neues Computerkabinett - Schule - Sicherheit

[Macuser41]

Hallo, nach dem Auslaufen von Windows XP denken wir über ein neues Computerkabinett nach. In der Bibliothek habe ich bereits aus alter Hardware 8 Debian-PC's mit LXDE installiert, die hervorragend funktioniern.
Wir haben keinen Info-Lehrer hier, ich habe irgendwie den Techniker-Job erhalten... warum auch immer. Das neue Kabinett sollte bei der lahmen Internetleitung pflegeleicht sein, deshalb denke ich an Jessie mit XFCE. Einen Testrechner habe ich gerade installiert: i3 (Haswell), Gigabyte H81M-HD3, 8 GB RAM, normale HD, AMD64).

Es funktioniert alles sehr gut, es gibt nur das Problem, dass MS Office 2003 benötigt wird... davon haben wir eine unmenge Lizenzen (25 XP, 25xMS Office).

Ich habe Virtualbox installiert mit dem Gastsystem XP, einen Share-Ordner erstellt und USB-Zugriff sowie NAT deaktivert, dafür internes Netzwerk. Somit kann XP auf den gemeinsamen Ordner zugreifen und hat keinen Zugang zum Internet.

Zur Sicherheitsfrage: Virenschutz ist unter XP nicht installiert, macht keinen Sinn ohne Internetzugang (Aktualisierung). Es soll unbedingt der Umweg vom USB-Stick über den gemeinsamen Ordner genommen werden. Theoretisch dürfte beim Überspielen von Daten in den gemeinsamen Ordner über die Linux-Ebene keine Viren transferiert werden? Ich bin mir da nicht ganz sicher.

Macht es Sinn, unter Debian einen Virenscanner zu installieren, damit die USB-Sticks gescannt werden, bevor die Daten in den gemeinsamen Ordner kommen?

Das XP-Image ist ja pflegeleicht wieder herzustellen... Kopie liegt auf dem Server. Ich will nur verhindern, dass über ein ungesichertes Windows die Viren weitere Verbreitung finden.


Debian ist perfekt für ein Kabinett, kleine Updates, schnell installiert, sehr stabil......



Viele Grüße

M41

(Nebenbei suche ich noch nach einer Möglichkeit der Monitorüberwachung vom Lehrerrechner aus....)

[orcape]

Hi,

Überspielen von Daten in den gemeinsamen Ordner über die Linux-Ebene keine Viren transferiert werden?

Da liegst Du aber wohl richtig schief.
Selbst wenn Du keine Verbindung zum Internet hast, mit einem Stick, einer selbstgebrannten CD ist das gar kein Problem Dir das XP zu versauen.
Die netten "Jungschens" von heute können Dir da schon ganz schön in die Suppe spucken.
Auf alle Fälle würde ich "Clamav" auf dem Wirtssystem versuchen aktuell zu halten und mir die VM´s extern sichern.
Das XP selbst wird wohl nichts mehr mit aktualisiertem Virenscanner.
Bei Bedarf einfach das Gastsystem neu aufspielen.
Gruß orcape

[JuergenPB]

Es soll unbedingt der Umweg vom USB-Stick über den gemeinsamen Ordner genommen werden. Theoretisch dürfte beim Überspielen von Daten in den gemeinsamen Ordner über die Linux-Ebene keine Viren transferiert werden? Ich bin mir da nicht ganz sicher.

Du hast also ein Gartenhaus im Garten (Windows-XP).
Man kommt nur in das Gartenhaus, wenn man vorher durch das Wohnhaus (Debian) geht.
Die Türen und Fenster im Wohnhaus sind für jeden offen.

Was meinst Du:
Kann es wohl passieren, daß Du ungebetene Gäste im Gartenhaus hast?



Einen Türsteher (Du kommst hier nicht rein) braucht man also wohl doch.

[Macuser41]

Also macht es Sinn unter Debian einen Virenscanner zu installieren. Der müsste dann eigentlich alles vorher abfangen. Es ist wirklich schwierig, ein abgeriegeltes XP zu schaffen, wo noch ein paar PP und Word-Dokumente hin- und hergehen.
Welcher Scanner bietet sich an? ClamAV hatte ich vor langen Zeiten unter MacOSX installiert, damit ich nichts weiterreiche. Das war jedoch von der Erkennung her nicht ausreichend.

Die andere Option wäre noch, Office 2003 unter Wine zu installieren. Das ist mir aber zu unsauber, weil die Kids in ihrer Ebene nach Lust und Laune installieren können ohne Root zu sein.


Mit "in die Suppe spucken" ist leider nicht mehr viel... die Kids können nur noch App's starten und eine Maus bedienen, leider..... früher hatte ich immer noch Hilfe.... (wenn ich da noch an Dos 5 denke......für 25 Rechner)
Die hatten aber wenigstens noch eine Turbo-Tast von 8 auf 12 MHz

Gruß M41

[slughorn]

Es funktioniert alles sehr gut, es gibt nur das Problem, dass MS Office 2003 benötigt wird... davon haben wir eine unmenge Lizenzen (25 XP, 25xMS Office).

Wozu braucht Ihr MS Office 2003?

Ich denke, das was MS Office 2003 kann, funktioniert meist auch mit dem aktuellen LibreOffice aus dem Jahr 2014.
Oder wollt Ihr MS Office wegen der vorhandenen Lizenzen nutzen?
Eventuell könnt Ihr MS Office auch mit Wine installieren. Dann spart Ihr den Umweg über die VBox.

Geht es um Viren, dann glaube ich nicht, dass ein Virus, der für Windows geschrieben wurde auch bei Debian läuft.

[Macuser41]

Leider ist Office 2003 nicht diskutabel, darauf wird administrativ bestanden. Ich bin froh, wenn ich schon einmal von Windows wegkomme. Wenn wir die neuen Rechner mit Win 8 bespielen, kann ich mir einen Schlafsack ins Kabinett legen und einen Strick.... dann spare ich mir die 8000,- Sterbehilfe und die Fahrt in die Schweiz.

Wine ist eine gute Idee, ich bekomme es unter AMD64 nicht zum laufen.

[orcape]

@slughorn

Geht es um Viren, dann glaube ich nicht, dass ein Virus, der für Windows geschrieben wurde auch bei Debian läuft.

...der verursacht in Linux auch keine Probleme, aber Linux überträgt den Virus auf das Gastsystem XP.
Deshalb sollte man das schon mal im Vorfeld abblocken.
Das ist auch der Sinn von Linux-Virenscannern im Netzwerk, wenn Windows-Rechner dort mit integriert sind.
@Macuser41

Leider ist Office 2003 nicht diskutabel, darauf wird administrativ bestanden.

Wo da der Sinn liegt, weiss so richtig keiner. Mach doch mal den Vorschlag auf Windows95 mit Office97 auszuweichen, da war die Welt noch in Ordnung...
Kein Wunder das sich die Kiddy´s an der Pisa-Studie die Zähne ausbeißen.
Ich glaube mit einer VM bist Du besser bedient wie mit Wine, sonst kommst Du aus dem basteln nicht mehr raus.
Gruß orcape

[Macuser41]

Die Vorgabe habe ich mit dem Office. Da lässt sich nichts ändern. Im Netzwerk werden zukünftig keine Windows-Rechner sein. Ein separater Server wird auch nicht betrieben. Stattdessen wird eine Diskstation die Aufgaben übernehmen, ist für mich einfacher und verständlicher. Im Prinzip wird ja nicht viel gemacht, Office wird im Info-Unterricht durchgenommen, ansonsten für den Musikunterricht Musescore. Die Schülerzeitung wird mit Scribus erstellt.

Behöreden sind etwas träge bei Veränderungen. Ich bin schon froh, dass aufgrund der extremen Zeitaufwendung für Windows ein Umdenken geschieht. Nur noch die Leitungsrechner haben dann Windows, da spezielle Software verwendet wird. Mit einer virtuellen Umgebung brauch ich gar nicht anklingeln.... obere Etage Windows, der Rest Debian.

ClamAV habe ich gerade wieder heruntergenommen. Es gibt keine Möglichkeit, einen gemounteten Datenträger sofort zu scannen. Bei Avast komme ich nicht weiter. In sources.list habe ich die Paketquelle eingetragen:

deb http://deb.avast.com/lin/repo debian jessie main

Das Hinzufügen des Schlüssel klappt nicht.

apt-key add /path/to/avast.gpg

gpg: '/path/to/avast.gpg' kann nicht geöffnet werden: Datei oder Verzeichnis nicht gefunden


Ohne MS O2003 wäre ich schon längst fertig.

[DeletedUserReAsG]

Du weißt, dass „/path/to/“ ein Platzhalter ist und durch den korrekten Pfad ersetzt werden muss?

[Macuser41]

Hallo, ich lasse das mit Avast. Um alles pflegeleicht ohne Fremdquellen zu halten, bleibe ich bei clamav. Wenn sich ein Virus in die Windows-Ebene einschleicht, wird ein sauberes XP-Image importiert. Ein Virenscanner ist vorhanden, wer ihn nicht nutzt, hat Pech gehabt - Erziehung zur Selbsttätigkeit aus schlechten Erfahrungen.

Morgen stelle ich den Testrechner auf. Ich bin schon gespannt, wie er angenommen wird. Wenn ich nicht selber MacOSX-verseucht wäre, würde ich jetzt privat ebenfalls umsteigen.

Die PC-Konfiguration i3 (Haswell), HD4400, 8 GB RAM, Gigabyte, gutes NT (bequiet oder Enermax) dürfte genügend Power für die nächsen 7 bis 8 Jahre für Debian haben. Immerhin kommen bei 25 Rechner knapp. 9000,- zusammen. Von der Stange wird nichts mehr gekauft.

Mal sehen.....

Gruß M41

[scientific]

Das ist nix für dich?

Wurde explizit für Schulen entwickelt... https://wiki.debian.org/DebianEdu

[Macuser41]

Hallo, danke für den Hinweis. Ich hatte vor zwei Jahren Edubuntu in der Schulbibliothek installiert, alles zu viel und überfrachtet. Im Prinzip benötigen wir nur Libre Office, Audacity, Musescore, Gimp, Scribus und Virtualbox. Es fehlt nur noch eine Möglichkeit der Überwachung vom Lehrerrechner aus. Da habe ich in den Paketquellen nichts gefunden.

Die "Update-Leitung" ist sehr schmal.... so wenig wie möglich, bei Bedarf nachinstallieren.


Ich will nicht noch einen Extra-Thread eröffnen.... ich habe gerade meinen Mac abgeklemmt und erstelle unter Debian mit Scribus ein Plakat. Wo kann man unter Debian die ICC-Profile der Druckerei installieren?


Gruß M41

[hikaru]

MS-Office als Zwangsvorgabe, Linux nur wegen "umsonst" und kein vernünftiges IT-Personal*? Und du sollst dich darum kümmern?
Um es vulgär zu sagen: Du hast dich da gehörig in die Scheiße geritten.

Wenn dein Arbeitgeber Wert auf MS-Software legt, dann soll er ein MS-System einsetzen. Die seit 10 Jahren absehbare nötige Umstellung hat er offenbar verpennt und nun nicht die nötigen Rücklagen.
Wenn er auf Linux umsteigen will, dann soll er das konsequent machen und die Software aus dem Distributionsrepo holen.

Gegen das Gefrickel was da auf dich zukommt werden die Querelen um Limux wie Kindergarten aussehen.
Du musst ein dir (momentan noch) unbekanntes Host-System (Debian) pflegen, auf dem ein Gastsystem (WinXP) läuft das sicherheitstechnisch offen wie ein Scheunentor ist, sollst dich dabei um die Sicherheit kümmern und trotzdem für eine Integration sorgen die nahezu transparent ist (das werden Schüler und Lehrer von dir erwarten - glaub mir).
Alle bei diesem Prozess unweigerlich auftretenden Probleme wird man dir zur Last legen. (Als Erfahrungswert: Die ersten 80% gehen wie von allein, die nächsten 10% mit Aufwand, die letzten 10% werden nahezu unlösbar sein - und genau an diesen letzten 10% werden dich deine User aufknüpfen.)
Ich an deiner Stelle würde schleunigst zusehen wie ich da wieder rauskomme - notfalls auch mit Kündigung.


*) Dass da keine Info-Lehrer rumspringen ist vermutlich eher als positiv zu werten.

[feltel]

Es fehlt nur noch eine Möglichkeit der Überwachung vom Lehrerrechner aus. Da habe ich in den Paketquellen nichts gefunden.

italc ist das Stichwort.

[owl102]

Wenn dein Arbeitgeber Wert auf MS-Software legt, dann soll er ein MS-System einsetzen. Die seit 10 Jahren absehbare nötige Umstellung hat er offenbar verpennt und nun nicht die nötigen Rücklagen.
Wenn er auf Linux umsteigen will, dann soll er das konsequent machen und die Software aus dem Distributionsrepo holen.

Genauso sehe ich das auch, und ich würde an deiner Stelle zusehen, daß du dies zu deinen Bedingungen machst. Ansonsten wird das ein Thema ohne Ende, und Linux ist Mist, weil das mit der VM so umständlich ist, und du hast Mist gebaut, weil du so ein komisches Linux installiert hast, auf dem es so umständlich ist, Office zu verwenden.

[JuergenPB]

Wenn dein Arbeitgeber Wert auf MS-Software legt, dann soll er ein MS-System einsetzen. Die seit 10 Jahren absehbare nötige Umstellung hat er offenbar verpennt und nun nicht die nötigen Rücklagen.
Wenn er auf Linux umsteigen will, dann soll er das konsequent machen und die Software aus dem Distributionsrepo holen.

Nunja, öffentliche Hand (resp. Schulträger) und Logik sind manchmal zwei sehr andere Welten.

[joahlen]

Das Problem mit dem Office in Schulen hatte ich auch schon, daran sind mehrere Projekte schlicht gescheitert.

Ich weiß nicht auf welchem Seminar das war und wie gut das Essen und der Wein dort geschmeckt hat, aber auf einem hat man den entsprechenden Leuten eingehämmert, dass es ohne MS Office nicht geht. Auch wenn LO im Prinzip nichts anderes ist.

Sind wie mal ehrlich: Irgendein Gefrickel mit VBox oder wine ist nicht wirklich Schulkompatible, wenn MS Office, dann auch Windows. Zumindest auf dem Client.

Was die Lizenzen von Office 2003 angeht: Die sind genauso viel und genauso wenig wert wie der Klebstoff für die Aufkleber. Schulen bekommen MS Software nachgeschmissen. Die wissen in Redmond bzw. München schon sehr genau, warum sie das machen. Insofern fällt das Kostenargument für den Umstieg auf ein neueres Office Paket - egal ob LO, OOo oder Microsoft weg, MS Office kostet auch nix.

Für Linux bzw. LO - aus Lehrer und Schulträgersicht - spricht ausschließlich der Sicherheits Aspekt und die Tatsache, dass die Schüler nun wirklich nichts installieren können.¹ Und eben die immer wieder rauf und runter gebetete Tatsache, dass Linux eben nicht zum Zocken taugt. Alles andere - Freiheit der Software, MS Monopol, Abhängigkeit, Kosten - ist schlicht irrelevant.

Wenn irgendwo, dann in der Verwaltung und vor allem in den Schulen ist das MS Monopol gefestigter denn je. Trotz Lumix und anderen „Leuchttürmen“.

Traurig, aber wahr.

JO


¹Wenn man das jetzt noch ohne Flash machen würde, hätte man einen idialen Schularbeitsrechner. Stichwort Browserspiele. Nur leider wollen viele Lernprogramme bzw. diverse offiziellen Server mit Lerninhalten Flash haben. Der Schwachsinn geht sogar so weit, dass man den „Acrobat Reader“ verlangt, weil es evince oder was auch immer (auch unter Windows) nicht tut als PDF Ausdrucker...

[guennid]

---

[scientific]

Hallo, danke für den Hinweis. Ich hatte vor zwei Jahren Edubuntu in der Schulbibliothek installiert, alles zu viel und überfrachtet. Im Prinzip benötigen wir nur Libre Office, Audacity, Musescore, Gimp, Scribus und Virtualbox. Es fehlt nur noch eine Möglichkeit der Überwachung vom Lehrerrechner aus. Da habe ich in den Paketquellen nichts gefunden.

Die "Update-Leitung" ist sehr schmal.... so wenig wie möglich, bei Bedarf nachinstallieren.

Soviel ich Debian-Edu verstanden habe ist das ein "ganz normales" Debian, welches nicht in der Standardkonfiguration daherkommt, sondern speziell auf die von die genannten Zwecke zurechkonfiguriert ist. Zusätzlich hat es eine vorkonfigurierte und sehr einfach zu handhabende Userverwaltung.
Du hast einen Lehrer-Rechner, an den übers Netzwerk entweder Thin-Clients (Festplattenlos) oder Clientrechner (mit Festplatte) der Schüler angeschlossen sind. Zusätzlich gibt es "Satelliten", also z.B. Laptops, die nicht dauernd im internen Netz unterwegs sind. Als Desktop ist KDE im Einsatz - und die von dir gewünschte Software (ausser MS-Office...)

Du lädst dir einmal die Installations-CD/DVD runter und installierst damit alle deine Rechner, die dann auch gleich richtig konfiguriert sind. Und Updates macht man (so ich das richtig verstanden habe) auch über den Server. Also der Server zieht die Updates übers Netz und die Clients werden allo von dem Repository des Servers geupdatet. Also geringere Bandbreite gibts fast gar nicht.

Ich denke, dass das durchaus genau das sein kann, was du suchst. (Btw.... Edubuntu hab ich mir noch nie angeschaut.)

Ich will nicht noch einen Extra-Thread eröffnen.... ich habe gerade meinen Mac abgeklemmt und erstelle unter Debian mit Scribus ein Plakat. Wo kann man unter Debian die ICC-Profile der Druckerei installieren?


Gruß M41

Es reicht, wenn dein Arbeitgeber sparsam ist... Hier ist es durchaus gut, sinnvoll und durchaus erwünscht, für gesonderte Fragestellungen auch eigene Threads zu eröffnen.
Wobei ich dir zu Scribus leider keine Auskunft geben kann... Also scheue dich nicht und eröffne einen eigenen Thread.

lg scientific

[hikaru]

Wenn hikaru also meint

Wenn [dein Arbeitgeber] auf Linux umsteigen will, dann soll er das konsequent machen

dann dürfte das ziemlich blauäugig gedacht sein.

Dass man vielleicht ein heterogenes Netzwerk (Linux-Server+Win-Clients oder Linux-Clients für Schülerkabinett+Win-Clients im Sekretariat) fährt halte ich nicht für negativ.
Was ich meinte war, dass man nicht ein Linux als Unterbau zum Kapseln eines altes Windows' zu nutzen sollte nur um Lizenzkosten für ein aktuelles Windows zu sparen - insbesondere wenn das so transparent sein soll, dass der Nutzer gar nichts von der Kapselung mitbekommt.

Die User müssen zwangsläufig mit beiden Systemen arbeiten (MS-Office unter WinXP [läuft nur da], Browser unter Linux [ist nur da sicher zu bewerkstelligen]). Das geht mit Virtualbox im Seamless Mode einigermaßen, aber es gibt Menschen die schon am UI-Wechsel scheitern werden.
Meine Mutter findet z.B. bei Mate das Schließen-[X] von Fenstern nicht, denn es sieht anders aus als bei XP. Und nein, das ist kein Scherz. Sowas und ähnliche "Probleme" kannst du bei einer Hand voll Leuten im Familienkreis noch betreuen und sicher auch noch, wenn du einen Kurs mit 30 Leuten leitest. Wenn da aber eine ganze Schule (Größenordnung 1000 Schüler) unbeaufsichtigt (und damit weitgehend unbetreut) dran hängt, dann kannst du nicht mehr zu jedem hinlaufen und ihm erklären wie es funktioniert.

Dazu kommen dann noch die von joahlen angesprochenen Probleme mit Spezialsoftware die nicht unter Linux lauffähig ist aber möglicherweise Netzzugang benötigt. Unter WinXP kannst du das mangels Netzzugang nicht mehr laufen lassen.

Im Vergleich zu deinen VHS(?)-Kursen darfst du auch nicht vergessen, dass "normale" Schüler viel heterogener aufgestellt sind. Deine Teilnehmer haben alle ein gemeinsames Interesse (das zu lernen was du im Kurs anbietest) und vermutlich auch ein ähnliches Kenntnislevel (deshalb sind sie alle in deinem Kurs).
Bei Schülern hast du aber welche denen der Lehrstoff völlig am Allerwertesten vorbei geht und die kaum dazu zu bewegen sind hinter dem Monitor versteckt den Kopf von ihrem Smartphone zu erheben. Die werden dann besonders dämlich tun bei allem was anders läuft als zu Hause. Auf der anderen Seite hast du totale Überflieger die dem Lehrstoff längst entwachsen sind und sich im jugendlichen Übermut eher damit beschäftigen werden dein System zu cracken*.

*) Ich war selbst so einer und habe mit meinem Banknachbarn Doom gespielt während der Rest des Kurses Excel-Tabellen ausgefüllt hat. Wobei das aber (ähnlich wie bei Modelleisenbahnen wo das Aufbauen der Anlage mehr Spaß macht als das Fahren) nur der Endpunkt der eigentlichen Übung war, die im Grunde darin bestand an den Sicherheitsbemühungen der Schul-IT vorbei das Spiel zu installieren und die nötige Netzwerkbverbindung zwischen den Clients herzustellen.

[guennid]

---

[hikaru]

(und wir sind uns wohl einig, dass das auch mit wine oder mit Virtualisierung nicht zu stemmen wäre).

Soweit ich das auf die Schnelle überblicken kann würde ich vermuten, dass du recht hast.
Aber dann sollte man eben mMn auf eine saubere aktuelle Windowslösung setzen und nicht irgendeine Chimäre aus Linux (das im Grunde keiner haben will) und altem Windows (mit dem man sich nicht mehr in die Öffentlichkeit traut) heranzüchten - auch wenn das kurzfristig wegen der Lizenzkosten (bei denen MS einer Bildungseinrichtung vermutlich ziemlich entgegen kommt) etwas weh tut. Langfristig spart man sich sicher viel Ärger.

[wanne]

Ich kann hikaru da nur voll und ganz zustimmen. Ich würde einfach mal ohne weitere erläuterungen sagen dass es MS Office 2003 nur für Windows gibt und dass das unter Linux nicht tut.

Würde auf jeden Fall deutlich Protest einlegen und anmerken, dass das zusammen nicht tut. Denn zufriedenstellend funktioneiren wird es ganz sicher nicht.

[JuergenPB]

Ich will nicht noch einen Extra-Thread eröffnen.... ich habe gerade meinen Mac abgeklemmt und erstelle unter Debian mit Scribus ein Plakat. Wo kann man unter Debian die ICC-Profile der Druckerei installieren?

Die Profile findet man unter /usr/share/color/icc

Scribus ist abhängig vom Paket icc-profiles-free und installiert es gegebenenfalls.
icc-profiles liefert weitere (unfreie) Farbprofile. Das muß man ggf. von Hand installieren.

[Macuser41]

Hallo,

danke für den Hinweis mit den ICC-Profilen.

Das Lehrernetzwerk hat mit dem Schülernetzwerk (Bibliothek und PC-Kabinett) nichts zu tun. Beide haben sogar unterschiedliche DSL-Zugänge. Die Bibo ist komplett mit Debian ausgestattet. Dort darf ich schalten und walten, wie ich will.

Ansonsten benötigen wir im Kabinett auch keinen Server oder ähnliches. Datengrab wird eine Synology. Jeder Jahrgang wird eine Gruppe und kann am Ende des Jahres mit einem Rutsch gelöscht werden.

Ich habe jetzt den Testrechner dort stehen mit Debian, XP in der VM und Office 2003 unter Wine..... Gefrickel ist das nicht, die Installation mit Debian geht schnell.... Programme in einem Rutsch installieren - vorher Paketquellen anpassen - Wine, Office 2003.

Die Paktetquellen habe ich mir vorher in einer Datei festgehalten. Somit brauch ich nur einmal im Monat meine Runde drehen und apt-get update tippen ------ fertig.

Wenn es so nicht angenommen wird, dann müssen die PC's mit Windows bespielt werden...... das liegt dann aber nicht bei mir. Der Aufwand der Pflege ist zu groß.

Alternativ könnte man das Kabinett auch mit macminis besticken, damit wäre das Problem mit MS Office erledigt und es gibt das Systemupgrade kostenlos. Die Pflege ist ein Kinderspiel.

Ich persönlich würde ein Debian mit wenigen Fremdpaketquellen vorziehen.

Gruß M41