Está en la página 1de 26

PAG. 1

PAG. 1 Diseño Funcional Infraestructura Centros Comunitarios Digitales .

Diseño Funcional

Infraestructura Centros Comunitarios Digitales

PAG. 1 Diseño Funcional Infraestructura Centros Comunitarios Digitales .

.

PAG. 1 Diseño Funcional Infraestructura Centros Comunitarios Digitales .

PAG. 2

Tabla de Contenido

Objetivo

3

Resumen Ejecutivo

4

Descripción de problema

6

Objetivos

6

Solución Conceptual

8

Instalación/Reinstalación

8

Administración

8

Protección de la configuración de PC’s

8

Administración remota

9

Análisis de utilización

10

Administración y Control CCD

10

Análisis de Alternativas de arquitectura

Esquema de Dominios y ubicación de Controladores de Dominio

11

11

Un dominio con controladores de dominio centrales

11

Varios dominios con controladores centrales y locales

12

Dominios independientes en cada CCD

13

Sistema Operativo

14

PC-Proxy

14

PC-Estación de trabajo

15

Pruebas realizadas

17

Logon y Aplicación de perfiles Local

17

Logon y Aplicación de perfiles Remoto (enlace satelital, doble salto)

17

Replicación entre Controladores de Dominio (enlace satelital, doble salto)

17

Administración remota (enlace satelital, doble salto)

17

Bitácoras de Acceso

18

Arquitectura Propuesta

19

Esquema de Dominios

19

Perfiles de usuario

20

Proxy

20

Administración

22

Requerimientos de hardware y software

23

Proxy

23

Estaciones de Trabajo

24

Apéndices

26

PAG. 3

Objetivo

El objetivo del presente documento es mostrar la arquitectura propuesta para la implantación de los Centros Comunitarios Digitales.

Las conclusiones alcanzadas se fundamentan en las pruebas de conectividad realizadas en conjunto con la SCT y TELECOMM durante el mes de octubre en las instalaciones del CTO Iztapalapa, utilizando la red satelital instalada en este lugar por la compañía Gilat Satellite Networks.

PAG. 4

Resumen Ejecutivo

Uno de los proyectos primordiales que soportarán la iniciativa de e-México es la creación de los Centros Comunitarios Digitales (CCD’s), los cuales prestarán servicios de informática, Correo Electrónico e Internet para todos los integrantes de las comunidades del país.

Durante el mes de octubre se realizaron diversas pruebas de conectividad para determinar el comportamiento del enlace satelital por medio de la ejecución de operaciones necesarias para implementar diferentes opciones de administración.

Se encontró que la mayoría de estas operaciones tenía problemas durante las horas pico y coincidentemente se presentaron interrupciones del enlace durante estas pruebas.

En la solución propuesta se definen los siguientes elementos:

o

Un directorio de usuarios propio e independiente del resto los otros CCD’s. De forma que se evite generar tráfico por replicación.

o

Una PC que fungirá como proxy del CCD:

 

o

Proporcionará acceso a la red satelital para el resto de PC’s del CCD. Este esquema mostró mejorar en forma muy sustancial el rendimiento y consistencia del acceso a Internet para todas las PC’s del CCD.

o

Este equipo tendrá también la función de almacenar el directorio de Usuarios del CCD.

o

Opcionalmente contará con servicios de firewall/cache y generará bitácoras del acceso de los usuarios a Internet.

o

Podrá ser usada como una estación de trabajo.

o

Ejecutar en él la aplicación que se desarrolle para el control de reservación y asignación de las estaciones de trabajo a los usuarios del CCD, así como el control de cobro del tiempo y recursos consumidos por estos usuarios, si así se requiere.

o

La integridad de las PC’s será protegida por medio de:

 

o

Asignación de cuentas de usuarios con menos privilegios sobre el sistema operativo.

o

Perfiles de usuario que limiten las funciones de los mismos.

o

Un sistema de archivos más seguro y robusto, con permisos de acceso.

o

La instalación/recuperación de los equipos de los CCD’s se realizará con instalaciones automatizadas, que no requieran conocimientos técnicos del encargado.

o

Revisión y configuración remota por medio del acceso a la consola del proxy y las PC, y otras herramientas estándares de administración de Windows 2000 y Windows XP Professional.

PAG. 5

Beneficios

o

Proporciona una solución de bajo costo para la implementación de las funciones del CCD

o

Permite la intervención remota por parte de áreas de soporte centrales.

o

Permite una instalación/recuperación desatendida con mínima intervención central.

o

Adecuada para los enlaces de comunicación planeados.

o

Permite obtener el análisis detallado del acceso de los usuarios a Internet.

o

La protección en clientes y procedimientos automatizados de instalación reducirá llamas de soporte.

PAG. 6

Descripción de problema

Las Secretaría de Comunicaciones y Transportes está participando en varias áreas del proyecto e-México impulsado por el Presidente Vicente Fox. Uno de estos proyectos es la habilitación de los Centros Comunitarios Digitales (CCD’s).

Los CCD’s proporcionarán servicios de acceso a Internet a través del browser, acceso a correo vía Web o SMTP/POP3, FTP y aplicaciones de productividad (Hoja de Cálculo, Procesador de Palabras, etc.). Para este servicio cada CCD tendrán entre 10 y 15 computadoras personales.

Inicialmente los CCD’s serán implementados en escuelas donde ya se cuenta con equipo de cómputo existente. Se continuará con escuelas y oficinas de servicios del gobierno en cada municipio. En las escuelas el servicio se proporcionará parte del tiempo a los alumnos del plantel en cuestión, pero durante el resto del día se proporcionará acceso al público en general.

El alcance final de la implantación es tener un CCD en cada uno de los 2500 municipios.

Objetivos

Los siguientes objetivos se tomaron como base para el diseño de una solución efectiva para los CCD’s:

Proveer los servicios planeados:

 
 

o

Acceso al servicio de Web a través de browser desde todas las computadoras personales en cada CCD.

o

Acceso a audio y video que utilicen tecnologías de streaming

 

o

Acceso

al

correo

por

medio

de

Web

y

por

medio

de

 

SMTP/POP3.

 
 

o

Mensajería instantánea.

 

o

Descarga (download) de archivos por medio de HTTP y FTP.

 

Proveer facilidad para instalación y recuperación

 

o Instalación desatendida que permita una rápida instalación/reinstalación con la menor intervención del encargado del CCD.

PAG. 7

o No requerir conocimiento técnico por parte del encargado del CCD para la instalación/reinstalación

Administración

 

o

Proveer un esquema en el que se proteja la configuración de las PC’s de modificaciones por error o intencionalmente por parte de los usuarios del servicio.

o

Permitir a las áreas de soporte y operación central de la SCT la administración y acceso en forma remota a los equipos de cómputo ubicados en cada CCD.

Análisis de utilización

o Proveer medios que permitan verificar que las PC’s de los CCD’s sean utilizadas para el acceso de los servicios de Internet que la SCT les proveerá.

La solución debe soportar PC’s existentes con sistemas operativos:

Windows 95, Windows 98, Windows 98SE, Windows 2000 Professional y Windows XP Professional.

PAG. 8

Solución Conceptual

En esta sección se describen algunas de las opciones existentes para cumplir con los objetivos planteados, analizando las ventajas y desventajas de cada uno de estas.

Instalación/Reinstalación Desatendida.

Para proveer una solución efectiva para realizar una instalación de las PC’s de un CCD, se propone desarrollar procesos de instalación desatendida.

Los esquemas de instalación desatendida permiten la instalación y configuración completa de PC’s sin la intervención o mínima intervención de encargado del CCD, a partir de los discos compactos del sistema operativo y paquetes o a través de la LAN desde una copia de éstos almacenada en el disco duro de otra PC. En estos esquemas se logra una rápida instalación o recuperación de un equipo sin que el encargado del CCD le dedique tiempo y sin que deba tener conocimientos técnicos.

En caso de que una PC sufra daños a los archivos del sistema operativo o paquetes, el encargado puede reinstalar la PC de forma que pueda restablecer rápidamente el servicio de ese puesto de trabajo y sin que el personal de soporte de la SCT tenga que viajar a configurar este equipo.

Administración

Protección de la configuración de PC’s

Se propone que para la protección de la configuración de las PC’s y controlar el uso posible de estos recursos, se establezcan perfiles de usuario.

Estos perfiles de usuario permiten limitar las operaciones de configuración que el usuario puede realizar en una PC. Entre otras limitaciones, por ejemplo, se puede negar el acceso a la configuración de la dirección de red, la modificación del tapiz de escritorio y el protector de pantalla, negar la instalación de software que el usuario trate de bajar de Floppy, CD o Internet, etc.

En el caso de equipo nuevo o que tenga los requisitos mínimos necesarios se sugiere instalar Windows 2000 Professional o la versión mas reciente Windows XP Professional. Estos sistemas operativos permiten reforzar y realizar de forma más sencilla esta protección. Entre las características con las que cuentan estos sistemas operativos y no cuenta Windows 95/98 están las siguientes:

PAG. 9

Permiten configurarlos con el sistema de archivos NTFS, el cual permite tener permisos de acceso en los fólder y archivos del sistema operativo.

Existen diferentes tipos de usuario con diferentes niveles de acceso al sistema operativo (Administradores, Power Users y Usuarios sin privilegios). Si los usuarios de los CCD’s son configurados como usuarios sin privilegios y utilizando el sistema de archivos NTFS, se restringe al usuario el poder de cambiar configuraciones del sistema, y se evita la modificación o borrado de programas y archivos del sistema, así como poder limitar los fólderes donde puede escribir y establecer una cuota máxima de espacio ocupado por sus archivos.

Exige que el usuario proporcione la cuenta de acceso y contraseña,

asegurando que

el

perfil

se

va

a aplicar

a

la sesión de trabajo del

usuario.

Debido que en este momento no están completamente definidos los servicios que se utilizarán a nivel de contenido y que no existe un estimado de los diferentes usuarios que utilizaran los equipos de un CCD, se sugiere la utilización de cuentas genéricas, que pueden corresponder a diferentes perfiles de usuarios.

Estas cuentas y sus correspondientes perfiles son implementados a través de un dominio en directorio activo de Windows 2000. Las PC’s del CCD pertenecerán a este dominio. De esta forma será posible aplicar perfiles (políticas de grupo) en forma general a las PC’s y en especificó a las cuentas con las que se firmen los usuarios a estas.

Administración remota

Existen distintas herramientas para realizar administración remota sobre plataforma Microsoft. Sin embargo las herramientas deberán poder utilizarse a través del ancho de banda y tipo de enlace (Satelital o ADSL) con que estén comunicadas al Data Center de SCT o hacía Internet (ISP).

Dependiendo del tipo de enlace es factible utilizar las herramientas de administración de Windows 2000 (menú Administrative Tools) tales como Computer Management, herramientas de ejecución de comandos remotos, Telnet y Terminal services entre otros.

Por ejemplo una herramientas que puede ser factible de utilizar para administrar los CCD’s es el Terminal Services para acceder a las consolas de las PC’s que hacen funciones de proxy/ruteo para realizar labores de revisión de funcionamiento del sistema operativo y configuración de este equipo y de las demás PC’s del CCD.

El control y administración de las PC’s de un CCD se facilita por medio del uso de un dominio del Directorio Activo de Windows 2000. Esto proporciona control sobre las PC’s del Sitio.

PAG. 10

Análisis de utilización

El análisis del nivel y tipo de utilización del servicio de Internet por parte los usuarios de los CCD’s puede ser medido en gran parte a partir del análisis de las bitácoras del servicio de WebProxy de un firewall. Existen dos opciones dependiendo del nivel de granularidad que se desee obtener. Si se quiere saber el comportamiento de un CCD en su conjunto, en el caso de enlaces que la SCT provea directamente, se puede obtener a partir del log del(os) firewall(s) ubicados en el Data Center. Si se desea obtener la utilización por cada estación será necesario configurar un firewall en los equipos que realizan las funciones de proxy en los CCD’s.

Administración y Control CCD

En forma opcional y dependiendo de los objetivos, necesidades, tamaño y formas de recuperación de costos, de cada CCD se deberá desarrollar una aplicación que permita realizar las labores de administración de cada CCD.

Algunas de las funciones que pudiera incluir esta aplicación son:

Reservación, asignación y control de tiempo en estaciones de trabajo.

Membresía de usuarios en algún plan definido de prepago basado en horas de uso o en cuotas por períodos semanales o mensuales, por ejemplo.

Control de cobro de pago por el tiempo o membresías, cobro de consumibles y otros servicios del CCD.

Reportes

administrativos

y

estadísticos

(uso,

tiempo,

dinero,

membresías)

En los casos en los que un CCD requiera y utilice dicha aplicación, se sugiere que ésta sea instalada y ejecutada en la PC que tiene funciones de proxy dentro del CCD.

PAG. 11

Análisis de Alternativas de arquitectura

Como se mencionó en la sección anterior, la utilización de un dominio del directo de Windows 2000 permite proveer los servicios necesarios para aplicar los perfiles de usuario y administrar los equipos del CCD.

Esquema de Dominios y ubicación de Controladores de Dominio

Derivado del objetivo de establecer servicio de control y administración se analizaron varios esquemas de configuraciones de dominio y se probaron a través de los enlaces satelitales proporcionados por Gilat. A continuación se describen estos esquemas:

Un dominio con controladores de dominio centrales

En esta alternativa se analizó la posibilidad que los 10 o 15 usuarios de un CCD salieran a través de WAN para hacer logon en los controladores de dominio ubicados en Data Center (HUB).

Ventajas

La administración se facilita al ser mas centralizada.

No se requiere que la PC que funge como proxy deba tener la función de controlador de dominio en los CCD’s.

Menos elementos para configurar en los CCD’s.

Adicionalmente a las cuentas de usuario genéricas, soporta que cada usuario puede tener su cuenta debido a que no hay necesidad de replicar el directorio a cada CCD a través de los enlaces satelitales.

No hay tráfico de replicación entre el Data Center y los CCD’s.

Desventajas Desventajas el tiempo de logon es considerablemente mas largo (7 a 10 minutos hora pico a través del enlace satelital)

El enlace satelital no es constante y puede llegar al punto de no permitir el logon.

Si no hay comunicación por el enlace durante un largo período puede generar problemas para hacer logon en las PC’s. En el caso de equipos con Windows 2000 o XP mantienen en cache las credenciales del usuario, que ya haya hecho logon, durante un periodo definido.

PAG. 12

Debido a esta dificultad para la comunicación a los controladores de dominio es posible que no sea factible acceder las políticas de grupo (perfiles) y scripts de logon definidos.

Durante la pruebas realizadas en las instalaciones del TELECOMM (CTO Iztapalapa) con los enlaces satelitales entre dos estaciones se determinó en forma definitiva que no es factible hacer logon y aplicar los perfiles definidos desde un servidor controlador de dominio ubicado en el Data Center (HUB), debido a que los tiempos de respuesta para un logon son inaceptables para un usuario y pueden no lograrse el logon o la aplicación del perfil.

Varios dominios con controladores centrales y locales

Esta alternativa consiste en particionar el directorio en diferentes bosques con él objetivo de disminuir el tráfico de replicación, utilizando controladores de dominio locales y centrales con dominios que abarquen como máximo a 250 sitios (CCD’s) distintos.

Ventajas

La administración se facilita al ser mas centralizada.

El tiempo de logon para los usuarios en cada CCD’s será inmediato (de 20 a 30 segundos)

A pesar de la fragmentación del directorio/dominio en pocos dominios (y bosques) independientes todavía se pueden establecer políticas de seguridad y perfiles para las cuentas genéricas de forma central

Asegura que las políticas de seguridad y grupo (perfiles) y logon scripts, replicados a los controladores de dominio de los CCD’s, serán accedidas y aplicadas a todas las PC’s de cada CCD.

Desventajas Es necesario replicar el directorio a cada controlador de dominios de los CCD’s.

Más elementos que configurar en los CCD’s.

La configuración del equipo proxy como controlador de dominio deberá tener cierto grado de coordinación con los administradores centrales.

Al tener un directorio que abarca a varios CCD’s (250) el tamaño del directorio crece y genera mayor procesamiento en el equipo que funge como controlador de dominio en el CCD y podría resultar en mayor requerimiento de hardware para este equipo.

La utilización de cuentas de usuario se deberá restringir al uso de cuentas genéricas ya que el generar cuentas por usuarios haría crecer cada directorio de forma tal que la replicación bajo este

PAG. 13

esquema pudiera no lograrse a ejecutar en la ventana de tiempo definida y los requerimientos de hardware para el controlador de dominio se incrementarían.

Se requieren servidores adicionales en el Data Center, al menos uno por cada dominio creado.

Dominios independientes en cada CCD

En este esquema cada CCD tiene un dominio y bosque independiente de los demás.

Ventajas

El tiempo de logon para los usuarios en cada CCD será inmediato (de 20 a 30 segundos)

Soporta un esquema en que, adicionalmente a las cuentas de usuario genéricas, cada usuario puede tener su cuenta debido a que no hay necesidad de replicar el directorio.

Asegura que las políticas de seguridad y grupo (perfiles) y logon scripts, serán accedidas y aplicadas a todas las PC’s de cada CCD.

La configuración del equipo proxy como controlador de dominio no requiere coordinación con los administradores centrales.

No hay tráfico de replicación entre el Data Center y los CCD’s.

Debido a que el directorio solo soportará a las cuentas locales, el requerimiento de hardware no será mayor.

Desventajas Más elementos que configurar en los CCD’s.

La

administración

tiene

menos

facilidades

y

controles

centralizados, por tanto es más compleja para las áreas de

administración y soporte centrales.

 

Debido a que en

cada CCD el dominio (y bosque) es

independiente, cualquier cambio a la configuración de seguridad y/o de perfiles deberá hacerse en el controlador de dominio cada CCD.

Si se planea generar cuentas por usuario específico será necesario proporcionar dispositivos, medios, procesos y procedimientos de respaldo y recuperación. Esto es un punto a tomar en cuenta en caso de recuperación de cero de la PC que fungirá como controlador de dominio

PAG. 14

Sistema Operativo

Esta sección evalúa las opciones de sistema operativo para los equipos que estarán ubicados en los CCD’s.

PC-Proxy

Para la PC que tendrá entre otras las funciones de proxy. la alternativa directa es Windows 2000 Server, debido a que ofrece la flexibilidad y configuración adecuada para realizar las funciones que tendrá o que factiblemente tendrá:

La funcionalidad mínima que deberá tener el sistema operativo instalado en este equipo deberá ser:

 

o

Tener la opción de habilitar la funcionalidad de Internet Connection Sharing (ICS), el cual proporciona configuración automática de NAT, DHCP y DNS proxy. Está funcionalidad existe en Windows 98 SE, Windows 2000/XP Professional y Windows 2000 Server. Sin embargo Windows 2000 Server mostró mejor desempeño realizando está función, durante las pruebas efectuadas.

o

Proporcionar un directorio de cuentas de usuarios genéricos y para administración y la posibilidad de crear cuentas de usuarios específicos, las cuales puedan usarse en cualquier PC del CCD y se les apliquen los perfiles definidos.

 

Solo Windows 2000 Server, Advanced Server y DataCenter

pueden ser controladores de dominio del directorio de Windows

2000.

 

o

Permitir el pasar a través de este equipo para realizar tareas de revisión y configuración de todas las demás PC’s del CCD. Windows 2000 Server incluye los servicios de terminal, con hasta dos sesiones remotas para administración, adicionales a la sesión de la consola.

o

Ser eficiente en el manejo de conexiones y sesiones de red.

o

Fungir como una estación de trabajo para los usuarios de los CCD, para maximizar los puestos de trabajo.

o

Tener la seguridad y estabilidad necesarias para proveer mayor disponibilidad de conexión a las otras PC’s.

Adicionalmente a la funcionalidad básica se busca lo siguiente:

o Poder definir rangos de IPs (Subnets) específicas en el servicio de DHCP. Adicionalmente a la funcionalidad del ICS, Windows 2000 Server permite la flexibilidad de poder definir esta función de manera específica (NAT, DHCP, DNS) permitiendo realizar configuraciones mas adecuadas para los requerimientos de la red de la SCT y las definiciones para administración central.

PAG. 15

o Tener capacidad para soportar un producto de firewall que provea las capacidades de HTTP Proxy, NAT, ruteo, generación de logs del uso de Internet y cache. El producto Internet Security and Acceleration (ISA) server provee esta funcionalidad.

PC-Estación de trabajo

En el proceso de implantación de los CCD’s, se proporcionarán medios de comunicación a escuelas donde actualmente ya se cuenta con equipo de cómputo, por lo que la solución deberá contemplar esta posibilidad e incluir sistemas operativos anteriores. Sin embargo es importante tomar en cuenta las características de cada sistema operativo para cumplir con los objetivos planteados.

Windows 95/98/98SE/ME

Ventajas

o

Sistema operativo actualmente instalado en PC’s de muchas de las escuelas donde se proporcionarán enlaces de comunicación para formar CCD’s.

o

Requiere menos recursos de Hardware.

o

Mayor compatibilidad con versiones anteriores de programas

Desventajas

o

El sistema operativo es mucho menos estable que Windows

2000/XP.

o

Mayor esfuerzo de configuración para establecer perfiles (políticas de grupo).

o

Las opciones para los perfiles son más limitadas.

o

No se puede forzar completamente al usuario para que haga logon con una cuenta definida y así aplicar perfiles.

o

El sistema de archivos (FAT y FAT32), no permiten proteger a los fólderes y archivos del sistema. Esto abre la posibilidad de que el usuario modifique la configuración del sistema, o instale software que desestabilice el sistema o provoque fallas.

o

No existen muchos mecanismos incluidos dentro del sistema operativo que faciliten la administración del equipo.

PAG. 16

Windows 2000/XP Professional

Ventajas

o

Muchas veces más estable que Windows95/98/ME

o

Mayor facilidad para establecer y aplicar perfiles a los usuarios

o

Mayor control de las múltiples opciones del sistema operativo por medio de perfiles.

o

Existen diferentes niveles del acceso al sistema operativo por medio de grupos de usuarios (administradores, operadores, power users, usuarios sin privilegios) con diferentes privilegios definidos.

o

Logon forzoso, garantizando que el usuario tendrá el perfil y los permisos de acceso planeados.

o

Soportan el sistema de archivos NTFS. Este posibilita el proteger los fólderes y archivos de sistema operativo, contra modificaciones no autorizadas. El usuario solo puede escribir en los fólderes definidos para ese propósito. Es posible definir cuotas máximas para archivos almacenados por el usuario.

o

Existe una función adicional del sistema operativo, el cual recupera los archivos y programas originales del mismo, si estos son sustituidos o borrados.

Desventajas

o

Mayores requerimientos del Hardware.

o

Menor compatibilidad con programas anteriores (Heredados).

Nota: Windows 3.1/Windows NT3.51/Windows XP Home Edition, no soportan la aplicación de perfiles de usuario, por los que no son una opción para esta solución.

PAG. 17

Pruebas realizadas

En esta sección se resumen las pruebas realizadas durante el piloto en las instalaciones de TELECOMM en el CTO Iztapalapa.

El laboratorio contó con dos estaciones satelitales de Gilat y dos estaciones de Hughes. Sin embargo debido a que la configuración de Hughes no estuvo a punto y que no estaba habilitado el ruteo entre las dos estaciones solo fue posible realizar pruebas a través de las estaciones de Gilat.

Logon y Aplicación de perfiles Local

En estas pruebas se probó el acceso al DNS local, se ejecutaron operaciones de Logon y aplicación de perfiles con sistemas operativos Windows 2000 Professional, Windows XP Professional y Windows 98. La operación de logon y aplicación de las políticas de grupo (perfiles) desde el controlador de dominio local tardó entre 20 y 30 segundos.

Logon y Aplicación de perfiles Remoto (enlace satelital, doble salto)

Se realizaron múltiples pruebas de logon en forma remota, simulando el enlace hacia el HUB con las dos estaciones satelitales disponibles. Los tiempos para hacer logon y recuperar las políticas de grupo (perfiles) fueron extremadamente largos (entre 7 y 10 minutos). Aún tomando en cuenta el doble salto el tiempo es mayor al aceptable para un usuario del servicio. En ocasiones se observó que la PC no lograba obtener la política de grupo y por tanto no era factible aplicarlas.

Replicación entre Controladores de Dominio (enlace satelital, doble salto)

Se probó la replicación entre dos controladores de dominio, cada uno ubicado en una de las estaciones satelitales. A pesar de que esto se logró en algunas ocasiones, durante las horas pico no fue factible realizar esta comunicación. Lo normal es que la replicación se realice fuera de horario.

Administración remota (enlace satelital, doble salto)

Se realizaron pruebas en diferentes horarios accesando al equipo proxy desde la otra estación por medio de los Servicios de Terminal de Windows 2000.

PAG. 18

En horas pico prácticamente no se logró la comunicación entre los equipos. Después de las 8:30pm se logró trabajar con fluidez con esta herramienta y con pocas interrupciones

Posteriormente se realizaron pruebas con

de HTTP. Y se logró hacer conexión durante el día de forma un poco menos

lenta.

los servicios de terminal a través

Ya en la consola del equipo proxy, a través de los Servicios de Terminal, se probaron herramientas como “Computer Management” desde la cual se accede a un 90% de la administración de este equipo y en forma remota a la de las demás PC’s del CCD (Está disponible solo en Windows 2000 y Windows XP). Se accedieron a los discos de los equipos a través de los “shares” administrativos (Windows 2000/XP únicamente).

También se tuvo acceso a las consolas de los equipos que contaban con Windows XP Professional a través del servicio “Remote Desktop”.

A manera de conclusión durante las horas pico parece poco factible realizar

actividades de revisión y configuración remota.

También durante las horas pico se observó interrupción de comunicación entre las estaciones satelitales e interrupción del enlace (VSAT fuera de línea), aspecto que dificultó la ejecución de las pruebas realizadas.

Se determinó que a partir de las 8:30pm, en ese ambiente de pruebas, fue factible realizar tareas de revisión y configuración en forma remota en el proxy del CCD y en el resto de las PC’s

Bitácoras de Acceso

Se instaló Internet Security and Acceleration (ISA) server el equipo proxy sustituyendo los servicios del Internet Connection Sharing. Se habilitaron los servicios de NAT, Web Proxy y Cache de ISA. Se ruteo la comunicación recibida por el Web Proxy para seguir utilizando el RPA de Gilat. Se configuró

el Cache y antes de hacer la petición a Internet se verificaba la existencia del

contenido en el cache. Se generó un log de acceso de contenido a través del servicio de Web Proxy.

PAG. 19

Arquitectura Propuesta

A partir de las alternativas planteadas y a los resultados de las pruebas con los
A partir de las alternativas planteadas y a los resultados de las pruebas con
los enlaces satelitales, se definió la configuración que se describe a
continuación.
Satellite
Internet
Windows 2000 Server
ISA Server (opcional)
Controlador de Dominio
NAT, DHCP, DNS
Opcional: Web Proxy
Bitácoras de acceso
Cache
PROXY
Windows XP Professional
Office XP
HUB
CCD
Firewall
VSAT

Esquema de Dominios

Se propone el manejar dominios y bosques independientes en cada CCD, debido a que:

o

no

existe el objetivo para que las cuentas de usuario definidos en un CCD

puedan ser utilizadas en otro.

o

A

la posibilidad de que se puedan crear cuentas por usuario específico

por razones de membresía y/o cobro del servicio, con lo que el directorio

de

usuarios crecería en forma importante, así como sus actualizaciones.

o

Es deseable evitar tráfico de replicación, debido al comportamiento observado durante las pruebas y a la naturaleza intrínseca de los enlaces satelitales.

o

El mantener bajos requerimientos de hardware para los equipos de computo que fungirán como controladores de dominio. Estos equipos adicionalmente harán funciones de NAT y/o proxy, cache y podrán ser utilizados como estaciones de trabajo para los usuarios del CCD.

o

El

poder reinstalar la infraestructura completa en base a procedimientos

y

scripts automatizados que requieran mínima coordinación con la

administración central.

PAG. 20

Sin embargo como ya se mencionó antes, este esquema dificultará la administración centralizada. Debido a esto se deberán realizar acciones que garanticen medios para acceder a los recursos de los CCD’s. Entre las

estrategias que se deben de seguir será el asegurar el tener cuentas de administración y claves de acceso que permitan al personal de administración

y

soporte central el poder administrar al controlador de dominios de cada CCD

y

proporcionar una cuenta con menos privilegios al encargado de cada CCD.

Perfiles de usuario

Se crearán grupos de usuarios y cuentas genéricas estándares para todos los CCD’s. Se definirán perfiles de usuario para cada grupo de usuario estándar tanto para sistemas los sistemas operativos Windows 2000/XP y Windows

95/98.

En el caso de los sistemas operativos Windows 2000 y Windows XP Professional, se establecerán estos perfiles por medio de la facilidad de las políticas de grupo del Directorio Activo de Windows 2000.

Para los sistemas operativos Windows 95/98/98SE se realizará por la herramienta de políticas del sistema (podelit). Esta facilidad existe también en Windows 2000 para soportar la aplicación de perfiles en forma remota para los sistemas operativos de versiones anteriores.

Será necesario implementar un mecanismo que permita realizar la actualización de estos perfiles en el controlador de dominio de cada CCD, de forma que sea factible el poder hacer cambios y mejoras a estos perfiles.

Si se está adquiriendo nuevo equipo de cómputo para implementar un CCD o si el equipo cumple con los requerimientos mínimos, se recomienda que el sistema operativo Windows XP Professional o en su defecto Windows 2000. En la sección de alternativas se describen los motivos por lo que estos sistemas operativos son los ideales para controlar y proteger la configuración de las PC’s en los CCD’s.

Proxy

Como se encontró en las pruebas realizadas por la SCT con la red satelital la utilización de un equipo que funja como proxy entre el enlace satelital y el resto de PC’s del CCD, mostró mejores resultados que la conexión en forma independiente de cada PC.

Una de las PC’s que formarán parte de un CCD’s tendrá en su configuración dos adaptadores de red (deberá cumplir con los requerimientos mínimos de hardware definidos mas adelante) y dependiendo de sus funciones deberá estar configurada con los siguientes servicios:

Funcionalidad solo para compartir enlace:

o Servicio de NAT entre la red interna del CCD y la red proporcionada por el enlace satelital.

PAG. 21

o

Servicio de DHCP con los rangos de direcciones IP, definidos para cada CCD.

o

Servicio de DNS, para la funcionalidad de cache.

Durante las pruebas se utilizó la función de Internet Connection Sharing (ICS) de Windows para configurar de manera muy simple estas funciones (NAT, DHCP, DNS proxy), sin embargo se sugiere que estas funciones se configuren por medio de la herramienta Routing and Remote Access, debido a que da la facilidad de establecer esta funcionalidad de forma configurable para implementar definiciones mas adecuadas para la administración central.

Funcionalidad de proxy/firewall:

o

Servicio de NAT entre la red interna del CCD y la red proporcionada por el enlace satelital.

o

Servicio de DHCP con los rangos de direcciones IP, definidos para cada CCD.

o

Servicio de DNS, para la funcionalidad de cache.

o

Servicio de Proxy de HTTP entre las red interna del CCD y la red proporcionada por el enlace satelital. Este servicio de proxy deberá ser capaz de redireccionar las peticiones hacia el puerto del software acelerador de páginas del proveedor satelital (si el proveedor proporciona alguno).

o

Generación de bitácoras de accesos a Internet por parte de los usuarios del CCD.

o

Cache de contenido. Esto liberará al enlace satelital de peticiones frecuentes realizadas por usuarios del CCD.

o

En el caso de los CCD’s que tengan enlace directo a Internet por medio de un ISP, también deberá realizar funciones de firewall por medio de filtrado de paquetes e implementar una VPN para comunicarse con la red la SCT a través de Internet.

Para el caso de los enlaces que estarán conectados a la red de la SCT, la funcionalidad de generación de logs es opcional, solo será necesaria si se quiere tener el detalle de acceso a Internet por cada PC de un CCD. De otra forma el firewall central de en el Data Center proporcionará los accesos globales de cada CCD.

Para los CCD’s que estarán conectados directamente a Internet por medio de un ISP, la funcionalidad de firewall y la generación bitácoras locales de acceso es una función necesaria.

Adicionalmente a estas tareas este equipo tendrá la funcionalidad de controlador de dominios con que se soportará el directorio de usuarios.

PAG. 22

Redundancia

Si se tuviera como objetivo el tener mayor disponibilidad a los servicios que provee este equipo una opción de bajo costo es que otra de las estaciones de trabajo, en uso en el CCD, tenga la misma configuración del equipo proxy. De esta forma si el equipo sufre una falla mayor será posible remplazar el equipo dañado por éste y reanudar el servicio de una forma muy rápida y sin esperar el tiempo de reparación. Este equipo de respaldo puede ser configurado ejecutando los procedimientos automatizados de instalación/recuperación del proxy.

En caso de que en este CCD’s se estén creando cuentas por usuario específico será necesario ejecutar procedimientos adicionales para restaurar el directorio de una copia de respaldo. Otra opción es que este segundo equipo desde un inicio sea también un controlador del dominio y por tanto mantenga todo el tiempo una copia del directorio de usuarios actualizada.

Administración

Para realizar la administración remota el equipo proxy, éste tendrá instalados los Servicios de Terminal y el componente para acceso a este servicio a través de Web.

Debido a la configuración de acceso a la red a través del equipo proxy, si se quiere revisar la configuración del los equipos de un CCD, es necesario pasar a través del proxy. A menos de que este provea una VPN hacia su red.

La utilización de los servicios de terminal permiten acceder a la consola del equipo proxy. A partir de este punto es posible utilizar diversas herramientas para revisar y configurar a los equipos del CCD si las PC’s del CCD cuentan con Windows 2000 o Windows XP Professional. Si las PC’s del CCD cuentan con Windows 95/98/98SE las opciones de administración remota son muy limitadas.

Windows XP soporta un servicio limitado de los servicios de terminal (Remote Desktop) lo cual permite tener acceso a la consola de cada PC de un CCD que cuente con este sistema operativo. Si las PC’s de un CCD tienen otro sistema operativo y se desea tener una funcionalidad similar se deberá adquirir software adicional de terceros para este propósito.

PAG. 23

Requerimientos de hardware y software

A continuación se describe el software y hardware recomendado para la configuración propuesta:

Acceso a Web Streaming de Video Correo Mensajes Instantaneos Estaciones de Trabajo Windows XP Professional
Acceso a Web
Streaming de Video
Correo
Mensajes Instantaneos
Estaciones de Trabajo
Windows XP Professional
Office XP
Controlador de Dominio
NAT, DHCP, DNS
Opcional: Web Proxy
Bitácoras de acceso
Cache de Contenido
Acceso a Web
Streaming de Video
Correo
Mensajes Instantaneos
Uso como Estación de Trabajo
PROXY
Estaciones de Trabajo
Windows 2000 Server
ISA Server (opcional)
Windows XP Professional
Office XP
VSAT

Proxy

Software

o Windows 2000 Server SP2

o

Internet Explorer 5.5 SP2 o 6.0

o

Internet Information Services 5.0

Web

FTP

o

DNS

o

Terminal Services

PAG. 24

o Web Terminal Services Component

o

Software acelerador de páginas del proveedor del enlace satelital (si el proveedor proporciona alguno).

o

Software de Antivirus.

o

ISA Server (Opcional)

o

Firewall

o

Cache

o

Aplicación de administración y control (opcional)

Hardware

o

Pentium III 700 Ghz o mayor

o

256 Mb de RAM (mínimo soportado 128 MB, sin instalar ISA Server)

o

20 GB en Disco

o

2 Tarjeta Ethernet 10/100 Mbs ó

1 Tarjeta Ethernet 10/100 Mbs y 1 Tarjeta Inalámbrica 11 Mbs (IEEE

802.11b).

o

Tarjeta de modem 56 Kbs (opcional)

o

Monitor, teclado y mouse.

o

Concentrador o switch ethernet 10 o 10/100 Mbs ó Access Point 11 Mbs (IEEE 802.11b).

Estaciones de Trabajo

Software

o

Windows XP Professional

o

Office XP

o

Enciclopedia Encarta

o

Software de Antivirus.

PAG. 25

Hardware

o

Pentium III 300 Mhz o superior

o

128 Mb de RAM

o

10 GB en Disco (1.5 GB Windows XP, 210 MB Office XP, 1.6 GB Encarta en el disco)

o

1 Tarjeta Ethernet 10/100 Mbs ó

1 Tarjeta inalámbrica 11 Mbs (IEEE 802.11b)

o

Monitor, teclado y mouse.

PAG. 26

Apéndices