1. Organizar los equipos: grupo de trabajo o dominio
Cuando varios equipos comparten recursos hay que decidir dónde viven las cuentas de usuario y quién controla la seguridad. Hay dos modelos.
Un piso de estudiantes frente a una empresa 🏢
| Grupo de trabajo (P2P) | Dominio (cliente-servidor) | |
|---|---|---|
| Cuentas | Locales en cada equipo | Centralizadas en el controlador de dominio |
| Tamaño | Hasta 10–20 equipos | Desde unos pocos hasta miles |
| Administración | Equipo a equipo | Centralizada: directivas de grupo (GPO), despliegue de software |
| Seguridad | Depende de cada usuario | Políticas comunes de contraseñas, bloqueo, permisos |
| Ejemplos | Casa, pequeña oficina | Active Directory, Samba AD, Microsoft Entra ID (en la nube) |
Active Directory
- Controlador de dominio: servidor Windows Server con AD DS que guarda usuarios, grupos, equipos y políticas, y autentica a los usuarios (Kerberos).
- Se organiza en dominios (instituto.local), unidades organizativas (OU: Profesores, Alumnos, Aulas) y grupos.
- GPO (directivas de grupo): configuraciones que se aplican automáticamente (fondo de escritorio, unidades de red, restricciones, instalación de software).
- Se basa en LDAP (consulta del directorio) y en DNS. En Linux, Samba puede actuar como controlador compatible; OpenLDAP y FreeIPA son alternativas.
2. Compartir carpetas e impresoras en Windows
Windows comparte carpetas mediante el protocolo SMB (puerto 445). Se accede con una ruta UNC: \\servidor\carpeta. A una carpeta compartida se le aplican dos capas de permisos:
| Permisos de recurso compartido | Permisos NTFS (seguridad) | |
|---|---|---|
| Se aplican | Solo al acceder por la red | Siempre: en local y por la red |
| Niveles | Lectura, Cambiar, Control total | Control total, Modificar, Leer y ejecutar, Mostrar contenido, Leer, Escribir |
| Granularidad | Toda la carpeta compartida | Cada carpeta y fichero, con herencia |
Regla de oro
1# Compartir una carpeta
2New-SmbShare -Name "Proyectos" -Path "D:\Proyectos" -FullAccess "INSTITUTO\Profesores" -ReadAccess "INSTITUTO\Alumnos"
3Get-SmbShare
4Get-SmbSession # quién está conectado
5
6# Permisos NTFS
7icacls D:\Proyectos /grant "INSTITUTO\Profesores:(OI)(CI)M"
8
9# Desde un cliente: conectar una unidad de red
10net use P: \\servidor\Proyectos /persistent:yes
11New-PSDrive -Name P -PSProvider FileSystem -Root \\servidor\Proyectos -Persist
12
13# Recursos ocultos y administrativos: su nombre acaba en $ (C$, ADMIN$, IPC$)
14net share- Impresoras: se instalan en el servidor y se comparten; los clientes las añaden con
\\servidor\impresorao se despliegan por GPO. En Linux se usa CUPS (interfaz enhttp://localhost:631). - Desactivar SMBv1 (vulnerable, lo usó WannaCry) y no exponer el puerto 445 a Internet.
3. Compartir recursos desde Linux: Samba y NFS
Samba implementa SMB en Linux: un servidor Ubuntu puede compartir carpetas con equipos Windows, macOS y Linux. NFS es el protocolo nativo de Unix para compartir con otros sistemas Linux.
1[global]
2 workgroup = OFICINA
3 server string = Servidor de ficheros
4 server min protocol = SMB2
5
6[proyectos]
7 path = /srv/proyectos
8 valid users = @proyectos ; solo el grupo proyectos
9 read only = no
10 create mask = 0660
11 directory mask = 2770
12
13[publico]
14 path = /srv/publico
15 guest ok = yes
16 read only = yes1sudo apt install samba
2sudo mkdir -p /srv/proyectos && sudo chgrp proyectos /srv/proyectos && sudo chmod 2770 /srv/proyectos
3sudo smbpasswd -a ana # Samba tiene sus propias contraseñas
4testparm # comprobar la sintaxis de smb.conf
5sudo systemctl restart smbd
6smbclient -L //localhost -U ana # listar recursos
7
8# NFS: /etc/exports
9/srv/compartido 192.168.20.0/24(rw,sync,no_subtree_check)
10sudo exportfs -ra
11# Cliente: sudo mount -t nfs servidor:/srv/compartido /mnt/compartido4. Acceso remoto
| Herramienta | Protocolo / puerto | Uso |
|---|---|---|
| SSH | TCP 22, cifrado | Terminal remota a servidores Linux (y Windows con OpenSSH). Copias seguras con scp/sftp y túneles. |
| RDP | TCP 3389 | Escritorio remoto de Windows (mstsc). Solo a través de VPN, nunca expuesto a Internet. |
| VNC | TCP 5900 | Escritorio remoto multiplataforma; cifrarlo con un túnel SSH. |
| VPN | WireGuard, OpenVPN, IPsec | Une el equipo a la red de la empresa de forma cifrada; después se usa RDP, SMB… |
| Soporte remoto | AnyDesk, RustDesk, Asistencia rápida | Ayudar a un usuario viendo su pantalla con su permiso. |
SSH con claves
1ssh ana@192.168.20.10 # conectar con contraseña
2ssh-keygen -t ed25519 -C "ana@portatil" # crear un par de claves (privada + .pub)
3ssh-copy-id ana@192.168.20.10 # instalar la pública en el servidor (~/.ssh/authorized_keys)
4ssh ana@192.168.20.10 # ya entra con la clave
5
6scp informe.pdf ana@servidor:/srv/datos/ # copiar ficheros
7sftp ana@servidor # transferencia interactiva
8ssh -L 8080:localhost:80 ana@servidor # túnel: localhost:8080 → puerto 80 del servidor
9
10# Endurecer el servidor: /etc/ssh/sshd_config
11PermitRootLogin no
12PasswordAuthentication no # solo claves
13AllowUsers ana luis
14# sudo systemctl restart ssh (¡prueba antes una sesión nueva sin cerrar la actual!)5. Seguridad en sistemas en red
Cortafuegos
Un cortafuegos decide qué conexiones se permiten según reglas (origen, destino, puerto, protocolo). La política segura es denegar todo lo entrante y abrir solo los servicios necesarios.
1# Linux: ufw (Uncomplicated Firewall)
2sudo ufw default deny incoming
3sudo ufw default allow outgoing
4sudo ufw allow OpenSSH
5sudo ufw allow from 192.168.20.0/24 to any port 445 proto tcp # Samba solo desde la LAN
6sudo ufw enable
7sudo ufw status numbered
8
9# Windows Defender Firewall con PowerShell
10New-NetFirewallRule -DisplayName "Web interna" -Direction Inbound -Protocol TCP -LocalPort 8080 -RemoteAddress 192.168.20.0/24 -Action Allow
11Get-NetFirewallProfile | Select-Object Name, Enabled
12# Gráfico: wf.mscMedidas básicas
| Amenaza | Medida |
|---|---|
| Contraseñas débiles o robadas | Contraseñas largas y únicas, gestor de contraseñas, doble factor (MFA), bloqueo tras intentos fallidos |
| Vulnerabilidades del software | Actualizaciones automáticas del sistema y de las aplicaciones; retirar sistemas sin soporte |
| Malware y ransomware | Antivirus/EDR (Microsoft Defender), copias de seguridad offline, no trabajar como administrador |
| Phishing | Formación de los usuarios, filtros de correo, MFA |
| Acceso excesivo | Mínimo privilegio: cada usuario, solo los permisos que necesita; revisar las cuentas periódicamente |
| Robo de equipos o discos | Cifrado del disco (BitLocker, LUKS), bloqueo de pantalla |
| Ataques desde la red | Cortafuegos, segmentar la red (VLAN), cerrar servicios que no se usan, VPN para el acceso remoto |
| Incidentes sin detectar | Registros centralizados, auditoría de accesos, alertas |
Marco legal
6. Ejercicios
Permisos efectivos
La carpeta D:\Contabilidad está compartida con estos permisos de recurso compartido: Todos → Lectura. Sus permisos NTFS son: Contables → Modificar, Dirección → Control total, Usuarios → Leer. ¿Qué puede hacer cada uno de estos usuarios a) accediendo por la red y b) sentado en el propio servidor? 1. Marta (grupo Contables) 2. El director (Dirección) 3. Luis (solo Usuarios)
Servidor de ficheros con Samba
En una VM Ubuntu Server crea un servidor de ficheros para una oficina: 1. Grupos ventas y administracion con dos usuarios cada uno. 2. Recursos compartidos: [ventas] (solo el grupo ventas, lectura y escritura), [administracion] (solo su grupo) y [comun] (todos leen y escriben). 3. Los ficheros nuevos deben pertenecer al grupo del recurso. 4. El cortafuegos solo debe permitir SSH y Samba desde la red 192.168.20.0/24. 5. Comprueba el acceso desde un cliente Windows con \\servidor\ventas y documenta las pruebas.
Auditoría de seguridad básica
Revisa la seguridad de un equipo (o una VM) y redacta un breve informe con: usuarios y cuáles son administradores, actualizaciones pendientes, puertos abiertos y a qué servicio pertenecen, estado del cortafuegos, estado del antivirus, cifrado del disco y últimos inicios de sesión fallidos. Propón tres mejoras priorizadas.