Ejercicios y práctica · Sistemas Operativos en Red · SMR

Qué deberías ser capaz de hacer

Errores frecuentes que la práctica debería detectar

• Confundir un pico puntual de CPU/disco con un problema sostenido: hay que observar la tendencia, no una sola muestra
• Interpretar el %util de un SSD con los mismos umbrales de referencia que un disco mecánico, llevando a diagnósticos erróneos
• Revisar logs de un solo servidor cuando el problema afecta a varios equipos en red, perdiendo la correlación temporal de eventos
• Automatizar una tarea crítica (por ejemplo un backup) sin comprobar el resultado de su ejecución, asumiendo que 'si no hay error visible, ha funcionado'
• {"error":"Confundir permiso con derecho al diseñar la seguridad de un recurso compartido.","causa":"Ambos regulan el acceso, pero uno actúa sobre objetos y otro sobre el sistema; sin distinguirlos se asignan privilegios excesivos pensando que dan acceso a archivos, o se restringen permisos pensando que eso impedirá acciones de sistema.","correccion":"Antes de configurar, preguntarse si la acción se refiere a 'un recurso concreto' (permiso) o a 'una capacidad general del sistema' (derecho), y verificar cada control por separado."}
• {"error":"Compartir un volumen completo en lugar de la carpeta concreta necesaria.","causa":"Se prioriza la comodidad de configurar una sola vez frente al análisis de qué es realmente necesario, ampliando innecesariamente la superficie de exposición.","correccion":"Aplicar el principio de mínimo privilegio: compartir la carpeta específica requerida y revisar periódicamente si sigue siendo necesaria esa compartición."}
• {"error":"Compartir carpetas raíz o unidades completas en lugar de subcarpetas específicas.","causa":"Buscar comodidad evitando identificar con precisión qué subconjunto de información necesita realmente cada destinatario.","correccion":"Identificar y compartir únicamente la carpeta más específica que satisface la necesidad, minimizando la exposición de información."}
• {"error":"No documentar las condiciones de compartición acordadas.","causa":"Pasar directamente a la configuración técnica sin registrar quién debe acceder, con qué tipo de acceso y por qué motivo de negocio.","correccion":"Registrar para cada recurso compartido su propósito, destinatarios y condiciones antes de configurar permisos, de modo que pueda auditarse posteriormente."}
• {"error":"No probar los permisos desde la perspectiva del usuario final.","causa":"El administrador asume que la configuración es correcta sin verificarla con cuentas de usuario con permisos limitados.","correccion":"Siempre realizar pruebas exhaustivas con cuentas de usuario que tengan los permisos asignados. Utilizar la función 'Permisos efectivos' (en Windows) o herramientas de línea de comandos para verificar el acceso real."}
• {"error":"Ignorar los permisos de impresora y solo centrarse en los de carpeta.","causa":"Subestimar la importancia de la seguridad en la impresión, lo que puede llevar a que usuarios no autorizados gestionen colas o eliminen trabajos.","correccion":"Aplicar el principio de mínimo privilegio también a las impresoras. Asignar 'Imprimir' a la mayoría de los usuarios y reservar 'Administrar documentos' y 'Administrar impresora' para personal autorizado."}
• {"error":"Confundir un dominio de directorio con un dominio DNS.","causa":"Ambos utilizan la palabra 'dominio' y a menudo comparten el mismo nombre (ej. empresa.com), pero tienen funciones distintas. DNS resuelve nombres a direcciones IP; el dominio de directorio gestiona identidades y recursos.","correccion":"Entender que el dominio DNS es un servicio de resolución de nombres fundamental para que los clientes encuentren los controladores de dominio, pero el dominio de directorio es la estructura lógica que contiene los objetos y aplica las políticas."}
• {"error":"No comprender la jerarquía de objetos y la importancia del esquema.","causa":"Ver los objetos como elementos planos sin relación, o intentar crear atributos que no están definidos.","correccion":"Visualizar el directorio como un árbol jerárquico donde los objetos se organizan lógicamente y entender que el esquema es la 'regla' que define qué se puede almacenar y cómo, siendo fundamental para la consistencia y extensibilidad del directorio."}
• {"error":"No configurar correctamente el DNS durante la instalación del servicio de directorio.","causa":"El servicio de directorio depende críticamente de DNS para que los clientes encuentren los controladores de dominio. Si el DNS no está configurado para resolver los registros SRV del dominio, los clientes no podrán unirse al dominio ni autenticarse.","correccion":"Asegurarse de que el servidor DNS configurado en el controlador de dominio pueda resolver los registros SRV del propio dominio. En Windows, esto a menudo implica instalar el rol DNS junto con AD DS y configurarlo para que se integre con Active Directory."}
• {"error":"Utilizar un nombre de dominio interno que ya existe públicamente.","causa":"Esto puede causar conflictos de resolución de nombres y problemas de acceso a recursos externos si el dominio interno no está correctamente aislado o si se intenta acceder a recursos con el mismo nombre en internet.","correccion":"Usar un subdominio de un dominio público que se posea (ej. `ad.miempresa.com`) o un dominio con un TLD no enrutado como `.local` o `.lan` para entornos puramente internos, asegurando que no haya colisiones con nombres públicos."}
• {"error":"No entender la direccionalidad y transitividad de las confianzas.","causa":"Asumir que una confianza unidireccional permite acceso en ambas direcciones o que una confianza no transitiva se extiende a otros dominios.","correccion":"Visualizar la confianza como un 'permiso de autenticación'. Si el Dominio A confía en B, los usuarios de B pueden autenticarse en A. Si es transitiva, esta capacidad se extiende a otros dominios en la cadena. Siempre verificar la direccionalidad y transitividad al configurar para evitar problemas de acceso."}
• {"error":"Problemas de resolución de nombres al establecer confianzas.","causa":"Los controladores de dominio de ambos lados de la confianza deben poder resolver los nombres DNS del otro dominio para establecer y mantener la relación.","correccion":"Asegurarse de que los servidores DNS de cada dominio tengan registros de reenvío (forwarders) o zonas secundarias configuradas para resolver los nombres del otro dominio. Un `ping` o `nslookup` exitoso entre los controladores de dominio es un buen indicador."}
• {"error":"Aplicar GPOs directamente al dominio en lugar de a OUs específicas.","causa":"Las GPOs aplicadas al dominio afectan a todos los objetos del dominio, lo que puede llevar a configuraciones no deseadas o conflictos si no se gestionan con cuidado. Dificulta la granularidad y la delegación.","correccion":"Utilizar OUs para estructurar el directorio y vincular las GPOs a las OUs más específicas posibles. Esto permite una aplicación más precisa de las políticas y facilita la delegación de administración sin afectar a todo el dominio."}
• {"error":"No utilizar grupos de seguridad para asignar permisos, sino usuarios individuales.","causa":"Gestionar permisos para cada usuario individualmente es ineficiente, propenso a errores y difícil de auditar, especialmente en entornos grandes o con alta rotación de personal.","correccion":"Adoptar el principio 'AGDLP' (Accounts, Global groups, Domain Local groups, Permissions) o 'AGP' (Accounts, Global groups, Permissions) para organizar los permisos. Los usuarios (Accounts) son miembros de grupos globales (Global groups), que a su vez son miembros de grupos de dominio local (Domain Local groups), a los que se asignan los permisos (Permissions) sobre los recursos. Esto simplifica enormemente la gestión de accesos."}