# Escritorio remoto de Windows (RDP) > Protege el Escritorio remoto de Windows con Ironchip: configura RD Gateway, las políticas RD CAP y RD RAP, el plugin NPS y limita RDP al acceso por Gateway. URL: https://docs.ironchip.com/identidad/integraciones/puestos/rdp/ RDP (Remote Desktop Protocol) es el protocolo que permite la comunicación entre un terminal y un servidor Windows para ejecutar aplicaciones de forma remota. Esta guía protege RDP con Ironchip mediante RD Gateway y un servidor NPS protegido por Ironchip. ## Requisitos - Un Directorio Activo funcional. - Servicios DHCP y DNS activos. - RDP instalado en el servidor. - NPS protegido por Ironchip. Consulta [Microsoft NPS](https://docs.ironchip.com/identidad/integraciones/red/nps/). - Una integración HTTP-MFA (aplicación MFA) creada en Ironchip. Consulta [Crear una integración HTTP-MFA](https://docs.ironchip.com/identidad/administracion/aplicaciones/#crear-una-integraci%C3%B3n-http-mfa). ## Preparar el entorno Windows Si ya tienes un dominio de Active Directory con DHCP y DNS, y RDP habilitado en el servidor y en los clientes, salta a [Configuración en Ironchip](#configuración-en-ironchip). Si no, prepara el entorno así. ### Instalar Active Directory 1. En **Administrador del servidor**, abre **Agregar roles y características** y añade estos roles: - Servicios de dominio de Active Directory. - Servidor DHCP. - Servidor DNS. 2. Haz clic en **Siguiente** hasta el final. Aparece una barra de progreso. 3. De vuelta en la página principal del Administrador del servidor, comprueba que los tres roles aparecen en el menú de la izquierda. En el menú superior aparecen también dos alertas. 4. Haz clic en la primera alerta, **Promover este servidor a controlador de dominio**. 5. Selecciona **Agregar un nuevo bosque** y escribe el nombre de dominio que quieras. 6. Sigue los pasos hasta el final y haz clic en **Instalar**. Al terminar aparece otra alerta sobre el DNS, que resolverás más adelante. ### Configurar DHCP 1. Haz clic en la segunda alerta para aplicar la configuración por defecto y en **Siguiente** hasta el final. 2. Abre DHCP desde las herramientas administrativas. 3. Haz clic derecho en **IPv4**, selecciona **Ámbito nuevo...** y escribe un rango de IP, por ejemplo de `192.168.11.50` a `192.168.11.100`. Deja el resto de opciones por defecto y haz clic en **Finalizar**. 4. Haz clic derecho en el nombre del servidor, dentro de DHCP, y en **Autorizar**. Al actualizar la página, el icono de IPv4 pasa de rojo a verde. ### Configurar DNS Añade un reenviador: 1. Abre DNS desde las herramientas administrativas. 2. Haz clic derecho en el servidor y selecciona **Propiedades**. 3. En la pestaña **Reenviadores**, añade los servidores DNS externos que necesites, como `8.8.8.8` y `8.8.4.4`. ### Habilitar RDP y unir el cliente al dominio Habilita RDP en el servidor y en el equipo cliente: - **Equipo cliente**: desde Inicio, abre la configuración para desarrolladores y permite las conexiones remotas. - **Servidor**, si lo anterior no funciona: en el Administrador del servidor, abre **Servidor local**. Entre las propiedades verás **Escritorio remoto**. Haz clic en **Deshabilitado**, selecciona **Permitir las conexiones remotas con este equipo** y haz clic en **Aplicar**. Después haz clic en **Seleccionar usuarios...** y elige los usuarios que podrán acceder al servidor. :::note Si todavía no has creado ningún usuario, créalo antes. ::: Después, une el equipo cliente al dominio: 1. Haz clic derecho en **Este equipo** y, en **Configuración de nombre, dominio y grupo de trabajo**, haz clic en **Cambiar configuración**. 2. Escribe el nombre del equipo y el dominio al que pertenece. 3. Cuando aparezca el inicio de sesión de Active Directory, escribe el usuario y la contraseña del Directorio Activo. 4. Reinicia el equipo e inicia sesión con **Otro usuario**, con el mismo usuario y contraseña que escribiste en Active Directory. 5. Abre una conexión RDP con **Conexión a Escritorio remoto**. Te pedirá las credenciales del administrador. ## Configuración en Ironchip 1. Crea en la consola de administración una aplicación que haga referencia a la integración HTTP-MFA. Como **External ID**, usa el nombre de la política RD CAP que crearás en Windows (en esta guía, `IronchipCAP`). [Imagen: Aplicación de Ironchip con el External ID igual al nombre de la RD CAP] 2. Añade los usuarios a la aplicación con el formato `Dominio\Usuario`. Vídeo: [Crear la aplicación en Ironchip y añadir usuarios para RDP](https://play.hubspotvideo.com/v/7745202/id/130735482939) ## Configuración en Windows ### Instalar RD Gateway 1. En el Administrador del servidor, ve a **Servicios de Escritorio remoto**. [Imagen: Servicios de Escritorio remoto en el Administrador del servidor] 2. Haz clic en el botón **Puerta de enlace de Escritorio remoto**. [Imagen: Botón Puerta de enlace de Escritorio remoto] 3. Selecciona el servidor en el que instalarás el servicio. En la pantalla siguiente, escribe el nombre de dominio completo. [Imagen: Selección del servidor y nombre de dominio completo] 4. Haz clic en **Siguiente** y después en **Agregar**. 5. Cuando termine el proceso, Windows te pide configurar un certificado. Este ejemplo usa un certificado autofirmado. [Imagen: Configuración del certificado de RD Gateway] 6. Si no tienes un certificado, haz clic en **Crear nuevo certificado**. [Imagen: Opción para crear un certificado nuevo] 7. Escribe el nombre de dominio completo, una contraseña y una ruta para guardar el certificado, y marca la casilla del final. Haz clic en **Aceptar** y después en **Aplicar**. [Imagen: Formulario de creación del certificado] 8. Añade el mismo certificado a todos los servicios de la lista seleccionándolo. ### Crear o cambiar el certificado de RD Gateway Si ya tienes RD Gateway instalado, o quieres crear el certificado más tarde, hazlo desde el administrador: 1. En **Herramientas**, ve a **Servicio de Escritorio remoto** y selecciona **Administración de la Puerta de enlace de Escritorio remoto**. [Imagen: Menú de herramientas con la administración de la Puerta de enlace de Escritorio remoto] 2. Haz clic derecho en el servidor, abre **Propiedades** y ve a la pestaña **SSL Certificate**. [Imagen: Pestaña SSL Certificate de las propiedades del servidor] 3. Selecciona **Crear un certificado autofirmado** y haz clic en **Crear e importar certificado...** y en **Aceptar**. El certificado se guarda en la carpeta **Documentos** del equipo. [Imagen: Opción para crear un certificado autofirmado] ### Instalar el certificado en las máquinas Copia el certificado a todas las máquinas, el propio servidor y los clientes, e instálalo en cada una con el mismo proceso: 1. Haz clic derecho en el certificado. 2. Selecciona **Instalar certificado**. 3. Selecciona **Máquina local** y haz clic en **Siguiente**. 4. Selecciona **Colocar todos los certificados en el siguiente almacén** y haz clic en **Examinar…**. 5. En la ventana que se abre, selecciona la carpeta **Autoridades de certificación raíz de confianza** y haz clic en **Aceptar**. 6. Haz clic en **Siguiente** y en **Finalizar**. ### Crear las políticas RD CAP y RD RAP 1. En el administrador de la puerta de enlace de Escritorio remoto, selecciona tu servidor y crea una directiva nueva con clic derecho en **Directivas**. [Imagen: Menú contextual para crear una directiva nueva] 2. Selecciona **Crear una CAP de RD y una RAP de RD**. [Imagen: Asistente con la opción de crear RD CAP y RD RAP] 3. Ponle un nombre identificativo. El nombre de la política RD CAP (aquí, `IronchipCAP`) debe ser el mismo que el **External ID** de la aplicación creada en la consola de Ironchip. [Imagen: Nombre de la política RD CAP] 4. Añade los grupos de usuarios del dominio a los que se aplicará la directiva: haz clic en **Agregar grupo...**, después en **Opciones avanzadas...** y en **Buscar ahora** para ver todos los grupos que puedes seleccionar. [Imagen: Grupos de usuarios de la directiva RD CAP] 5. En la pestaña siguiente, selecciona la primera opción y marca la casilla del final, **Permitir solamente conexiones de cliente a servidores host de sesión de Escritorio remoto que apliquen la redirección de dispositivos de Puerta de enlace de Escritorio remoto**. Las demás opciones no son necesarias: haz clic en **Siguiente** hasta llegar a la directiva de autorización de recursos. [Imagen: Opciones de la directiva RD CAP] 6. Ponle un nombre identificativo a la directiva de autorización de recursos. [Imagen: Nombre de la directiva de autorización de recursos] 7. Añade los grupos de usuarios del dominio a los que se aplicará, con el mismo procedimiento. [Imagen: Grupos de usuarios de la directiva RD RAP] 8. Selecciona la última opción, **Permitir que los usuarios se conecten a cualquier recurso de red**. La opción siguiente no es necesaria: haz clic en **Siguiente** hasta finalizar. [Imagen: Opción para permitir la conexión a cualquier recurso de red] ### Crear la directiva de grupo 1. Abre **Administración de directivas de grupo**, haz clic derecho en tu servidor y selecciona **Crear un GPO en este dominio y vincularlo aquí**. [Imagen: Menú contextual para crear un GPO y vincularlo] 2. Escribe un nombre, por ejemplo `Ironchip`. 3. Haz clic derecho en el GPO creado y selecciona **Editar**. 4. En el Editor de administración de directivas de grupo, ve a **Configuración de usuario > Directivas > Plantillas administrativas > Componentes de Windows > Servicio de Escritorio remoto > Puerta de enlace de Escritorio remoto**. [Imagen: Ruta hasta la Puerta de enlace de Escritorio remoto en el editor del GPO] 5. Selecciona **Método de autenticación de RD Gateway**, actívalo con **Habilitado** y elige **Solicitar credenciales, usar protocolo de negociación**. En un Windows en inglés, como el de la captura, la directiva es **Set RD Gateway authentication method** y la opción, **Ask for credentials, use Negotiate protocol**. [Imagen: Método de autenticación de RD Gateway habilitado] 6. Selecciona **Habilitar conexión a través de RD Gateway** y actívalo con **Habilitado**. 7. Selecciona **Establecer dirección del servidor de puerta de enlace de RD**, actívalo con **Habilitado** e introduce la dirección de tu servidor, por ejemplo `10.0.0.2`. 8. Ejecuta `gpupdate` en PowerShell en todas las máquinas relacionadas. ### Añadir las políticas al plugin Si todavía no has instalado el plugin NPS, sigue [Instalar el plugin NPS](https://docs.ironchip.com/identidad/integraciones/red/nps/#instalar-el-plugin-nps). Después, añade al plugin las políticas que has creado: 1. Ejecuta de nuevo el instalador del plugin y haz clic en **Change**. 2. En **NPS Policies**, añade la política de red protegida por Ironchip y la RD CAP, separadas por comas. [Imagen: Instalador del plugin NPS con varias políticas en el campo NPS Policies] 3. Reinicia los servicios NPS y RDP. ## Comprobación Necesitas un equipo cliente conectado al dominio. Sigue los pasos del vídeo. Vídeo: [Comprobar el acceso por RDP protegido con Ironchip](https://play.hubspotvideo.com/v/7745202/id/130735482976) ### Vídeo tutorial Vídeo: [Tutorial completo de RDP con Ironchip](https://play.hubspotvideo.com/v/7745202/id/130735483054) ## Permitir RDP solo por Gateway Configura el firewall del servidor para que solo acepte conexiones RDP a través de la puerta de enlace. 1. Abre **Windows Defender Firewall con seguridad avanzada**. [Imagen: Menú de inicio con Windows Defender Firewall con seguridad avanzada] 2. Ve a **Reglas de entrada** y busca **Escritorio remoto - Modo usuario (TCP de entrada)** y **Escritorio remoto - Modo usuario (UDP de entrada)**. [Imagen: Reglas de entrada de Escritorio remoto en modo usuario] 3. Abre la regla TCP. Las dos configuraciones son iguales: 1. En la pestaña **General**, activa **Bloquear la conexión**. 2. En la pestaña **Ámbito**, añade la IP de tu servidor en **Dirección IP local**. 3. Aplica los cambios. [Imagen: Pestaña General de la regla con Bloquear la conexión] [Imagen: Pestaña Ámbito de la regla con la IP local del servidor] 4. Repite los pasos anteriores con la regla UDP.