Escritorio remoto de Windows (RDP)

RDP (Remote Desktop Protocol) es el protocolo que permite la comunicación entre un terminal y un servidor Windows para ejecutar aplicaciones de forma remota. Esta guía protege RDP con Ironchip mediante RD Gateway y un servidor NPS protegido por Ironchip.

Requisitos

• Un Directorio Activo funcional.
• Servicios DHCP y DNS activos.
• RDP instalado en el servidor.
• NPS protegido por Ironchip. Consulta Microsoft NPS.
• Una integración HTTP-MFA (aplicación MFA) creada en Ironchip. Consulta Crear una integración HTTP-MFA.

Preparar el entorno Windows

Si ya tienes un dominio de Active Directory con DHCP y DNS, y RDP habilitado en el servidor y en los clientes, salta a Configuración en Ironchip. Si no, prepara el entorno así.

Instalar Active Directory

1. En Administrador del servidor, abre Agregar roles y características y añade estos roles:

   • Servicios de dominio de Active Directory.
   • Servidor DHCP.
   • Servidor DNS.

2. Haz clic en Siguiente hasta el final. Aparece una barra de progreso.

3. De vuelta en la página principal del Administrador del servidor, comprueba que los tres roles aparecen en el menú de la izquierda. En el menú superior aparecen también dos alertas.

4. Haz clic en la primera alerta, Promover este servidor a controlador de dominio.

5. Selecciona Agregar un nuevo bosque y escribe el nombre de dominio que quieras.

6. Sigue los pasos hasta el final y haz clic en Instalar. Al terminar aparece otra alerta sobre el DNS, que resolverás más adelante.

Configurar DHCP

1. Haz clic en la segunda alerta para aplicar la configuración por defecto y en Siguiente hasta el final.
2. Abre DHCP desde las herramientas administrativas.
3. Haz clic derecho en IPv4, selecciona Ámbito nuevo… y escribe un rango de IP, por ejemplo de 192.168.11.50 a 192.168.11.100. Deja el resto de opciones por defecto y haz clic en Finalizar.
4. Haz clic derecho en el nombre del servidor, dentro de DHCP, y en Autorizar. Al actualizar la página, el icono de IPv4 pasa de rojo a verde.

Configurar DNS

Añade un reenviador:

1. Abre DNS desde las herramientas administrativas.
2. Haz clic derecho en el servidor y selecciona Propiedades.
3. En la pestaña Reenviadores, añade los servidores DNS externos que necesites, como 8.8.8.8 y 8.8.4.4.

Habilitar RDP y unir el cliente al dominio

Habilita RDP en el servidor y en el equipo cliente:

• Equipo cliente: desde Inicio, abre la configuración para desarrolladores y permite las conexiones remotas.
• Servidor, si lo anterior no funciona: en el Administrador del servidor, abre Servidor local. Entre las propiedades verás Escritorio remoto. Haz clic en Deshabilitado, selecciona Permitir las conexiones remotas con este equipo y haz clic en Aplicar. Después haz clic en Seleccionar usuarios… y elige los usuarios que podrán acceder al servidor.

Nota

Si todavía no has creado ningún usuario, créalo antes.

Después, une el equipo cliente al dominio:

1. Haz clic derecho en Este equipo y, en Configuración de nombre, dominio y grupo de trabajo, haz clic en Cambiar configuración.
2. Escribe el nombre del equipo y el dominio al que pertenece.
3. Cuando aparezca el inicio de sesión de Active Directory, escribe el usuario y la contraseña del Directorio Activo.
4. Reinicia el equipo e inicia sesión con Otro usuario, con el mismo usuario y contraseña que escribiste en Active Directory.
5. Abre una conexión RDP con Conexión a Escritorio remoto. Te pedirá las credenciales del administrador.

Configuración en Ironchip

1. Crea en la consola de administración una aplicación que haga referencia a la integración HTTP-MFA. Como External ID, usa el nombre de la política RD CAP que crearás en Windows (en esta guía, IronchipCAP).

   

2. Añade los usuarios a la aplicación con el formato Dominio\Usuario.

Crear la aplicación en Ironchip y añadir usuarios para RDPReproducir el vídeo

Configuración en Windows

Instalar RD Gateway

1. En el Administrador del servidor, ve a Servicios de Escritorio remoto.

   

2. Haz clic en el botón Puerta de enlace de Escritorio remoto.

   

3. Selecciona el servidor en el que instalarás el servicio. En la pantalla siguiente, escribe el nombre de dominio completo.

   

4. Haz clic en Siguiente y después en Agregar.

5. Cuando termine el proceso, Windows te pide configurar un certificado. Este ejemplo usa un certificado autofirmado.

   

6. Si no tienes un certificado, haz clic en Crear nuevo certificado.

   

7. Escribe el nombre de dominio completo, una contraseña y una ruta para guardar el certificado, y marca la casilla del final. Haz clic en Aceptar y después en Aplicar.

   

8. Añade el mismo certificado a todos los servicios de la lista seleccionándolo.

Crear o cambiar el certificado de RD Gateway

Si ya tienes RD Gateway instalado, o quieres crear el certificado más tarde, hazlo desde el administrador:

1. En Herramientas, ve a Servicio de Escritorio remoto y selecciona Administración de la Puerta de enlace de Escritorio remoto.

   

2. Haz clic derecho en el servidor, abre Propiedades y ve a la pestaña SSL Certificate.

   

3. Selecciona Crear un certificado autofirmado y haz clic en Crear e importar certificado… y en Aceptar. El certificado se guarda en la carpeta Documentos del equipo.

   

Instalar el certificado en las máquinas

Copia el certificado a todas las máquinas, el propio servidor y los clientes, e instálalo en cada una con el mismo proceso:

1. Haz clic derecho en el certificado.
2. Selecciona Instalar certificado.
3. Selecciona Máquina local y haz clic en Siguiente.
4. Selecciona Colocar todos los certificados en el siguiente almacén y haz clic en Examinar….
5. En la ventana que se abre, selecciona la carpeta Autoridades de certificación raíz de confianza y haz clic en Aceptar.
6. Haz clic en Siguiente y en Finalizar.

Crear las políticas RD CAP y RD RAP

1. En el administrador de la puerta de enlace de Escritorio remoto, selecciona tu servidor y crea una directiva nueva con clic derecho en Directivas.

   

2. Selecciona Crear una CAP de RD y una RAP de RD.

   

3. Ponle un nombre identificativo. El nombre de la política RD CAP (aquí, IronchipCAP) debe ser el mismo que el External ID de la aplicación creada en la consola de Ironchip.

   

4. Añade los grupos de usuarios del dominio a los que se aplicará la directiva: haz clic en Agregar grupo…, después en Opciones avanzadas… y en Buscar ahora para ver todos los grupos que puedes seleccionar.

   

5. En la pestaña siguiente, selecciona la primera opción y marca la casilla del final, Permitir solamente conexiones de cliente a servidores host de sesión de Escritorio remoto que apliquen la redirección de dispositivos de Puerta de enlace de Escritorio remoto. Las demás opciones no son necesarias: haz clic en Siguiente hasta llegar a la directiva de autorización de recursos.

   

6. Ponle un nombre identificativo a la directiva de autorización de recursos.

   

7. Añade los grupos de usuarios del dominio a los que se aplicará, con el mismo procedimiento.

   

8. Selecciona la última opción, Permitir que los usuarios se conecten a cualquier recurso de red. La opción siguiente no es necesaria: haz clic en Siguiente hasta finalizar.

   

Crear la directiva de grupo

1. Abre Administración de directivas de grupo, haz clic derecho en tu servidor y selecciona Crear un GPO en este dominio y vincularlo aquí.

   

2. Escribe un nombre, por ejemplo Ironchip.

3. Haz clic derecho en el GPO creado y selecciona Editar.

4. En el Editor de administración de directivas de grupo, ve a Configuración de usuario > Directivas > Plantillas administrativas > Componentes de Windows > Servicio de Escritorio remoto > Puerta de enlace de Escritorio remoto.

   

5. Selecciona Método de autenticación de RD Gateway, actívalo con Habilitado y elige Solicitar credenciales, usar protocolo de negociación. En un Windows en inglés, como el de la captura, la directiva es Set RD Gateway authentication method y la opción, Ask for credentials, use Negotiate protocol.

   

6. Selecciona Habilitar conexión a través de RD Gateway y actívalo con Habilitado.

7. Selecciona Establecer dirección del servidor de puerta de enlace de RD, actívalo con Habilitado e introduce la dirección de tu servidor, por ejemplo 10.0.0.2.

8. Ejecuta gpupdate en PowerShell en todas las máquinas relacionadas.

Añadir las políticas al plugin

Si todavía no has instalado el plugin NPS, sigue Instalar el plugin NPS. Después, añade al plugin las políticas que has creado:

1. Ejecuta de nuevo el instalador del plugin y haz clic en Change.

2. En NPS Policies, añade la política de red protegida por Ironchip y la RD CAP, separadas por comas.

   

3. Reinicia los servicios NPS y RDP.

Comprobación

Necesitas un equipo cliente conectado al dominio. Sigue los pasos del vídeo.

Comprobar el acceso por RDP protegido con IronchipReproducir el vídeo

Vídeo tutorial

Tutorial completo de RDP con IronchipReproducir el vídeo

Permitir RDP solo por Gateway

Configura el firewall del servidor para que solo acepte conexiones RDP a través de la puerta de enlace.

1. Abre Windows Defender Firewall con seguridad avanzada.

   

2. Ve a Reglas de entrada y busca Escritorio remoto - Modo usuario (TCP de entrada) y Escritorio remoto - Modo usuario (UDP de entrada).

   

3. Abre la regla TCP. Las dos configuraciones son iguales:

   1. En la pestaña General, activa Bloquear la conexión.
   2. En la pestaña Ámbito, añade la IP de tu servidor en Dirección IP local.
   3. Aplica los cambios.

   

   

4. Repite los pasos anteriores con la regla UDP.