Configuracin de servidores DHCP y DNS para WPAD

En esta seccin veremos como configurar los servicios DHCP y DNS tanto de ISC (Internet
System Consortium) como de Microsoft Windows Server 2003. Los clientes que son
configurados va DHCP usarn el primer mtodo y DNS aquellos con direcciones IP fija.
Configurando el servidor ISC dhcpd para WPAD
El servidor ISC dhcpd soporta el uso de la opcin 252 asignada para proveer informacin
para localizar el script de auto configuracin PAC. En la seccin de parmetros globales del
archivo de configuracin dhcpd.conf(5) defina la opcin wpad con el cdigo 252 y de
tipo text, por ejemplo:
option wpad code 252 = text;
Adems, en el bloque de las opciones de la subred, agregue el valor para la opcin wpad,
por ejemplo:
subnet 192.168.221.0 netmask 255.255.255.0 {

option subnet-mask 255.255.255.0;
option broadcast-address 192.168.221.255;
option routers 192.168.221.254;
option domain-name "example.com";
option domain-name-servers 192.168.221.254;
option wpad
"http://proxy.example.com/proxy.pac\n";

range 192.168.X.50 192.168.X.200;

}

Nota
Se agrega el carcter de salto de lnea para compensar el bug de IE 6+ que elimina el
ltimo carcter.
Valide la configuracin:
# dhcpd -t
Re inicie el servidor dhcpd para que los cambios tomen efecto:
# /etc/init.d/dhcp3-server restart
Configure los clientes web como se describen en la seccin Configuracin de parmetros
de proxy usando la deteccin automtica WPAD para validar su funcionamiento.
Configurando el servidor Microsoft DHCP para WPAD
Para proveer los parmetros del proxy automticamente usando el servidor DHCP de
Windows Server 2003 siga los siguientes pasos:
1. Entrar al men Inicio => Programas => Herramientas Administrativas =>
DHCP.
2. Seleccione el servidor, despus vaya al men Accin y seleccione la opcin
Configurar opciones predefinidas..., en el cuadro de Valores y opciones
predefinidas haga clic sobre el botn Agregar.
3. Agregue la opcin de nombre WPAD de tipo de dato Cadena, cdigo 252 y en
Descripcin Web Proxy Auto Discovery, por ejemplo:

Haga clic en Aceptar para guardar la nueva opcin.
4. Seleccione el mbito al que desea agregar el soporte WPAD, vaya al men Accin
y seleccione la opcin Opciones de mbito, en pestaa General de la ventana
Opciones de mbito seleccione la opcin 252 WPAD y agregue el URL del
archivo wpad.dat, por ejemplo:


Importante
Recuerde escribir el puerto 80 explcitamente en el URL.
5. Verifique que la opcin 252 WPAD este visible en las opciones del mbito, por
ejemplo:

Configure los clientes web como se describen en la seccin Configuracin de parmetros
de proxy usando la deteccin automtica WPAD para validar su funcionamiento.
Configurando el servidor ISC bind para WPAD
Si el servidor proxy tiene asignado un nombre DNS a travs de un registro A en la zona dns
local entonces se aconseja que cree un registro CNAME llamado wpad y que apunte a
nombre del servidor proxy.
Edite el archivo de la zona directa para el dominio de la red local, por ejemplo:
# vim /etc/bind/db.example.com.zone
Agregue un registro tipo CNAME apuntando al nombre del servidor proxy, por ejemplo:
proxy IN A 192.168.221.252
wpad IN CNAME proxy.example.com.

Importante
No olvide incrementar el nmero de serie de la zona.
En caso de que el servidor web en el que vaya a hospedar el script PAC se aconseja que
cree un registro A wpad apuntando a la direccin IP del servidor web, por ejemplo:
wpad IN A 192.168.221.254
Algunos clientes web localizan los parmetros de proxy haciendo consultas DNS al registro
SRV wpad.tcp, cree un registro SRV, por ejemplo:
wpad.tcp IN SRV 0 0 80 wpad.example.com.
Otra alternativa que usan algunos clientes web es localizar el URL del proxy pac va una
consulta a un registro TXT, por ejemplo:
wpad IN CNAME proxy.example.com.
wpad IN TXT "service:
wpad:!http://wpad.example.com:80/proxy.pac"
Valide el archivo de la zona:
# named-checkzone example.com /etc/bind/db.example.com.zone
Y recargue la zona:
# rndc reload example.com
Realice una consulta usando el comando host:
# host wpad.example.com
Asegurese de que desde un navegador pueda alcanzar el script usando el URL:
http://wpad.example.com/wpad.dat
Configure los clientes web como se describen en la seccin Configuracin de parmetros
de proxy usando la deteccin automtica WPAD para validar su funcionamiento.
Configurando el servidor Microsoft DNS para WPAD
Para proveer los parmetros del proxy automticamente usando el servidor DHCP de
Windows Server 2003 siga los siguientes pasos:
1. Entrar al men Inicio => Programas => Herramientas Administrativas => DNS.
2. Seleccione el servidor DNS y sobre el bloque Zonas de bsqueda directa
seleccione la zona a la que desea agregar el soporte WPAD. Vaya al men Accin y
seleccione la opcin Alias nuevo (CNAME)...
3. Cree el registro CNAME llamado wpad apuntando al host destino
proxy.example.com o como sea que se llame su servidor proxy, por ejemplo:


Nota
Tambin puede agregar el recurso wpad como un registro A.
4. Verifique que el registro fue agregado exitosamente:

Como puede ver el registro CNAME wpad apunta al host proxy que tambin tiene
un registro de tipo A.
5. Adicionalmente haga una consulta al registro wpad.example.com usando el
comando nslookup, por ejemplo:

Como puede ver la resolucin al host wpad.example.com apunta al host
proxy.example.com y el cual tiene la direccin IP 192.168.221.254, verifique que
los resultados correspondan con su entorno de red.
En sistemas Windows Server 2003 con la actualizacin de seguridad MS09-008 instalada
se enfrentarn con el problema que los clientes no pueden resolver e nombre de host
wpad.example.com aun cuando esta 100% seguro que el registro fue agregado, el origen del
problema es que la actualizacin de seguridad MS09-008 bloquea las peticiones DNS al
registro WPAD (tanto registros A como CNAME) mediante la funcionalidad Global Query
block list, por lo que los clientes no podrn localizar los parmetros del proxy a travs del
registro WPAD del servidor DNS.
En sistemas Windows Server 2003 DNS y la actualizacin MS09'008, la administracin de
la global query block list es a travs de la siguiente llave del registro:
HKLM\SYSTEM\CurrentControlSet\Services
\DNS\Parameters\GlobalQueryBlockList, por default estan incluidos los registros wpad
y isatap. Para permitir el uso del registro DNS WPAD edite el registro de windows y
modifique la llave HKLM\SYSTEM\CurrentControlSet\Services
\DNS\Parameters\GlobalQueryBlockList y elimine el valor wpad de la lista de valores,
reinicie el servicio DNS.
En sistemas Windows Server 2009 la Global query block list esta habilitada por default,
para permitir el registro DNS WPAD en el servicio DNS edite la global query block list con
el siguiente comando:
dnscmd /config /globalqueryblocklist isatap
El comando anterior remplaza la lista actual solo con isatap, recuerde ejecutar el comando
en todos los servidores DNS que son autoritativos para la zona especificada.
Para ms informacin sobre la actualizacin de seguridad MS09-008 vea el post en el blog
Security Research & Defense de Microsoft.
Configure los clientes web como se describen en la seccin Configuracin de parmetros
de proxy usando la deteccin automtica WPAD para validar su funcionamiento.