Buscar este blog

viernes, 20 de noviembre de 2009

Que cachondos estos de Microsoft



No, si ya me lo había imaginado solito...

A ver quien me gana...

En fin... ¬__¬

martes, 10 de noviembre de 2009

error con DCdiag en windows 2008 R2 (NCSecDesc error)

Con la salida de Windows Vista, Microsoft cambió el viejo cliente de escritorio remoto y le dio un lavado de cara. El nuevo cliente, usa las credenciales del usuario logado para intentar logarse de forma predeterminada. Seguramente algunos de nosotros que estábamos acostumbrados a logarnos en nuestros servidores remotos con el usuario administrador hemos decidido empezar a logarnos con nuestro usuario de dominio para ajustarnos a las recomendaciones de seguridad que Microsoft lleva mucho tiempo haciendo a este respecto.

Pues bien, nuevas formas de trabajar conllevan nuevos errores que algunos despistados como yo no tienen reparos en hacer explotar de todas las formas posibles. El otro día, sin ir más lejos, estaba conectado en remoto a un servidor para ejecutar un dcdiag y comprobar que la instalación del nuevo DC había ido bien, cuando, cual sería mi sorpresa, empezaron a fallar varios de los test debido a errores de seguridad, errores como este:

Iniciando prueba: NCSecDesc

Error: NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS no tiene

Replicating Directory Changes In Filtered Set
derechos de acceso para el contexto de nomenclatura:

DC=DomainDnsZones,DC=xxxxxxx,DC=xxxxxxx,DC=xxx
Error: NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS no tiene

Replicating Directory Changes In Filtered Set
derechos de acceso para el contexto de nomenclatura:

DC=ForestDnsZones,DC=xxxxxx,DC=xxx


Estuve un buen rato buscando en internet qué demonios había pasado para que mis DCs con Windows 2003 R2 (donde esto no ocurría y mis nuevos equipos con Windows 2008 R2 estuvieran tan enfadados.

Al final, resultaba que no eran mis equipos con Windows 2008 R2 los que tenían problemas de seguridad, si no mi usuario. Para solucionarlo basta con lanzar la línea de comandos en modo administrador (ya sabéis, cuando busquéis cmd, lo pulsáis con el botón derecho y elegís "Ejecutar como administrador"). Valiente tontería...

lunes, 2 de noviembre de 2009

DNS y reenviadores condicionales...

Resulta que estamos migrando a Windows 2008 R2 para poder poner GPOs personalizadas por OU, y el otro día nos surgió un problemilla relacionado con los reenviadores condicionales del servicio DNS en 2008 (anteriormente, los teníamos en 2003 R2). Se nos paso configurar el reenvío de las peticiones de nuestro subdominio principal a nuestro dominio raíz, lo cual, teníamos hecho mediante el uso de reenviadores condicionales. Entramos en el nuevo servidor DNS para configurarlos y @_@ ¡¡no estaban!!
Resulta que los amigos de Microsoft han cambiado las pestañas de opciones del servidor DNS y las han dejado así:



Como podéis ver, el reenvío de peticiones basado en sufijo, ha desaparecido. Aparentemente solo se permite el reenvío global de peticiones, ¿no? Bueno, pues no, solo lo han cambiado de sitio.
Con Windows 2003, cuando querías configurar el reenvío de peticiones DNS basado en dominio, tenias que hacerlo servidor por servidor, ya que la pestaña correspondiente, se encontraba dentro de las propiedades del servidor, y no de la zona, y estas, no se replicaban al resto de los DNS del dominio. En Windows 2008, Microsoft ha cambiado esto y ha creado una nueva carpeta organizativa dentro de los servidores DNS que se llama Reenviadores condicionales:



Aquí os pongo otro pantallazo de ventana que se usa para dar de alta un reenviador condicional: