Exportar políticas y configuración de red con netsh, gpresult y secedit

Cuando tienes que mover o documentar la configuración de seguridad y de red en Windows, conviene conocer al detalle qué hace cada herramienta del sistema. Netsh, GPResult y Secedit cubren escenarios distintos: desde clonar parámetros de red, hasta exportar directivas locales y comprobar qué GPO se han aplicado realmente en una máquina.

En esta guía práctica y a la vez profunda vas a aprender a usar cada utilidad en su mejor contexto, a generar informes para auditoría y soporte, y a evitar trampas habituales. Además, incluyo soluciones reales para exportar reglas de firewall, recopilar trazas y diagnosticar errores típicos de Directiva de Grupo.

Secedit: exportar la seguridad local y las directivas

Secedit es la utilidad clásica para tratar con la base de datos de seguridad y plantillas .inf. Con ella puedes respaldar o trasladar la configuración de seguridad local (por ejemplo, derechos de usuario, opciones de seguridad, ACL de registro y archivos, servicios, etc.). Su comando de exportación principal admite parámetros que determinan la base de datos origen, la plantilla y las áreas que vas a incluir.

La sintaxis de exportación es: secedit /export /cfg <archivo.inf> ] . Si no indicas /db, se toma la base de datos de seguridad del sistema en %windir%\security\database. Para bases de datos sin plantilla asociada, debes indicar también el parámetro /cfg.

El modificador /mergedpolicy permite combinar directiva local y de dominio antes de exportar. El parámetro /areas filtra qué ámbitos quieres incluir: política de seguridad (directiva de cuenta, auditoría, opciones), administración de grupos restringidos, derechos de usuario, claves de registro, seguridad de archivos y servicios definidos. Si no lo usas, exportará todo lo presente en la base de datos.

Para registrar el proceso, puedes usar /log y definir su ruta; sin ruta, Windows guardará el log en el perfil del usuario bajo Documentos\Security\Logs. La opción /quiet suprime la salida en pantalla (el resultado se ve luego con el complemento “Configuración y análisis de seguridad” de MMC).

Ejemplo típico de ida y vuelta: exportar la base de datos local combinando con dominio a un INF y después importarlo en otra base de datos para replicar la configuración en otro equipo. Primero exportas con un comando similar a secedit /export /db C:\Security\FY11\SecDbContoso.sdb /mergedpolicy /cfg SecContoso.inf /log C:\Security\FY11\SecAnalysisContosoFY11.log /quiet. Más tarde, en otra máquina importas ese INF a una nueva base de datos con secedit /import /db C:\Security\FY12\SecDbContoso.sdb /cfg SecContoso.inf /log C:\Security\FY11\SecAnalysisContosoFY12.log /quiet.

Importantísimo: Secedit no exporta las reglas del firewall que tengas en la Directiva de Seguridad Local. Para esas reglas, tendrás que utilizar Netsh (advfirewall) o PowerShell, como verás más adelante; consulta cómo gestionar el Windows Defender Firewall.

GPResult: RSoP, informes y escenarios remotos

GPResult muestra qué directivas de grupo han impactado de verdad en un usuario y/o equipo. Es la manera más rápida de responder “¿qué GPO se han aplicado aquí y por qué?”. Es compatible con Windows Server 2012/2012 R2/2016/2019/2022 y clientes desde Windows 7 en adelante.

Para ver ayuda y parámetros disponibles, abre un símbolo del sistema y ejecuta gpresult /?. Encontrarás opciones para consultar el Conjunto Resultante de Directivas (RSoP) tanto para el ámbito USER como COMPUTER, distintos niveles de detalle y formatos de exportación.

Es muy práctico generar un informe HTML completo con esta orden: gpresult /h C:\ruta\gp.html. El fichero resultante contiene todas las GPO aplicadas, su procedencia y estado. Si prefieres texto rápido en consola, gpresult /r te muestra un resumen.

Para equipos remotos, GPResult soporta hacer la consulta a través de la red: gpresult /S NOMBREPC. Si necesitas credenciales explícitas y más detalle: gpresult /S hostremoto /U dominio\usuario /P contraseña /SCOPE USER /V. Recuerda que el remoto ha de estar en el mismo dominio y que debes contar con los permisos necesarios para interrogarlo.

Hay parámetros incompatibles entre sí: por ejemplo, no puedes combinar /u y /p con /x o /h (exportaciones a XML/HTML), algo que GPResult te avisará con un error si lo intentas.

Si trabajas con PowerShell, el cmdlet Get-GPResultantSetOfPolicy ofrece una alternativa para reunir la misma información RSoP, ideal para automatizar y cruzar datos con otros scripts.

Netsh: consultar, ajustar y clonar configuración de red

Netsh es una herramienta de consola sumamente versátil que permite consultar, diagnosticar y modificar la configuración de red. Además, puede generar scripts con la configuración actual para replicarla en otros equipos de forma sencilla.

Para visualizar la configuración IP por interfaz, utiliza netsh interface ip show config. La salida es más sintética que ipconfig /all, pero aporta los valores clave de cada adaptador para una revisión rápida.

Cuando necesitas estadísticas de IP, ARP o conexiones TCP, tienes opciones como netsh interface ip show ipstats, netsh interface ip show ipnet (tabla ARP por interfaz) y netsh interface ip show tcpconn para ver sesiones TCP activas.

Para cambiar la IP de un adaptador a estática, puedes ejecutar algo como netsh interface ip set address name="Ethernet" source=static addr=192.168.1.10 mask=255.255.255.0 gateway=192.168.1.1. Si quieres volver a DHCP, bastaría con netsh interface ip set address name="Ethernet" source=dhcp.

También puedes ajustar servidores DNS: netsh interface ip set dnsserver "Ethernet" static 8.8.8.8 primary para fijarlo, o netsh interface ip set dnsserver "Ethernet" dhcp para que lo gestione el servidor DHCP.

Para “capturar” la configuración como script ejecutable en otro equipo, puedes apoyarte en el volcado de contexto de Netsh: netsh interface ip dump (y otros contextos) para obtener las órdenes necesarias que reproducen la configuración actual en otra máquina.

Exportar e importar reglas de firewall cuando Secedit no las incluye

Si tu objetivo es mover las reglas del Firewall de Windows (Windows Defender Firewall) de una máquina a otra, Secedit no es la herramienta ya que las reglas no forman parte de su exportación. En entornos sin GUI (Server Core, Hyper-V Server), la vía más directa es Netsh.

Para exportar en el origen, abre un cmd con privilegios y ejecuta: netsh advfirewall export "C:\Temp\Firewall.wfw". Esto genera un archivo .wfw con todas las reglas y perfiles. En el equipo destino, importa con netsh advfirewall import "C:\Temp\Firewall.wfw" y tendrás el mismo conjunto de reglas aplicado.

Otra opción es usar PowerShell (módulo NetSecurity) para gestionar reglas de forma granular, por ejemplo enumerando con Get-NetFirewallRule y exportando a XML/CLIXML, aunque para un clonado uno-a-uno el formato .wfw de Netsh es más sencillo y robusto.

Generar un informe HTML con GPResult

Para auditar de un vistazo qué GPO afectan a una máquina, genera un HTML con gpresult /h C:\Informes\GPO.html. Es compatible en Windows Server 2012 R2, 2016, 2019, 2022 y clientes como Windows 7, 10 y 11. Este informe es especialmente útil para detectar GPO denegadas y herencias que pudieran estar bloqueando una configuración.

Solución de problemas de Directiva de Grupo: registros y método

Antes de tocar nada, conviene revisar eventos de Directiva de Grupo en el Visor de eventos del sistema. Las advertencias te guían sobre situaciones a vigilar y los errores describen la causa probable. Aprovecha el vínculo “Más información” del evento y la pestaña “Detalles” para códigos de error y descripciones.

El registro operativo “Microsoft-Windows-GroupPolicy/Operational” es clave para depurar. Divide mentalmente el procesamiento en tres fases (preprocesamiento, procesamiento y posprocesamiento), identifica el ActivityID de la instancia en cuestión y así podrás seguir el rastro de principio a fin.

La técnica recomendada es crear una Vista personalizada filtrada por ActivityID. Primero, localiza el ActivityID en un evento de error/advertencia (pestaña Detalles, nodo Sistema) y cópialo sin llaves. Después, crea la vista con la consulta XML siguiente:

<QueryList><Query Path="Application"><Select Path="Microsoft-Windows-GroupPolicy/Operational">*</Select></Query></QueryList>

Una vez aislados los eventos, correlaciona cada inicio de actividad con su fin correspondiente y examina todas las advertencias/errores. Luego lanza gpupdate (o gpupdate /force en caso necesario) para repetir el ciclo y confirmar si tu corrección surte efecto.

Eventos frecuentes y causas típicas

Id. 1129 indica que no se pudo aplicar GPO por falta de conectividad hacia un controlador de dominio. En escenarios reales, suele ser el puerto LDAP 389 bloqueado. Con GPUpdate obtendrás errores y en el log gpsvc verás algo como que falla GetLdapHandle con código 81.

La receta es capturar un trace de red y comprobar: consulta LDAP al nivel de sitio, qué DCs se devuelven, resolución DNS correcta para alguno, intento de enlace LDAP y caída del handshake TCP por puerto 389 bloqueado. Si el DC no responde en 389, toca elevar al equipo de red con evidencias claras.

Id. 1002 avisa de fallo por falta de recursos del sistema (memoria o disco). Normalmente remite cuando el equipo deja el estado de recursos bajos; libera espacio en disco, vigila memoria y considera un reinicio si lleva mucho tiempo encendido.

Id. 1006 refleja fallo al autenticarse contra AD (LDAP Bind). Revisa el código de error en la pestaña Detalles: con 5 (Access Denied), el usuario podría no tener permisos; con 49 (Credenciales no válidas), suele ser contraseña expirada: cambia la contraseña, bloquea/desbloquea la sesión y valida servicios que usen esa cuenta. Con 258 (Timeout), revisa DNS: nslookup debe resolver _ldap._tcp.<domain-dns-name> hacia DCs correctos.

Id. 1030 apunta a problemas al recuperar nuevas GPO. Revisa que los puertos LDAP están abiertos tanto en el firewall y en el DC como en el cliente. No olvides examinar la configuración DNS y la resolución de nombres como base.

Para aislar bloqueos de puertos, valida la pila de resolución de nombres del cliente. Comprueba que estás resolviendo un nombre de host y no NetBIOS si la app lo permite; muchas apps admiten varios métodos, y a veces están configuradas para NetBIOS en lugar de sockets TCP/IP.

Si sospechas de permisos en el contenedor de GPO, en el DC ejecuta Get-GPPermission -Name "TestGPO" -All para conocer el nivel de acceso de cada entidad de seguridad sobre ese objeto de directiva.

Id. 1058 aparece cuando no puede leerse un archivo de GPO (por ejemplo, gpt.ini) desde un DC. Revisa el código de error: con 3 (Ruta no encontrada), identifica el DC del evento y construye la ruta completa \\<dcName>\SYSVOL\<domain>\Policies\<guid>\gpt.ini; valida que puedes leerla desde el cliente.

Con 5 (Acceso denegado), el usuario o equipo carece de permisos de lectura sobre esa ruta; asegúralos en el DC y prueba de nuevo tras reiniciar y volver a iniciar sesión. Con 53 (Ruta de red no encontrada), suele ser un problema de resolución de nombres; intenta acceder a \\<dcName>\netlogon para confirmar conectividad.

Id. 1053 indica que no pudo resolver el nombre de usuario. Errores comunes: 5 (Access Denied) por expiración de contraseña aún con sesión abierta; 14 (Insuficiente almacenamiento) por memoria baja; 525 (Usuario no existe) por permisos de lectura insuficientes en la OU; 1355 (Dominio no existe) por DNS; y 1727 (RPC falló) por firewall. Valida DNS vía nslookup, la replicación de AD y las reglas de firewall (incluidos de terceros).

Id. 1097 señala que el equipo no pudo determinar su cuenta para aplicar GPO de equipo. La causa estrella es el tiempo fuera de sincronía con el DC. Asegura sincronía horaria y zona y ejecuta w32tm /resync. Reinicia el equipo si persiste.

Ids. 4016 y 5016 informan del comienzo y fin del procesamiento de una CSE (extensión del lado cliente). Si ves en el 5016 un retorno como 2147483658 (0x8000000a) E_PENDING, profundiza en el registro operativo Security-Audit-Configuration-Client/Operational para trazar el flujo de la CSE de auditoría (Auditcse.dll) y localizar errores finos.

Activar el registro detallado (GPSvc) y recolectar pruebas

En problemas difíciles, activar el logging de GPSvc es oro. En el cliente afectado, añade la clave y valor en el Registro para habilitar el nivel de depuración y luego fuerza una actualización de directivas para capturar el problema en caliente.

Puedes hacerlo así (como admin): crea la clave HKLM\Software\Microsoft\Windows NT\CurrentVersion\Diagnostics, añade el DWORD GPSvcDebugLevel con valor 0x00030002 (hex) y ejecuta gpupdate /force. El log se guarda en %windir%\debug\usermode\gpsvc.log.

Recopila también un conjunto de datos estándar: informe HTML y TXT de RSoP con gpresult /h %Temp%\GPResult.htm y gpresult /r > %Temp%\GPResult.txt; exporta la rama de GPExtensions con reg export "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions" %Temp%\GPExtensions.reg.

No olvides extraer los registros de eventos relevantes: Aplicación, Sistema y GroupPolicy/Operational con wevtutil.exe export-log Application %Temp%\Application.evtx /overwrite:true, wevtutil.exe export-log System %Temp%\System.evtx /overwrite:true y wevtutil.exe export-log Microsoft-Windows-GroupPolicy/Operational %Temp%\GroupPolicy.evtx /overwrite:true.

Al completar la captura, desactiva el registro de GPSvc para evitar impacto en rendimiento: reg add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Diagnostics" /v GPSvcDebugLevel /t REG_DWORD /d 0x00000000 /f. Ten a mano los ficheros: Application.evtx, System.evtx, GroupPolicy.evtx, GPExtensions.reg, GPResult.txt, GPResult.html y gpsvc.log.

Copias de seguridad e importación de GPO con GPMC

Cuando el objetivo es trasladar GPO completas entre controladores de dominio, la estrategia más limpia es usar la consola de Administración de Directiva de Grupo (GPMC). Haz copia de seguridad del objeto de directiva (clic derecho > Hacer copia de seguridad), elige la carpeta destino y obtendrás un conjunto de archivos con la configuración.

En el dominio de destino, crea un GPO nuevo y selecciona Importar configuración. Señala la carpeta con la copia previamente exportada y deja que el asistente examine referencias a entidades de seguridad y rutas UNC. Podrás convertirlas si cambian grupos, usuarios o rutas entre dominios, evitando SIDs o rutas huérfanas.

Artículo relacionado:

Cómo configurar políticas de grupo (GPO) en Windows: todo lo que necesitas saber

Isaac

Redactor apasionado del mundo de los bytes y la tecnología en general. Me encanta compartir mis conocimientos a través de la escritura, y eso es lo que haré en este blog, mostrarte todo lo más interesante sobre gadgets, software, hardware, tendencias tecnológicas, y más. Mi objetivo es ayudarte a navegar por el mundo digital de forma sencilla y entretenida.