Benutzer:Kirmse/klausur02
die Klausurumgebung - Installation
Es wird hier exemplarisch die Installation einer Klausurumgebung beschrieben, die unter folgenden Voraussetzungen eingerichtet wurde: keine managebare Switche, keine Wächterkarten oder Rembo, keine aktuellen Clients (wie z.B. Windows XP), sondern Windows 98 und damit ist auch keine personal-Firewall vorhanden.
Grundkonfiguration aller Rechner (im PC-Raum) gewährleisten
Damit die Maßnahmen zur Herstellung der Klausurumgebung greifen, wird in einem ersten Scritt dafür gesorgt, dass generell für jeden Rechner gilt:
- Benutzerprofile werden erzwungen
- Nutzung von Poledit wird erzwungen
- Nutzung von DHCP wird erzwungen
- Nutzung von DNS wird erzwungen
- Windows-NT-Anmeldung (Domänenname SCHULE) wird erzwungen
- Arbeitsgruppe SCHULE wird erzwungen
- Anmeldung des Users wird erzwungen
- Freigabe von Dateien und Ordnern wird verhindert
- Freigabe von Druckern wird verhindert
- MS-DOS-Programme ausführen wird verhindert
- MS-DOS-Modus wird verhindert
- Registrierungseditoren werden abgeschalten
Dazu wird mit Hilfe von Poledit und einen speziellen adm-File eine Datei config.pol erstellt.
In Poledit sieht das so aus:
die so erstellte config.pol speichern Sie unter ... ab.
Rechner in den Klausurmodus versetzen können
Da wir (wie oben angegeben) keine Wächterkarten oder Rembo einsetzen, wird bei uns vor der Klausur durch den Lehrer beim Anmelden mit den Klausuraccount mit einer Batch-Datei die Festplatte bearbeitet/gesäubert. Dazu ist zu bemerken, dass es bei uns auf C: nur die Verzeichnisse windows, programme und c-media gibt und das Laufwerk D: ist normalerweise leer.
Diese Batch-Datei erledigt folgendes:
- in der Wurzel von Laufwerk C: werden alle Verzeichnisse gelöscht, außer die 3 gerade genannten Verzeichnisse. Auf Laufwerk D: wird alles gelöscht. - auf Laufwerk C: werden alle reg-, pif-, doc-, txt-, pro- und pas-Dateien gelöscht
- Falls managebare Switches in dem Schulnetz eingesetzt werden, dann sollten jeweils der Server und eine Workstation in ein VLAN (virtual LAN) gepackt werden. Damit ist nur eine Kommunikation Server<->Workstation, nicht aber Workstation<->Workstation möglich.
- wenn Sie keine managebaren Switche in Ihrem Schulnetz haben, dann müssen Sie auf den Clients dafür sorgen, dass diese keine Verbindung zu anderen Rechnern herstellen können und zusätzlich gewährleisten, dass diese Einstellungen nicht geändert werden können.
- Firewall von WindowsXP aktivieren, sodass nur die Verbindung zu Arktur auf den Ports ....... hergestellt werden kann. Das geschieht durch das Einspielen der folgenden reg-Datei
reg-Datei für WinXP-Firewall
- ein Schutz ist sicher auch dadurch möglich, dass nur die Programme bereitgestellt werden bzw. genutzt werden können, die gebraucht werden und keine Verbindungsaufnahme ermöglichen. (Vorsicht, hier gibt es häufig Hintertürchen. Keinesfalls ein Programm bereitstellen, was definitiv nicht gebraucht wird). Das läßt sich mit Hilfe einer reg-Datei erreichen, in der nur die Programme eingetragen werden, die erlaubt sind. Bei allen anderen Programmen kommt eine Fehlermeldung. Um den Lehrern das Erstellen und den Umgang mit solchen reg-Dateien zu ersparen, wird hier ein CGI-Script bereitgestellt, mit welchen die Lehrer diese reg-Dateien über ein Webinterface erstellen können. Die Programme, die dem Lehrer zur Auswahl zur Verfügung stehen (also die, die auf den Arbeitsplätzen genutzt werden könnten, müssen Sie als Admin noch bereitstellen.
Dazu müssen Sie als Admin das Webinterface (die Datei "klausur01.cgi") anpassen. Öffnen Sie die Datei mit einem Editor ihrer Wahl. Da es nur eine html-Datei ist, spielt Windows oder Linux keine Rolle.
Gehen Sie zur Zeile xx
Dort finden Sie in HTML eine Tabelle, wobei für jedes Programm eine Tabellenzelle folgendermassen angegeben ist:
<input type="Checkbox" name="java" value="javac.exe"> Java
Am einfachsten ist es, wenn Sie die vorhandenen Einträge entsprechend der bei Ihnen vorhandenen Programmen anpassen. Beachten Sie dabei, dass der vergebene Name bei name= , hier also java in dieser Tabelle eindeutig sein muss. Bei Value geben Sie nur den Dateinamen einschließlich Endung an, aber ohne Pfadangaben. Hier also "javac.exe". Alles andere ist nur reines HTML. Hinweis: vor Java ist ein Leerzeichen, das sieht m.E. besser aus.
Durch dieses CGI-Script wird eine reg-Datei programme.reg erstellt, die über Autostart eingespielt werden soll. Reg-Dateien sind selbst keine ausführbaren Dateien, deswegen kommt in den Autostartordner eine Batchdatei z.B. "programme.bat". Damit diese reg-Datei ohne Nachfrage eingespielt wird, ist der Inhalt dieser Batch-Datei
regedit -s programme.reg
Beim Abarbeiten der Batchdatei öffnet sich ein DOS-Fenster, welches nach dem Abarbeiten offen bleibt und per Hand (anklicken) geschlossen werden muss. Um das Fenster automatisch zu schließen, erstellen wir noch eine pif-Datei "programme.pif", die in das gleiche Verzeichnis wie "programme.bat" kommt. (Das Verlegen des Autostartordners wird im folgenden Schritt beschrieben)
programme.reg
den Klausurnutzern die Klausurumgebung einrichten
Damit alle Klausurnutzer die gleiche, vom Lehrer definierte Arbeitsumgebung erhalten und behalten (müssen), wird nun Folgendes eingestellt.
Es wird
- der Ordner "Autostart" vom Laufwerk p geholt
- der Ordner "Favoriten" vom Laufwerk p geholt
- der Ordner "Programme" vom Laufwerk p geholt
- der Ordner "Desktop" vom Laufwerk p geholt (schreibgeschützt!)
- der Ordner "Sendto" vom Laufwerk p geholt
- der Ordner "Eigene Dateien" auf Laufwerk u verlegt
- aus dem Startmenü wird der Punkt "Dokumente" ausgeblendet
- aus dem Startmenü wird der Punkt "Einstellungen" ausgeblendet
- aus dem Startmenü wird der Punkt "Suchen" ausgeblendet
- aus dem Startmenü wird der Punkt "Ausführen" ausgeblendet
- aus dem Explorer wird der Punkt "Versteckte und Systemdateien
ausblenden" ausgewählt
- aus dem Explorer wird der Punkt "Datei - Eigenschaften" ausgeblendet
- aus dem Explorer wird der Punkt "Ordneroptionen" ausgeblendet
Dazu meldet man sich als Klausurnutzer an und spielt die folgende reg-Datei ein.
klausur.reg
hier diese reg-File
Alternative: Abriegeln des Clients
Das bedeutet, es wird dafür gesorgt, dass auf den Client (wenn möglich) alle Ports geschlossen werden und der Schüler nicht die Möglichkeit hat, dass zu ändern.