Active Directory y GPO
Cómo se configuran automáticamente cientos de equipos Windows: el perfil Wi-Fi, los certificados, las impresoras, las actualizaciones, el cifrado… sin tocar uno a uno. Qué son las directivas de grupo (GPO), en qué orden se aplican, cómo se diagnostican y cuál es su equivalente moderno en la nube (Intune).
1. Active Directory en dos minutos
Active Directory (AD DS) es la base de datos central de la empresa en Windows: usuarios, grupos, equipos e impresoras. Vive en los controladores de dominio (DC), que también suelen ser los servidores DNS internos. Cada PC unido al dominio confía en los DC para iniciar sesión (Kerberos) y para recibir su configuración (GPO).
2. Qué es una GPO
Una GPO (Group Policy Object) es un paquete de configuración que se aplica automáticamente a los equipos o usuarios de una OU. Tiene dos mitades:
Configuración de equipo
Se aplica al arrancar el PC y cada 90 min (±30). Ejemplos: perfil Wi-Fi 802.1X, certificados, firewall de Windows, BitLocker, Windows Update, plan de energía, software instalado.
Configuración de usuario
Se aplica al iniciar sesión y cada 90 min. Ejemplos: unidades de red, impresoras, fondo de pantalla, redirección de carpetas, restricciones del escritorio.
Dentro de cada mitad hay Directivas (políticas, el usuario no puede cambiarlas) y Preferencias (valores iniciales, más flexibles, con segmentación por elemento: "aplicar solo si el equipo está en la planta 3").
Orden de aplicación: L-S-D-OU
La directiva local del propio PC.
Vinculada a un sitio de AD (una sede física).
Para todos. Aquí la directiva de contraseñas.
La última que se aplica gana si hay conflicto.
- Exigido (Enforced): la GPO no puede ser sobrescrita por las de OUs inferiores.
- Bloquear herencia: una OU deja de recibir las GPO de arriba (salvo las exigidas).
- Filtrado de seguridad: aplicar solo a un grupo (p. ej. "Portátiles Wi-Fi").
- Filtro WMI: aplicar solo si se cumple una consulta (p. ej. "solo Windows 11", "solo portátiles").
- Loopback: aplicar configuración de usuario según el equipo (salas de formación, kioscos).
3. GPO imprescindibles en una empresa como la mía
| GPO | Dónde se configura | Para qué |
|---|---|---|
| Wi-Fi corporativo 802.1X | Equipo › Directivas › Config. de Windows › Config. de seguridad › Directivas de red inalámbrica (IEEE 802.11) | Crea el perfil del SSID "Empresa" con WPA2/WPA3-Enterprise, EAP-TLS (certificado) o PEAP, conexión automática y antes del inicio de sesión. Nadie teclea contraseñas Wi-Fi. |
| Autoinscripción de certificados | Equipo › … › Directivas de clave pública › Cliente de Servicios de certificados: inscripción automática | Cada PC obtiene su certificado de la CA interna (AD CS) para EAP-TLS / VPN. |
| Ajustes del adaptador Wi-Fi | Preferencias › Registro / plan de energía | Desactivar el ahorro de energía agresivo de la tarjeta (provoca desconexiones), preferir 5/6 GHz si el driver lo permite. |
| Windows Update / WSUS | Equipo › Plantillas administrativas › Componentes › Windows Update | Ventanas de actualización, aplazamientos, servidor WSUS o Windows Update for Business. Evita que 2.000 equipos descarguen a la vez. |
| Optimización de distribución | Plantillas › Componentes › Optimización de distribución | Los PCs comparten actualizaciones entre sí en la LAN (modo "grupo" por planta/subred) → menos consumo de Internet. |
| BitLocker | Plantillas › Componentes › Cifrado de unidad BitLocker | Cifrado obligatorio y copia de la clave de recuperación en AD/Entra. |
| LAPS | Plantillas › Sistema › LAPS | Contraseña de administrador local única y rotativa por equipo. |
| Firewall de Windows | Config. de seguridad › Firewall de Windows Defender | Perfil de dominio activado; bloquear entrantes salvo gestión. |
| Desactivar LLMNR y NetBIOS | Plantillas › Red › Cliente DNS (LLMNR) · Preferencias (NetBIOS) | Menos broadcast en las VLANs Wi-Fi y menos superficie de ataque (envenenamiento LLMNR). |
| Unidades de red e impresoras | Usuario › Preferencias › Asignaciones de unidad / Impresoras | Por grupo o por planta (segmentación por elemento). |
| Proxy / certificados de inspección SSL | Equipo › Directivas de clave pública › Entidades de certificación raíz de confianza | Distribuir la CA del firewall para que la inspección TLS no rompa la navegación. |
| Bloqueo de pantalla | Plantillas › Panel de control › Personalización | Bloqueo tras 10–15 min de inactividad. |
| Auditoría | Config. de seguridad › Configuración de directiva de auditoría avanzada | Registrar inicios de sesión, cambios de grupos, etc. hacia el SIEM. |
Perfil Wi-Fi por GPO, paso a paso
- Requisitos: CA interna (AD CS) o certificado público en el servidor RADIUS (NPS); NPS con una directiva de red para el SSID; los APs (p. ej. EnGenius Cloud) con el SSID en WPA2/WPA3-Enterprise apuntando al RADIUS.
- Gestión de directivas de grupo → nueva GPO "WIFI-Corporativo" vinculada a la OU de portátiles.
- Equipo › Directivas › Config. de Windows › Config. de seguridad › Directivas de red inalámbrica → Crear nueva directiva para Windows Vista y posteriores.
- Agregar → Infraestructura → nombre del perfil y SSID "Empresa", "Conectar automáticamente".
- Seguridad: WPA2-Enterprise (o WPA3-Enterprise), AES; método Microsoft: tarjeta inteligente u otro certificado (EAP-TLS) o PEAP-MSCHAPv2. Validar certificado del servidor, indicar el nombre del NPS y la CA raíz (¡imprescindible para evitar ataques de AP falso!).
- Modo de autenticación: autenticación de equipo (o equipo o usuario) → el portátil se conecta antes del inicio de sesión, y así se aplican GPO y scripts.
- Opcional: marcar redes "Invitados" como bloqueadas en los equipos corporativos.
gpupdate /forceen un equipo de prueba y verificar connetsh wlan show profiles.
4. Diagnóstico de GPO
| Comando / herramienta | Para qué |
|---|---|
gpupdate /force | Forzar la aplicación inmediata. |
gpresult /r · gpresult /h informe.html | Ver qué GPO se han aplicado, cuáles se han filtrado y por qué. |
rsop.msc | Conjunto resultante de directivas (vista gráfica). |
| Visor de eventos › Aplicaciones y servicios › Microsoft › Windows › GroupPolicy › Operational | Errores de procesamiento, tiempos. |
nltest /dsgetdc:empresa.local | ¿El equipo encuentra un controlador de dominio? |
dcdiag · repadmin /replsummary | Salud y replicación de los DC (y del SYSVOL donde viven las GPO). |
| Modelado de directivas de grupo (GPMC) | Simular qué pasaría al mover un usuario/equipo de OU. |
Problemas típicos
| Síntoma | Causa probable | Solución |
|---|---|---|
| La GPO no se aplica a un equipo | Equipo en otra OU; filtrado de seguridad sin "Usuarios autenticados" con lectura; filtro WMI falso | gpresult /h y revisar la sección "Denegadas". |
| Las GPO de equipo no llegan a portátiles Wi-Fi | El portátil se conecta al Wi-Fi solo tras iniciar sesión (perfil de usuario o PSK) | Perfil 802.1X con autenticación de equipo; o "Esperar siempre a la red al iniciar". |
| Inicio de sesión muy lento | DNS de los PCs apuntando a algo que no es el DC; scripts pesados; unidades de red inaccesibles | DNS = DCs; scripts asíncronos; revisar tiempos en el registro Operational. |
| Cambios que "vuelven" | Dos GPO en conflicto; preferencia en modo "Reemplazar" | Revisar orden de vínculos y precedencia. |
| GPO distinta en cada DC | Fallo de replicación SYSVOL (DFSR) | dcdiag /test:sysvolcheck, eventos DFSR. |
| Kerberos falla: "la hora no coincide" | Más de 5 min de diferencia horaria | NTP jerárquico: PDC → fuente externa; equipos → dominio. |
5. GPO frente a Intune (gestión moderna)
| GPO (Active Directory) | Intune (Entra ID) | |
|---|---|---|
| Requiere | Ver a un controlador de dominio (LAN o VPN) | Solo Internet |
| Ideal para | Equipos siempre en la oficina, servidores, entornos sin nube | Portátiles móviles, teletrabajo, móviles iOS/Android, Mac |
| Perfil Wi-Fi | Directiva de red inalámbrica | Perfil de configuración Wi-Fi + perfil de certificado SCEP/PKCS |
| Actualizaciones | WSUS | Windows Update for Business / Autopatch |
| Despliegue de PCs | Imagen + unión al dominio | Autopilot: el portátil llega de fábrica y se configura solo |
En una empresa de nivel 3 lo habitual es híbrido: equipos unidos a AD y a Entra, GPO para lo heredado y Intune para lo nuevo, migrando poco a poco (la herramienta Group Policy analytics de Intune indica qué GPO tienen equivalente).