Internet Ein / Aus Schalter für Klassenräume

[fLeTCHeR]

hallo zusammen,
Ich suche eine Lösung für eine Schule. Das Problem um was es geht kann ich wiefolgt schildern:

Drei Klassenräume bestehend aus 15-20 PCs, Windows 2000 Prof., TCPIP Netzwerk mit Novelle Network, ein Lehrer PC. Internetanbindung über Proxy (DSL 6000). Es ist sehr nervig wenn man als Lehrer einen Vortrag hält oder den Schülern versucht was zu erklären und sie spielen an den Computern herum. Dieses problem haben wir bereits mit MONITORE aus behoben. Leider müssen die Schüler auch mal mit Programmen arbeiten. Die meiste Zeit aber surfen Sie dann wahrlos im Internet und machen Blödsinn.

Meine Idee wäre eine programm, welches auf dem Lehrer PC ausgeführt wird, was einen Internet EIN oder AUS Schalter hat. Dieses Programm soll, wenn möglich Einzelne PCs, oder auch gesamte Klassenräume den Zugang zum Internet verbieten, und auch gewähren.

Hätte jemand evtl. eine Idee wie man das realisieren könnte. Lässt sich sowas in Verbindung mit INDY Komponenten realisieren. Bin dankar für jede Idee.

mfg fLeTCHeR

[s.h.a.r.k]

Kann man sowas nicht mit einer Firewall machen?!

[supermuckl]

ich würde das in der firewall des routers realisieren, falls es ein "PC-Router" ist, auf dem linux rennt.

[fLeTCHeR]

genau das ist eben nicht gewollt. es soll ein programm sein, welches nicht auf die vorhandenen netztwerk geräte wie router oder server zurückgreift. also in dem sinn, was auf dem lehrer PC ausgeführt wird, alle PCs im Klassenraum erfasst und diese dann vom Internet trennt. Eine Idee wäre dann vielleicht, eine MiniFirewall selbst zu programmieren, die dann Remote vom LehrePC an und aus geschaltet wird. Aber wie realisiert man sowas?

[Nicodius]

musst du/ müssen sie es programmieren? ;)

weil es gibt gar nicht so teure Programme die die Fernsteuerung in einem Klassennetzwerk ermöglicht(hatte ich zumindes damals)

grüße Nico

[fLeTCHeR]

Bleib beim Du ;-)

Ja ich möchte es als gemeinschaftliches Projekt mit Schülern zusammen programmieren. Ein Ansatz womit ich das realieren kann fehlt mir aber. Deshalb der Post hier im Forum. Das Programm muss so funktionieren ohne die vorhandenen Netzwerkeinstellungen zu verändern.

[DGL-luke]

Wie wärs mit Janaserver? Ich würde das als Proxy den Schüler-PCs vorschalten, praktisch vor den Proxy, an dem der Rest dranhängt.

Zum selbermachen aus den Indys ( http://atozed.com/indyplus oder so....) das IdProxy genommen, damit könnts auch gehen. da muss man dann was rumprogrammieren, und vor allem den Schüler-PCs keinen Zugang zum Original-Proxy/Router geben. Auch Schüler kennen sich manchmal mit dem IE aus ;)
(<propanganda>Ich hoffe, ihr benutzt Firefox... </propaganda>)

Hier noch n Link, ähnliche Problematik, selbe Tipps wie von mir gerade: http://www.delphipraxis.net/internal...ct.php?t=78346

Ach ja: Und hau den Kleinen ja nicht auf die Finger, wenn sie sich n paar kleine Backdoors einbauen! Gehört doch zur Progammiererehre!
:)

Ach ja, nochwas: Für mich mit Modem ist es extrem schwierig bzw. unmöglich, zuhause Warez zu saugen... Scriptkiddies wie ich programmieren dir alles für DSL6000. ;)
(Wenn es noch solche gibt wie mich, resp. jemals gegeben hat...)

[runger]

Hallo,

ist ganz einfach:
In der Registry unter dem Schlüssel:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings
gibts den Wert Proxyserver.
Den musst du, auf dem PC den du sperren willst, nur verändern.
Wie man das macht ist ein anderes Kapitel.

PS: Ich glaube nicht, dass du Lehrer bist ( dafür ist deine Rechtschreibung zu schlecht ).
Eher ein Schüler der sich einen Schabernack erlauben will. Also mach bitte keinen Blödsinn.

Rainer

[fLeTCHeR]

Zitat:

Zitat von runger

PS: Ich glaube nicht, dass du Lehrer bist ( dafür ist deine Rechtschreibung zu schlecht ).
Eher ein Schüler der sich einen Schabernack erlauben will. Also mach bitte keinen Blödsinn.

Rainer

naaaa gut, ertappt. Mein Deutsch war noch nie so berauschend. Aber keine Sorge, will keinen Schabernack machen. Bin Fachschüler und mache Techniker in Teilzeit. Aber troztdem wäre das Thema interessant, weil mein Lehrer schon mehrmals Stories erzählt hat, wie nervig das ist, wenn die Schüler nur am Surfen sind. Selbst mir ist es aufgefallen, als ich ein Projekt vorstellte, wie unangenehm das sein kann. Naja, soviel da zu. Widmem wir uns der Idee zu.

Die Frage ist, ob das mit dem Reg Schlüssel funktioniert, denn die Schüler, die sich anmelden haben keinerlei Benutzerrechte um irgentwas zu verändern. Die Frag wäre dann, ob es klappt, die proxy settings einfach umzustellen. Per remote (irgendwie?!?!) versteht sich.

Ich stelle mir immer noch die Lösung vor:
Alle PCs haben eine Clientsoftware, die beispielsweise als Dienst automatisch getstartet wird. Dieses Programm agiert wie eine MiniFirewall, der man genau sagen kann, welcher Port(TCPIP) offen ist und welcher nicht. Also sprich eine Firewall (selbstprogrammiert). Über einen versteckten Port >6000, der evtl. "immer" offen steht (Backdoor) für die Lehrersoftware, sende ich die Kommandos "PORT-PORTS AUF" oder "PORT-PORTS ZU". Die Frage ist also, wie programmiere ich ein Programm, dass den gesamten Netzwerkverkehr erstmal abfängt und dann weitergibt. Das wäre eine interessante Sache, wenn mir da jemand helfen kann.

PS: Ich weiß das es Software gibt, die das ganze regelt. Aber ich möchte mich mit diesem Thema beschäftigen um was zu lernen. Und nicht nur, wie man etwas installiert, sondern entwickelt. Ich wär euch also dankbar, wenn ihr mir tipps geben könntet, die mich beim programmieren unterstützen. ;-)Wenn jemand Interesse haben sollte, mitzuwirken, gerne.

Liebe Grüße

fLeTCHeR

[FriFra]

Brauchen die Schüler, wärend sie nicht surfen dürfen, einen Netzwerkzugang? Wenn nein, dann kann man doch einfach jedes Klassenzimmer über einen separaten Switch anschließen und diesen dann z.B. mit einer Fernbedienung (Funksteckdose) einfach vom Netz trennen ;)

[fLeTCHeR]

Zitat:

Zitat von FriFra

Brauchen die Schüler, wärend sie nicht surfen dürfen, einen Netzwerkzugang? Wenn nein, dann kann man doch einfach jedes Klassenzimmer über einen separaten Switch anschließen und diesen dann z.B. mit einer Fernbedienung (Funksteckdose) einfach vom Netz trennen ;)

Ja sie benötigen Netzwerkzugang. Es geht mir nur um die Ports, die man für Internet benötigt. Also Port 80 im Hauptaugenmerk. Der andere netzwerktraffic soll weiterhin funktionieren

--> Internet Ein / Aus Schalter

PS: Bitte, ich möchte das Programmieren und nicht mit irgendwelcher Software , die es schon gibt oder mit hardware spielerreien, lösen. Wenn ihr mir helfen wollt, dann bitte Programmiertechnisch. Also z.B. mit welcher Komponente (INDY) ich das machen könnte, etc. Die anderen Tips helfen mir nicht weiter. Sorry

[Kroko1999]

such mal im Inet unter MHex, die haben so etwas speziell für Schulen entwickelt, bei uns (Land Brandenburg) ist es als Landeslizenz vorhanden!

[fLeTCHeR]

Zitat:

Zitat von Kroko1999

such mal im Inet unter MHex, die haben so etwas speziell für Schulen entwickelt, bei uns (Land Brandenburg) ist es als Landeslizenz vorhanden!

Bitte den gesamten Beitrag lesen, dann dürfte auffallen, dass ich keine Software suche, sondern wie man sowas porgrammiert. :roteyes:

[Kroko1999]

Warum das Rad zweimal erfinden, oder willst Du doch jemanden ärgern?

[FriFra]

Du könntest versuchen Dir mit den Indys einen eigenen Proxy zu basteln. Anschließend wird allen Rechnern (außer dem mit dem Proxy) der externe Zugriff über port 80 gesperrt und der Zugang nur noch über den Proxyserver zugelassen. Wenn alle Rechner feste IPs haben sollte es nicht besonders schwer sein geziehlt einzelne Rechner, oder ganze Klassenräume zu sperren...
Die Konfiguration könntest Du auch ganz bequem über eine Remote-Schnittstelle lösen, dann müsstest Du nicht immer zum Server rennen ;)

[fLeTCHeR]

Zitat:

Zitat von Kroko1999

Warum das Rad zweimal erfinden, oder willst Du doch jemanden ärgern?

Ich will niemanden ärgern oder sonstiges. Ich möchte etwas programmieren, um mich mit der Thematik zu beschäftigen. Man Man Man... langsam nervt es mich. Sorry

[fLeTCHeR]

Zitat:

Zitat von FriFra

Du könntest versuchen Dir mit den Indys einen eigenen Proxy zu basteln. Anschließend wird allen Rechnern (außer dem mit dem Proxy) der externe Zugriff über port 80 gesperrt und der Zugang nur noch über den Proxyserver zugelassen. Wenn alle Rechner feste IPs haben sollte es nicht besonders schwer sein geziehlt einzelne Rechner, oder ganze Klassenräume zu sperren...
Die Konfiguration könntest Du auch ganz bequem über eine Remote-Schnittstelle lösen, dann müsstest Du nicht immer zum Server rennen ;)

So ungefär hab ich mir das auch vorgestellt. Problem ist nur, das der Lehrer PC nicht der Proxy ist. Der proxy steht irgendwo im keller.Ich glaub sogar, das noch nicht mal ein Lehrer Zugriff zu dem Proxy hat. Das wird glaub ich von einer Fremdfirma gemanaged. Des halb einen Client entwickeln der auf allen SchülerPCs läuft, der den Zugriff über Port 80 sperrt. Auf dem LehrePC muss lediglich die remotesteuerung, das heißt, der AN / AUS Schalter sein, der die Clientsoftware steuert.

Die Erfassung der SchülerPCs soll über MAC Adresse erfolgen, da alle Clients con einem DHCP versorgt werden. Die realeasdauer ist aber meines Wissen sehr hoch.

[Luckie]

Und was meinst du, wie es hier so manch anderen nervt, dass du dich hier mehr oder weniger als Lehrer ausgegeben hast? :evil:

[fLeTCHeR]

Zitat:

Zitat von Luckie

Und was meinst du, wie es hier so manch anderen nervt, dass du dich hier mehr oder weniger als Lehrer ausgegeben hast? :evil:

Jetzt werden wir aber sehr Theadralisch (wie immer man das schreibt). Ich hab mich dafür entschuldigt und sage meinetwegen nochmal Sorry. Wenn der Thread jetzt genutzt werden soll um das auszudiskutieren, dann schließ ihn besser direkt! Mehr mag ich jetzt dazu nicht mehr loswerden. Wenn jemand noch weitere Infos zu dem Thema hat, gerne. Bin zu jeder weiteren Diskussion über den Internet EIN / AUS Schalter bereit und hoffe das noch ein paar nützliche Sachen kommen.

gruß fLeTCHeR


PS: Mag alle wieder liebhaben :love:

[marabu]

Hi Fletcher,

sehr nobel von dir dich für etwas zu entschuldigen, wofür du keine direkte Schuld trägst. Den Lehrer hat man dir doch angedichtet, oder?

Zu deinem Soft-Web-Switch gibt es mehrere Ansatzmöglichkeiten. Eine Client-Server-Lösung würde die Installation eines client stub auf jeder Workstation erforderlich machen und ist deshalb sicher nur zweite Wahl. Bleibt ein remote Zugriff auf die registry. So kannst du einem Browser auf einer Workstation den Proxy entziehen, aber die kids können immer noch im Cache surfen. Ich denke du wirst da keine vernünftige Lösung hinbekommen. Die Optimallösung ist und bleibt die Abschaltung der i/o devices.

Grüße vom marabu

[fLeTCHeR]

Gehen wir mal davn aus, ich entscheide mich für eine Client-Server Lösung. Das installieren des Client-Stub sei mal nicht das Problem, da es eh 60 ein und dieselben Rechner (HAL und Software) sind. Diese werden so oder so über Image +(Sysprep) hochgezogen, ein neues Image zu erstellen. --> Kleinigkeit.

Wie realisiere ich ein Porgramm, welches den Netzwerk Traffic abfängt und weiterleitet. Ich benötige doch ein Porgramm, das Pakete bevor sie zum Netzwerkadapter geschickt werden, an meinem Prog vobei müssen? Oder seh ich das falsch, weil doch nur dann hab ich die Möglichkeit, gezielt einzelne ports, die ich auch steuern will,ein oder aus zuschalten. Und das EIN/AUS Schalten mach ich dann über die lehrer Verbindung.(Einfache TCP/IP Client Server Verbindung)

[markusj]

Hallo Leuts,

auch ich währe an so einer Software interessiert, weil ich meinen kleinen Bruder davon abhalten muss, ständig über unseren Router ins I-Net zu gehen.
Was mich interessieren würde, wäre eine Lösung die bei InternetAus einfach den Registry-Key für den Proxy umbenennt und auch umbenannt lässt, bis wieder ein InternetEin kommt. Natürlich muss der Key dann durch einen leeren ersetzt werden.
Was nicht funktioniert ist das Port-Sperren: Bei Internet-Servern ist Port 80 der HTTP-Port, aber das gilt nicht für Client-PCs.
Alle Ports sperren wäre mit Kanonen auf Spatzen geschossen, es würde reichen, wenn man jeglichen Gateway-Zugriff blockt.
Dann würde nämlich keine Kommunikation mit dem Internet mehr möglich sein, da die DNS-Informationen der Internet-Adresse nicht erreichbar wären.

mfG

Markus

EDIT: Interessant wäre eine Funktion, die direkten Zugriff auf die aktuellen Gateway-Settings bietet. Gibts sowas schon?

[fLeTCHeR]

Zitat:

Zitat von markusj

Interessant wäre eine Funktion, die direkten Zugriff auf die aktuellen Gateway-Settings bietet. Gibts sowas schon?

Ich denke in deinem Fall wäre es doch kein Problem das mit einem Remote Shell Aufruf zu steuern.
Du Connectest dich auf den PC deines Bruders, führst einen ShellExecute aus (IP-einstellungen über console verändern) und schwupp hat dein bruder keine Gatewayeinstellungen mehr. Die Frage ist nur, ob dein Bruder schlau genug ist, sie manuell wieder einzupflegen. Außerdem musst du dabei beachten, das der angemeldete User (dein bruder) die rechte besitzt, IP Einstellungen vorzunehmen. Genau das ist nämlich der Grund, warum es bei mir nicht klappen würde (Klassenraum), weil die angemeldeten Schüler kein Benutzerrecht (über Novelle) haben, Einstellungen vorzunehmen.

Das mit dem Port 80 hab ich nicht so ganz verstanden, was du damit meinst. Ein Client(IE oder Firefox) versucht doch beim Aufruf einer Internetseite (www.google.de) über Port 80 den Webserver zu erreichen? Oder hab ich da was falsch verstanden? Wenn ich doch hingehe, und sperre diesen Port. Dann kann doch keine Anfrage einen Webserver erreichen? Und somit unterbinde ich doch das Surfen.

gruß fLeTCHeR

[FriFra]

Was wäre, wenn man einfach den DNS-Client auf den anderen Rechnern deaktiviert?

[Eichhoernchen]

können sie aber trotzdem noch mit Hilfe von der IP des Servers ins Netz und außerdem sind die Schüler bestimmt schlau genug diesen wieder einzuschalten.

Zu dem Port 80 zeug: Ich bin mir nicht so ganz sicher ob alles über den Port 80 läuft, man kann webserver ja auch auf einem anderen Port laufen lassen, jedoch muss dieser dann in der Internetadresse angegeben werden(www.google.de:733), also sperrst du nur die Standartseiten.

Ich denke man müsste ne art Firewall programmieren, die dann den Port 80 auf Befehl blockt!

[sECuRE]

Hi,

eine Lösung auf den Client-PCs ist doch murks (finde ich). An unserer Schule haben wir eine Firewall installiert (das sollte man auch mit der Fremdfirma problemlos klären können, dass du ihr selbst Ideen einbringen könnt, sonst sind die ihr Geld wohl nicht wert), über die der Zugang zum Internet physikalisch läuft (zwei Netzwerkkarten, keine andere Verbindung der PCs zum DSL-Router). Durch den transparent laufenden Squid-Proxy können wir nun bestimmte Seiten sperren und das ohne dass die Client-PCs davon etwas mitbekommen/berührt werden müssen.

Mein Vorschlag nun: Auf dem Linuxrechner läuft sicher iptables o.Ä. Du kannst mit iptables eine Umleitung der Pakete, die auf Port 80 gehen, sehr leicht realisieren. Nun kannst du dich entscheiden: entweder die Pakete werden zurückgewiesen (Connection refused am Client), laufen ins Leere (Timeout) oder werden auf einen eigenen http-server weitergeleitet (mit entsprechender Meldung "Bitte hört dem Lehrer zu" ;)).

Steuern kannst du das ganze wie du möchtest: per SSH, über ein selbstgebasteltes Webinterface, und so weiter... (wenn du ein bisschen fit in Linux bist).

Alternativ kannst du dir einen solchen Proxy natürlich auch mit den Indy-Komponenten basteln, was aber eventuell mehr Arbeit ist (je nachdem, ob die Schüler-PCs physikalisch auch ohne einen Proxy ins Netz kommen und/oder der Lehrer-PC auf Windows läuft, sodass du nicht einfach die Pakete stillschweigend via Firewall(iptables) umleiten kannst).

cu

[fLeTCHeR]

@secure

im prinzip hast du recht. es gibt weitaus komfortablerer Möglichkeiten dieses problem zu lösen. Es geht aber darum:

1. Eine Problemlösung in Delphi zu realisieren
2. Kein Umbau oder Umkonfiguration der Hardware durchzuführen
3. Wennn möglich keine Lizenzkosten für die Schule
4. das ganze als evtl. Technikerarbeit für meine Fachschule durchzuführen

gruß fLeTCHeR

[pacman1986]

würd mich auch intressieren wie das gehen soll setz mich aber erste später dran..
PS : Ich würde das aber tatsächlich für ein Scherz benutzen :P bin halt so kann nix dafür

[markusj]

@fLeTCHeR

Ein Webserver empfägt auf Port 80 Anfragen. Ein normaler PC ist kein Webserver und benutzt diesen Port nicht. Wenn ein normaler PC anfragen an einen Webserver sendet, wählt er als Ausgangsport einen der nicht "reservierten" (ich glaub die ersten 1024 (oder 8192???) sind "tabu").
Und ja, mein Bruder ist nicht ganz dumm ... deswegen ein periodischer Zugriff auf diese Einstellung ... dann kann er das ganze so oft ändern wie er will, das Proggi wird schneller sein.

mfG

Markus

EDIT: Ich habe gemeint, dass man einfach den Proxy/DNS-Server aus den Windows-Settings löscht, weil der User dann keine IPs aus dem I-Net mehr rauskriegt. Was er kennt kann er aber nutzen. Im Regelfall kennt man aber keine.

[c113plpbr]

Info am Rande:

An unserer Schule wird das folgendermaßen geregelt:
Auf dem Lehrer-PC ist Jana-Server als Dienst registriert. Alle Schüler PC's nutzen diesen Jana-Sever-Proxy (schutz vor veränderung dieser Einstellung wird durch Benutzerrechte geregelt). Auf dem Desktop wurden 2 Verknüpfungen angelegt, eine zum starten des Dienstes und eine zum beenden (batchdateien, "net start janad" & "net stop janad"). Mit den entsprechenden Symbolen und dem entsprechenden Namen hat das bisher jeder Lehrer unserer Schule kapiert ... ;)

-> Ganz einfache Methode, große Wirkung.
Der einzige haken is eben, dass der ganze Internet-Verkehr über den Lehrer-Rechner geht, aber das muss man dann eben in Kauf nehmen ...

ciao, Philipp

[reguser]

Hallo,

unter http://www.probussoft.de sind gleich 3 verschiedene Programme, die in unterschiedlichen Ausbaustufen und Funktionsweisen eine Internetsperre für Klassenräume und/oder ganze Schulen, bis hin zu DHCP - ohne Clientinstallationen, realisieren. Wenn man sich die verwendeten Dateien genauer ansieht, kann man mit wenigen Zeilen Quelltext eine sehr gut funktionierende Geschichte nachbauen.

[markusj]

Ich habe, als ich meinen kleinen Bruder "belauscht" habe, noch eine weitere Möglichkeit entdeckt, die rechtlich evtl. nicht ganz Unbedenklich, aber funktionierend ist.
Das Programm Cain kann den Netzwerktraffic zwischen bestimmten PCs über den eigenen mittels ARP-Spoofing umleiten ... wenn man dann eine Firewall hat, die Transit-Packete blockt, geht nichts durch, schaltet man die Firewall auf dem PC aus, ist Internetzugang möglich ...
Löscht man einezelen PCs aus der Liste, haben die ebenfalls freien Zugang ...

mfG

Markus

[Tubos]

Zitat:

Das Programm Cain kann den Netzwerktraffic zwischen bestimmten PCs über den eigenen mittels ARP-Spoofing umleiten ...

Das nenn ich mal ne unsaubere Methode: Das eigene Netzwerk hacken um das Internet ein- und auszuschalten ;)

[Daniel G]

Die sicherste und zugleich älteste Methode überhaupt:

Stecker ziehen. :wink:

[Olli]

Nein, ich habe nicht alles weiter oben gelesen!

Eine Möglichkeit wäre, daß der Lehrerrechner jeweils als Router funktioniert. Windows 2000 (und höher) bringen das ja dank ICS schon mit. Einfach mal bei den Eigenschaften einer Verbindung auf den Reiter "Gemeinsame Nutzung" klicken und dort konfigurieren. Danach kann der Lehrer bspw. einfach diese Freigabe aufheben, Netzwerk funktioniert intern weiter - nur eben nicht Internet für die Schüler ;)

[markusj]

Genau das war nicht gewünscht, da das I-Net auch ohne Lehrer-PC laufen soll ... Cain stellt die erste mir bekannte Lösung für eine so genau justierbare Zugangskontrolle dar.

mfG

Markus

[Olli]

Cain ist aber frickelig. Abgesehen davon kann man ARP-Spoofing ja wohl nicht ernsthaft in Betracht ziehen, wenn es doch auch andere Möglichkeiten gibt. Es kann theoretisch auch Nebenwirkungen haben, die am Ende alles andere als schön sind - abgesehen davon, daß das BDSG mit einem solchen Vorgehen wohl nicht ganz einverstanden sein dürfte - und noch sind Schulen öffentlich und an die Gesetze unseres Staates gebunden.

Eine andere Möglichkeit wäre, Firewalls zu installieren oder im Falle von XP einfach die Bordfirewall zu benutzen, welche über einen Service konfiguriert wird/werden. Da könnte es dann 2 Profile geben: 1. Nur eigenes Subnetz erlaubt und 2. Internet voll erlaubt. Der Service würde das Profil dann vom Lehrerrechner aus jeweils ändern und der aktuelle Status bleibt erhalten, bis ein Lehrerrechner ihn wieder ändert. So darf der Lehrerrechner auch mal ausgeschalten bleiben ;)

[Daniel G]

Ähm... Das mit dem "Stecker ziehen" war jetzt nicht als Scherz gedacht.... Am einfachsten ist es immer noch, wenn man die Rechner physikalisch vom Netz trennt...

[Olli]

.. wurde oben aber wegen erforderlicher Netzwerkverbindung (intern) oben schon ausgeschlossen.

[Daniel G]

Hmm..., ja ok, hab' grad Beitrag #27 gelesen...