Instalación de servidor Windows Server 2016

Introducción

Queremos instalar y configurar un servidor completo de Windows que dé soporte a los equipos de una red con el mismo sistema operativo.

Como la mayoría de los clientes son Windows 10, el tipo de servidor más adecuado es Windows Server 2016 Standard.

Aunque Microsoft proporciona su sistema en varias versiones, se ha seleccionado Standard porque es la más versátil y equilibrada para una pequeña empresa, sin limitación de procesadores ni conexiones carpetas compartidas. Si cuenta con menos de 20 clientes, Foundation habría sido mejor elección.

Instalación de Windows Server 2016

Arrancamos el servidor e introducimos el soporte de instalación.

En la selección de idiomas, indicamos el teclado en castellano e iniciamos la instalación.

El instalador nos muestra un listado de sistemas a instalar:

• Windows Server 2016 Standard
• Windows Server 2016 Standard (con experiencia de escritorio)
• Windows Server 2016 Datacenter
• Windows Server 2016 Datacenter (con experiencia de escritorio)

Seleccionamos Windows Server 2016 Standard (con experiencia de escritorio). Permite usar el sistema con entorno gráfico, además de disponer del esquema completo de roles y características.

En caso de no incluir la experiencia de escritorio, instalaríamos Windows en modo consola para administrar con PowerShell y no tendríamos todos los elementos para instalar.

Continuamos seleccionando la gestión de los discos, en mi caso selecciono el único disco de forma completa.

Comienza la copia de archivos y el procedimiento de configuración.

Al finalizar, nos solicitará que definamos la contraseña del usuario administrador. Debe cumplir una serie de condiciones de complejidad.

Primeros pasos con Windows Server 2016

Primeramente, lo recomendable es que ahora instalemos todas las actualizaciones disponibles. Realmente es una práctica a seguir en todos los sistemas operativos (sean legales o no).

Revisamos los dispositivos, para comprobar si están todos instalados o necesitamos instalar algún driver. Y buscamos las versiones más actualizadas siempre que podamos.

De las dos tarjetas de red nombramos a la que procede del router Internet y a la que va a los switches Intranet Configuramos la ip de Intranet a 192.168.5.1, la de Internet la dejamos en dinámica. Podemos desactivar el protocolo IPv6 en las dos interfaces, si no va a ser usado.

Cambiamos el nombre generado automáticamente por el servidor por el que hayamos definido. En este caso hemos definido PYROS.

Salir de la versión de evaluación

Si contamos con una versión de evaluación, tenemos la posibilidad de convertirlo en una versión completa.

Abriendo una sesión de PowerShell ejecutamos:

DISM /online /Get-CurrentEdition

Nos indicará exactamente qué versión tenemos instalada.

El siguiente comando, muestra a qué versiones se puede actualizar:

DISM /online /Get-TargetEditions

Finalmente seleccionamos la nueva versión junto con su número de serie:

DISM /online /Set-Edition:ServerDatacenter /ProductKey:CB7KF-BWN84-R7R2Y-793K2-8XDDG /AcceptEula
DISM /online /Set-Edition:Serverstandard /ProductKey:WC2BQ-8NRM3-FDDYY-2BFGV-KHKQY /AcceptEula

Al seleccionar, instalará algunos componentes y requerirá reiniciar el sistema.

Active Directory

De forma sencilla se puede decir que es un servicio establecido en uno o varios servidores en donde se crean objetos tales como usuarios, equipos o grupos, con el objetivo de administrar los inicios de sesión en los equipos conectados a la red, así como también la administración de políticas en toda la red.

Vamos que es el sistema para gestionar de forma centralizada los equipos de una red Windows.

La forma de instalarlo es a través del Administrador del Servidor. En la opción de Administrar, seleccionamos agregar roles y características. Vamos a realizar una instalación basada en características o roles, en lugar de hacerla de escritorio remoto. Seleccionamos el servidor que queremos configurar, normalmente nuestro servidor, porque podemos gestionar otros desde un mismo administrador.

Aparece un listado de roles. Los roles son algo así como funciones principales. Marcamos Servicios de dominio de Active Directory, al hacerlo nos ofrece instalar otros componentes relacionados.

¿Podríamos instalar algún otro componente a la vez? Sí, pero no marcamos ninguno. Suele complicar las cosas.

Hacemos clic en siguiente y nos ofrece instalar características. Son funciones complementarias de los roles o del propio servidor. No elegimos nada por ahora. Instalamos.

Tardará un poco en la instalación. Al finalizar, marcamos cerrar.

En la banderilla del Administrador de Servidor tenemos tareas pendientes. Suele ocurrir cuando instalamos algún componente que requiera algunas acciones por nuestra parte, aparecen en ese menú indicado por la bandera.

Nos solicita completar la configuración de AD, promover nuestro equipo a controlador de dominio.

En los pasos iniciales, nos pide seleccionar entre:

• Agregar un controlador de dominio a un dominio existente.
• Agregar un dominio a un bosque existente.
• Crear un nuevo bosque.

Nos decantamos por la tercera. Crearemos un nuevo dominio al que denominamos “SISTEMA.local” y cuyo nombre NETBIOS es “SISTEMA”.

Una decisión importante es la selección de los niveles funcionales del dominio y del bosque. Esto definirá las características que podremos configurar en los clientes y la red. Además afectará a los controladores de dominio que podemos incorporar al dominio. Marcamos Windows Server 2016.

Marcamos también que instale un servidor DNS y que sea catálogo global. Esto es, que sea el servidor principal del dominio.

Debemos definir contraseña de DSRM. Sirve para restaurar servicios de directorio en caso de catástrofe. En nuestro caso le hemos asignado la contraseña “..Unix18”. Es importante que sea diferente a la de administrador.

Ahora intenta configurar el DNS (probablemente nos de un aviso de error) es debido a que estamos configurando el DNS junto con el dominio y requerirá una configuración posterior.

Mantenemos las rutas de configuración de las bases de datos de AD. Posteriormente vemos un resumen de las opciones elegidas. En este paso es donde podemos exportar el script para una instalación con PowerShell.

Realizará una comprobación de requisitos, lo que puede mostrarnos advertencias. Finalmente procede a la instalación de componentes con la configuración definida.

Cuando reinicia el equipo, la única forma de acceder al servidor es mediante la autenticación con AD DS. El administrador local es ahora el administrador del dominio.

Administración de usuarios

¿Ahora qué podemos hacer? Disponemos de varias herramientas para la gestión de Active Directory. En un dominio sencillo, se comienza con la creación de usuarios mediante Usuarios y equipos de Active Directory.

Disponemos de Unidades organizativas, son carpetas sobre las que pueden incidir otras funciones como la asignación de políticas de grupo.

Un ejemplo sería crear las siguientes:

• Alumnos
• Personal
• Profesores

Dentro de Alumnos creamos:

• El usuario sistemas
• El usuario administrativo
• El grupo Cursos
• El grupo Control

Dentro de Personal:

• El usuario lidia
• El usuario ana
• El usuario bego
• El usuario carlos
• El grupo Control_Administracion
• El grupo Personal

Dentro de Profesores creamos:

• El usuario Pilar
• El usuario Vanesa
• El grupo Profesores

Los grupos profesores, personal y cursos cumplen la función de agrupar a los elementos de cada UO.

Por su parte, control y control_administracion tienen una función más específica. A los equipos de destinados al personal se les agrega el grupo control_administracion como miembro del grupo local de administradores. Lo mismo ocurre con los ordenadores de las aulas y el grupo control. De esta forma, todo usuario miembro de cada uno de estos grupos será administrador de los equipos de cada tipo. Y, de igual forma, será muy fácil suprimir ese privilegio.

Administración de políticas

Las políticas de grupo son la forma centralizada de configurar cada aspecto detallado de los equipos.

A nivel del dominio entero disponemos de las default domain policy son las directivas base que afectan a toda la red. No se suelen configurar muchos aspectos aquí.

Donde sí se suele tocar es en cada unidad organizativa. Podemos crear un objeto de políticas de grupo (GPO) y asignarlo a todas las UO que queramos que se vean afectados por él.

Si editamos ese objeto, podemos establecer configuraciones tanto a nivel de usuario como a nivel de equipo. Se aplican al iniciar el sistema cliente.

Adición de equipos al dominio

Un equipo, dentro de una red, puede actuar de forma independiente.

Al integrarlo en un dominio de Active Directory, está delegando la autenticación y la configuración en el dominio. Pasando a usar todo lo definido anteriormente en el DC: usuarios y políticas.

Necesitaremos un usuario con permisos de administrador del dominio para poder integrar un equipo al dominio. El nombre del equipo no se podrá cambiar una vez añadido.

Eso no quita que el equipo cliente pueda ser usado con los usuarios locales, pero deberemos especificar su acceso como NOMBRE_EQUIPO\Usuario.

Servidor DNS

Un servidor DNS (Domain Name System — Sistema de nombres de dominio) es un servidor que traduce nombres de dominio a IPs y viceversa. En las redes TCP/IP, cada PC dispone de una dirección IP para poder comunicarse con el resto de PCs. Es equivalente a las redes de telefonía en las que cada teléfono dispone de un número de teléfono que le identifica y le permite comunicarse con el resto de teléfonos.

En una red local el servidor DNS se encarga principalmente de traducir nombres de equipo a direcciones IP y viceversa. Además de reenviar las peticiones que no pueda atender a otros servidores.

El controlador de dominio que actúe como servidor debe tener configurada una dirección IP fija. Tenerla dinámica generaría problemas para ubicarlo.

Mediante el administrador del servidor agregamos el rol de Servidor DNS. Pero, como hemos realizado una instalación de Active Directory, se ha forzado la instalación junto con éste. Así que solo tenemos que configurar.

En la herramienta DNS encontramos los elementos:

• Zonas de búsqueda directa
• Zonas de búsqueda inversa
• Reenviadores

La directa, se ha creado automáticamente con la instalación de AD. La inversa la agregamos con botón derecho sobre el item, marcando zona nueva.

Configuraremos que los datos se almacenen de forma segura a través de AD, además se replicarán en todos los servidores de los controladores de dominio de este dominio. La zona se definirá por el rango de IPs, en nuestro caso 192.168.5.x. Finalmente solo permitiremos actualizaciones dinámicas seguras (que es lo recomendado con AD).

Haciendo clic derecho en Reenviadores condicionales podemos definir qué otros servidores atenderán las peticiones que el nuestro no pueda atender. Por ejemplo, cualquier página web.

En mi caso he incluido un DNS de Google (8.8.8.8) y otro de Movistar.

Servidor DHCP

DHCP (Dynamic Host Configuration Protocol) es un protocolo de red que permite a los clientes de una red IP obtener sus parámetros de configuración automáticamente.

Normalmente los ordenadores están configurados para recibir automáticamente la configuración de red del primer DHCP que detecten.

Lo instalamos a través del Administrador del Servidor. En la opción de Administrar, seleccionamos agregar roles y características. Realizamos una instalación basada en características o roles. Seleccionamos el servidor y marcamos Servidor DHCP. Nos ofrece además una herramienta para administrar el servidor. Y finalizamos el procedimiento.

En el menú de la bandera, hacemos clic en Completar configuración de DHCP. Necesitaremos definir las credenciales que servirán para autorizar este servicio en AD DS (normalmente administrador).

Para configurar este servidor, abrimos DHCP en Herramientas administrativas.

Contamos con dos bloques IPv4 e IPv6.

Haciendo clic con botón derecho en IPv4, configuramos un nuevo ámbito para que conceda direcciones desde 192.168.5.100 a 192.168.4.250 en redes tipo C con subred 255.255.255.0. Todos los clientes que busquen un DHCP recibirán una dirección de éstas. Más adelante, las consultaremos en concesiones de direcciones.

Dentro de ese ámbito se pueden establecer direcciones a excluir. El fin de esto es dejarlas para dispositivos fijos u otras funciones.

Como caducidad de las concesiones, la cambiamos a 5 días. Ese será el tiempo que tardará el cliente en solicitar que se le asigne una nueva IP.

Finalmente, configuraremos parámetros como la puerta de enlace, DNS, WINS. Activamos el ámbito para que comience a conceder direcciones.

Reservas

Un reserva permite que ante la detección de una dirección MAC solicitando IP al DHCP, le asigna una configuración específica. No solo de IP sino de todos los otros parámetros que deseemos (DNS, WINS, etcétera).

Las podemos hacer a mano o con un script.

Ese script obtiene los datos de un archivo CSV y sus líneas las añade a las reservas con el comando:

Import-Csv -Path dhcp.csv | Add-DhcpServerv4Reservation -ComputerName XENO.IADEE.local

La estructura del archivo es:

• ScopeID
• IPAddress
• Name
• ClientID
• Description

Estructurándose así:

ScopeId,IPAddress,Name,ClientId,Description
192.168.1.0,192.168.1.45,Punto_Acceso,a348fc0179bb8,Punto de Acceso WIFI Banda 5

Es importante asegurarse de que el listado de reservas esté separado por comas.

Enrutamiento y acceso remoto

Para compartir internet a través de este ordenador voy a agregar el rol Acceso remoto. Avanzamos en el asistente y, cuando llegamos a los servicios de rol, marcamos Enrutamiento. A parte de las utilidades de administración, nos pide que instalemos otros componentes como IIS y DirectAcess y VPN. Nos agrega muchos componentes.

Lo adecuado por seguridad es que esté en un servidor independiente lo que reduce carga de trabajo de éste. No siempre es posible.

En IIS dejamos las opciones marcadas por defecto. Iniciamos instalación.

Una vez finalizado, en el menú de la bandera nos ofrece el Asistente para introducción. Lo abrimos y lo cancelamos. Debemos ir a la utilidad de Enrutamiento y Acceso Remoto para habilitarlo y configurarlo.

Con botón derecho en el servidor, iniciamos Configurar y habilitar…. Establecemos una configuración personalizada. Marcamos NAT y Enrutamiento LAN e iniciamos el servicio.

Desplegamos IPv4 y accedemos a NAT. Hacemos clic derecho y configuramos una interfaz nueva. Agregamos la conexión Internet haciendo doble clic. Seleccionamos que es una interfaz pública y habilitamos NAT.

Ya deberíamos tener activa la conexión a internet de los clientes.

Instalación de instancia SLQ Server 2017 Express Edition

Ejecutamos el instalador de SQL Server 2017 Express Edition y descargamos los medios. Termina la descarga y comenzamos el proceso de instalación. Creamos una nueva instalación independiente de una instancia. El instalador comprueba los requisitos, lo normal es que los cumplamos todos. En el proceso de selección de componentes, desmarcamos Machine Learning, los SDK, la compatibilidad con versiones anteriores y LocalDB. A la instancia se le asigna el nombre XENO_SQL. En las cuentas de servicio, cambiamos la cuenta del motor de la base de datos a NT AUTHORITY\Servicio de red o Network service. Nos permitirá disponer del motor de base de datos en ejecución a través de la red. Dejamos el modo de autenticación de Windows y procedemos a la instalación propiamente dicha. Finaliza la instalación sin errores.

Ahora vamos a restaurar la base de datos de la que tenemos copia de seguridad.

• Abrimos Microsoft SQL Server Management Studio
• Accedemos con nuestro usuario administrador
• Nos situamos en el Explorador de objetos, y hacemos clic derecho en Bases de datos, marcando Restaurar base de datos…
• En origen, seleccionamos Dispositivo y en … buscamos el archivo de la base de datos
• Automáticamente nos reconocerá el nombre de la base de datos y fecha de su última copia de seguridad. Aceptamos
• En Seguridad de la nueva base de datos, elimino los inicios de sesión antiguos.
• En Seguridad/Inicios de sesión del servidor, añadimos los nuevos inicios de sesión del servidor y de la base de datos (datareader y datawriter).

Para que sea accesible el servidor desde la red:

• Abrimos Sql Server Configuration Manager
• Entramos en Configuración de red de SQL Server
• Protocolos…
• Habilitamos TCP/IP
• Vamos a Servicios de SQL Server
• Reiniciamos el servicio SQL Server
• En SQL Server Browser cambiamos el modo de inicio a automático. Lo iniciamos
• Abrimos el Firewall de Windows con seguridad avanzada
• Marcamos Reglas de entrada y creamos una nueva regla
• Vamos a permitir un programa: “C:\Archivos de programa\Microsoft Sql Server\MSSQL14.XENO_SQL\MSSQL\Binn\sqlservr.exe”, lo haremos en Dominio y Privado. Le voy a poner de nombre IA_SQLSRV para identificar mejor que es una regla creada por mí.
• Vamos a permitir un programa: “C:\Program Files (x86)\Microsoft Sql Server\90\Shared\sqlbrowser.exe”, lo haremos en Dominio y Privado. Le voy a poner de nombre IA_SQLBR para identificar mejor que es una regla creada por mí

Y como último paso, vamos a configurar el sistema de copia de seguridad:

• Abrimos Microsoft SQL Server Management Studio
• Accedemos con nuestro usuario administrador
• Nos situamos en el Explorador de objetos, y hacemos clic en Objetos de servidor/Dispositivos de copia de seguridad, y clic derecho en Nuevo dispositivo…
• Creamos uno llamado CS_CURSOS y le asignamos el destino “G:\BBDD\CS_Cursos.bak”
• Hay que asegurarse de que G: disponga de permisos del equipo Servicio de red
• Tenemos un script con el comando a ejecutar, con el cambio de servidor es normal tener que revisarlo. Habitualmente está en “G:\Administracion\Box Sync\BBDD\backup_sql_server.bat”
• Abrimos Programador de tareas
• Creamos una tarea básica. La voy a nombrar IA_SQLBK
• La realizaremos diariamente, a las 23:15 horas
• Iniciaremos un programa
• Examinamos hasta nuestro script
• Abrimos el panel de propiedades de nuestra tarea y nos aseguramos de que nuestra tarea se ejecuta tanto si el usuario ha iniciado sesión como si no.
• Hasta aquí estaría lista. Como trabajamos a jornada partida voy a añadir una segunda hora de copia de seguridad. Eso se realiza en Desencadenadores. Le añado una periodicidad diaria a las 15:15
• Aceptamos y nos pedirá nuestras credenciales
• Probamos la tarea ejecutándola manualmente

Últimos retoques

Para mejorar el desempeño de la red con MacOS, ejecutamos el siguiente comando en el servidor en PoweShell:

set-smbserverconfiguration -smb2creditsmin 512 -smb2creditsmax 8192

Una vez instaladas todas las actualizaciones y con el sistema en marcha, vamos a aligerar un poco el espacio ocupado por Windows 2012 R2 con el siguiente comando:

Dism.exe /online /Cleanup-Image /StartComponentCleanup

Es como si ejecutáramos el Liberador de espacio en disco, con la opción Sistema y quitáramos todos los restos de instaladores y service pack. Que a partir de entonces no podremos desinstalar.