martes, 12 de noviembre de 2013

Eventos Windows 2012


El PowerShell nos da muchas herramientas potentes con las que llegar a cierta información de una manera más rápida y acotada, aquí explicare como consultar los eventos acontecidos de una manera rápida.

Yo tengo la constumbre de poner el comando "eventvwr" para acceder al visor de eventos, se que hay muchas otras manera de llegar.


Si ejecutamos un PowerShell, con el comando "Get-Eventlog" nos preguntara que Log queremos consultar (Application, Security, System, etc ...).




Así nos saldrá todo lo que tenga almacenado, esto no es demasiado útil a no ser que lo queramos guardar para tratarlo.



Una manera sencilla de guardarlo sería:



Otra manera de hacerlo sería mediante el comando "Get-Eventlog security - newest 10" con lo que le decimos que no enseñe los 10 registros más recientes.



También podemos hacer que se ordene por la columna que nos interese:



GoN

lunes, 11 de noviembre de 2013

ACL entre hosts




Un ACL básica más que puede servir de patrón para hacer otras. Este sería la típico configuración entre dos PC o más.




Tenemos un servidor en una red al que solo queremos que pueda llegar a un PC.




Queremos que un PC (110.1.110.55) puedan llegar al servidor (110.1.115.10) de una red aislada, pero que el servidor no pueda acceder a ellos.

Configuramos la Vlan

interface Vlan 115
 description RED_SEGURA
 ip address 110.11.115.1 255.255.255.0


Configuramos la ACL para que solo pueda llagar un PC (110.1.110.55) al servidor (110.1.115.10 y el servidor solo pueda ver un PC

ip access-list extended Permit_RED_SEGURA_entrada
 remark PC_con_acceso_RED_SEGURA
 permit icmp host 110.1.110.55 host 110.1.115.10
 permit ip host 110.11.110.55 host 110.1.115.10
 permit tcp host 110.11.110.55 host 110.1.115.10
 permit udp host 110.11.110.55 host 110.1.115.10
 deny   ip any any
!

Modificamos la configuración de la Vlan

interface Vlan 115
 description RED_SEGURA
 ip address 110.1.115.1 255.255.255.0
 ip access-group Permit_RED_SEGURA_entrada out



Vamos un poco más, ahora queremos que 2 PCs (110.1.110.55 y 110.1.111.73) puedan llegar al servidor (110.1.115.10, pero el servidor solo pueda llegar a uno de ellos:


La flechas indican la dirección de los permisos.



Añadimos una ACL nueva con las IP de los 2 PC que tendrán permiso para llegar al servidor


ip access-list extended Permit_RED_SEGURA_salida
 remark PC1_con_acceso_RED_SEGURA
 permit icmp host 110.1.115.10 host 110.1.111.73
 permit ip host 110.1.115.10 host 110.1.111.73
 permit tcp host 110.1.115.10 host 110.1.111.73
 permit udp host 110.1.115.10 host 110.1.111.73
 remark PC2_con_acceso_RED_SEGURA
 permit icmp host 110.1.115.10 host 110.1.110.55
 permit ip host 110.1.115.10 host 110.1.110.55
 permit tcp host 110.1.115.10 host 110.1.110.55
 permit udp host 110.1.115.10 host 110.1.110.55
 deny   ip any any


Modificamos la configuración de VLAN 115

interface Vlan 115
 description RED_SEGURA
 ip address 110.1.115.1 255.255.255.0
 ip access-group Permit_RED_SEGURA_entrada out
 ip access-group Permit_RED_SEGURA_salida in

Ya lo tenemos, con este patrón podemos añadir más PC para que lleguen al servidor, si que este pueda acceder a ellos.

Es importante configurar la Vlan a nivel 2 por cada Switch por el que deba comunicarse nuestro hosts contra el que tengamos de gateway de Vlans (nuestra puerta de enlace).




Gon

miércoles, 6 de noviembre de 2013

Promocionar a Controlador de dominio unas Windows 2012




Se preparará este procedimiento con la explicación de una de las posibles maneras que tenemos de promocionar un servidor Windows 2012 independiente a controlador de Dominio.

El dcpromo deja de usarse, salvo para alguna excepción.


Es recomendable tener bien configurada previamente la tarjeta de red.

Debemos añadir un Rol nuevo:











Le damos a "Promote this server to a domain controller"


En nuestro caso como será nuestro primer controlador de dominio le damos a la opción "Add a new forest", nos inventamos un nombre de dominio "borrar.local"


Le ponemos una contraseña y continuamos.








En el próximo arranque ya se puede ver el nombre del dominio: 



GoN - Rev 1

martes, 5 de noviembre de 2013

Windows 2012 de entorno gráfico a línea de comandos


Este es el primer post de Windows 2012, en el que explicaré una de las maneras de como reducir el entorno gráfico de una instalación completa a una mínima ventana de interprete de comandos.


Este proceso lo dividiré en dos pasos.
Partiendo de una instalación completa y queremos dejar el servidor con un interface mínimo, debemos desinstalar el "Server Graphical Shell" de la siguiente manera:

Nos vamos a la ventana de nuestro PowerShell:


Introducimos la siguiente línea de comandos:


Empezará con el proceso de desinstalación y luego se reiniciará:


En el siguiente arranque dispondremos de:



Si después de dejar el servidor con un interface mínimo queremos pasar a  una instalación "Server Core", tendremos que eliminar "Graphical Management Tools And Infrastucture"

Arrancar el PowerShell y poner la siguiente línea de comando:



Con lo que nuestro siguiente arranque será de la siguiente manera:


GoN 

lunes, 4 de noviembre de 2013

ACL Cisco básica II




Voy a poner un pequeño ejemplo de como dar acceso a un PC a una red/Vlan.

La red cerrada será la Vlan60.

Configuración Nivel 3 de la Vlan60. (El rango de esta red será 110.11.160.0 / 24 y su GW 110.11.160.1)

interface Vlan60
 description Seguridad
 ip address 110.11.160.1 255.255.255.0
 ip access-group Permit_REDCerrada out
 no ip proxy-arp
!

La regla que haremos para que la máquina (110.11.10.55) pueda acceder a esta red será:

ip access-list extended Permit_REDCerrada
 remark PC_con_acceso1.
 permit icmp host 110.11.10.55 110.11.160.0 0.0.0.255
 permit ip host 110.11.10.55 110.11.160.0 0.0.0.255
 permit tcp host 110.11.10.55 110.11.160.0 0.0.0.255
 permit udp host 110.11.10.55 110.1.160.0 0.0.0.255
 deny   ip any any
!

La configuración del puerto no será muy relevante, porque filtraremos por ip origen que en este caso es 110.11.10.55 la que tiene acceso a toda la red 110.11.160.0.

La red 110.11.160.0 no tiene limitación de acceso, esta podrá llega a donde quiera.

Es importante configurar la Vlan a nivel 2 por cada Switch por el que deba comunicarse nuestro hosts contra el que tengamos de gateway de Vlans (nuestra puerta de enlace).



GoN

miércoles, 30 de octubre de 2013


Se que he estado un tiempo sin poner nada nuevo, el motivo era que aprovechaba todo mi tiempo libre para sacarme el examen de Microsoft  70-417, que es la actualización de MCSA 2008 a MCSA 2012.



No ha sido fácil pero por fin ya lo tengo


Como comentario añadiré que el cambio de Windows 2008 a 2012 es grande y hay un montón de mejoras importante a tener en cuenta.

Octubre 2013

miércoles, 16 de octubre de 2013

Port-channel y LACP básico para Symantec NetBackup



A veces tenemos que configurar un Trunk de puertos en lo que solo vamos a conectar un hosts, como sería un appliance que necesite mucho caudal.



Como ejemplo pondré algunos pasos para la instalación de un servidor de Backups. Necesitamos configura 3 puertos de GB para tener como caudal la suma de los 3. Se necesitarán 2 caminos diferente de 3GB. Con lo que habrá 2 caminos de 3 GB, la recomendación sería que cada camino esté en un Switch diferente.

El appliance que se instalará será un Symantec NetBackup



La configuración se ha hecho con un Cisco Catalyst 3560.

Configuramos los Port-channel para luego hacer las asociaciones y unir los 3 puertos de GB que necesitamos:

Para el camino 1:

!
interface Port-channel20
 description trunk_backup1
 switchport access vlan 111
 switchport mode access
 speed 1000
 duplex full
!

Para el camino 2:

interface Port-channel21
 description trunk_backup2
 switchport access vlan 111
 switchport mode access
 speed 1000
 duplex full
!

Configuramos 3 puertos para cada Port-channel de la siguiente manera.

Para el camino 1 (repetir en 3 puertos):
!
interface GigabitEthernet0/9
 description Backup1
 switchport access vlan 111
 switchport mode access
 speed 1000
 duplex full
 channel-protocol lacp
 channel-group 20 mode active
 spanning-tree portfast
!
Para el camino 2 (repetir en 3 puertos):

interface GigabitEthernet0/10
 description Backup2
 switchport access vlan 111
 switchport mode access
 speed 1000
 duplex full
 channel-protocol lacp
 channel-group 21 mode active
 spanning-tree portfast disable
!


Con esta configuración se ha usado la Vlan 111, si no se usan Vlan se puede poner la de por defecto. He forzado a 1GB y full duplex pero podría dejarse sin poner para que el SW haga una autonegociación.

Una variante un poco más avanzada de este tipo de configuración podemos verla en:
http://gonsystem.blogspot.com.es/2011/03/switch-puertos-lacp.html

martes, 23 de julio de 2013

Tomas de tierra instalaciones nuevas

Se que este post puede llegar a ser un poco aburrido para algunos pero lo he considera interesante y me podría servir de referente en el caso que se me repita otro trabajo de este tipo.


Normalmente me toca diseñar redes de datos y fuerza/sai en empresas para las que trabajo. Ahora me encontrado una variante nueva, se trata de una empresa que van a construir y queda todo por hacer. Resulta que el ingeniero encargado de la obra se pone en contacto conmigo para hablar del tema de tomas de tierra. Hasta ahora no tenía otra opción de escoger, usaba lo que ya me encontraba instalado, pero en una obra nueva ¿que es lo que se debería hacer?

Esta claro que siempre hay varias maneras de hacer las cosa y a todas pueden ser correctas, así que lo mejor es asesorarme por un experto que me ayuda con estos temas.

Así que busque 3 opiniones de instaladores que acabaron coincidiendo.

Mi Proveedor, que me comentó lo siguiente:

Hay que distinguir entre dos circuitos de puesta a tierra en una nave. El primero afecta a las estructuras, y se realiza en obra durante la construcción. El segundo pertenece a la distribución eléctrica, y se puede realizar en cualquier momento, aunque el mejor es cuando se realizan las primeras instalaciones en la nave.

El primero de los circuitos, la puesta a tierra de las estructuras, consiste en garantizar la continuidad entre las masas metálicas que existen dentro de la estructura del edificio (mallazos, refuerzos metálicos de las columnas y vigas, etc). Puesto que estas partes metálicas no quedarán accesibles una vez terminada la obra, esta puesta a tierra se realiza al mismo tiempo que se edifica, a menudo haciendo circular por el perímetro del inmueble un conductor de cobre o de acero que va conectando las estructuras metálicas y, cada cierta distancia, a una piqueta o placa de contacto con el terreno para garantizar la equipotencialidad de dichas masas. Esta puesta a tierra es indispensable, entre otras cosas para evitar la corrosión y también la estática al no poderse acumular cargas eléctricas en las masas del edificio, y se da por sentado que la constructora la habrá realizado.

La segunda puesta a tierra, que corresponde a la distribución eléctrica, se puede realizar en varios circuitos, del cual es obligatorio el del centro de transformación, tanto del circuito de media tensión como del de baja tensión. Respecto a este último, en España lo preceptivo es poner a tierra el neutro del transformador, mediante una serie de piquetas o placas de contacto con el terreno junto al mismo edifico de transformación. También es habitual, en particular si en la nave no está integrado dicho centro de transformación, colocar una puesta a tierra junto al cuadro general de distribución. En cualquier caso, la misión de esta puesta a tierra es de protección, permitiendo que actúen los relés diferenciales para evitar daños a personas o equipos electrónicos al producirse contactos fortuitos con conductores eléctricos, y también las protecciones contra sobretensiones, que derivan a tierra dichas subidas de tensión.

Si el circuito de puesta a tierra de la instalación eléctrica es bueno y está distribuido por toda la nave, no es necesario realizar otro aparte para la instalación informática. Antiguamente, cuando los cableados y el blindaje electrostático de los equipos informáticos era más delicado, y en particular cuando no se confiaba en la calidad del circuito de puesta a tierra general, se sugería realizar una puesta a tierra independiente para informática. Hoy en día la tecnología de supresión de interferencias es más eficaz, así que esta puesta a tierra ya no es tan interesante, así que si la puesta a tierra general es de calidad, se puede prescindir de la misma.

Un último detalle importante: si la puesta a tierra no está bien garantizada para todas las masas de una distribución de comunicaciones, los conductores de apantallamiento no deben conectarse a tierra en ambos extremos, pues podría circular corriente por dichas pantallas que anularía la eficacia del blindaje e incluso podría dañar los equipos de comunicación. Se debe cuidar de que todos los chasis donde exista electrónica de comunicaciones (cajas de los ordenadores, racks de comunicaciones, etc) dispongan de puesta a tierra. En una instalación nueva esto suele cumplirse siempre, pero a veces nos encontramos con curiosidades como que algunos equipos portátiles, por ejemplo, se entregan con cables de alimentación sin conductor de tierra. De todas formas, esto tampoco lo protege una puesta a tierra específica para informática, y es que siempre el peor equipo de un sistema limita la calidad del mismo.


El ingeniero de la obra que me generó la consulta:

Se prevee un terreno con una resistividad de 300 Ohm • m (aproximadamente), para tener una red de tierra de resistencia igual o inferior a 5 Ohm, necesitamos una instalación formada por unas 20 picas de tierra de 2 metros de profundidad cada una. Estas pilas deberían ir a unos 15 metros de separación de la red de tierra de Baja Tensión y con un separación entre picas 4 metros (es decir ocupamos casi toda la fachada de la nave con picas). Para que la red de tierra de informática sea independiente de la del edificio debe realizarse con cable aislado. Como instalación interior esta tierra iría aislada en el cuadro de SAI desde donde se alimentan los equipos informáticos y los enchufes de los puestos de trabajo de SAI. Es decir que interiormente tendremos dos redes de tierra recorriendo el edificio y bien aisladas entre ellas.

Viendo la complejidad de esta instalación hemos hecho la consulta a XXXXXX (empresa dedicada a la instalación de pararrayos y redes de tierra), su recomendación es siempre hacer una única red de tierra para edificio y allí unir todos los sistemas , informática, pararrayos, baja tensión, etc. Únicamente se hace una red de tierra independiente para Media Tensión. Comentando con ellos las posibles necesidades de los sistemas informáticos me comentan que se complica bastante la instalación llegando a veces a hacer una red de tierras TN (no demasiado habitual) para diferenciarla de la red del edificio, pero en general a sus últimas instalaciones no están separando redes de tierra para informática y Baja Tensión. 

Resumiendo, lo que quiero transmitir es que hacer una red de tierras independiente para informática comporta un incremento de dificultad técnica de la instalación y económico a la hora de hacer la obra (doblar la cantidad de picas y cables de tierra para el interior del edificio). Por lo tanto, si no se considera una actuación imprescindible para el funcionamiento del edificio y se podría conectar a la red de tierras general (será de 10 Ohm) aconsejamos plenamente.


Conclusión usaremos la toma de empresa general, ya que ha quedado demostrado, por mi experiencia, que en instalaciones anteriores no he tenido ningún problema, no justificaría la inversión y complicaría el proyecto.

GoN

jueves, 11 de julio de 2013

Ingeniero Técnico en Informática de Sistemas

2013





Hoy voy hacer una reseña personal en la que después de muchos años y muchos esfuerzos me he sacado la carrera de Ingeniería Técnica en Informática de Sistemas.

Afortunadamente para encontrar trabajo ni he necesitado la carrera ni los conocimiento que he podido adquirir en ella, no digo que no haya ayudado a que me seleccionen por poner "cursando estudios de ....". Empezó por algo que necesitaba para poder acceder a entrevistas de trabajo y después de muchos años buscando huecos entre mi poco tiempo libre, el trabajo y mirarme lo que verdaderamente me gustaba aprender, por fin se acabo!!!!!!!!!

Tengo que reconocer que no ha sido fácil, tener que pelear con asignaturas de física, matemáticas, estadística... que no estaban en mis objetivos  y me han hecho pasar muy malos ratos.

Agradecerle su paciencia y ánimos a toda la gente que la ha tenido que sufrir indirectamente conmigo mi carrera. Especialmente a MEC, mi pareja, que aparte de aguantarme me ha echado un cable en muchas asignaturas que me han tenido amargado. No voy a seguir mencionado a nadie más porque son muchos los que han aportado su granito de arena que me ha ayudado a seguir, algunos con sus palabras alentadoras y otros con su trabajo en equipo.



Y solo decir uffffffffffffffffffffffffffffffffffffffffffffffffffff Por fin!!!!!!!!


Gracias!!

viernes, 5 de julio de 2013

Puerto Trunk. Switch Cisco.

Vamos hacer una configuración básica de un puerto de Trunk en un SW Cisco.

Para hacer estas pruebas se usará un Cisco Catalyst 3850.

Con este post voy hacer un pequeño anexo al que hice en su día de la configuración de puertos de Trunk http://gonsystem.blogspot.com.es/2012/05/ejemplo-trunk-y-port-channel.html.

En este caso tenemos "detrás" un entorno VMWare de máquinas virtuales que están conectadas a un puerto de un switch que están trabajando con la Vlan por defecto. Al segmentar la red necesitamos poner diferentes ip en el entorno VMWare que compartirá puerto con otras Vlans.


Ahora el puerto que conecta el entorno VMWare esta en modo acceso de la siguiente manera:

interface GigabitEthernet2/0/2
 description "VMWare"
 switchport access vlan 111
 switchport mode access
 no logging event link-status
 no snmp trap link-status
 spanning-tree portfast
 spanning-tree bpduguard enable

Si no tuviese configurado el puerto GigabitEthernet2/0/2 en la Vlan 111 con " switchport access vlan 111" estaría usando la Vlan 1, que es la de por defecto,  Cisco recomienda que  la Vlan1 no se use, ya que entre otras cosas Cisco la usa para la comunicación entre SW. Así que todo lo que hay en ese puerto pertenecerá a la Vlan 111.

Como tenemos la necesidad de pasar varias Vlans lo configuraremos de la siguiente manera:

interface GigabitEthernet2/0/2
 description "VMWare"
 switchport trunk native vlan 111
 switchport trunk allowed vlan 112,113,101,111
 switchport mode trunk
 logging event link-status
!

En algunos modelos de Sw o IO hay que añadir la línea:

switchport trunk encapsulation dot1q

Como ahora el puerto no etiqueta lo que tiene conectado, al ponerlo en modo trunk, entonces los hosts de alguna manera tienen que etiquetarse, de manera que cuando se presenten al puerto el SW los pueda catalogar.

Como en ese puerto tendremos servidores y no queremos que pase todo tipo de tráfico , así que limitaremos el acceso a unas cuantas Vlans que en este caso con las 112,113,101,111. Si no ponemos esta línea " switchport trunk allowed vlan 112,113,101,111" las deja pasar todas.

La línea "switchport trunk native vlan 111" no siempre es necesaria, yo en este caso la usaré porque pasaremos de un puerto en modo acceso de la vlan 111 con máquinas no están etiquetas y lo vamos a poner en un puerto de Trunk, intentando provocar el menor corte posible, es decir que todo lo que vaya si etiquetar pertenezca a la vlan 111 y luego poco a poco haremos el resto.

En circunstancias normales con poner

interface GigabitEthernet2/0/2
switchport mode trunk

Tendríamos bastante.

GoN