WS2025 - GPO - DHCP

Introducción

En entornos empresariales, es esencial garantizar que solo los equipos autorizados puedan recibir configuración de red y acceder a los recursos internos. Para lograrlo, una estrategia efectiva consiste en combinar User Class en DHCP con Políticas de Grupo (GPO) en Active Directory.

En esta práctica, configuraremos una GPO para asignar una User Class específica a los equipos que forman parte del dominio. Luego, en el servidor DHCP, reservaremos todo el rango de direcciones IP del ámbito y lo configuraremos para que únicamente los dispositivos con la User Class definida puedan recibir configuración de red. De esta manera, cualquier equipo que no pertenezca al dominio quedará sin acceso automático a los parámetros de red.

Para facilitar la incorporación de nuevos equipos al dominio, desarrollaremos un script que automatice el proceso. Este script asignará la User Class al equipo para permitirle obtener una dirección IP válida y lo añadirá a la Unidad Organizativa (OU) correspondiente dentro de Active Directory.

Objetivos de la práctica

El propósito de esta práctica es mejorar la seguridad y el control en la asignación de direcciones IP dentro de una red de dominio. A través del uso de GPOs y User Class en DHCP, aseguraremos que solo los equipos autorizados puedan obtener parámetros de red de manera automática. También exploraremos cómo automatizar el proceso de unión de nuevos dispositivos al dominio mediante un script, optimizando así la administración de la infraestructura.

Importancia de la práctica

La correcta administración de direcciones IP es un aspecto fundamental en la gestión de redes. Implementar un sistema basado en User Class permite tener un mayor control sobre qué dispositivos pueden recibir una configuración de red válida, reduciendo el riesgo de accesos no autorizados.

En entornos corporativos, la automatización del proceso de incorporación de equipos al dominio no solo facilita la administración, sino que también minimiza errores y mejora la eficiencia del departamento de TI. Este enfoque combina seguridad y automatización, dos elementos clave en la gestión moderna de redes empresariales.

Ventajas

Aplicar esta configuración aporta diversos beneficios. Uno de los más importantes es el control preciso sobre la asignación de direcciones IP, asegurando que solo los equipos registrados en el dominio puedan obtener configuración de red de manera automática.

Además, se reduce el riesgo de accesos no autorizados, ya que los dispositivos externos no podrán obtener direcciones IP a través del servidor DHCP. La automatización del proceso de incorporación de nuevos equipos mediante un script agiliza la gestión administrativa, disminuyendo la carga de trabajo del personal de TI.

Este método también facilita la organización de los dispositivos dentro del dominio, mejorando la administración de la red y permitiendo una gestión centralizada más eficiente.

Desventajas

A pesar de sus beneficios, esta estrategia no es completamente infalible. No representa una medida de seguridad absoluta, ya que un usuario con conocimientos técnicos podría configurar manualmente los parámetros de red y obtener acceso.

También existe una dependencia del servidor DHCP, lo que significa que, si este servicio falla, los equipos no podrán recibir configuración de red. La implementación inicial requiere una configuración detallada y precisa, lo que puede implicar una carga administrativa adicional.

Conclusión

La integración de User Class en DHCP con GPOs en Active Directory es una estrategia útil para mejorar el control sobre la asignación de direcciones IP dentro de una red de dominio. Aunque no es una solución de seguridad definitiva, sí representa una capa adicional de protección que restringe el acceso automático a la red solo a dispositivos autorizados.

Además, la automatización mediante scripts facilita la incorporación de nuevos equipos, optimizando el proceso y reduciendo la posibilidad de errores manuales. Esta práctica permite adquirir conocimientos sobre herramientas avanzadas de administración de red, combinando seguridad, automatización y eficiencia en la gestión de infraestructura informática.

Políticas de Grupo (GPO) en Active Directory

Una Política de Grupo (GPO - Group Policy Object) es un conjunto de configuraciones definidas de manera centralizada en Active Directory (AD) que permite gestionar de forma uniforme los dispositivos y usuarios dentro de un dominio. Su función principal es facilitar la administración de sistemas, asegurando que todos los equipos dentro de una organización sigan las mismas configuraciones establecidas por los administradores de TI.

Las GPOs pueden aplicarse a nivel de usuario o de equipo y pueden contener diversas configuraciones, como restricciones de acceso, instalación de software, asignación de recursos de red y ajustes de seguridad. Estas políticas permiten reducir el tiempo de configuración manual en cada dispositivo y garantizan un entorno homogéneo y seguro.

En esta práctica, utilizamos una GPO para asignar una User Class específica en los equipos que pertenecen al dominio. Con esta configuración, se asegura que únicamente los dispositivos autenticados en Active Directory sean identificados correctamente ante el servidor DHCP, permitiéndoles obtener configuración de red de manera automática.

El rol del servidor DHCP en la asignación de direcciones IP

Un servidor DHCP (Dynamic Host Configuration Protocol) es un servicio de red que asigna automáticamente direcciones IP y otros parámetros de configuración de red a los dispositivos que se conectan a la infraestructura. En redes grandes, el uso de DHCP es esencial para gestionar de manera eficiente la asignación de direcciones, evitando conflictos de IP y reduciendo la necesidad de configuraciones manuales.

Cuando un dispositivo se conecta a la red, envía una solicitud de dirección IP al servidor DHCP. Este evalúa la petición y responde asignando una dirección dentro del rango disponible, junto con otros parámetros como la máscara de subred, la puerta de enlace predeterminada y los servidores DNS. Este proceso permite que los dispositivos se integren en la red sin intervención manual, facilitando la administración de grandes volúmenes de equipos.

Sin embargo, este modelo presenta una vulnerabilidad: cualquier equipo que se conecte a la red puede solicitar una dirección IP y obtener configuración de red automáticamente, siempre que el DHCP tenga direcciones disponibles. Esto significa que un dispositivo no autorizado podría recibir una dirección IP válida y acceder a la red interna de la organización, lo que representa un riesgo de seguridad.

Problemas al conectar equipos a la red y riesgos de seguridad

El principal problema al permitir que cualquier equipo reciba configuración de red de forma automática es la falta de control sobre los dispositivos que se conectan. En entornos empresariales o institucionales, donde la seguridad de la red es una prioridad, no es deseable que cualquier dispositivo pueda obtener acceso con solo conectarse a un puerto de red o a una red Wi-Fi corporativa.

Algunos de los riesgos asociados a una configuración DHCP abierta son los siguientes:

• Acceso no autorizado a la red interna: Un dispositivo ajeno a la organización podría recibir una dirección IP y conectarse a recursos internos, como servidores de archivos, aplicaciones empresariales o bases de datos.
• Ataques de suplantación de identidad (spoofing): Un atacante podría configurar manualmente una dirección IP válida dentro del rango de la red y acceder sin depender del DHCP.
• Propagación de malware o accesos indebidos: Un dispositivo infectado podría recibir configuración de red automáticamente y propagar virus o ransomware dentro de la infraestructura de la empresa.
• Consumo de direcciones IP: Si no se establece un control sobre qué dispositivos pueden obtener configuración de red, un atacante podría realizar ataques de denegación de servicio (DoS) solicitando múltiples direcciones IP y agotando el rango disponible.

Para mitigar estos riesgos, es necesario implementar mecanismos de control que aseguren que solo los dispositivos autorizados puedan obtener configuración de red. En esta práctica, una de las soluciones empleadas es el uso de User Class en DHCP, combinada con GPOs en Active Directory.

Uso de User Class en DHCP para mejorar la seguridad

Una User Class en DHCP es un identificador que permite categorizar los dispositivos que solicitan una dirección IP. Al definir una User Class, el servidor DHCP puede diferenciar entre distintos tipos de clientes y aplicar políticas específicas a cada grupo.

En este contexto, configuramos una User Class especial que solo será asignada a los equipos que pertenezcan al dominio de Active Directory. Posteriormente, configuramos el servidor DHCP para que únicamente proporcione direcciones IP a los dispositivos que presenten esta User Class en su solicitud.

El flujo de trabajo es el siguiente:

1. Un equipo del dominio solicita una dirección IP al servidor DHCP.
2. La solicitud DHCP incluye la User Class previamente configurada mediante GPO.
3. El servidor DHCP valida la User Class y, si coincide con la definida en su configuración, otorga una dirección IP.
4. Si un equipo sin User Class (o con una User Class incorrecta) solicita una dirección IP, el servidor DHCP ignora la solicitud y no le proporciona configuración de red.

Este método impide que dispositivos no autorizados reciban configuración de red automáticamente, dificultando la conexión de equipos externos o dispositivos personales que no formen parte del dominio.

Unión de GPO y User Class en DHCP en esta práctica

Para garantizar que solo los equipos del dominio reciban configuración de red, combinamos tres elementos clave:

• GPO en Active Directory: Se encarga de configurar automáticamente la User Class en los equipos del dominio para que incluyan esta información en sus solicitudes DHCP.
• Configuración del servidor DHCP: Se establece una User Class específica y se configura el servicio para que solo entregue direcciones IP a los dispositivos que presenten esta clasificación.
• Automatización de la unión al dominio: Mediante un script, los nuevos equipos se configuran correctamente, obteniendo la User Class necesaria y uniéndose a la unidad organizativa (OU) correspondiente en Active Directory.

Este enfoque proporciona un método de control adicional sobre la asignación de direcciones IP, asegurando que solo los equipos corporativos reciban configuración de red de manera automática.

Conclusión

El uso de GPOs y User Class en DHCP es una estrategia eficaz para limitar la asignación de direcciones IP a equipos autorizados dentro de un dominio de Active Directory. Aunque este mecanismo no es una solución de seguridad definitiva, ya que un usuario con conocimientos avanzados podría configurar manualmente los parámetros de red y acceder a la infraestructura, sí representa una capa adicional de protección que dificulta el acceso a dispositivos no autorizados.

Para maximizar la seguridad de la red, esta estrategia debe combinarse con otras medidas, como autenticación en red mediante 802.1X, segmentación VLAN, filtrado de direcciones MAC y monitoreo de tráfico.

Esta práctica permite comprender cómo funcionan las GPOs en Active Directory, la asignación de direcciones IP mediante DHCP y el uso de User Class como mecanismo de control, aplicando conceptos avanzados de administración de redes en un entorno empresarial.

Estructura de red