Informationen zu diesem Server

Sun Mar 16 18:49:08 CET 2003

Frank Matthieß schrieb:
> 
  ...
> 
> Ein Schulserver wird es durch die Angebote an schulspezifischen Dienst.
> Anonsten ist skolelinux halt debian.

was sind schulspezifische Dienste. kenne ich nicht.
ich kenne wirklich nur übliche Dienste, die in der Schule auch
eingesetzt werden. Wenn man so herangeht, ist eben auch win2000
ein Schulserver. Ein blankes Debian auch.

> 
> > >
> > > Aber, vielleicht mags Du die wichtigsten Punkte fuer ein Konzept
> > > hier nochmal nennen.
> > > Was waeren die wichtigsten Punkte im Nutzungskonzept fuer Dich?
> >
> > wieso nur Nutzungskonzept? Auch das Sicherheitskonzept ist für
> > Schulen ein anderes als für Firmen, und das Wartungs- bzw.
> > Betreuungskonzept erst recht. Entweder es ist einen Schulserver oder
> > er ist es nicht - ein bißchen schwanger gibt es auch nicht ;-)
> 
> Das liegt in der Haftung begündet, ist aber kein technische Argument.
> 
> Wenn ein Schüler öffentlich nachvollziehbar mit dem Schulnetz mist baut,
> dann haben die vernatwortlichen Leher ein (großes) Problem.

richtig. Dazu muß aber dieses Problem nachgewiesen werden können, und
das noch ohne großen Aufwand und ohne erst ein Studium für IT-
Fachleute abzulegen. Und wenn an der Schule viel Mist fabriziert wird,
dann fällt diese Arbeit üblicherweise auf einen zurück, den Admin. 

Noch eine Bemerkung zu dem "nachvollziehbar". Als wir unsere neue 
Technik bekommen hatten, wollten meine 2 Kollegen unbedingt WinNT
und informierten sich an anderen Schulen, wie gut das dort lief.
Da passierte kaum was. Als ich nachfragte, stellte sich heraus, das
die gar nicht wußten, wie sie was überprüfen sollten. auch wenn
Logfiles da waren, gab es kein Mittel, diese effektiv zu durchsuchen.

Das Problem ist, das effektive Möglichkeiten zur Kontrolle 
bereitgestellt werden müssen und zwar für den, der korrekterweise 
die Kontrolle durchführen sollte (meist der unterrichtende
Fachlehrer).
Genau diese Möglichkeit fehlt bei den meisten Schulservern.

Wenn der Lehrer aber nicht effektiv kontrollieren kann, dann hat
der Lehrer kein Problem, den er MUSS ja in das Kabinett, wenn es
der Lehrplan fordert. Demzufolge, er kann seiner Aufgabe nicht nach-
kommen. Die Schuld dafür hat der Admin, denn er hätte ein System
nehmen sollen, das dieses gewährleistet. Er wäre also mit einem 
Arktur (mit Zusatztools) besser bedient gewesen.
Das ist ein techn. Argument. Wie man die dann vorhandenen 
Möglichkeiten nutzt, das ist dann ein organisatorisches bzw. 
haftungsrechtliches Problem.

> > was soll diese Frage?
> > Für jeden Dienst, jedes genutzte Programm, jede genutzte Ressource
> > trägt der Admin bzw. ein Lehrer die Verantwortung. Also muß der
> > Lehrer/Admin ... seiner Verantwortung gerecht werden können und
> > zwar für JEDEN Dienst. Alles andere ist zu sperren - zumindest wäre
> > das konsequent.
> 
> Ack. Ist auch so vorgsehen.

kaum zu glauben. Da haben ganz andere Leute Probleme ein Logfile
vom Mailserver aufbereitet zur Verfügung zu stellen (nur als Beispiel)
Der Arktur machts nicht und der GEE meines Wissens auch nicht.
Klingt natürlich gut, wenn es dieser für jeden Dienst aufbereitet!!! 
bereitstellt.

> > Allerdings kontrollieren ist Arbeit. Wenn also bestimmte Sachen
> > durch restriktive Maßnahmen sicher verhindert sind, dann braucht
> > nicht mehr kontrolliert zu werden.
> 
> Naja - Nur regelmäßige Kontrolle ermöglicht die Sicherheit die oben noch
> einfordert hast.

stimmt so nicht. Wenn ich zum Beispiel verhindern will, das man auf
dem Verschiebelaufwerk Programme installiert (Spiele/Raubkopien), dann
kann ich das Problem durch Kontrollen erschlagen. ich könnte aber
genauso einfach verhindern, das ausführbare Dateien (exe, com, ...)
auf dem Laufwerk abgelegt werden und schon kann man sicher sein,
dass _das_ Problem nicht mehr existiert, also keine Kontrolle dazu
mehr nötig ist.

> 
> >
> > Also für _jede_ Ressource: ENTWEDER diese wird sicher gemacht ODER
> > diese ist einfach zu kontrollieren.
> 
> Ack. Zentrales syslog.

nein. zentrales Syslog bedeutet für mich, das die Kontrolle wieder nur
durch den Admin durchgeführt wird, und damit wird diese mit Sicherheit
nicht (regelmäßig) durchgeführt. Es hat der betreffende Kollege zu 
kontrollieren und zwar effektiv!
Beispeil Proxy: wenn am Ende der Stunde der Lehrer die aufgerufenen
Links stichprobenhaft kontrolliert, dann will er natürlich nur seine
Schüler kontrollieren, denn für die hat er die Verantwortung.
Bedeutet, zeitlich sortiert, dann kann er genau seinen unterricht
zuordnen und natürlich alle Links ausgeblendet, die nicht zu seinen
Kabinett gehören. (das hat sich zumindest so bei uns bewährt)

Das dann auch noch Squidguard mit im Spiel ist, will ich jetzt nicht
weiter ausführen, spielt aber wegen der Umkehrung der Beweislast
eine große Rolle.

Für andere Dienste muß das natürlich genauso detailliert untersucht 
werden. Ein zentrales sylog halte ich für sehr schlecht, aber 
vielleicht habe ich da falsche Vorstellungen von der Technik.

> > also genau nach Motto: win2000 ist das Beste - Entschuldigung,
> > Debian ist das Beste - und was ist daran der Schulserver?
> 
> Das was _wir_ darauf aufbauen.

das gefällt mir.

...

> >  eine Suchmaschine/Suchscript zum prophylaktischen Durchsuchen
> >  nach Wörtern mit "porn", "sex" usw. Erwischt zwar nicht alles,
> >  aber der Betreuer des lok. Webservers hat zumindestens nicht
> >  fahrlässig gehandelt und schon gar nicht grob fahrlässig und damit
> >  ist der Aufsicht genüge getan.
> 
> Ist meines Wissens noch nicht realisiert, aber mit htdig und Konsorten
> umsetzbar.

wäre mit Kanonen nach Spatzen schießen, aber eine Lösung.

> > allgemein:
> >
> > von einem Schulserver erwarte/erhoffe ich, das für JEDEN Dienst
> > die zu erwartenden Probleme angegangen werden, entweder durch
> > technische Maßnahmen oder durch organisatorische und dann brauche ich
> > Kontrollmöglichkeiten. (die Probleme im Vorfeld aufzulisten ist m.E.
> > eine interessante Aufgabe)
> 
> Logfiles lesen und nicht auf technische Maßnahmen verlassen.

nochmal, wer soll die Logfiles lesen?

Wenn man einen Betreuer für das Intranet (webserver) hat, dann muß
der diese Logfiles lesen, das Logfile vom Squid wird gar von den 
unterrichtenden Fachlehrern gelesen, die Anmeldekontrolle bei 
Medienecken müsen von den Betreuern dieser Ecken gelesen werden (sind 
bei uns Englischlehrerinnen). Na dann weiß ich, das die nicht gelesen
werden, wenn die nicht idiotensicher (pardon lehrersicher) sind.
Will damit sagen, von einem wirklichen Schulserver werden aufbereitets
logfiles erwartet (z.B. HTML-Seiten). bei den Medienecken natürlich
rechnerspezifisch. 

> 
> >
> > Diese Kontrollen müssen im Falle eines Problems belegt werden können
> > oder durch ausgewählte Personen wiederum kontrolliert werden können.
> > (die Pausenaufsicht der Lehrer wird zumindest bei uns in bestimmten
> > Abständen von der Schulleitung kontrolliert)
> 
> Aufsichtrechtliches Problem.

ist doch klar. aber die können ihrer Pflicht nur nachkommen, wenn
sie dazu in die Lage versetzt werden (dazu braucht man kleine 
Programme = Technik) und darüber rede ich hier. Leider bietet kaum
ein sogenannter Schulserver momentan die Voraussetzung für Lehrer -
für Linux-Freaks schon. Aber die brauchen keinen Schulserver.

> 
> >
> > Es muß gewährleistet werden, das ein Schüler, der sich den
> > Festlegungen widersetzt hat, für diesen betreffenden Dienst
> > ausgeschlossen werden kann. Es kann nicht sein, dass die einzige
> > Lösung der Entzug des Accounts ist.
> 
> Das geht auch Diensteabhängig.

mit Menü (Webseite), sodass ein Schulleiter nach Authentifizierung 
den Schüler für den betreffenden Dienst austragen kann? Wäre wirklich
sehr schön - glaub ich aber nicht, denn wenn nur 2 Gruppen 
existieren (Lehrer und Schüler, steht zumindest auf der Webseite) 
kann es m.E. nicht das dazu notwendige feingliedrige Rechtesystem 
geben.

 ...

> > lok. Webserver - siehe oben
> 
> apache

mit SSL für _alle_ Scripte?
(sonst wäre SSH bzw. Passwortverschlüsselung bei Samba Unfug)

> 
> > Fileserver - schon wegen Homeverzeichnis
> 
> samba,nfs,apletalk
> 
> > Mail (siehe Mailprojekte auf dem Hamburger Bildungsserver)
> 
> postfix

und wie sieht das mit Mail zum winshuttle aus. auf der Webseite
steht, das nur intern Mail betreiben wird. wäre ein Ko-Kriterium.
wer will einen solchen Torso?

> 
> > Mailinglisten ergeben sich dann zwangsläufig
> 
> mailman
> 
> > Newsserver - ich bin zwar kein Freund davon, andere schon
> 
> ??

wird vom Winshuttle angeboten und häufig genutzt.
sollte der Server auf jeden Fall haben.

> > Homepageverwaltung - teilweise vom Kultus gefordert
> 
> Was ist eine Homepageverwaltung?

Das die Schulen eine Homepage haben. aus rechtlicher Sicht darf
der Zugriff auf den Webserver nur vom Betreuer der Homepage
erledigt werden. Besser gesagt, der Betreuer hat das Passwort nicht
rauszugeben.
Wenn jetzt mehrere die Homepage betreuen, dann sollte mit einem
Abbild auf dem lokalen Server gearbeitet werden und in der Nacht
wird die lokale Version mit der eigentlichen Homepage abgeglichen.

Auf dem Server sollte also die Möglichkeit bestehen, für bestimmte 
Gruppen auf bestimmte Verzeichnisse zuzugreifen. wäre aber 
vielleicht später zu besprechen. - für Arktur existiert sowas.

so wie es auf der Webseite steht ist es praxisfremd. Insbesondere
in Bundesländern, wo man um jeden Schüler ringt, sind die Homepages
oft ein wichtiges Mittel, mit dem sich Schulen darstellen (müssen).
Außerdem ist auch noch (kosten)günstiger als Zeitung etc.

Das von außerhalb der Schule zu betreiben wäre absurd. Das mit FTP
zu betreiben wäre ebenfalls Unsinn, da dann wieder Masquerading
gebraucht wird, welches aber wegen verschiedenster kaum 
kontrollierbarer Angebote (kazaa, edonkey) nicht gewünscht wird.

Deswegen, eine Homepageverwaltung ist sinnvoll.

> > CD-ROM-Server
> 
> So nicht vorgesehen.

siehe andere Mail.

> 
> > Datenbankserver - bei uns Unterrichtsgegenstand in Klasse 9
> 
> postgreSQL

ok.

> 
> > Druckserver - wenigstens mit einem aussagekräftigen Logfile
> 
> cups

Hm, hier wäre natürlich wünschenswert, das die Daten in eine
Datenbank kommen, um dann ein schulspezifisches Abrechnungssystem
aufsetzen zu können. Aber CUPS ist schon erstmal ok. 

> >
> > alles was für Teamarbeit sinnvoll ist, z.B.:
> > BSCW-Server (zumindest hat Arktur einen)
> 
> Was ist ein BSCW Server?
> 
> > CVS-Server  (für Informatik, für Übersetzungen)
> 
> debian Packet.
> 
> > Wiki  (aber mit Nutzerverwaltung)
> 
> debian Packet.

kann man da Zugriffsrechte vergeben?
Ist das Wiki attraktiv - kann das zum Beispiel Bilder einbinden?
siehe http://wiki.doebe.li/bin/view/IPE02

> > Weiterhin wäre es wünschenswert, wenn die Dienste separat freigegeben
> > werden können. Beispiel, die Schüler bekommen bei uns in der
> > 5. Klasse ihren Account. (also Mail-, File-, Proxy- und Webserver)
> > Es wäre schön, wenn ich den Mailserver eben erst ab Klasse 8
> > freischalten kann, den Zugriff auf den Datenbankserver ab Klasse 9.
> > Müßte doch z.B. mit LDAP möglich sein - theoretisch.
> 
> Das Authentifizierungkonzept basiert auf LDAP.

dann müßte es ja gehen.

> 
> >
> > Ich weiß das es ein bißchen einseitig war (wir haben nur win-Clients)
> > aber es geht ja ums Prinzip. Sollte man nicht einfach alle Dienste
> > mal der Reihe nach abklopfen? Es müßte dann m.E. eine saubere
> > Spezifikation für den Schulserver herauskommen.
> 
> Ich hoffe da wir es schaffen, die Anzahl derer die 'nur mit win-Client'
> arbeiten (müssen) bald sehr viel kleiner ist.

gilt für Thüringen definitiv nicht.

                                  /"\
Mit freundlichen Grüßen           \ / ASCII ribbon campaign
Hans-Dietrich                      X  against HTML mail 
                                  / \ and postings