La primera en la frente fue la contestación de la gente de DNIe a mi petición de ayuda: Utilice Firefox pero, evidentemente, yo no quiero cargar mi máquina con algo tan lento.

Mirando un poquito y haciendo un par de preguntas (gracias a los Ramones, Pastor y Miranda) el problema es tan simple como que en el empaquetado de la instalación no se hacen referencias absolutas a la dll correspondiente, y esto también pasa con Ceres :(

Para que funciones correctamente el certificado Ceres o DNIe en Windows 7 además de instalar los CSP correspondientes - DNIe_v4_0_0.zip para el DNIe y insmodcripc2v810.exe para Ceres - simplemente hay que modificar el registro en las siguiente claves:

a) Para Windows 7 32-bits

1. DNIe: en la clave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\DNIeCSP buscar "ImagePath" y modificar el valor dniecsp.dll por %systemroot%\system32\dniecsp.dll

2. Ceres: en la clave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\CeresCSP buscar el valor ImagePath y modificar cerescsp.dll por %systemroot%\system32\cerescsp.dll

b) Para Windows 7 64-bits, además de modificar los valores anteriores como se señala para 32-bits

1. DNIe: modificar también la clave HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\DNIeCSP con valor ImagePath por el siguiente %systemroot%\syswow64\dniecsp.dll en vez de dniecsp.dll

2. Para Ceres: modificar la clave HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider\CeresCSP con valor ImagePath introduciendo %systemroot%\syswow64\cerescsp.dll en vez de cerescsp.dll

Tras las modificaciones anteriores reiniciar la máquina para que se carguen et voila, ya está mi DNIe funcionando en Windows 7.

Realizar lo anterior resulta bastante sencillo. Sólo necesitamos modificar una clave de registro e introducir la nueva imagen en una carpeta determinada y el único requisito es que la imagen no sea superior a 256Kb.

La clave de registro a modificar es HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\Background\OEMBackground que es un DWORD al que pondremos valor 1. Si no existe creamos la clave en la ruta señalada.

Realizado lo anterior simplemente en la siguiente ruta %windir%\system32\oobe\info\backgrounds introducir los ficheros de la imagen que queramos en formato JPG y con la siguiente nomenclatura: background1024x768.jpg dónde lo subrayado corresponde a la resolución de pantalla que utilicemos. Si tenemos distintas resoluciones siempre se ajustará a la señalada o a la más próxima. Si no hay resolución se intentará cargar el archivo backgroundDefault.jpg

A disfrutarlo. 

Lo anterior es perfectamente válido excepto para algunas excepciones dónde se requiere una pequeña ampliación del esquema para soportar el almacenamiento de las características de nuevas funcionalidades como Bitlocker o la configuración mediante Directivas de la WLAN.

Así que cuando tengo un Directorio Activo con Windows 2003 y clientes Windows XP y Windows Vista lo único que tendré que tener en cuenta es asegurarme que la Directiva aplicada se aplica a un cliente que la soporta.

El tener separada la aplicación de Directivas por cliente me va a evitar quebraderos de cabeza en aquellas funcionalidades mejoradas de una versión del cliente a otra ya que la aplicación de las viejas directivas puede causar comportamientos imprevisibles en los nuevos clientes. Esto es bastante común en Directivas de Firewall, IPSec, Auditing y configuración Wireless sobre sistemas Vista.

Para separarlas puedo bien establecer los ámbitos como todos sabemos mediante OUs disgregadas o bien establecer filtros WMI, asumiendo en este caso que ya no hay Windows 2000 en mi entorno, o ACLs.

¿Y como aplico las nuevas directivas para mis clientes Vista o Windows 7?

Recordemos que no hay versiones de directivas Windows XP o Windows Vista. La Directiva es la misma y continuará siendo la misma aun cuando actualicemos nuestro servidor o nuestro esquema. La única diferencia que existe es en las extensiones de estas directivas. Una extensión moderna se seguirá ejecutando en un cliente XP pero este no sabrá que hacer realmente con ella. Es el cliente quien debe saber que hacer con el resultado de procesar las directivas para aplicar la configuración. Si no sabe hacerlo no es capaz de aplicar nada.

Y para aplicar las nuevas extensiones que no me aparecen en mi Windows 2003 lo único que necesitaré será un cliente más nuevo con la herramienta de gestión remota de directivas. Para Windows Vista RSAT. Utilizando RSAT para Windows Vista utilizaré las directivas que me ofrece Windows Vista y publicaré correctamente las extensiones en el Directorio aun cuando no sea capaz de verlas desde la consola del propio Windows 2003.

La instalación es bastante sencilla. Desde el enlace indicado simplemente descargar el paquete de idioma que deseeis y acorde con el procesador de vuestra máquina. Una vez descargado el paquete ejecutar como administradores. Durante la ejecución se realizarán las típicas preguntas acerca de la aceptación de la licencia y del despliegue del paquete que deberemos responder hasta llegar al botón finalizar.

 Finalizada la instalación del paquete descargado deberemos habilitar las consolas que deseamos utilizar. Para ello abrimos el Panel de Control de Windows 7 y ejecutamos Programas con lo que se nos abre la siguiente ventana:

En esta ventana ejecutamos Activar o desactivar las características de Windows para que nos aparezca la siguiente:

Y en esta navegamos hasta la sección Herramientas de administración remota del servidor para seleccionar las funcionalidades que deseamos habilitar.

Como veís la instalación prácticamente idéntica a la de Windows Vista.

Para ejecutar la consola que previamente he activado simplemente nos iremos al menú Todos los Programas del botón Inicio y a empezar a explorar. Cosa que haremos más adelante.

XPMode resulta simplemente de integrar un Virtual PC con un Windows XP SP3 instalado en el escritorio de Windows 7. Esto me va a permitir como usuario ejecutar de forma transparente aplicaciones que en realidad se encuentran ejecutándose en una máquina virtual de Windows XP pero cuya sensación va a ser de instalación en el propio Windows 7.

En primer lugar para probar la funcionalidad XPMode tenemos que realizar los siguientes pasos:

1.       Descargar e instalar en Windows 7 la beta del nuevo Virtual PC, que además trae otras mejoras como el tan solicitado soporte USB, aquí https://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=65e1c5eb-df9b-415f-b2d6-27f6ef5dceb9

2.       Descargar e instalar en Windows 7 la funcionalidad XPMode aquí https://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=0e8fa9b3-c236-4b77-be26-173f032f5159. Esto no es sólo simplemente una máquina virtual con Windows XP SP3 e Internet Explorer 6 que viene configurada con 256Mb de RAM, aunque toda la configuración es modificable como ya conocemos en versiones anteriores de Virtual PC, sino que además instala lo nuevo: los servicios de integración de Virtual PC con Windows 7.

3.       Instalado lo anterior veremos ahora que nos ha aparecido una nueva carpeta entre los programas y la imagen virtual se instalará y se arrancará automáticamente.

4.       Una vez funcionando nos tenemos que descargar este parche, recordad que estamos aun en RC, e instalarlo en la máquina virtual, no en el Windows 7 sino en el Windows XP en virtual. https://www.microsoft.com/downloads/details.aspx?familyid=943B6AC7-87F2-45DF-A516-21321D559AC3&displaylang=en.

5.       Realizado lo anterior ya podemos instalar en la máquina virtual cualquier aplicación que deseemos. Si durante la instalación se nos pide siempre hay que seleccionar que es para todos los usuarios.

6.       Instalada una aplicación veremos que ahora esta aplicación aparece directamente en el menú de Windows 7

Consideraciones a tener en cuenta:

a)      El proceso es transparente al usuario que durante el lanzamiento de la aplicación desde su escritorio de Windows 7 no tiene visibilidad de la máquina virtual y por el contrario tiene todos los recursos de ficheros e impresión de Windows 7.

b)      Con el nuevo Virtual PC a la máquina virtual se le da soporte USB de cualquier dispositivo instalado en el Windows 7 y también soporte de Audio y Video.

c)       Desde el punto de vista del PC con Windows 7 se requiere que tenga virtualización de Hardware activada en la BIOS, esto es, requiero un HW Intel VT o AMD-V.

d)      Aunque la funcionalidad XPMode en sí puede resultar interesante para un entorno corporativo le falta una capa de gestión que permita provisionar estas aplicaciones y la configuración de la máquina virtual sin intervención manual y de forma transparente al usuario.  En MDOP existe una utilidad para realizar esto último que se denomina MED-V y que permite realizar esta gestión del módulo XPMode de forma centralizada conforme a Directivas de grupo.  Más en detalle MED-V permite:

a.       Despliegue de máquinas virtuales configuradas por características de usuario y dispositivo. Automatización de la instalación y la configuración incluyendo asignación de nombre único e inclusión en Directorio Activo. Ajuste de las características de la máquina virtual (RAM, etc.)

b.      Provisión mediante la definición de aplicaciones disponibles para los diferentes usuarios. Definición de aplicaciones disponibles en modo integrado en Windows 7. Definición de Websites que serán redirigidos automáticamente al IE de la máquina virtual.

c.       Control mediante la asignación de permisos de utilización de la máquina virtual. Autentificación de usuarios en la máquina virtual o expiración de la funcionalidad ofrecida por la máquina virtual.

d.      Mantenimiento y soporte mediante la actualización de imágenes, monitorización de usuarios y resolución de problemas en remoto. Base de datos centralizada para la captura de eventos de todas las máquinas virtuales corporativas. Modo de diagnóstico para administradores para la resolución de problemas.

Podéis encontrar más información sobre MED-V aquí: https://www.microsoft.com/windows/enterprise/products/med-v.aspx

Gracias a Antonio Sánchez Roca por colaborar en este artículo.

Recordemos en primer lugar los intervinientes en un Ofrecimiento de Asistencia Remota:

1. Ayudante o Experto. Es el usuario que inicia el ofrecimiento.
2. Ayudado o Novel. Es el usuario al que le va a llegar el ofrecimiento para ver y/o compartir su escritorio.

Como señalamos en alguna entrada anterior uno de los requsitos del Ofrecimiento de la Asistencia Remota es que el usuario Ayudante o Experto utilice un sistema operativo de una versión igual o superior al Ayudado o Novel.

Si el Experto utiliza, por ejemplo, Windows XP para Ofrecer Asistencia Remota a un usuario Novel que tiene Windows Vista obtendremos el siguiente error:

Esto se debe a que el ejecutable que se intenta instanciar desde Windows XP no existe en Windows Vista. Por el contrario Windows Vista tiene compatibilidad hacia atrás y señala correctamente el ejecutable a instanciar en Windows XP.

Igualmente para utilizar el Ofrecimiento de Asistencia Remota en Windows Vista se deberán cumplir los mismos requisitos que en Windows XP que recordamos son:

a)      Ambos intervinientes deben estar ejecutando como Sistema Operativo Microsoft Windows XP o superior (En casos de versiones diferentes el Experto deberá estar utilizando la versión superior)

b)      Los ordenadores de ambos intervinientes deben pertenecer al mismo dominio o a distintos dominios que mantengan una relación de confianza.

c)       La característica de Asistencia Remota debe estar habilitada en el ordenador del usuario Novel. En Windows Vista esta característica se encuentra accediendo a las propiedades de mi Equipo (Aunque también lo podemos hacer mediante una Directiva de Grupo y ya veremos más adelante como hacerlo)

d)      Ambos usuarios deben tener habilitado DCOM puesto que la comunicación se lanza utilizando este protocolo

e)      No debe existir impedimento en la comunicación entra ambas máquinas. Si utilizamos el Firewall tendremos que tener la excepción para recibir Ofrecimientos en el PC del Novel lo que también veremos como se realzia para Windows Vista en el futuro.

Al igual que en Windows XP en Windows Vista la característica de Asistencia Remota aparece un poco escondida. Para utilizarla el Experto desde su escritorio pulsará el botón Inicio y elegirá Ayuda y soporte técnico:

Ejecutado el comando le aparecerá la siguiente ventana dónde bajo el epígrafe Preguntar a alguien pulsaremos sobre el enlace Asistencia Remota de Windows:

Tras las acciones anteriores nos aparece el diálogo de Asistencia Remota de Windows. Dado que nosotros somos el Experto vamos a Ofrecer Asistencia Remota: 

Después de decirle al sistema lo que queremos hacer se nos pregunta con quién lo queremos hacer:

Y lo realizamos introduciendo el nombre del equipo a acceder remotamente en el cuadro de diálogo inferior. Observemos que en Windows Vista se va creando un histórico en la columna de la derecha con lo que con suerte nos podremos ahorrar meter el nombre si en un momento anterior ya controlamos la misma máquina simplemente haciendo clic sobre su nombre.

Una vez realizada la selección de a quién queremos conectarnos nos aparecerá la siguiente ventana para en el caso que existan varios usuarios conectados a esa máquina especificar a que escritorio deseamos conectar:

Como en Windows XP la Asistencia Remota en Windows Vista permite al usuario Novel controlar en todo momento que acciones realiza el usuario Experto en su máquina y tiene que aprobar tanto la visión de su escritorio por el Experto como la toma de control de su escritorio por este. Así efectuado el Ofrecimiento de Asistencia Remota por el Experto el usuario Novel recibe el siguiente mensaje:

Si el usuario Novel no permitiera la conexión el Experto recibiría el siguiente mensaje en su escritorio:

Si por el contrario admite la conexión su escritorio se modificará y tendrá un diálogo de acciones de Asistencia Remota que le permitirá realizar acciones para la sesión de ayuda y conocer en todo momento el estado de la conexión. Esta misma barra le aparecerá al usuario Experto en la parte superior de la ventana. Observemos ambos escritorios siendo el de la izquierda el del usuario Novel y el de la derecha el del usuario Experto (Haga clic sobre la imagen para verla a su tamaño original):

Una vez conectado el usuario Experto puede solicitar tomar el control del escritorio mediante el botón correspondiente:

Lo que igualmente debe de aceptar el usuario Novel. No obstante en la toma de control remoto es dónde se establece la mayor diferencia con Windows XP debido a la UAC. Hasta el SP1 si la UAC se encontraba activada tenía que ser el usuario Novel el que introdujera los credenciales cada vez que una acción del usuario Experto la provocara. Desde el Service Pack 1 el usuario Novel puede permitir al Experto ver la UAC y que sea el quien la gestione marcando la casilla correspondiente en la aceptación de conexión. No obstante hay que tener en cuenta que para realizar esta acción el usuario Novel debe ser administrador local de su máquina lo que quizá no es lo normal. En alguna entrada posterior discutiremos sobre si los usuarios deben ser administradores locales de su máquina o no y que consecuencias podría tener.

Permitido el control por parte del usuario Novel este siempre es informado que el control está cedido en la ventana de Asistencia Remota:

Si la UAC del usuario Novel se encuentra activada y el usuario Experto realizará cualquier acción que lanzara la UAC, habiéndosele permitido interactuar con ésta al principio de la conexión, ambos usuarios verán el cuadro de diálogo de la UAC:

Si por el contrario no se le pemitió interactuar con la UAC hasta que el usuario Novel no termine de introducir los credenciarles o cancele la UAC al usuario Experto le aparecerá la siguiente pantalla:

Para habilitar mediante directiva de grupo el Firewall Personal de Windows XP vamos a utilizar la directiva que configuramos anteriormente y expandir Configuración del equipo\Plantillas administrativas\Red\Conexiones de red\Firewall de Windows\Perfil de dominio tal como observamos en la siguiente pantalla:

Una vez ahí hacemos doble clic sobre la directiva Firewall de Windows: proteger todas las conexiones de red. Si esperamos el ciclo y vamos al cliente veremos que a partir de ese momento su Firewall personal se encuentra activado:

Activado el Firewall personal si intentamos realizar una asistencia remota nos encontramos con el error siguiente:

Deberemos por tanto señalar como excepción al Firewall personal las relativas al ofrecimiento de asistencia. Para realizar esto volvemos a la directiva anterior y en la misma ruta dónde lo activamos abrimos ahora la directiva Firewall de Windows: definir excepciones de puerto abriéndose la siguiente ventana:

En este cuadro además de habilitar la directiva pulsamos el botón Mostrar para introducir el puerto a permitir con la siguiente sintaxis  135:TCP:*:Enabled:Ofrecer asistencia remota:

El apostrofo significa que recibirá de cualquier dirección IP. Podemos limitarlo a una red, PC o grupo de redes señalándola, por ejemplo 192.168.1.x Cerramos el cuadro aceptando los cambios y abrimos ahora la directiva Firewall de Windows: definir excepciones de programa la habilitamos e introducimos los siguientes comandos tras pulsar el botón Mostrar:

1.  %WINDIR%\PCHealth\HelpCtr\Binaries\Helpsvc.exe:*:Enabled:Ofrecer asistencia remota

2.  %WINDIR%\PCHealth\HelpCtr\Binaries\Helpctr.exe:*:Enabled:Asistencia remota Chat – Voz

3. %WINDIR%\SYSTEM32\Sessmgr.exe:*:Enabled:Asistencia Remota

Cerramos aceptando todo lo anterior y habilitamos por último la directiva Firewall de Windows: permitir excepción de Escritorio Remoto en la que introducimos un * si queremos que se permitan peticiones de cualquier IP o limitamos por red, grupo de redes, etc.