Networking

Problema En entornos con Active Directory (AD) es habitual observar que un equipo cliente realiza la autenticación Kerberos contra el controlador de dominio (DC) que responde al registro SRV _kerberos._tcp. Lo que sorprende a muchos es que, después de obtener el ticket, el mismo cliente abre una conexión LDAP hacia una dirección IP que no corresponde a ningún DC. El patrón típico es: Workstation ── Kerberos ──► DC A Workstation ── LDAP ─────► Host B (no es DC) Este comportamiento genera alertas en sensores de detección (por ejemplo, CrowdStrike Identity Protection) y plantea preguntas de seguridad: ¿es legítimo que el cliente consulte LDAP en un servidor que no es controlador? ¿Podría tratarse de un túnel malicioso o de una mala configuración? El objetivo de este artículo es ofrecer una guía genérica para diagnosticar, entender y corregir este tipo de situaciones sin depender del caso concreto que originó la duda. ...

Problema En entornos híbridos es frecuente que una o más instancias de firewall virtual (por ejemplo FortiGate‑VM) se encarguen de los túneles IPsec que conectan la VPC de AWS con la red de la oficina corporativa. Cuando se despliegan dos firewalls idénticos, cada uno abre su propio túnel. El objetivo es que, si una instancia deja de responder —por falla del EC2, por problemas de software o por pérdida de la conexión a Internet— el tráfico de la VPC se redirija automáticamente al segundo túnel sin intervención manual. La dificultad radica en que AWS no ofrece un “IP SLA” integrado; la conmutación debe basarse en mecanismos de enrutamiento o de salud que el propio cliente configure. ...

Problema En entornos con Active Directory, el DNS interno gestiona tanto los registros de recursos como la delegación de sub‑zonas (por ejemplo, _msdcs.domain.lan). Cuando se retira un controlador de dominio y se migra la zona a un nuevo servidor, es frecuente que la prueba dcdiag /test:dns devuelva un mensaje similar a: Delegation information for the zone: domain.lan. Delegated domain name: _msdcs.domain.lan. Error: DNS server: 192.168.x.x. IP:<Unavailable> [Missing glue A record] Error details: 9714 (DNS name does not exist.) El síntoma es claro: el servidor DNS no encuentra un glue record (registro A) que debería acompañar a la delegación. El fallo impide que los clientes resuelvan nombres críticos como los controladores de dominio, lo que a su vez rompe la replicación y la autenticación. ...

Problema En entornos donde el mismo dominio (por ejemplo, example.domain) se utiliza tanto para servicios internos como para recursos expuestos al exterior, los administradores suelen querer que los clientes internos resuelvan los nombres internos directamente, mientras que cualquier nombre que no exista en la zona interna se delegue a un servidor externo (BIND9 en DMZ). La dificultad aparece cuando el DNS de Windows, que es autoritativo para la zona, responde con NXDOMAIN a cualquier registro que no tenga, impidiendo que la consulta sea reenviada automáticamente al servidor externo. Mantener dos zonas idénticas o crear registros “pinpoint” para cada host externo genera una carga operativa innecesaria y propensa a errores. ...

Problema En muchos homelabs se configura pfSense como router/DHCP‑server y se delega un dominio interno (por ejemplo *.lan) para que los dispositivos accedan a recursos como SMB shares mediante nombres amigables (smb://servidor.lan). Cuando el servidor de almacenamiento es TrueNAS y se le asigna un hostname estático (slab), la resolución DNS suele funcionar sin problemas. Sin embargo, es frecuente que, sin intervención aparente, los nombres dejan de resolverse y sólo se accede a los recursos mediante la dirección IP (192.168.x.x). El síntoma típico es: ...

Problema En entornos donde se gestionan múltiples firewalls desde un appliance central (por ejemplo, Cisco FMC, Palo Alto Panorama o FortiManager), la autenticación suele estar aislada dentro de un proceso de arranque que crea una sesión de servicio temporal. Si esa sesión queda huérfana y el código que expone CGI endpoints no valida correctamente el contexto, un atacante puede escalar esa sesión a acceso total a la UI sin credenciales. ...

Problema Varias aplicaciones iOS que consumen una API HTTPS alojada en AWS presentan fallos esporádicos al iniciar sesión como invitado. Los dispositivos afectados registran mensajes como “An SSL error has occurred” o “A TLS error caused the secure connection to fail”. La mayoría de los usuarios pueden conectarse sin problemas; el error aparece solo en una fracción de los clientes y de forma intermitente. La arquitectura típica incluye: Dominio con registro A apuntando a una dirección IPv4 pública de un ELB o de una instancia EC2. Certificado TLS válido (por ejemplo, ACM o Let’s Encrypt) sin registro AAAA. Cliente iOS que usa URLSession para realizar la petición. El desafío es determinar si el fallo ocurre antes de que el tráfico alcance AWS (por ejemplo, en la ruta del ISP, resolución DNS o traducción NAT64) o si la conexión llega a AWS y se rompe durante el handshake o en la capa de aplicación (Nginx, WAF, etc.). ...

Problema En entornos con equipos Windows 11 unidos a dominio, es frecuente que al bloquear la sesión y volver a introducir las credenciales aparezca el mensaje “Your credentials could not be verified” o “You could not be signed in”. El bloqueo impide el acceso inmediato, obliga a reiniciar la máquina o a esperar a que el caché de credenciales se agote. El síntoma se reproduce tanto en equipos conectados directamente a la red corporativa como en usuarios que acceden mediante VPN. ...

Problema Muchos entornos híbridos usan Azure Point‑to‑Site (P2S) VPN para dar acceso a máquinas on‑premise o a laptops. Cuando la puerta de enlace está configurada para autenticarse con Microsoft Entra ID (antes Azure AD), la experiencia en Windows es fluida, pero en Linux aparecen dos obstáculos recurrentes: El cliente oficial Azure VPN Client para Linux quedó en preview, solo soporta Ubuntu 20.04/22.04 y fue retirado sin recibir parches. Los clientes genéricos (OpenVPN, strongSwan) esperan autenticación basada en certificados o RADIUS; no saben manejar un token JWT que Entra ID entrega mediante el flujo device‑code. El síntoma típico es que la conexión falla inmediatamente después de la fase de autenticación, con mensajes como “username/password authentication failed” o “TLS channel buffer overflow”. El problema no es exclusivo de una distribución; ocurre siempre que el token supera los buffers internos de OpenVPN. ...

Problema En varios entornos corporativos los clientes Windows 10/11 pueden ejecutar gpupdate sin problemas, pero gpupdate /force devuelve “The processing of Group Policy failed. Windows could not resolve the computer (or user) name.” solo cuando la máquina está conectada a la red inalámbrica. La falla ocurre en cualquier dispositivo, sin importar fabricante, arquitectura ni imagen de sistema. Cuando el mismo equipo se conecta por cable a cualquier VLAN, el comando se completa exitosamente. ...