Oct 21, 2012, updated at 07:28:15 (UTC)

8801

Internet-Blocker programmieren

Hallo zusammen,

in einer von mir betreuten Schule wurde bisher das Programm iBlocker verwendet, um den Schülern im Computerraum den Internetzugang entweder zu sperren oder freizugeben. Leider ist das Programm nicht Windows7-fähig, und nun überlege ich, ob ich sowas nicht selber programmieren könnte.

Mit netsh kann ich ja das Standardgateway setzen, so daß ich Anfragen an das Internet ins Leere laufen lassen könnte. Der Befehl kennt auch eine REMOTE-Option, so daß ich theoretisch vom Lehrerrechner aus die Schülerrechner konfigurieren könnte. Es gibt aber offenbar keine Option, einen Benutzernamen und ein Paßwort zu übermitteln. Daher wäre die Frage, ob das so wie angedacht funktionieren kann, wenn auf dem Remotesystem ein Benutzer angemeldet ist, der nicht die Berechtigung hat, die IP-Einstellungen zu verändern. Und was ist mit der UAC? Läßt die das passieren?

Sowohl der Lehrerrechner als auch die Schülerrechner sind Mitglied einer Domäne. Ich könnte also per GPO durchaus die Lehrer zu lokalen Administratoren auf den Schülerrechnern machen, wenn das etwas helfen würde.

Für Infos Danke im Voraus,
Sarek

Please also mark the comments that contributed to the solution of the article

Content-Key: 193074

Url: https://administrator.de/contentid/193074

Printed on: April 27, 2024 at 01:04 o'clock

65 Comments

Latest comment

Moin
Nun es währe auch Möglich dies über den Router/Proxy zu machen.
Dort dann den PC Freigeben/Sperren.
Squid Webwascher ect....

Zitat von @kaiand1:

Nun es währe auch Möglich dies über den Router/Proxy zu machen.
Dort dann den PC Freigeben/Sperren.

Also einen Squid haben wir tatsächlich (auf dem Server) laufen. Aber mit diesen Linux-stämmigen Programmen kenne ich mich nun gar nicht aus. Kann ich da auf dem Lehrerrechner irgendwas installieren, mit dem man auf Knopfdruck bestimmte Rechner im Squid sperrt? Wenn ja, in was programmiert man das? Wie gesagt, Squid stammt aus dem Linux-Bereich, und damit kenne ich mich gar nicht aus.

Nun mit Squid kannst du das sogar per Gruppe Regeln.
Squid kann mit ADC umgehen.
Entweder machste das die User/PCs dem Squid verboten/erlaubt werden oder halt über Gruppenrechte Internet geben/nehmen.

Ich verstehe nur Bahnhof

Wie gesagt, ich habe von Squid keine Ahnung. Er läuft, und die Konfiguration hat Time-for-Kids gemacht, weil die den für ihren Schulfilter benötigen.

Und ich bräuchte ja wie gesagt eine Möglichkeit, die Konfigurationen zu schalten, der Lehrer soll das Internet ja für die Schüler sperren oder freigeben können. Wenn ich aber nun nicht mal weiß, wie ich Squid konfigurieren soll, weiß ich erst recht nicht, wie ich Konfigurationen per Remote umschalten kann ...

Wenn ihr schon TFK habt, warum benutzt ihr das dann nicht?
Das Programm hat schließlich genau ein Feature um PC-Räume zu sperren...

Zitat von @dog:

Wenn ihr schon TFK habt, warum benutzt ihr das dann nicht?
Das Programm hat schließlich genau ein Feature um PC-Räume zu sperren...

Weil TfK es meines wissens immernoch nicht hinbekommen hat, ein einfaches Lehrertool bereitzustellen, wo der Kollege mit einem Klick den Zugriff sperren oder entsperren kann. Man muß erst das Cockpit aufrufen, sich dort anmelden und kann dann erst in der Cockpit-Oberfläche die "Schnellsperrung" ausführen. Die gilt dann aber systemweit und nicht nur für diesen Raum. Wenn man nur einen Raum sperren wollte, müßte man dafür eine Lernbox einrichten und die dann ein- oder ausschalten.

Leider ist (oder fühlt sich) die Mehrzahl der Kollegen dazu nicht in der Lage ... auch wenn man das gar nicht laut sagen darf: wir brauchen eine DAU-geeignete Lösung.

Bei ner DAU Lösung bleibt dann eher nur eine Eigenlösung.
Eine Webseite die erkennt welcher LehrerPC die Seite aufruft und anhand der IP dann Internet SPerren/Freigeben Anzeigen.
Durch Sperren/Freigeben ist der PC-Raum dann gesperrt wo sich der LehrerPC befindet.

Bei ner DAU Lösung bleibt dann eher nur eine Eigenlösung.

Es sei denn, es gibt irgendwo noch mal so was wie den eingangs erwähnten iBlocker, aber eben auch für Windows 7. Das Programm war ja optimal. Programm öffnen, und dann entweder auf sperren oder entsperren klicken und gut. Und das für günstiges Geld, Klassenraumlizenz für 20 Euro.

Eine Webseite die erkennt welcher LehrerPC die Seite aufruft und anhand der IP dann Internet SPerren/Freigeben Anzeigen.

Muß es eine WebSite sein? Mit Web-Programmierung kenne ich mich gar nicht aus. Mein ursprünglicher Ansatz mit netsh wäre ja auf eine Batch-Datei hinausgelaufen. Die IP-Adressen in dem Raum sind fortlaufend, so daß es auf ein Basic-Programm folgender Art hausgelaufen wäre:

Sub Sperren()
For i = 201 to 225
shell "netsh //Parameter um das Standardgateway auf 127.0.0.1 zu setzen// -r 192.168.10." + right(str(i),3)  
Next i
End Sub

Sub Entsperren()
For i = 201 to 225
shell "netsh //Parameter um das Standardgateway auf 192.168.10.1 zu setzen// -r 192.168.10." + right(str(i),3)  
Next i
End Sub

Hallo,
Vom aendern des Gateway's könntest du die Firewall auch ein und ausschalten.

Zitat von @wiesi200:

Vom aendern des Gateway's könntest du die Firewall auch ein und ausschalten.

Hm, was bringt mir das? Eingeschaltet ist sie normalerweise sowieso, wenn ich sie ausschalte, habe ich ja immer noch Internetzugang.

Und selbst wenn, dann wären da die gleichen Fragen offen, wie beim Ändern des Gateways:

Geht das, wenn auf dem Remotesystem ein Benutzer angemeldet ist, der nicht die Berechtigung hat, die Firewalleinstellung zu verändern?
Läßt die UAC das passieren?

Zitat von @SarekHL:

Hm, was bringt mir das? Eingeschaltet ist sie normalerweise sowieso, wenn ich sie ausschalte, habe ich ja immer noch
Internetzugang.

Sorry, aber denk bitte einfach noch mal drüber nach. Und was eine Firewall macht.

# Läßt die UAC das passieren?

Je nach Berechtigung müsste es gehen. Einfach mal testen.

Zitat von @wiesi200:

Sorry, aber denk bitte einfach noch mal drüber nach. Und was eine Firewall macht.

Also, ich bin der Meinung, ein reines Ein- oder Ausschalten der Firewall bringt gar nichts, es sei denn, im eingeschalteten Zustand würden die Einstellungen so sein, daß der gesamte Internetverkehr geblockt wird. Das will ich aber nicht, denn die Firewall soll ja generell laufen, um den PC vor Würmern zu schützen. Wenn, dann müßte ich zwischen zwei Konfigurationen (Normalkonfiguration und "Internet dicht") wechseln können, aber eine solche Möglichkeit habe ich in der netsh-Hilfe gerade nicht entdeckt.

> # Läßt die UAC das passieren?
Je nach Berechtigung müsste es gehen.

Dann müßte die UAC ja auch das Ändern des Standardgateways zulassen. Wo wäre der Vorteil der Firewall-Lösung gegenüber der Gateway-Lösung?

Einfach mal testen.

Mache ich, sobald ich wieder vor Ort bin.

Zitat von @SarekHL:

> Zitat von @wiesi200:
> ----
> Sorry, aber denk bitte einfach noch mal drüber nach. Und was eine Firewall macht.

Also, ich bin der Meinung, ein reines Ein- oder Ausschalten der Firewall bringt gar nichts, es sei denn, im eingeschalteten
Zustand würden die Einstellungen so sein, daß der gesamte Internetverkehr geblockt wird. Das will ich aber nicht, denn
die Firewall soll ja generell laufen, um den PC vor Würmern zu schützen. Wenn, dann müßte ich zwischen zwei
Konfigurationen (Normalkonfiguration und "Internet dicht") wechseln können, aber eine solche Möglichkeit habe
ich in der netsh-Hilfe gerade nicht entdeckt.

Genau, du kannst per netsh auch einzelne Ports sperren.

> > # Läßt die UAC das passieren?
> Je nach Berechtigung müsste es gehen.

Dann müßte die UAC ja auch das Ändern des Standardgateways zulassen. Wo wäre der Vorteil der
Firewall-Lösung gegenüber der Gateway-Lösung?

Du kannst genauer steuern. Beim Gateway geht kein Traffic mehr aus dem eigenen Netz. Wenn du dein Netz segmentiert hast kannst du auf nicht's außerhalb zugreifen. Bei der Firewall ist das nicht so.

> Einfach mal testen.

Mache ich, sobald ich wieder vor Ort bin.

Zitat von @wiesi200:

Genau, du kannst per netsh auch einzelne Ports sperren.

OK, das habe ich nicht gesehen. So geht es natürlich.

Du kannst genauer steuern. Beim Gateway geht kein Traffic mehr aus dem eigenen Netz. Wenn du dein Netz segmentiert hast kannst du auf nicht's außerhalb zugreifen. Bei der Firewall ist das nicht so.

Das Netz ist so klein, da ist nichts segmentiert ;)

Aber wenn Du sagst, daß es authentifizierungsmäßig kein Problem ist, auch wenn auf den Clients ein normaler Benutzer angemeldet ist, dann würde mich mal interessieren, in welchem Berechtigungskontext ein Remote-NETSH läuft. Denn Benutzername und Kennwort kann man soweit ich gesehen habe nicht übergeben. Gilt da die Berechtigung des Benutzers, der auf dem Lehrerrechner angemeldet ist?

Das sollte dir dabei helfen.

http://technet.microsoft.com/de-de/library/cc738900(v=WS.10).aspx

http://technet.microsoft.com/de-de/library/cc738900(v=WS.10).aspx

Fünfmal gelesen und nix verstanden. Um was für eine Ausnahme geht es da? Oder muß man das Exception bei "Allow remote administration exception" anders übersetzen?

Zitat von @SarekHL:

> http://technet.microsoft.com/de-de/library/cc738900(v=WS.10).aspx

Fünfmal gelesen und nix verstanden. Um was für eine Ausnahme geht es da? Oder muß man das Exception bei
"Allow remote administration exception" anders übersetzen?

Eigentlich geht's um zwei Themen. Zum einen Welche Benutzerberechtigungen du brauchst. Entweder lokaler Admin oder Domain Admin. Sprich dein Problem mit dem Berechtigungskonzept, es werden die Benutzerdaten des ausführenden Users auf dem Remotearbeitsplatz verwendet.

Zum anderen bei eingeschalteter Firewall müssen gewisse Ausnahmen gesetzt werden damit du remote per netsh auf den PC zugreifen kannst.

das kannst du per

netsh firewall set service type = remoteadmin enable

oder per Gruppenrichtlinie machen.

Zitat von @wiesi200:

Sprich dein Problem mit dem Berechtigungskonzept, es werden die Benutzerdaten des ausführenden Users auf dem Remotearbeitsplatz verwendet.

Nur um die Begriffe zu klären: Meinst Du mit Remotearbeitsplatz den Lehrerrechner, von dem aus NETSH ausgeführt wird, oder den Schülerrechner, auf dem der Befehl wirken soll?

Den Lehrerrechner. Der Benutzer der dort das Script ausführt muss die Rechte dazu auf dem Schülerrechner haben.

Ok, es sollte kein Problem sein, die Sicherheitsgruppe der Lehrer per GPO auf den Schülerrechnern zu lokalen Admins zu machen.

Danke für Deine Geduld und Hilfe ... da sollten sich manche Nutzer hier mal eine Scheibe von abschneiden.

Moin,

folgende könntest du dir ansehen:

http://www.freiesofts.de/software/School-PC-91600.html
http://www.visual-helpdesk.de/vhd/
http://www.all-nettools.com/de/remote-control-5/net-control-2-20067.htm

Ich benutz HDGuard mit dem man noch ein paar mehr Dinge machen kann, aber die Kosten sind beträchtlich. Hat mich viel Überzeugungsarbeit gekostet das durch zu boxen.

Allerdings: Faulheit sollte bestraft werden. TFK bietet die Lernboxen an und die sollte man auch einrichten und nutzen...

[OT]
Hast du die Nutzer in TFK aus dem AD importiert?
[/OT]

Gruß

Zitat von @Xaero1982:

folgende könntest du dir ansehen:

Das günstigste scheint für einen Raum mit 25 Computern das erste Programm zu sein ... das kostet aber immer noch 225 Euro. Im Vergleich zu dem iBlocker für 80 Euro eine ganze Menge. Der Preis ist angesichts des Funktionsumfangs durchaus gerechtfertigt, aber das brauchen wir ja alles gar nicht. Und für "nur" Internet blockieren ist es halt zu teuer.

Ich benutz HDGuard mit dem man noch ein paar mehr Dinge machen kann, aber die Kosten sind beträchtlich. Hat mich viel Überzeugungsarbeit gekostet das durch zu boxen.

Ja, an meiner anderen Schule haben wir auch INIS und HDGUARD im Einsatz ... das sind schon tolle Produkte ... aber für diese Schule unbezahlbar.

Allerdings: Faulheit sollte bestraft werden. TFK bietet die Lernboxen an und die sollte man auch einrichten und nutzen...

Andererseits könnte TfK einige Funktionen ruhig etwas schneller zugänglich machen. Das Cockpit braucht hier eine ganze Weile, bis es gestartet ist ... dann noch der Anmeldevorgang ... also von einer Schnellsperrung kann da nicht die Rede sein. Genau das ist aber das Ziel ... ein Mausklick oder maximal zwei, dann sollen die Schüler vom Netz getrennt sein. So wie es eben bei INIS geht und beim iBlocker ging.

[OT]
Hast du die Nutzer in TFK aus dem AD importiert?
[/OT]

Nein, nach einigen Schwierigkeiten (z.B. kann man nicht so einfach die Sicherheitsgruppe "Lehrer" als Schulfilter-Benutzer festlegen, so daß neue Lehrer automatisch übernommen werden, auch Paßwort-Änderungen von Lehrern wurden nicht automatisch übernommen) und diversen Telephonaten mit dem TfK-Support haben die zugegeben, daß das nicht so reibungslos funktioniert bzw. auch gar nicht so gewollt ist. TfK bevorzugt einen Lehrer-Account, über den alle Kollegen gehen sollen - unter anderem, damit man auch auf die Lernboxen der Kollegen zugreifen kann. So die offizielle Auskunft.

Zitat von @SarekHL:

> Zitat von @Xaero1982:
> ----
> folgende könntest du dir ansehen:

Das günstigste scheint für einen Raum mit 25 Computern das erste Programm zu sein ... das kostet aber immer noch 225
Euro. Im Vergleich zu dem iBlocker für 80 Euro eine ganze Menge. Der Preis ist angesichts des Funktionsumfangs durchaus
gerechtfertigt, aber das brauchen wir ja alles gar nicht. Und für "nur" Internet blockieren ist es halt zu teuer.

Verstehe ich ... ich hab die ganze Zeit noch ein Programm im Kopf welches für Schulen glaube ich kostenlos war, aber mir will der Name nicht einfallen... ich glaube irgendwas mit "hex" war in dem Namen.

> Ich benutz HDGuard mit dem man noch ein paar mehr Dinge machen kann, aber die Kosten sind beträchtlich. Hat mich viel
Überzeugungsarbeit gekostet das durch zu boxen.

Ja, an meiner anderen Schule haben wir auch INIS und HDGUARD im Einsatz ... das sind schon tolle Produkte ... aber für
diese Schule unbezahlbar.

Diese Problematik kenne ich zu gut ...

> Allerdings: Faulheit sollte bestraft werden. TFK bietet die Lernboxen an und die sollte man auch einrichten und nutzen...

Andererseits könnte TfK einige Funktionen ruhig etwas schneller zugänglich machen. Das Cockpit braucht hier eine ganze
Weile, bis es gestartet ist ... dann noch der Anmeldevorgang ... also von einer Schnellsperrung kann da nicht die Rede sein.
Genau das ist aber das Ziel ... ein Mausklick oder maximal zwei, dann sollen die Schüler vom Netz getrennt sein. So wie es
eben bei INIS geht und beim iBlocker ging.

Hast du schon recht, aber leider gibt es da doch noch einige Unzulänglichkeiten...

> [OT]
> Hast du die Nutzer in TFK aus dem AD importiert?
> [/OT]

Nein, nach einigen Schwierigkeiten (z.B. kann man nicht so einfach die Sicherheitsgruppe "Lehrer" als
Schulfilter-Benutzer festlegen, so daß neue Lehrer automatisch übernommen werden, auch Paßwort-Änderungen
von Lehrern wurden nicht automatisch übernommen) und diversen Telephonaten mit dem TfK-Support haben die zugegeben, daß
das nicht so reibungslos funktioniert bzw. auch gar nicht so gewollt ist. TfK bevorzugt einen Lehrer-Account, über den alle
Kollegen gehen sollen - unter anderem, damit man auch auf die Lernboxen der Kollegen zugreifen kann. So die offizielle Auskunft.

Danke für diese Info. Das wäre bzw. ist eine echt schwache Leistung. Es gibt da einige Punkte die in Verbindung mit dem LDAP nicht gehen (Siehe meine Frage zum Schulfilter) und ich bin gespannt was der Support mir sagt. So lass ich mich jedenfalls nicht abspeisen - nicht für den Preis.
Das mit den Lehreraccounts hab ich auch überlegt, aber: Da muss sich jeder dieses PW merken und da gehts schon los.
Die Schnellsperre hab ich aus dem Grund schon in den Berechtigungen entfernt. Dafür gibt es HD Guard bei uns.

Schade, dass es nicht ein einheitliches System in den Schulen gibt - zumindest in einem Bundesland.

Gruß

Also während ihr hier diskutiert hätte ich eine ASP.Net Seite geschrieben die nach vorne SPNEGO und Beschränkung auf Lehrerkonten macht und sich nach hinten als Client bei TFK einloggt und die Lernbox umschaltet.

bzw. auch gar nicht so gewollt ist.

So wie ich es bisher erlebt habe ist bei der Firma garnix gewollt sondern eher alles das Resultat einer zufälligen kosmischen Anordnung die hin und wieder die Festplatten bei denen so magnetisiert, dass eine TFK-Komponente dabei rauskommt.

Schade, dass es nicht ein einheitliches System in den Schulen gibt - zumindest in einem Bundesland.

Das ist wohl eher ein großes Glück.
Wenn einheitlich, dann wird nämlich immer das billigste und schlechteste genommen und wer was funktionierendes will bekommt als Antwort "Aber es gibt doch schon XYZ" - darüber muss ich bei praktisch jedem Einkauf diskutieren.

Zitat von @dog:

Schön, daß Du das kannst, ich kann es nicht. Ich weiß nicht mal, was SPNEGO ist. Und wir haben auch keinen WebServer, der ActivServerPages abarbeiten kann.

So weit würde ich nicht gehen. Prinzipiell ist der Schulfilter und noch mehr der Schulrouter eine durchdachte und gut funktionierende Sache ... nur ein paar Kleinigkeiten sollten unbedingt verbessert werden.

Ich hätte da noch eine Idee:

Wächterkarten von Dr. Kaiser. Die haben eine kostenlose Software "Lehrerkonsole" womit man auch so einiges anstellen kann

Bin mir allerdings gerade nicht sicher, ob diese Funktionalität auch ohne eingeschalteten Schutz funktioniert, also ohne HDD Schutz.

Gruß

Zitat von @dog:

Das ist wohl eher ein großes Glück.
Wenn einheitlich, dann wird nämlich immer das billigste und schlechteste genommen und wer was funktionierendes will bekommt
als Antwort "Aber es gibt doch schon XYZ" - darüber muss ich bei praktisch jedem Einkauf diskutieren.

Das sollte natürlich nicht in der Hand des Amtes liegen so viel ist sicher, sondern eher in den Händen der Betreuer und Verwalter der Schulnetze.
Sprich, die Admins sollten sich ein "Portal" schaffen in dem sie sich über ihre Wege das Netz zu administrieren austauschen oder auch mal überlegen, dass man dies oder jenes anschafft und das dann in wesentlich größeren Stückzahlen und das mit dem Hersteller angeht und die Preise entsprechend drücken kann.
Oder aber das man sich auch gegenseitig unter die Arme greift, weil z.b. Grundschulen oder sehr kleine Schulen zumindest ein Etat haben den man nur als lächerlich bezeichnen kann und da könnte man z.b. von größeren Schulen auch mal was abgreifen was dort nicht mehr verwendet wird.

Gruß

der Schulrouter eine durchdachte und gut funktionierende Sache ...

der Schulrouter ist ein geklautes IPCop (und ich wette übrigens um 5€, dass wenn man TFK auffordert die Quellen rauszurücken, wie nach GPL vorgeschrieben und in Deutschland mehrfach vor Gericht bestätigt, dann würden die das verweigern).

wir hatten früher auch so was: DOM sBox. Das war um Faktor 10-30 unterirdischer als TfK und ich war heidenfroh als die Firma das Teil eingestellt hat und wir mit TFK auf den ISA Server wechseln konnten (IBMs Proventia zu benutzen, von dem das Feature kommt, war eine der besseren Entscheidungen von TFK) - die einzige Software in dem Stack deren Implementation ich vertraue.

Zitat von @Xaero1982:

Diese Problematik kenne ich zu gut ...

Das kennt wohl jeder, der für Schulen arbeitet. Und ich ärgere mich immer wieder über einige User hier, die mit teuren Standardlösungen (auch bei Hardware) auffahren und nicht einsehen wollen, daß sowas für Schulen nicht machbar ist.

Danke für diese Info. Das wäre bzw. ist eine echt schwache Leistung.

Stimmt, da rege ich mich auch drüber auf. Wenn man die Möglichkeit bietet, dann sollte sie auch ausgereift sein.

Es gibt da einige Punkte die in Verbindung mit dem LDAP nicht gehen

Ich weiß gar nicht, wie das bei uns konfiguriert ist, AD oder LDAP. Hat jedenfalls der TfK-Support gemacht, ich schaue morgen mal nach.

Die Schnellsperre hab ich aus dem Grund schon in den Berechtigungen entfernt. Dafür gibt es HD Guard bei uns.

Seit welcher Version kann HDGuard das? Wir haben bei uns (also in der anderen Schule) die Version 6, die kann aber nur die Festplatte schützen. Für Internetsperrung etc. ist INIS zuständig.

"Lehrerkonsole" womit man auch so einiges anstellen kann

Das letzte mal als ich mir die angeguckt habe hatte die 3 Buttons:
- Sound sperren
- Internet sperren
- PC sperren

Und nein, die geht nicht ohne PC-Wächter oder DRIVE.

Ich weiß gar nicht, wie das bei uns konfiguriert ist, AD

Also hast du jetzt eine Windows Domain oder nicht?

und nun überlege ich, ob ich sowas nicht selber programmieren könnte.

Schön, daß Du das kannst, ich kann es nicht.

Erst so dann so?
Entweder du kannst programmieren, dann brauchst du auch nicht länger als ein paar Stunden und Codebeispiele für .Net oder die Frage ist schon falsch gestellt...

Zitat von @dog:

> der Schulrouter eine durchdachte und gut funktionierende Sache ...

der Schulrouter ist ein geklautes IPCop (und ich wette übrigens um 5€, dass wenn man TFK auffordert die Quellen
rauszurücken, wie nach GPL vorgeschrieben und in Deutschland mehrfach vor Gericht bestätigt, dann würden die das
verweigern).

Genaugenommen ist es Endian - was ursprünglich auch auf dem IPCop basiert...

Gruß

Zitat von @SarekHL:

> Zitat von @Xaero1982:
> ----
> Diese Problematik kenne ich zu gut ...

Das kennt wohl jeder, der für Schulen arbeitet. Und ich ärgere mich immer wieder über einige User hier, die mit
teuren Standardlösungen (auch bei Hardware) auffahren und nicht einsehen wollen, daß sowas für Schulen nicht
machbar ist.

Ich ärger mich darüber nicht, ich nehme es ihnen nicht mal übel, weil die keinerlei Vorstellung davon haben mit welchen Geldern wir hier haushalten müssen - woher sollten sie das auch wissen? Die leidtragenden sind aber leider immer die Schüler...

> Danke für diese Info. Das wäre bzw. ist eine echt schwache Leistung.

Stimmt, da rege ich mich auch drüber auf. Wenn man die Möglichkeit bietet, dann sollte sie auch ausgereift sein.

Besonders pfiffig:
Man kann Rechner importieren für die Regeln, aber sie werden nicht mit dem Namen gefunden, sprich die Regeln oder Lernboxen greifen nicht.

> Es gibt da einige Punkte die in Verbindung mit dem LDAP nicht gehen

Ich weiß gar nicht, wie das bei uns konfiguriert ist, AD oder LDAP. Hat jedenfalls der TfK-Support gemacht, ich schaue
morgen mal nach.

AD (Windows) geht nicht - der zerstückelt die Anmeldenamen ...

> Die Schnellsperre hab ich aus dem Grund schon in den Berechtigungen entfernt. Dafür gibt es HD Guard bei uns.

Seit welcher Version kann HDGuard das? Wir haben bei uns (also in der anderen Schule) die Version 6, die kann aber nur die
Festplatte schützen. Für Internetsperrung etc. ist INIS zuständig.

Ich korrigiere ... HDGuard in Verbindung mit dem HD Guard Master.

Zitat von @dog:

> "Lehrerkonsole" womit man auch so einiges anstellen kann

Das letzte mal als ich mir die angeguckt habe hatte die 3 Buttons:
- Sound sperren
- Internet sperren
- PC sperren

Und nein, die geht nicht ohne PC-Wächter oder DRIVE.

Na immerhin ;) Ist heute immernoch so... reicht doch auch...
Das ist klar, aber mir geht es um den Schutz. Muss der HDD Schutz aktiv sein oder reicht die grundsätzliche Installation und Konfiguration der Karte?

Hab ich nie wirklich ausprobiert aber ich meine es ging auch während das System offen war (zum Einrichten und Testen der Konsole musste man den Schutz ja deaktivieren)

Zitat von @dog:

Hab ich nie wirklich ausprobiert aber ich meine es ging auch während das System offen war (zum Einrichten und Testen der
Konsole musste man den Schutz ja deaktivieren)

Dann wäre es natürlich auch eine Möglichkeit ... ich weiß die Karten sind teuer, aber ... muss sich der TE mal zu äußern...

Gruß

Zitat von @Xaero1982:
Man kann Rechner importieren für die Regeln, aber sie werden nicht mit dem Namen gefunden, sprich die Regeln oder Lernboxen greifen nicht.

Auch wenn das langsam off-topic wird: Das Importieren der Rechner (und auch das Importieren von Benutzern und Gruppen) für Regeln klappt bei uns wunderbar. Nur das Importieren von Benutzern und Gruppen als TfK-Benutzer, die sich am Cockpit anmelden sollen, klappt nicht so.

AD (Windows) geht nicht - der zerstückelt die Anmeldenamen ...

Wie gesagt, ich schaue mal ...

Ich korrigiere ... HDGuard in Verbindung mit dem HD Guard Master.

Ach so ... den haben wir nicht, weil wir ja INIS nutzen ... ist ja auch von RDT.

Warum ich aber eigentlich was gegen TFK habe:

*fingerzeig* Sicherheitslücke in der Konzeption der Filterregeln ermöglichen das Umgehen des Time-For-Kids Schulfilter Plus (nach unten scrollen zu "Stellungnahme des Herstellers")

BTT:

Ist es jetzt eine Windows-Domain oder nicht?
Und wenn du was programmieren willst, in welcher Sprache?

Zitat von @SarekHL:

> Zitat von @Xaero1982:
> Man kann Rechner importieren für die Regeln, aber sie werden nicht mit dem Namen gefunden, sprich die Regeln oder
Lernboxen greifen nicht.

Auch wenn das langsam off-topic wird: Das Importieren der Rechner (und auch das Importieren von Benutzern und Gruppen) für
Regeln klappt bei uns wunderbar. Nur das Importieren von Benutzern und Gruppen als TfK-Benutzer, die sich am Cockpit
anmelden sollen, klappt nicht so.

Das ist ja mal wieder interessant ... also mir wurde sofort gesagt, ich solls über IP Adressen oder MAC Adressen machen.
Definiere mal bitte "klappt nicht so"

> AD (Windows) geht nicht - der zerstückelt die Anmeldenamen ...

Wie gesagt, ich schaue mal ...

Ok...

> Ich korrigiere ... HDGuard in Verbindung mit dem HD Guard Master.

Ach so ... den haben wir nicht, weil wir ja INIS nutzen ... ist ja auch von RDT.

Ok...

Aber wie gesagt, was hälst du von der Wächterkartenlösung, wenn du keine Alternative findest?

Zitat von @Xaero1982:

Dann wäre es natürlich auch eine Möglichkeit ... ich weiß die Karten sind teuer, aber ... muss sich der TE mal zu äußern...

Richtig ... zu teuer. Außerdem haben wir schon eine Festplattenschutzlösung (drive.keeper) ...

Ist es jetzt eine Windows-Domain oder nicht?

Server 2008 ... also JA

Und wenn du was programmieren willst, in welcher Sprache?

Naja, mein Gedanke war ja, NETSH zu benutzen. "Verpacken" würde ich das ganze vermutlich in ein VisualBasic6-Programm, das NETSH dann mit den richtigen Parametern über die SHELL-Funktion aufruft. Es sei denn, jemand zeigt mir eine bessere Idee ...

Server 2008 ... also JA

Warum sagst du dann du hast keinen Webserver?
Der IIS mit ASP.Net ist ein kostenloses Feature von jedem Windows Server und meistens ohnehin schon wegen anderen Diensten aktiviert.

Zitat von @dog:
Warum sagst du dann du hast keinen Webserver?
Der IIS mit ASP.Net ist ein kostenloses Feature von jedem Windows Server

Was nützt mir das, wenn ich es nicht konfigurieren kann?

und meistens ohnehin schon wegen anderen Diensten aktiviert.

Das müßte ich prüfen ...

So ich habe jetzt ein kleines Programm geschrieben was aus 2 Buttons besteht und Lernboxen umschaltet.
Schreib mich morgen abend nochmal an.

Moin,

ich würde sowas ja ganz pragmatsich lösen:

Pro ZImmer ein switch.
Diesem ein "rotes" Uplink-Kabel verpassen, das der Lehrer dann einfach zieht.

fertig.

lks

Pragmatisch ja, aber nicht gerade elegant, oder?

Zitat von @SarekHL:

Pragmatisch ja, aber nicht gerade elegant, oder?

wieso?

Das zu ziehende Kabel ist eindeutig. Jeder "Depp" kann das und man weiß genau, wann Internet "geht" und wann es "nicht geht".

Und vor allem: kein Schüler kann das per "Software" austricksen, wenn der switch ordentlich vor dem zugang gesichert ist (abschließbarer Kasten).

lks

PS: Bei einem Kunden habe ich es ähnlich lösen müssen, damit eine Lagerhalle außerhalb der Geschäftszeiten "kein Netz" hat. da wird der gesicherte switch einfach mit einem beleuchteten Schalter ausgeschaltet (statt "Kabel ziehen"). Dieser switch hat nur zwei verbindungen: Lager zu Hauptswitch. Alle Softwarelösungen waren für die Lagerarbeiter "zu sophisticated". Ist deutlich billiger als eine Softwarelösung (wenn man die Arbeitszeit der Mitarbeiter, die sonst erst den Steuercomputer hochfahren, Anmelden und den Klick machen müssen, mit einrechnet. Selbst wenn der switch durch das aus- udn einschalten kaputtgeht und ersetzt werden muß.

Zitat von @Xaero1982:
> Ich weiß gar nicht, wie das bei uns konfiguriert ist, AD oder LDAP. Hat jedenfalls der TfK-Support gemacht, ich schaue morgen mal nach.

AD (Windows) geht nicht - der zerstückelt die Anmeldenamen ...

Ja, der ist bei uns tatsächlich als LDAP eingerichtet, allerdings nicht "LDAP (andere)", sondern schon "LDAP (Windows)". Host-IP ist die IP des DomainControllers, Port ist 389, Domainname ist der FQDN der Domäne (an einigen anderen Stellen wird der NetBIOS-Name verwendet), Benutzername ist z.B. Administrator (also ohne die Domänenbezeichnung) und unter Optionen (vielleicht verursacht das bei Dir Probleme) ist hier "Ständige Importverbindung" eingestellt.

Zitat von @Lochkartenstanzer:

PS: Bei einem Kunden habe ich es ähnlich lösen müssen, damit eine Lagerhalle außerhalb der
Geschäftszeiten "kein Netz" hat. da wird der gesicherte switch einfach mit einem beleuchteten Schalter
ausgeschaltet (statt "Kabel ziehen").

Das ist ja wieder was anderes. Darüber könnte man auch nachdenken. Aber "Kabel ziehen" wäre für mich keine Alternative, denn an den 19"-Schrank kommen nur Admins und keine Lehrer - und das soll auch so bleiben.

Moin,

etwas OT, mein Senf zum Thema PC-Wächterkarten: Die Dinger funktionieren aktuell in Dell Optiplex 3010 nicht und Herr Dr. Kaiser hat auch keine Lösung. Insofern schaue ich mir mal das oben empfohlene HDGuard an, danke für den Hinweis.

Gruß

DIe Hardware-Karten sind doch eh zu teuer und machen viel zu viel Aufwand.
Wir haben beim Kauf der PCs darauf geachtet, dass Starten von CD nur mit BIOS-Passwort geht und setzen jetzt nur noch die Software-Variante von Dr. Kaiser ein (wobei mir da andere Produkte lieber wären).

Das sehe ich auch gerade ein

Was die Software angeht, finde ich sie eher unschön und nerdig programmiert, der Support hat auch stark nachgelassen. Weitere Alternativen: Time Machine von Comodo, kostenlos, mieser bis kein Support. Oder Deep Freeze, das tuts auch gut und ist preislich im selben Bereich wie HDGuard.

etwas OT, mein Senf zum Thema PC-Wächterkarten: Die Dinger funktionieren aktuell in Dell Optiplex 3010 nicht und Herr Dr. Kaiser hat auch keine Lösung. Insofern schaue ich mir mal das oben empfohlene HDGuard an, danke für den Hinweis.

Wenn es Dir nur um das Schützen der Festplatte geht, dann schau Dir auch noch mal Drive.Keeper von dtm-systems an. Das ist günstiger, aber auch gut.

Zitat von @dog:

So ich habe jetzt ein kleines Programm geschrieben was aus 2 Buttons besteht und Lernboxen umschaltet.
Schreib mich morgen abend nochmal an.

Werde ich tun, Danke sage ich jetzt schon mal ...

Zitat von @dog:

DIe Hardware-Karten sind doch eh zu teuer und machen viel zu viel Aufwand.
Wir haben beim Kauf der PCs darauf geachtet, dass Starten von CD nur mit BIOS-Passwort geht und setzen jetzt nur noch die
Software-Variante von Dr. Kaiser ein (wobei mir da andere Produkte lieber wären).

Der Aufwand ist ja nur einmalig...
Dennoch fand ich den hdd Schutz da nicht so einfach, weil die Konfiguration von Windows Updates in einem ca. 20 Seitigem Dokument ausgeartet ist.
Zu der Softwarevariante kann ich nichts sagen.
Gibt es da eine zentrale Steuerungsmöglichkeit wie der HDGuard.Master?

@Coreknabe: Benutzt du denn die Dell Maschinen?
Von Comodo kann ich aus eigener Erfahrung nur abraten. Zentrale Verwaltung fehlanzeige, außerdem bekommen die das, wie auch andere Anbieter nicht hin, dass das Maschinenpasswort trotz Schutz auf dem PC gesichert wird.
Problem: Alle 30 Tage ändert der Client iVm dem Server (sofern er im AD ist) das Maschinenpasswort - darauf hat man als User keinen Einfluss. Wenn dann in einer Session das PW geändert wurde gilt das für diese Session und beim nächsten Start wurde durch den Schutz das PW wieder zurück gesetzt und das PW zwischen Client und AD stimmen nicht mehr überein und der Client kann sich nicht mehr anmelden. Daher muss man diese Option in der Registrierung auf dem Client deaktivieren.
Des Weiteren wird es mit der Zeit sehr langsam beim Starten.
Schlicht: Schlecht!

@dog: Ich wäre auch mal interessiert an deiner Lösung

Gruß

Der Aufwand ist ja nur einmalig...

Jein. Bei Problemen muss evtl. die Karte geflasht werden, gerade bei Dell muss ich die evtl. in einen anderen Rechner stecken usw. Anderes Problem: Findige Schüler / Studenten kommen vielleicht mal auf die Idee, den Rechner zu öffnen und die Karte einfach rauszuziehen. Wir haben jetzt die PCs noch mit Kabelbindern "gesichert". So sieht man zumindest, wenn da jemand dran war und sich nicht die Mühe gemacht hat, wieder einen Binder anzubringen.
Das umgehe ich dann schon mal, wenn keine Karte verbaut ist.

@Coreknabe: Benutzt du denn die Dell Maschinen?
Von Comodo kann ich aus eigener Erfahrung nur abraten. Zentrale Verwaltung fehlanzeige, außerdem bekommen die das, wie auch
andere Anbieter nicht hin, dass das Maschinenpasswort trotz Schutz auf dem PC gesichert wird.
Problem: Alle 30 Tage ändert der Client iVm dem Server (sofern er im AD ist) das Maschinenpasswort - darauf hat man als User
keinen Einfluss. Wenn dann in einer Session das PW geändert wurde gilt das für diese Session und beim nächsten
Start wurde durch den Schutz das PW wieder zurück gesetzt und das PW zwischen Client und AD stimmen nicht mehr überein
und der Client kann sich nicht mehr anmelden. Daher muss man diese Option in der Registrierung auf dem Client deaktivieren.
Des Weiteren wird es mit der Zeit sehr langsam beim Starten.
Schlicht: Schlecht!

Ja, wir kaufen als aktuelles Modell die Optiplex 3010. Dr. Kaiser ist da wirklich nicht hilfreich, die halten es nicht mal für nötig, sich einen Testrechner zu kaufen...
OK, bei Comodo fehlt die zentrale Verwaltung, dafür ist es auch kostenlos. Das 30 Tage-Problem haben alle Hersteller, dafür kann Comodo nix. Das ist system-immanent, wie es so schön heißt... Natürlich könnte im Software-Installer der entsprechende Registry-Eintrag verbogen werden, aber oft bügeln Gruppenrichtlinien das dann wieder weg. Und Time Machine wurde seit 2010 nicht mehr aktualisiert, dafür ists halt kostenlos...
Ich werde mir nach den letzten Erfahrungen mit PC Wächter jetzt eine Software-Lösung suchen. Wobei der (erst mal) günstigere Preis Augenwischerei ist, wenn ich die anfallenden Supportgebühren einrechne. Die Updates sind ja bei der HW-Variante von PC-Wächter kostenlos.

Hi Coreknabe,

das stimmt natürlich, aber entweder laufen die Karten oder sie laufen nicht - flashen muss man idR ja nichts.
Das mit dem Öffnen stimmt natürlich und ich kann es nicht verstehen, warum die Lehrer nicht darauf achten - sowas fällt auf.

Ja, Comodo ist kostenlos, aber aus meiner Sicht nicht benutzbar. Ich hatte es eine Weile im Einsatz und bekam sehr viele Beschwerden, weil die Rechner extrem langsam wurden. Das ist leider bei allen Softwarelösungen so - bei der einen mehr bei der anderen weniger.

Wenn du Windows XP im Einsatz hast kannst du dir natürlich auch noch Steady State ansehen.

Gruß

Hallo dog,

kannst du mir dieses Programm vielleicht auch zukommen lassen?
Bei uns ist in etwa die gleiche Konstallation wie bei SarekHL.

Grüße
F

Zitat von @SarekHL:

Das ist ja wieder was anderes. Darüber könnte man auch nachdenken. Aber "Kabel ziehen" wäre für mich
keine Alternative, denn an den 19"-Schrank kommen nur Admins und keine Lehrer - und das soll auch so bleiben.

Das kann man ja auch ganz pragmaisch lösen:

Den betreffenden Switch einfach per schalter von außen abschaltbar machen (Schlüsselschalter). Dann brucht auch keiner im Schrank rumzufummeln. oder man shliße den "Trennswitch" in eine abschließbare Holz/Metallkiste im "Klassenzimer" ein. da müssen die Lehrer dann nicht an den 19"-Schrank.

lks

PS: Sorry, wenn ich "Leichen" ausgrabe, aber nachdem ein aktueller Kommentar da reinkam, bin ich nochmal über den Thread und wollte das ergänzen.

Also das Tool von damals ist hier (inkl. Kurzanleitung):

http://img.i7m.de/show/xhw4s-mu0cs-t3344-lpsr1.zip

Wem es optisch nicht gefällt, der kann die Default.aspx natürlich anpassen.
Die example.hta kann man als Desktopverknüpfung etc. auf dem Lehrer-PC ablegen, um es als "Programm" aufrufbar zu machen.

Das ganze ist als Beispiel gedacht, nicht als fertige Lösung. Darum alles natürlich auf eigene Gefahr!

Herzlichen Dank!

Hallo dog,

bin gerade dabei, das Programm lauffähig zu machen bzw. es umzusetzen.
Benötige ich Time for Kids als "Grundprogramm"?

Leider geht das nicht eindeutig hervor...

Grüße
Florian

Zitat von @florian.oeller:

Hallo dog,

bin gerade dabei, das Programm lauffähig zu machen bzw. es umzusetzen.
Benötige ich Time for Kids als "Grundprogramm"?

Leider geht das nicht eindeutig hervor...

Grüße
Florian

Ja, weil das auf TFK zugreift.

Gruß

Habs mir gedacht, weil in der Web.config div. Einträge von TfK vorhanden sind.
Gibt es noch andere Möglichkeiten, das Internet in verschiedenen Lehrsälen zu sperren?

Grüße

Zitat von @florian.oeller:

Habs mir gedacht, weil in der Web.config div. Einträge von TfK vorhanden sind.
Gibt es noch andere Möglichkeiten, das Internet in verschiedenen Lehrsälen zu sperren?

Grüße

Nun ja einige sind schon alleine in diesem Beitrag genannt.

Da hier niemand was zu deinen Gegegebenheiten weiß: Mach einen neuen Beitrag auf und warts ab. Natürlich mit ein paar Informationen was wie genutzt und eingerichtet ist. Welches OS, Server vorhanden, IP-Adressverteilung usw.

Gruß

Hmm
Habe mir den Beitrag durchgelesen und konnte leider nicht das Richtige finden.

Werde einen neuen Beitrag öffnen.

Danke

German Question Development