Guía completa para configurar Folder Redirection y perfiles móviles

La combinación de Folder Redirection y perfiles de usuario móviles (roaming) es una de las piezas clave de la administración de escritorios en entornos Windows con dominio. Bien planteada, permite que un usuario inicie sesión en prácticamente cualquier equipo de la organización y tenga allí sus documentos, su escritorio y la mayoría de sus ajustes, sin depender del ordenador concreto.

Ahora bien, si se configura sin una buena planificación, es fácil provocar cierres de sesión lentos, saturación de red y problemas de permisos. En este artículo vamos a ver, con bastante detalle y en un lenguaje lo más llano posible, cómo funciona todo este tinglado, qué ventajas ofrece, qué requisitos previos necesitas y cómo configurarlo correctamente tanto con directivas de grupo estándar como con Citrix Profile Management.

Qué es Folder Redirection y por qué se usa con perfiles móviles

Folder Redirection es una característica de Windows que permite cambiar la ubicación física de ciertas carpetas especiales del perfil (Documentos, Escritorio, Imágenes, etc.) a otra ruta, ya sea en el propio equipo o, lo más habitual, en un recurso compartido de red. El usuario sigue viendo la carpeta como siempre en el Explorador, pero los archivos viven realmente en el servidor.

Por su parte, los perfiles de usuario móviles redirigen todo el perfil de Windows a un recurso compartido (ruta de perfil) en un servidor. Al iniciar sesión, el perfil se descarga y combina con cualquier perfil local previo; al cerrar sesión, los cambios se suben de vuelta al servidor. El resultado es que el usuario mantiene su configuración y parte de sus datos al moverse entre equipos del dominio.

Si intentas usar únicamente un perfil móvil, enseguida te das cuenta del problema: los perfiles se vuelven enormes (sobre todo si dentro está la carpeta Documentos con muchos gigas) y cada inicio/cierre de sesión puede convertirse en una auténtica tortura de copia de datos. Para evitar esto, se separa la información en dos bloques: contenido de usuario (mediante Folder Redirection) y configuración/estado del sistema (mediante roaming profile).

La filosofía oficial de Microsoft es clara: Folder Redirection sirve para apartar los datos del perfil, reducir el tamaño del roaming profile y optimizar los inicios de sesión. El perfil móvil se encarga de la parte de configuración y ajustes que debe viajar con el usuario; los datos voluminosos se dejan en carpetas redirigidas en el servidor, a las que el usuario accede cuando realmente las necesita.

Carpetas que se pueden redirigir

Windows permite redirigir múltiples carpetas conocidas del perfil mediante directiva de grupo o, en el caso de Citrix, mediante las políticas de Profile Management. Entre las más habituales están:

• AppData (Roaming)
• Escritorio
• Menú Inicio
• Documentos (Mis documentos)
• Imágenes (Fotos)
• Música
• Vídeos
• Favoritos
• Contactos
• Descargas
• Enlaces
• Búsquedas
• Partidas o juegos guardados

Un uso muy habitual es redirigir Documentos al directorio de inicio del usuario en el servidor de ficheros, mientras que Imágenes, Música y Vídeos se redirigen a subcarpetas relativas a Documentos. De esta forma mantienes la estructura lógica que el usuario ve, pero todo queda centralizado en una misma raíz de red.

Otra opción muy potente es redirigir AppData (Roaming) de forma selectiva, de modo que la configuración de determinadas aplicaciones viaje con el usuario. Aquí hay que ir con tiento, porque si alguna aplicación guarda caches o datos enormes en AppData, el perfil puede crecer demasiado o generar mucho tráfico. Conviene revisar qué guarda cada programa y, si hace falta, excluir carpetas concretas del roaming profile.

Tipos de configuración de Folder Redirection en GPO

La consola de Administración de directivas de grupo (GPMC) permite configurar diferentes modos de redirección de carpetas. Los principales son:

Redirección básica: se aplica la misma ruta de destino a todos los usuarios que estén afectados por ese GPO. Dentro de este modo básico puedes elegir:

• Crear una carpeta para cada usuario bajo una ruta raíz, por ejemplo \\servidor\datos\%username%\Documentos. Es la opción más habitual: cada usuario tiene su carpeta propia, fácil de identificar y con permisos aislados.
• Redirigir a una ruta explícita única para todos. Se puede usar para escenarios compartidos, pero suele ser menos segura y más difícil de gestionar.
• Redirigir de nuevo al perfil local, útil cuando quieres deshacer temporalmente una redirección o centralizar solo para ciertos equipos.

Redirección avanzada: permite definir destinos distintos según la pertenencia a grupos de seguridad. Por ejemplo, un grupo de usuarios de una sede va a un servidor de ficheros local de esa sede, y otro grupo a un servidor diferente. Esta opción es muy flexible, pero también algo más delicada: si un usuario pertenece a varios grupos con configuraciones distintas, Windows aplica la primera entrada coincidente de la lista, y esa lista no se puede reordenar a posteriori fácilmente.

Estado “No configurado”: indica que no hay redirección basada en ese GPO para esa carpeta. Si otro GPO sí la configura, prevalecerá su ajuste. Si se deja una carpeta como no configurada tras haberla tenido redirigida, esta vuelve a la ubicación local según las opciones de eliminación que se hayan establecido.

Para cada carpeta, además, se pueden elegir opciones adicionales, como si se debe mover el contenido existente, qué hacer cuando la directiva deja de aplicarse o si se conceden permisos exclusivos al usuario en la nueva ubicación.

Requisitos previos para usar Folder Redirection y roaming profiles

Antes de lanzarte a configurar nada en producción, conviene revisar la base técnica. Los requisitos mínimos para usar Folder Redirection y perfiles móviles con directivas de grupo son:

• Un dominio de Active Directory Domain Services (AD DS) con los equipos cliente unidos al dominio. No existe un nivel funcional mínimo de bosque o dominio especialmente exigente para esto, pero cuanto más reciente sea, mejor soporte.
• Permisos para crear y vincular GPO en el dominio o en la OU donde residen las cuentas de usuario a las que vas a aplicar la configuración.
• Equipos cliente Windows (tanto versiones cliente como Windows Server para sesiones RDS) que soporten las características de redirección y perfiles móviles.
• Un servidor de ficheros correctamente configurado, con recursos compartidos para datos de usuario y, si procede, para perfiles móviles, incluyendo permisos NTFS y de recurso compartido bien pensados.
• Una máquina con la GPMC instalada (puede ser un controlador de dominio o un servidor/cliente con RSAT) para editar y gestionar las políticas.

En entornos con Citrix, además, es clave tener Profile Management correctamente desplegado y, muy importante, elegir un solo mecanismo de redirección (o GPO estándar de Microsoft, o políticas de Citrix, pero no ambos a la vez para la misma carpeta).

Pasos para configurar Folder Redirection con directiva de grupo

En un entorno estándar de Active Directory, la configuración de redirección de carpetas se hace desde la GPMC. El procedimiento general sería algo como esto:

1. Abre la consola de Administración de directivas de grupo desde el menú Inicio y localiza el dominio o la OU donde tengas a los usuarios a los que quieres aplicar la configuración.

2. Crea un nuevo GPO vinculado a ese contenedor (o edita uno ya existente que tenga sentido reutilizar). Para crearlo, clic derecho en el dominio u OU, opción de crear y vincular un GPO nuevo.

3. Edita el GPO y navega hasta Configuración de usuario > Directivas > Configuración de Windows > Redirección de carpetas. Ahí verás la lista de carpetas que puedes redirigir (Documentos, Escritorio, etc.).

4. Haz clic derecho sobre la carpeta que quieras gestionar (por ejemplo, Documentos) y entra en Propiedades. En la pestaña Destino, selecciona el tipo de redirección (básica o avanzada) y define la ruta UNC de destino, del estilo \\servidor\share\%username%\Documentos.

5. En la pestaña Configuración puedes ajustar opciones como: mover o no el contenido local a la nueva ubicación; conceder derechos exclusivos al usuario en la carpeta; y el comportamiento cuando se quite la política (devolver la carpeta al perfil local o dejarla donde está en el servidor).

6. Repite el proceso para cada carpeta que quieras redirigir (Escritorio, Imágenes, Música, etc.), decidiendo en cada caso si la enlazas a la ruta de Documentos o usas rutas separadas.

7. Una vez guardados los cambios, en los equipos cliente puedes forzar la actualización ejecutando gpupdate /force o esperar al siguiente ciclo automático de refresco de directiva.

Ten en cuenta que, si activas la redirección por primera vez a usuarios que ya tienen muchas cosas en sus carpetas locales, el primer inicio de sesión tras aplicar la política puede ser muy lento, porque Windows copiará todos los datos al servidor. En redes con muchos usuarios, es habitual desplegar esta configuración en grupos reducidos o fuera de horario laboral.

Opciones adicionales en la configuración de las carpetas redirigidas

Además del destino en sí, cada carpeta redirigida tiene una serie de ajustes complementarios que conviene revisar con calma. Entre los más importantes están:

Conceder al usuario derechos exclusivos: cuando esta casilla está activada, el sistema crea la carpeta en el servidor con permisos que solo permiten el acceso al usuario (y al propio sistema). En muchas guías se recomienda desactivarla si quieres que los administradores puedan resolver problemas o recuperar ficheros sin tener que tomar posesión de la carpeta, algo que puede complicar los permisos y dejar al usuario sin acceso si no se hace bien.

Mover el contenido existente: si la opción está habilitada, al aplicar la redirección Windows trasladará (o copiará) los datos de la carpeta local a la nueva ubicación en el servidor. Es lo habitual para Documentos y Escritorio, ya que evita que el usuario pierda nada. Si prefieres que la carpeta de red empiece vacía, puedes optar por no mover el contenido, pero tendrás que gestionar luego qué hacer con los datos locales.

Comportamiento al quitar la directiva: hay dos caminos básicos. Puedes indicar que la carpeta vuelva al perfil local cuando deje de aplicarse el GPO, lo que hace que se copie el contenido desde el servidor al equipo (lo que puede llevar bastante tiempo si el volumen de datos es grande), o bien que se mantenga en la ubicación redirigida, de modo que la ruta de red siga funcionando incluso sin la política. La segunda opción suele ser más predecible y menos agresiva en entornos con muchos datos.

Además, existen varias directivas globales relacionadas, como:

• Uso de nombres de subcarpetas localizados para Menú Inicio y Documentos (para que se adapten al idioma del sistema).
• Política para evitar que las carpetas redirigidas se hagan automáticamente sin conexión, útil si no quieres llenar de caches los portátiles o si tu escenario no necesita Offline Files.

Configuración de Folder Redirection con Citrix Profile Management

En entornos Citrix que usan Profile Management, la redirección de carpetas también puede gestionarse desde las plantillas administrativas específicas de Citrix. Aquí hay una advertencia vital: o usas GPO estándar de Microsoft para redirigir una carpeta, o usas las políticas de Citrix, pero no ambas a la vez para lo mismo, porque la combinación de métodos puede generar comportamientos impredecibles.

El proceso típico con Citrix sería:

1. Mover a los usuarios afectados a una OU que esté controlada por Profile Management, de manera que las políticas de Citrix les apliquen sin mezclar demasiado con otros GPO.

2. Crear un GPO y editarlo para ir a Configuración de usuario > Plantillas administrativas > Componentes de Citrix > Profile Management > Redirección de carpetas.

3. Para cada carpeta que quieras redirigir (por ejemplo, Escritorio), habilitar la política concreta “Redirigir la carpeta <nombre carpeta>” y especificar una ruta de destino del tipo \\servidor\share\.

4. Es importante no añadir a esa ruta el nombre de usuario ni el nombre de la carpeta; Citrix se encarga automáticamente de construir algo como \\servidor\share\<usuario>\Desktop. Tampoco debes incluir estas carpetas redirigidas en listas de exclusión de Profile Management.

5. Igual que con las GPO estándar, los cambios se fuerzan con gpupdate /force en los servidores o se espera al siguiente ciclo de actualización de directiva.

Para verificar que la redirección funciona, es suficiente con abrir una sesión, ir a la carpeta en cuestión, entrar en Propiedades y comprobar en la pestaña Acceso directo que la ruta apunta al recurso compartido de red. Si sigue marcando una ruta local, la política no está surtiendo efecto.

Ventajas prácticas de Folder Redirection, Offline Files y perfiles móviles

Cuando se despliega de forma coherente, la combinación de redirección de carpetas, archivos sin conexión y perfiles móviles ofrece varias ventajas muy claras para el departamento de TI y para el usuario final:

Por un lado, centralizas todos los datos de usuario en uno o varios servidores de ficheros. Esto te permite usar herramientas de copia de seguridad en el servidor, aplicar cuotas, realizar auditorías, filtrar tipos de archivo (por ejemplo, bloquear MP3 o vídeos personales) o implantar sistemas de snapshots sin depender de lo que cada usuario hace en su PC.

Por otro, los usuarios obtienen acceso consistente a sus archivos y configuraciones desde distintos equipos. Si se rompe un ordenador o hay que sustituirlo, no hay que andar rescatando datos del disco; el usuario inicia sesión en otro y tiene sus cosas en el servidor.

La función de archivos sin conexión (Offline Files) aporta además un plus a usuarios móviles: pueden seguir trabajando con sus carpetas redirigidas aunque no haya conexión o esta sea muy lenta. En segundo plano, cuando la red vuelva a estar disponible, se sincronizan los cambios.

En sucursales conectadas por enlaces de poca calidad, Folder Redirection combinado con estas mejoras de sincronización y con características como la caché transparente en Windows 7 o posteriores supone una mejora notable de la experiencia, ya que reduce el impacto del ancho de banda y permite que la mayoría de operaciones se sirvan desde la caché local.

Equipos principales: limitar dónde se descargan datos y perfiles

Una funcionalidad menos conocida pero muy útil es la de los equipos principales (primary computers). Básicamente, permite decir: “estas cuentas de usuario solo van a usar redirección de carpetas y/o perfil móvil cuando inicien sesión en estas máquinas concretas”.

El mecanismo se basa en un atributo de AD DS llamado msDS-Primary-Computer, que almacena qué equipos son principales para cada usuario. A partir de ahí, el comportamiento es:

• Si las GPO están configuradas para respetar los equipos principales y el esquema de AD soporta el atributo, Windows comprueba al iniciar sesión si el equipo es uno de los designados para el usuario.
• Si el equipo es principal, se aplican normalmente el perfil móvil y la redirección de carpetas configurados.
• Si no lo es, se carga un perfil local en caché (o uno nuevo, si no existía), y se ajustan las carpetas redirigidas según las reglas de eliminación definidas en la directiva anterior.

Esto tiene varias ventajas claras: controlas dónde se descargan datos potencialmente sensibles, evitas dejar rastros de información personal en equipos compartidos o de uso puntual, y disminuyes el riesgo de perfiles corruptos al no viajar indiscriminadamente entre sistemas muy distintos.

Consideraciones sobre AppData y el tamaño del perfil

Una de las zonas más delicadas de cualquier despliegue de perfiles móviles es AppData. Windows separa varios tipos de datos de aplicación:

• AppData\Roaming: está pensado para configuraciones y datos persistentes que deben viajar con el usuario. Forma parte del roaming profile por defecto.
• AppData\Local: se usa para caches, datos temporales y archivos ligados al equipo. No se sincroniza en el perfil móvil ni debe redirigirse.
• AppData\LocalLow: se reserva a aplicaciones de baja integridad (por ejemplo, ciertos complementos de navegador). Tampoco viaja con el usuario.

El equilibrio está en decidir si rediriges AppData (Roaming) a una carpeta de red o lo mantienes dentro del perfil móvil estándar; alternativas como User Experience Virtualization (UE-V) pueden ayudar. Con versiones antiguas de Windows, redirigirlo a red podía penalizar el rendimiento, especialmente con conexiones lentas; con Windows 7 y posteriores, gracias a la mejora de Offline Files y la sincronización en segundo plano, es más viable, pero sigue siendo recomendable analizar qué guarda cada aplicación.

En muchos entornos se adopta una estrategia mixta: se deja AppData (Roaming) como parte del perfil móvil, pero se excluyen mediante directivas subcarpetas concretas que se sabe que generan mucho volumen (caches de navegadores, datos temporales de aplicaciones de diseño, etc.). Esto reduce los tiempos de inicio/cierre de sesión y evita perfiles gigantescos.

Buenas prácticas al diseñar el recurso compartido y los permisos

Más allá de la parte de GPO, el éxito de Folder Redirection y los perfiles móviles depende muchísimo de cómo montes el recurso compartido en el servidor. Algunas pautas razonables son:

• Crear una carpeta raíz (por ejemplo, \DatosUsuarios o \Users) donde se guardarán tanto los perfiles móviles como las carpetas redirigidas, y revisar la estructura de C:\Users.
• Configurar los permisos NTFS de forma que los usuarios puedan crear su propia carpeta y acceder solo a la suya (se suele usar un modelo en el que los usuarios tienen permiso de crear carpetas a nivel raíz, pero no pueden ver el contenido de las de otros).
• Compartir con un nombre oculto (Users$ o similar), y dar permisos de recurso compartido amplios (habitualmente Control total para Authenticated Users o Domain Users) delegando el control real en NTFS.
• Valorar el uso de Access Based Enumeration (ABE) para que los usuarios que naveguen a la raíz del recurso solo vean su carpeta.
• En entornos mixtos con versiones antiguas de Windows, separar el recurso de perfiles móviles de XP de los de versiones modernas, y desactivar el almacenamiento sin conexión en el recurso de perfiles si no tiene sentido mantener caches de todo el perfil.

En el caso concreto de perfiles móviles, una práctica habitual es añadir al final de la ruta de perfil algo como \profile o usar sufijos de versión (.v2, .v3, etc.) según la versión de Windows. Por ejemplo: \\servidor\Users$\%username%\profile.v2 para Windows 7, y usar la clave de registro UseProfilePathExtensionVersion en Windows 8.1 para generar un profile.v3 y evitar conflictos.

Supervisión y solución de problemas

Una vez desplegado, la única forma realista de mantener un entorno sano es vigilar los registros y el comportamiento. En el lado de Citrix Profile Management, los errores relacionados con redirección de carpetas se registran en el Visor de eventos de Windows (registro de Aplicación). Solo se escriben eventos cuando falla algo, así que si no hay errores, suele ser buena señal.

En el lado de Windows puro, conviene revisar periódicamente:

• El tamaño de las carpetas de usuario en el servidor, para detectar crecimientos anómalos.
• Las quejas de usuarios sobre inicios o cierres de sesión lentos, que suelen indicar perfiles demasiado grandes, problemas de red o redirecciones mal planteadas.
• Las entradas de evento relacionadas con Offline Files y con la aplicación de directivas de grupo, que pueden apuntar a rutas inaccesibles o permisos incorrectos.

Si los tiempos de logon/logoff se disparan o el perfil está corrupto, a menudo el culpable es algún programa que guarda mucha información en AppData\Roaming o en una carpeta redirigida. Herramientas de análisis de perfiles y documentación de terceros pueden ayudar a localizar esos puntos calientes y decidir si se redirige, se excluye o se cambia la configuración de la aplicación.

A la hora de plantear una infraestructura de Folder Redirection y perfiles móviles, merece la pena dedicar un rato largo a revisar todas estas piezas: qué carpetas redirigir, qué rutas usar, cómo estructurar los recursos compartidos, qué hacer con AppData y cómo limitar el despliegue a equipos principales. Cuando todo esto encaja, el resultado para los usuarios es una experiencia muy fluida al moverse entre equipos y para TI un entorno mucho más fácil de respaldar, auditar y recuperar ante fallos.