red disponen de un ductos comerciales de los distintos fabricantes añaden
agente que envía alarmas si detecta problemas o situa- otros parámetros.
ciones anómalas en la red.
Los parámetros sugeridos por la ISO son los siguientes:
Por otra parte, se instalan en la red otros programas
denominados entidades de gestión, que recogen e inter- • Rendimiento de la red.
pretan estas alarmas disparando los mecanismos opor-
tunos para informar al administrador de red o corregir • Configuración de los dispositivos de red.
los problemas.
• Tarifa y contabilidad de los costes de comunicacio-
Además, las entidades de gestión interrogan periódica- nes en la red.
mente a los agentes de red sobre su estado. De este
modo, la entidad de gestión se hace una composición de • Control de fallos.
lugar sobre el estado de la red en cada instante.
• Seguridad de la red.
Este sistema de pregunta/respuesta (polling) se realiza
mediante protocolos especializados como SNMP (Simple SNMP es un protocolo de gestión de redes que recoge y
Network Management Protocol, protocolo básico de ges- registra información desde los dispositivos de una red
tión de red). que siguen su estándar a través de un sistema de pre-
guntas y respuestas.
La información recogida se almacena en una base de
datos denominada MIB (Management Information Base, Esta información es almacenada en un gestor centrali-
base de datos de información de gestión). zado desde donde se procesará.

Pero SNMP tiene algunos problemas. En primer lugar no
es demasiado escalable, es decir, el crecimiento de la red
hace que se genere mucho tráfico si se quiere hacer una
buena gestión.

En segundo lugar, no permite la monitorización de
muchos segmentos, lo que lo hace inapropiado para
grandes redes.

RMON (Remote MONitoring, monitorización remota) es
un sistema de gestión de red que viene a resolver en
parte estos problemas del SNMP.

RMON provee entre otras las siguientes informaciones en
su MIB, llamado MIB2 y definido en la RFC 1213:

• Estadísticas. Tráfico de red y errores, así como esta-
dísticas en el nivel de tramas MAC.

• Historia, recogida a intervalos periódicos para su
posterior análisis.

Figura 7.25. Arquitectura de la gestión de red con SNMP. • Alarmas y eventos. Definiendo un umbral por encima
del cual se disparan.
A partir de los MIB (Figura 7.25), las aplicaciones de
gestión elaboran estadísticas y otros informes que per- • Conversaciones entre dos dispositivos cualesquiera.
miten al administrador tomar decisiones estratégicas
sobre la funcionalidad y la seguridad de la red en cada • Filtrado de paquetes.
uno de sus puntos.
RMON sólo es capaz de monitorizar un segmento de red
La ISO ha sugerido cinco áreas de control para las apli- en el nivel de direcciones MAC, lo que frecuentemente
caciones de gestión de redes, aunque después los pro- es una limitación importante.

07
226


Un progreso se produce en la iniciativa RMON2 de la IETF Empieza a ser habitual que la gestión de dispositivos de
(RFC 2021), que da el salto hasta el nivel 3 de OSI, ata- red se realice a través del navegador de Internet.
cando la gestión de la red a través de direcciones IP.
Bastantes dispositivos que se conectan a la red incor-
Sin embargo, la solución aún no es completa. La solu- poran, además de su funcionalidad propia, un pequeño
ción más avanzada es la utilización de SMON (Switched servidor web que sirve para configurarlo y administrarlo.
MONitoring, monitorización conmutada), definida en la
RFC 2613, que con su nuevo MIB es capaz de gestionar En la actualidad, los protocolos de gestión de red se
los dispositivos de red y las redes privadas virtuales, no encuentran en plena evolución. Los estándares de facto
sólo los puertos de comunicaciones, como ocurría en el en evolución más importantes son los siguientes:
caso de RMON.
• SNMPv2 (versión 2 del SNMP).
La mayor parte de los sistemas operativos de red ponen
los protocolos adecuados para realizar una gestión de • RMON.
red.
• DMI (Desktop Management Interface, interfaz de
Son escasos los sistemas que proporcionan una consola gestión de escritorio), propuesto por el DMTF (Des-
de análisis de lo que está ocurriendo en la red; normal- ktop Management Task Force, grupo de trabajo de
mente, este software suele ser suministrado por terceras gestión de escritorio).
compañías (véase Figura 7.26).
• CMIP, que es la solución OSI.

Figura 7.26. Ejemplo de aplicación que gestiona tanto SNMP como RMON.

07
227

7.9 Documentación del sistema

7.9 Documentación del sistema
Ante la posibilidad de cualquier problema, cambio o utilizados globalmente, por ejemplo, las direcciones
mejora en la red, es conveniente tener documentado de máscaras de red, configuración de las pasarelas
correctamente el sistema con la información lo más y de los encaminadores, zonas AppleTalk, creación
actualizada posible. de dominios o grupos de trabajo, relaciones de con-
fianza, etcétera.
Cada administrador de red elige las técnicas de docu-
mentación que considera oportunas. No obstante, los • Mapa de grupos y usuarios. Consiste en la descrip-
documentos que no pueden faltar son los siguientes: ción de los grupos y usuarios de la red contem-
plando las posibilidades de acceso a los distintos
• Mapa de red. Es la representación gráfica de la recursos, así como los derechos de acceso a las apli-
topología de la red, incluyendo tanto conexiones caciones, perfiles, privilegios, etcétera.
internas como externas. Esta documentación puede
apoyarse en un plano del edificio en donde se ins- • Mapa de recursos y servicios. Muestra todos los
tala la red. recursos disponibles identificando sus nombres, el
servicio que prestan, el lugar físico o lógico en que
Suelen confeccionarse dos tipos de mapas de red: residen y los usuarios o grupos a los que se les per-
lógicos y físicos. En los lógicos o funcionales, se mite el acceso, el servicio de directorio en el que
indica la funcionalidad del elemento que se describe, quedarán publicados, etcétera.
así como sus direcciones, función que desempeña,
etc. En el caso del mapa físico, interesa sobre todo • Calendario de averías. Es el registro de averías del
la especificación de la conectividad del cableado. sistema, de modo que permita el análisis de las cau-
sas y probabilidad de fallo de los distintos compo-
• Mapa de nodos. Se compone de una descripción del nentes de la red, tanto software como hardware, y
hardware y del software que se instala en cada nodo, su evolución en el tiempo.
así como los parámetros de su configuración, mode-
los, marcas, direcciones de red, etc. La documenta- • Informe de costes. Es el estudio económico tanto
ción debe permitir la creación de un histórico de del mantenimiento como de las nuevas inversiones
cada nodo que registre la evolución de sus averías, del sistema.
actualizaciones de software, etcétera.
• Plan de contingencias. Ya hemos comentado ante-
• Mapa de protocolos. Es la descripción de la organi- riormente la importancia de este documento, que es
zación lógica de la red, así como de los protocolos la base de actuación ante cualquier desastre.

Actividad

12 Toma una solución de instalación de red (real o
ficticia) y genera toda la documentación de red
posible.

Para la realización de esta documentación puedes ayu-
darte de las herramientas típicas de una suite ofimá-
tica.

Puedes generar documentos de texto, gráficos de insta-
lación, plantillas para rellenar averías y sus soluciones,
Figura 7.27. Ejemplo de diagrama de Gantt para el diagramas de Gantt (véase Figura 7.27) para ajustar los
control de un proyecto de instalación. tiempo de las distintas fases de proyectos, etcétera.

07
228

7.10 Casos de estudio para el diseñó de redes

7.10 Casos de estudio para el diseño de redes
Seguidamente, presentamos dos casos en donde se En la Unidad 9 se ofrecerán nuevos casos para el diseño
sugiere una posible solución dentro del ámbito de las de redes corporativas que además utilizan redes de área
redes de área local sobre necesidades reales de dos orga- extendida.
nizaciones. Obviamente, la solución no es única. Está
abierta a muchas otras posibilidades. La solución que Por el momento, nos centraremos en las necesidades de
aquí se ofrece es orientativa. una pequeña organización y de una de tamaño medio.

Caso práctico

1 Pequeña organización La topología de red elegida puede ser una topología en anillo (Token
Ring) entre todos los nodos de la red, puesto que las prestaciones soli-
Una empresa necesita mecanizar su trabajo administrativo mediante citadas son moderadas.
herramientas informáticas.
Queda claro que hay que organizar al menos dos grupos de trabajo, uno
El ámbito geográfico de la empresa a la que nos referimos se reduce a por cada departamento.
la planta de un edificio.
Los comerciales no deben tener acceso a la información de los admi-
Está organizada en dos departamentos: comercial y administración. El nistrativos, porque utilizan información reservada (nóminas, factura-
número total de puestos de trabajo que se han de mecanizar es de 15 ción, etc.). Sin embargo, las impresoras del sistema sí pueden estar
personas: 10 en el departamento comercial y 5 en el de administración. compartidas por ambos grupos.

Los comerciales utilizan para su gestión software ofimático con correo Se requiere al menos una impresora matricial de carro grande para la
electrónico, con objeto de realizar mailings y propuestas comerciales a elaboración de facturas, albaranes y formularios de gran tamaño. Ade-
sus clientes. más, se necesitará una impresora para imprimir las etiquetas de los mai-
lings del departamento comercial.
También utilizan una base de datos para la gestión de la cartera de
clientes. Si los componentes de este departamento utilizan correo personali-
zado, necesitarán una impresora de mayor calidad y de mayores pres-
Los administrativos utilizan un paquete contable y software ofimático taciones. Es posible que haga falta más de una impresora de estas
vinculado a la contabilidad. Tienen necesidad de imprimir formularios características. Los dos departamentos pueden acceder a todas las
de gran tamaño y facturas. impresoras.

Solución: Sin embargo, los de administración encolarán trabajos a la impresora
matricial con mayor prioridad que los comerciales, mientras que en la
La carga de trabajo no es elevada, por tanto, con un único servidor láser interesará que sea al revés.
departamental compartido por toda la empresa será suficiente.
Las aplicaciones de los comerciales residirán en las estaciones locales,
Como los datos serán muy importantes, tendrá que elegirse un servidor de modo que puedan realizar gestiones comerciales independien-
tolerante a fallos o elegir un sistema de backup. Incorporaremos al ser- temente de que el servidor esté o no en funcionamiento.
vidor al menos dos discos, uno para el sistema operativo y otro para los
datos de usuario. Sin embargo, la gestión administrativa residirá en el servidor, con
objeto de que esté centralizada: una única contabilidad, un único pro-
Cuando el responsable del sistema haga backup, sólo tendrá que cedimiento de copia de seguridad, etcétera.
hacerlo con frecuencia del disco de datos. Las copias de seguridad del
disco de sistema pueden espaciarse más y realizarse antes y después de
hacer cambios en él.

07
229

7.10 Casos de estudio para el diseñó de redes

Caso práctico

2 Organización de tamaño medio Elegimos un pequeño servidor Novell que dará servicio a los PC de admi-
nistración y que soportará las conexiones externas para las transferen-
Una empresa de artes gráficas necesita ampliar su sistema de red. Se cias bancarias; además, incorporará la posibilidad de recibir pedidos
parte de una configuración de Macintosh en red LocalTalk, sin ningún ser- automáticamente vía fax.
vidor. Dos impresoras LaserWriter están conectadas a puertos LocalTalk.
Los administrativos podrán utilizar el fax del servidor para automatizar
Por otra parte, la administración de la empresa utiliza tres PC compati- sus envíos. El servidor debe tener tolerancia a fallos, pues la informa-
bles aislados. Uno de estos PC incorpora un programa de conexión a una ción que contendrá es crítica para la empresa. Como el servidor no
entidad bancaria para realizar transacciones financieras. requiere grandes prestaciones, bastará elegir un sistema de espejos
entre dos discos.
El crecimiento de la empresa exige incorporar las siguientes estaciones:
una nueva planta con PowerMAC para el tratamiento de imágenes, una El tercer servidor es el que utilizarán los talleres de tratamiento de tex-
estación UNIX que controla un escáner de gran formato y una planta de tos e imágenes y proporcionará la conectividad entre los PC, Macintosh
PC para la composición de textos y el diseño de las páginas, dando y PowerMAC. Uno de los PowerMAC actuará de encaminador entre el bus
cobertura a un nuevo grupo de clientes que entrega trabajos a imprimir LocalTalk de los Macintosh y el resto de la red Ethernet, de modo que
en formatos de tipo PC. estén intercomunicados todos los nodos de cualquier segmento.

Además, hay que instalar una filmadora conectada directamente a una Este servidor tendrá mucho trabajo, por lo que interesará que sea un
red Ethernet. servidor con múltiples procesadores y tanta memoria RAM como sea
posible. El sistema operativo de red elegido es Windows, que permite
Solución múltiples procesadores y conectividad a NetWare, a UNIX y a AppleTalk.
La tarjeta de red deberá ser al menos de 1 000 Mbps para soportar todo
Puesto que la filmadora debe conectarse a Ethernet, la red elegida para el tráfico que a él se dirija.
la instalación será Ethernet.
Los discos de este servidor deben ser voluminosos y con sistema RAID
Colocaremos un backbone entre plantas basado en cableado estructu- de nivel 5, que permite tener seguridad y la posibilidad, en caso de
rado por medio de conmutadores de alta velocidad (1 000 Mbps) que lle- fallo, de cambiar los discos en caliente, sin perturbar significativamente
ven líneas de par trenzado a cada una de las plantas. De cada planta se la producción de la empresa.No hay más remedio que seguir conectando
distribuirán a través de un concentrador nuevas líneas UTP para cone- las impresoras LaserWriter al segmento LocalTalk, puesto que no tienen
xiones Ethernet en estrella a 100 Mbps. otro tipo de puerto. Sin embargo, la filmadora se puede situar en cual-
quier punto de la Ethernet.
A cada nodo le llegará una de estas líneas, con excepción de la estación
UNIX, a la que llegará también un segmento de 1 000 Mbps puesto que Probablemente hagan falta dos impresoras de alta producción compar-
su consumo de red será muy elevado, al tener que conducir un escáner tidas en cada planta. Pueden estar conectadas a puertos de los servido-
de gran formato. También llegará un segmento de 1 000 Mbps a cada res o, mejor aún, conectadas directamente a la red a través de un servi-
uno de los servidores. dor especial que a veces incorporan las propias impresoras. Interesa que
las impresoras sean PostScript, ya que es la misma tecnología utilizada
Elegimos una configuración de tres servidores. El primer servidor será la por la filmadora y un lenguaje de descripción de páginas propiedad de
propia estación UNIX, que necesitará grandes cantidades de disco para Adobe apropiado para los sistemas de Apple. El intercambio de datos
poder almacenar fotografías de alta resolución y en color. Este servidor entre el servidor y AppleTalk se hará a través de AppleShare y LaserShare.
no necesitará un sistema redundante: si se pierden los datos de un disco,
bastará con leer de nuevo las fotos en el escáner; sin embargo, tendrá La red de Apple se configurará como dos zonas AppleTalk, una zona para
que disponer de un sistema de entrada/salida de alto rendimiento, por- los Macintosh (de moderadas prestaciones) y otra para los PowerMAC
que tendrá que mover grandes cantidades de información. Podría con- más la filmadora y el servidor.
venir un sistema de discos con tecnología RAID de nivel 0. Además del
TCP/IP incluido en UNIX, habrá que instalar un software añadido para Los usuarios de la red se configurarán como tres grupos: el primer grupo
la conectividad con redes AppleTalk, ya que los Macintosh y PowerMAC está constituido por los administrativos, que no tienen derecho de
tendrán que leer y escribir información en este servidor. acceso más que a su servidor. El segundo grupo está constituido por la
planta de PC y tiene derecho de acceso sobre todos los servidores con
Otro servidor debe proveer servicios al departamento de administración, excepción del servidor NetWare. El tercer grupo es similar al segundo
que no tiene necesidades gráficas importantes. pero incluye a los usuarios de Macintosh y PowerMAC.

07
230

Conceptos básicos

Conceptos básicos

• Administrador de la red. Es la persona encargada de las tareas almacenamiento en red de alta velocidad y gran ancho de banda
de administración, gestión y seguridad en los equipos conectados creada para aliviar los problemas surgidos por el crecimiento del
a la red y de la red en su conjunto, tomada como una unidad glo- número de los servidores y los datos que contienen en las redes
bal. Este conjunto abarca tanto a servidores como a las estaciones modernas. SAN sigue una arquitectura en la que se diferencian y
clientes, el hardware y el software de la red, los servicios de red, separan dos redes: la red de área local tradicional y la red de
las cuentas de usuario, las relaciones de la red con el exterior, acceso a datos.
etcétera.
• Protocolo IPP (Internet Printing Protocol). El protocolo de
• Elementos del sistema de acceso a la red. Básicamente son impresión internet es el modo de utilizar tecnología web para
los siguientes: cuentas de usuario, contraseñas, grupos de cuen- transmitir ficheros para imprimir a una impresora compatible con
tas, dominios y Directorio Activo o servicios de directorio, permi- esta tecnología. IPP utiliza HTTP para realizar estas transmisiones,
sos y derechos, perfiles de usuario, sistemas y métodos de auten- lo que le hace muy interesante ya que puede atravesar los corta-
ticación, etcétera. fuegos con los que las organizaciones se protegen sin necesidad
de abrir nuevos puertos de comunicación que aumenten la super-
• Virtualización del almacenamiento. Es un sistema que per- ficie de exposición a riesgos innecesarios.
mite generar y administrar volúmenes virtuales (lógicamente simu-
lados) a partir de volúmenes físicos en disco. Para el administra- • Sistemas tolerantes a errores. Es aquél que está capacitado
dor del sistema, los discos virtuales pueden reasignarse sin para seguir operando aunque se presenten fallos en alguno de sus
esfuerzo y sin realizar modificaciones físicas en el hardware ni componentes. La tolerancia a fallos está diseñada para combatir
interrumpir las aplicaciones en ejecución. Adicionalmente, un sis- fallos en periféricos, en el software de sistema operativo, en la
tema de virtualización significa una sencillez en la administración alimentación eléctrica de los equipos, etcétera.
del almacenamiento.
• Funciones básicas del cifrado. Son tres funciones: confiden-
• Estándar Fibre Channel. Este estándar es capaz de transpor- cialidad por la que los datos sólo son legibles por quienes son
tar los protocolos SCSI, IP, IPI (Intelligent Peripheral Interface), autorizados, integridad para asegurar que los datos son genuinos
HIPPI (High Performance Parallel Interface), los protocolos IEEE y autenticación para garantizar la identidad de los interlocutores.
802, e incluso, ATM. Se puede aplicar, por tanto, a redes locales,
redes de campus, conjuntos asociados de ordenadores (clusters), • Certificado digital. Es una credencial que proporciona una
etc. La distancia máxima permitida por esta tecnología es de 10 Autoridad de Certificación que confirma la identidad del poseedor
Km. del certificado, es decir, garantiza que es quien dice ser. Se trata
de un documento electrónico emitido por una entidad de certifi-
• Subsistemas para las redes de almacenamiento de cación autorizada para una persona física o jurídica con el fin de
datos. El primer sistema es el tradicional de almacenamiento almacenar la información y las claves necesarias para prevenir la
de conexión directa (Direct Attached Storage, DAS), en el que cada suplantación de su identidad.
estación de red tiene sus discos y los sirve a la red a través de su
interfaz de red. Un segundo modo es el de almacenamiento cen- • Infraestructura de clave pública. Una PKI (Public Key Infras-
tralizado (Centralized storage), en el que varios servidores o esta- tructure, infraestructura de clave pública) es un conjunto de ele-
ciones pueden compartir discos físicamente ligados entre sí. mentos de infraestructura necesarios para la gestión de forma
segura de todos los componentes de una o varias Autoridades de
Los dos modos restantes son auténticos subsistemas. Se trata del Certificación. Por tanto, una PKI incluye los elementos de red, ser-
almacenamiento de conexión a red (Network Attached Storage, vidores, aplicaciones, etcétera.
NAS), en el que los discos están conectados a la red y las estacio-
nes o servidores utilizan la red para acceder a ellos. Mucho más • Información que documenta la red. Mapas de red, de nodos
avanzado se encuentra el subsistema de redes de área de almace- y de protocolos; mapas de grupos, usuarios, recursos y servicios;
namiento (Storage Area Network, SAN), que es una arquitectura de calendario de averías; informe de costes y planes de contingencia.

07
231

Actividades propuestas

Actividades propuestas

Para ampliar 5 www.cert.fnmt.es
Sede web de CERES, Autoridad pública de CERtificación ESpañola,
1 Sistema operativo de red NetWare de Novell: instalación, confi- dependiente de la Fábrica Nacional de Moneda y Timbre.
guración y comandos.
6 www.ace.es
2 Sistemas operativos de red de Microsoft: Windows Server 2003, Sede web de la Agencia de Certificación Española formada por
Windows XP Home y Professional, Windows 2000 cliente y servi- Telefónica, SERMEPA, CECA y Sistema 4B.
dor, Windows Me, etcétera.
7 www.sans.org
3 El sistema operativo de red de Apple: MacOS X (versión cliente y Instituto SANS, notas sobre políticas de seguridad.
servidor).
8 www.cerias.purdue.edu/coast
4 Gestión de redes en UNIX. Herramientas de software, archivos de información y proyectos de
investigación sobre seguridad en la red.
5 Configuración de redes en Linux.
9 www.kriptopolis.com
6 Estudio detallado de los protocolos SNMP, RMON y DMI. Información sobre seguridad.
7 Sistemas de directorio NDS de Novell y Directorio Activo de Micro- 10 www.pgpi.com/download
soft. Sede de descarga de PGP, versión internacional.
8 Los dominios y Directorios Activos en Windows 2000 Server o
superior. Para realizar
9 Los sistemas de derechos de acceso entre distintos NOS: equiva- 1 No es fácil disponer en un laboratorio de una red SAN por el ele-
lencias entre ellos. vado coste que tienen, pero en las instalaciones empresariales de
cierta entidad son muy utilizadas; por ello, es conveniente que
10 Sistemas comerciales de gestión de red. profundices más en esta tecnología. Busca información para leer
sobre ello en Internet. Puedes comenzar la búsqueda por la
11 Certificación digital. página: www.smdata.com/fcsan.htm
12 Sistemas avanzados de autenticación. 2 En la dirección web www.simple-times.org tienes mucha informa-
ción sobre gestión de redes SNMP. En concreto es la sede web de
una publicación periódica sobre este protocolo. Puedes descargar
Para buscar información desde allí en múltiples formatos para posteriormente
hacer una lectura reposada.
1 www.computerprivacy.org
Iniciativa Americans for Computer Privacy. 3 Puedes complementar la información de la actividad anterior con
tutoriales sobre gestión de redes que encontrarás en http://
2 www.rsasecurity.com wwwsnmp.cs.utwente.nl/tutorials/
Sede web oficial de RSA.
4 Como ya llevas unos cuantos meses de estudio de redes, te habrás
3 www.pgpi.com dado cuenta de la necesidad de seguridad que toda red tiene.
Sede web internacional de PGP. Comienza a elaborar un guión de sugerencias para mejorar poste-
riormente la seguridad de la red que utilizas.
4 officeupdate.microsoft.com/office/redirect/fromOffice9/cert.htm
Listado de algunas entidades emisoras de certificados.

07
232

Actividades complementarias

Actividades complementarias

1 Fíjate en las fichas de creación de usuarios en Windows y en un Elabora un informe con las características técnicas y precios de
sistema Linux para establecer analogías y diferencias entre las distintos modelos de SAI. Tendrás que estructurar esta tabla
cuentas de usuarios en estos dos sistemas. de datos por rangos de consumo: no se pueden comparar SAI para
uso doméstico con SAI para uso en un Centro de Proceso de
2 Ahora realiza el ejercicio anterior haciendo que el sistema Win- Datos.
dows sea un controlador de dominio de Windows que pertenezca
a un Directorio Activo. Fíjate especialmente en los sistemas de gestión remota del SAI.

Observarás que el número de atributos que define una cuenta de 6 Confecciona un documento técnico que describa las característi-
usuario de Windows ha crecido significativamente. cas básicas de los distintos modelos de RAID. Busca información
en Internet sobre qué tecnologías RAID están soportadas por los
3 Vamos ahora a establecer una comparativa entre los distintos distintos sistemas operativos de red.
tipos de permisos que se pueden gestionar en los archivos de los
distintos sistemas operativos. También existen tarjetas controladoras de discos SCSI capaces de
gobernar sistemas RAID de discos. Busca algunas de ellas en
Para ello, crea un fichero en Windows y otro en Linux. Asigna per- Internet y fíjate en sus características técnicas y sus precios.
misos de usuario al fichero de Windows y al de Linux. Observa las
analogías y diferencias entre los dos sistemas de permisos. 7 Estudia detenidamente la documentación de VNC y de Remote
Administrator y elabora una tabla de decisión de cuándo utiliza-
Si ahora integras la estación Windows en un dominio de un Direc- rías VNC y cuándo Remote Administrator.
torio Activo te darás cuenta que también puedes asignar permisos
para los usuarios del dominio y no sólo para los usuarios locales. Instala estas aplicaciones en dos ordenadores para probar cone-
xiones recíprocas. Prueba a realizar estas conexiones variando los
4 Repite el ejercicio anterior en el caso de carpetas en vez de fiche- diferentes parámetros de conexión, tanto gráficos (número de colo-
ros. res de la pantalla) como de comunicaciones (número de puerto de
conexión).
Busca información en Internet sobre las tecnologías de almace-
namiento NAS Y SAN. Establece analogías y diferencias. 8 Consigue en Internet información sobre las tecnologías WOL y
ACPI para estudiar sus características básicas.
Elabora un documento técnico que resuma las características bási-
cas de cada uno de estos sistemas de almacenamiento. Ahora busca placas madre de ordenadores personales que sean
compatibles con estas tecnologías y compáralas.
Busca soluciones comerciales de sistemas NAS de almacenamiento
y lee las especificaciones técnicas de estas soluciones comercia- 9 Busca documentación técnica sobre PGP. Descarga el software PGP
les. e instálalo en un equipo conectado a la red. Sigue la documenta-
ción técnica y prueba a enviar y recibir correos electrónicos cifra-
5 Busca información en Internet sobre la tecnología iSCSI que se dos con PGP.
suele utilizar en algunos de los sistemas de almacenamiento SAN.
Elabora un documento técnico descriptivo de la tecnología.

07
233

844819974 x

Más contenido relacionado

La actualidad más candente (12)

Similar a 844819974 x (20)

844819974 x