Klassenweiser Zugang zum Internet

[seyyes]

Gebe dieses Thema gerade hier neu ein, da es im Forumbeitrag eines anderen Lehrerkollegen zu wuchern begann, der eigentlich etwas geringfügig anderes sucht.

Wir sind ein Gymnasium mit Laptop-Klassen, und haben das Problem, dass bei den Schülern über WLAN ununterbrochen das Internet im Hintergrund mitläuft. Unterrichten ist da, wie wenn man Volksschüler in einem Spielzeuggeschäft Rechtschreibung beibringen will...

Das schulinterne Netzwerk soll immer aktiv sein. Also Intranet ist immer an. Nur das Internet soll im Normalzustand ausgeschaltet sein. Das bedeutet, wir wollen nur bei Bedarf bestimmte Mac-Adressen (einer Schulklasse) zulassen.

Die Mac-Adressen der Computer einer Klasse verwenden wir bereits als Zugangsfilter zum hausinternen WLAN durch einen Mac-Filter am Router. Dass wir sie auch danach, beim Zugang vom Server ins Internet verwenden können, darauf verweist folgender Artikel:

How to Filter MAC Address with Windows Server 2003/2008 DHCP Server Callout DLL

Auf Deutsch: http://wolfgang-on-the-road.spaces.l...C5A!1161.entry

Jetzt fehlt nur noch ein schlauer Kerl, der damit etwas anfangen kann, denn so wie ich das sehe fehlt nun das Programm, das den Lehrern (die ja keine vollen Administratorenrechte haben sollen) den klassenweisen Zugang auf diese Schaltmöglichkeit gibt.

Eine Klasse definiert sich aus allen Mac-Adressen der Schüler, die darin sitzen.

Vielleicht interessiert es jemanden so etwas zu programmieren. Unsere Schule wird zwar den Zeitaufwand nicht voll finanzieren, aber wenn man es noch einigen anderen Schulen verkauft....

Erste Antwort:

Chief Wiggum: Wäre es da nicht einfacher, einen transparenten Proxy zu verwenden, der ein sauberes Accounting beherrscht?

Für den Zeitraum, in dem Zugriff auf das Netzwerk benötigt wird, einen Einmaluser mit Wegwerfpasswort generieren, bekanntgeben und im Anschluss wieder disablen oder sogar löschen.

Zweite Antort:

Hades: Das Veraendern einer MAC-Adresse geht mit geeigneten Tools innerhalb einer Minute.

Bei WLAN koennte auch eine Benutzer-Authentifizierung ueber einen Radius-Server genutzt werden (IEEE802.1X). Damit kannst Du dann auch das Problem von evt. wechselnden Laptops eines Schuelers in den Griff bekommen. Sonst muesstest Du bei der Loesung mit MAC-Adressen immer die Laptops der einzelnen Klassen in der MAC-Tabelle pflegen (lassen).

Antwort:

Unser Problem ist aber gar nicht Sicherheit. Es genügt eine Minute, zumal der Schüler ja öfter mal herumprobieren müsste, denn er weiß nicht wann welche Klasse im Netz ist. Und wenn er es mal schafft, eine MAC-Adresse zu ergatternm die gerade online ist, ist das eher eine Ausnahme, und auch nicht tragisch, da diese Nebenklasse ja nach ihrer Recherge, also in vielleicht 10 Minuten wieder aus dem Netz geht. Unsere Frage ist eher: Wie bekommen wir das am einfachsten hin?

[Crash2001]

Sind das schuleigene Laptops, die den Schülern zur Verfügung gestellt werden, oder sind die Laptops von den Schülern?

Davon hängt ja ab, was auf den Laptops anEinschränkungen alles möglich ist und was nicht.

[seyyes]

Ach ja, bei der Zusammenfassung ist diese Info wieder verloren gegangen:

Die Laptops gehören den Schülern und werden von diesen administriert.

Wir suchen also nach einer Server-Software-Lösung.

Noch einmal zu obiger Frage nach der Sicherheit der Zugriffsverweigerung: Wir wollen vor allem dass das Netz normalerweise nicht ständig mitläuft. Schon ein generelles Ein, oder Ausschalten wäre ein Ansatz. Die Klassenweise Mac-Adressen-Lösung ist besser. Sicher muss sie nicht sein, sie muss nur die dauernde Verführung durch das Internet mildern. Es ist eher so, wie wenn ich die Schokolade einen Raum weiter aufbewahre und nicht direkt vor das Fernsehsofa lege. Schüler wollen ins Netz, und Leherer werden sie auch oft hinein lassen, zum Beispiel als Belohnung die letzen 10 Minuten einer produktiven Unterrichtsdoppelstunde.

Ich denke, diese drei Links führen uns am ehesten weiter:

Wolfgang on the Road: 197: Erstaunliches Windows DHCP Feature

mehr dazu: How to Filter MAC Address with Windows Server 2003/2008 DHCP Server Callout DLL

Gruppenrichtlinieneditor Gpedit.MSC unter Windows XP Home nachinstallieren

Bearbeitet 31. Oktober 2008 von seyyes

[lupo49]

Habt ihr euch mal kostenlose Projekte für diesen Zweck angeguckt?

Mir würde spontan etwas vom Heise-Verlag einfallen:

c't/ODS-Schulserver :: Arktur

Mann kann deinen Link in deinem ersten Post nicht aufrufen. Der ist kaputt.

[seyyes]

Dass mit Linux unser Wunsch eher zu erfüllen wäre, wissen wir inzwischen,

aber Schuladministratoren bekommen eine Pauschale für die Administration eines Netzes in dem 500 Schüler und 70 Lehrer tätig sind. Die sind froh wenn mal alles eingegeben ist und läuft. Und der Server läuft jetzt auf Windows. Da will man nicht, nur um einen Schalter zu bewegen, das ganze Netz neu aufsetzen.

Erfüllt folgendes nicht am ehesten unseren Zweck?:

How to Filter MAC Address with Windows Server 2003/2008 DHCP Server Callout DLL

Wolfgang on the Road: 197: Erstaunliches Windows DHCP Feature

Bearbeitet 31. Oktober 2008 von seyyes

[Crash2001]

Ich halte die Lösung für nicht praxistauglich in einer Schule. Für Firmen, bei denen immer die gleiche Hardware benutzt wird mag das ok seijn, aber du hast andere Voraussetzungen. Man weiss ja nie, wer mal ein neues NOtebook bekommt, oder wer mal sein Arbeitsnotebook statt dem eigenen mitbringt. Das ist viel zu viel Aufwand, da jedesmal erst die MAC-Adressen zu überprüfen und ggf einzutragen. Und sei mal ehrlich - welcher Lehrer würde das schon machen?

Wie ist das WLAN bei euch denn aufgebaut? Hat jeder Raum in dem das möglich sein soll seinen eigenen AP, oder teilen sich die APs mehrere Klassen jeweils? Und sind da adiministrierbare Switche/Router zwischen AP und Windows Server?

[seyyes]

Also wir haben in jedem Raum eine WLAN -Station. Aber da die Räume nahe beieinander sind, strahlt, wenn man das eine WLAN abschaltet das andere herüber. Das ist aber ohnehin irrelevant, weil wir erst nach dem Server differenzieren können, denn:

Das Schulnetzwerk sollen die Schüler ja immer verwenden. Nur das Internet soll standardmäßig abgeschalten sein, und nur bei Bedarf Klassenweise aktiviert werden.

Die Mac-Adressen sind bereits erfasst. Sie werden bereits im Mac-Filter der Router verwendet. Also ist der Aufwand nicht mehr so groß. Sehr oft tauschen Schüler kein Notebook. Es ist noch kein Reichtum ausgebrochen.

Aber freilich sind wir interessiert an alternativen Einfällen.

Bearbeitet 31. Oktober 2008 von seyyes

[Shadowman]

Jetzt kommt ein unerfahrer Beitrag:

Wenn die möglichkeit besteht:

Einen Proxy Server mit Webauthentifizierung anlegen

Jedem Schüler eine eigene Benutzerkennung mit Passwort zuweisen

Jedem Klassenlehrer eine Benutzerkennung mit Passwort zuweisen

Für jede Klasse eine Gruppe anlegen und die Schüler + Lehrer verknüpfen

Lehrer können dann den Proxy aktivieren / deaktivieren