Windows 2003, servidor de horario

-- traducido http://www.windowsnetworking.com/articles_tutorials/Configuring-Windows-Time-Service.html

El servicio W32time es el encargado en mantener sincronizado el relog de la computadora. Especialmente para asegurar la autentificación de kerberos dentro del active directory.

W32time esta basado en la Simple Network Time Protocol (SNTP) RFC 1769.

Stratum	Description
1	Locally connected hardware clock (optional) ó Internet time server (optional)
2	PDC Emulator in forest root domain
3	Other domain controllers in forest root domain ó PDC Emulators in child domains
4	Workstations and member servers in forest root domain ó Other domain controllers in child domains
5	Workstations and member servers in child domains

Sincronizacion con un servidor de Internet
HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type

Este registro determina la forma de sincronización. Cambiar de NT5DS a NTP.


HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags

Este registro indica cuando una computadora esta marca con un posible servidor de tiempo. Solo es valido cuando el registro anterior es NTP. Cambiar es 10 a 5.


HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\NtpServer

Es una lista delimitada por el caracte espacio de servidores de tiempo. Pueden ser nombre DNS o direcciones IP. Si son DNS se debe agregar al final ,0x1 al final de cada nombre. Ejemplo cambiar de time.windows.com,0x1 a 0.us.pool.ntp.org,0x1
Reiniciar el servicio con

net stop w32time
net start w32time

Y para acelerar la sincronización con este comando
w32tm /resync /rediscover

Instalar Messenger Live 2009 (14) msi con una gpo

---tomado de http://www.tech-archive.net/Archive/Windows/microsoft.public.windows.group_policy/2007-09/msg00366.html

La opcion de instalar Windows Messenger Live (hasta la version publica al dia 2009-09-15) esta desabilitada al parecer por microsoft, por lo que es necesario editar el archivo messenger.msi para activar la opcion.

Para hacer esto
*se instala windows installer SDK.
*en la carpeta tools de donde se instalo el SDK esta un archivo orca.msi, lo instalamos.
*se creara un acceso directo en el menu de programas, abrimos el programa
*en Orca abrimos el messenger.msi, del lado izquierdo damos con el boton derecho y creamos la tabla AdvtExecuteSequence
*en esa tabla agregamos las siguientes opciones

CostInitialize 800
CostFinalize 1000
InstallValidate 1400
InstallInitialize 1500
CreateShortcuts 4500
RegisterClassInfo 4600
RegisterExtensionInfo 4700
RegisterProgIdInfo 4800
RegisterMIMEInfo 4900
PublishComponents 6200
MsiPublishAssemblies 6250
PublishFeatures 6300
PublishProduct 6400
InstallFinalize 6600
"ProgramMenuFolder.ADEB440D_7847_4F65_80BD_899870ED 2EC9" 1

todas con condition en blanco

grabamos y listo. ya podemos hacer una gpo para instalarlo

Escritorio remoto no inicia servicio

Me paso que no me podia conectar por escritorio remoto, revisando vi que el puerto 3389 no estaba escuchando nada.

Despues de buscar como resolver el problema vi que era por borre la conexion RDP. La borre por ignorante la verdad, antes del problema me conecte remotamente a la maquina y quise cerrar sesión pero se quedo trabado, cerre la ventana aun cuando me advertia que la sesión iba a seguir abierta, pense que en un rato se cerraba. Despues de un rato volvi a abrir sesión y seguia en la misma parte, se congelo algo y nunca se cerro sesión.

Fui a la maquina directamente e intente borrar la conexion, entre configuración de terminal services y borre el RDP-tcp de "connections". ERROR.
Bueno para resolverlo se hace lo siguiente:
---http://www.experts-exchange.com/OS/Microsoft_Operating_Systems/Q_23019492.html
-abrir tscc.msc
-seleccionar "connections" y en el menu action darle en "new connection".

las opciones "normales" de una conexion es:
-encriptacion.- compactible con el cliente
-capa de seguridad: Capa RDP
-opciones de inicio: usar las provistas por el cliente, sin "simpre preguntar"
-control remoto: usar control remoto con la configuracion predeterminada}
-permisos:administradores(con control total), local services (permisos espciales de query information y message), network servies (permisos especiales de message) y usuarios de escritorio remoto (con user access y guest access).

Cambiar el puerto de escritorio remoto

--- tomado de http://www.mobydisk.com/techres/securing_remote_desktop.html

Para cambiar el puerto predeterminado de Escritorio Remoto que es el 3389 a otro cambiamos la siguente clave:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber

Cuando se conecte tambien se debe especificar cual puerto es el destino

"mi.computadoraencasa.com:4567" en lugar de "mi.computadoraencasa.com"

Sin olvidad de cambiar la regla del firewall

Usuarios de Escritorio Remoto por GPO

Para permitir que en las maquinas cliente (como un WinXP) nos podamos conectar usando el "Escritorio Remoto" se agrega en una GPO lo siguiente
1.- Agregar una GPO con nombre "UsuariosRemoto"
2.- Editamos la GPO y agregamos en las siguientes claves
3.- Computer Configuration/Windows Settings/Local Policies/User Rights Assignment
3.1.- Allow log on through Terminal Services <-- Agregamos el usuario/grupo que queremos
4.- Computer Configuration/Windows Settings/Restricted Groups -->
4.1.- agregamos el grupo de "Usuarios de Escritorios Remotos" (podemos usar el bonton browse).
4.2.- Agregamos en "members of this group" el mismo usuario/grupo del paso 3.1

Nota. esta revuelto con claves en ingles porque pase la configuracion de mi anterior servidor que estaba en español al nuevo que esta en ingles. Me sorprendio que los nombres de usuarios y grupos internos o builtin quedaran en español.

Hacer certificados x509 con openssl para windows

--tomado de http://www.codeproject.com/KB/IP/sslclasses.aspx y http://dns.bdat.net/documentos/certificados_digitales/x359.html

1.- Generar llave privada "openssl genrsa -des3 -out clientkey.pem 2048". El archivo se genera en base 64.

2.- Generar peticion "openssl req -new -key clientkey.pem -out clientrequest.csr".

3.- Generar certificado: Se puede hacer de 2 formas.

3a.-En el sitio de tu servidor /certsvr, en "Solicitar certificado" -> "Solicitud avanzada de certificado" -> "Enviar una solicitud de certificados usando un archivo cifrado de base64 CMC o PKCS #10 o una solicitud de renovación usando un archivo cifrado de base64 PKCS #7." dile donde se encuentra el archivo clientrequest.csr y descarga el archivo generado con el nombre de "clientcert_x509_codificado.cer". Este archivo esta en formato x509 codificado.

3b.- En la linea de comandos logeado en el servidor "certreq -submit -attrib "Ce
rtificateTemplate:ClientAuth" -crl -f clientrequest.csr clientcert_x509_base64.cer" . Para mas atributos http://www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/security/advcert.mspx#EK4AG en la sección "Certreq.exe INF File Structure"

* Ahora los vamos a convertir en x509 base 64 "openssl x509 -inform DER -in clientcert_x509_codificado.cer -out clientcert_x509_base64.pem"

* Y combinamos el certificado y la llave privada en un archivo. "type clientcert_x509_codificado.pem clientkey.pem >client_cert_key.pem".

* Algunos programas (Como Internet Explorer o Mozilla Firefox) necesitan que el archivo este en formato pkcs12, el cual obtenemos asi "openssl pkcs12 -export -out client_cert_key.p12 -in client_cert_key.pem -name "Mi certificado" "


Ahora si a usarlo en nuestra aplicación

Configuracion Windows 2003 PDC

TOMADO DE http://eventid.net/display.asp?eventid=53258&eventno=4493&source=MSDTC&phase=1
Para el error
Origen: MSDTC
ID: 53258

David Grant (Last update 4/12/2005):
I corrected the error by doing the following:
1. Click Start -> Administrative Tools -> Component Services.
2. Click the "+" next to Component services to expand it.
3. Right click "My Computer" in the right window pane and select Properties.
4. Click the MS DTC Tab.
5. Click the "Security Configuration" button, a dialog box appears. Click "OK".
6. Click "OK" on the "My Computer Properties" box; this will take you back to the console.
7. Right click "My Computer" and select "Stop MS DTC" (this stops the MSDTC service.
8. Again, right click "My Computer" and select "Start MS DTC".
By following the above steps, it appears that this sets the MS DTC defaults resolving the error messages. Check the event log to verify that the problem is gone. You might also want to restart the server to verify this.