Klausurumgebung mit PFSense
-
Hallo,
ich wollte an unserer Schule sowas wie eine Klausurumgebung einrichten.
Alle PC sind bei uns in einem Netz, über DHCP werden fixe IPs vergeben.
Nun würde ich gerne die Verschiedenen IP's ohne VLAN's oder Subnetting pro Klassenraum gruppieren.
Sinn ist, das bspw. bei Klausuren kein Internetzugang besteht, bei normalem Schulbetrieb Squidfilter für Jugendliche und bei Erwachsenenkursen nur Basic Filterung.
Möchte aber nich immer die Regeln für jeden Einzlenen PC anpassen sondern am liebsten pro Gruppe/Raum.Habt Ihr ne idee wie ich sowas mit pfsense und squid hinbekomme???
Gruß aus Belgien, Sascha
-
Du kannst alle IPs eines Klassenraums in einen Alias verpacken und diesem per Rule den Zugang verweigen.
Dazu einfach einen Block mit dem Alias an oberster Stelle in die Regeln einfügen.Das schützt natürlich nur gegen direkten Verkehr, wenn man über einen Rechner aus einem anderen Klassenraum als Proxy surft oder andere tolle Dinge baut, dann hast Du ohne Trennung der Netze schlechte Karten, das zu verhindern.
-
Wie schon gesagt wurde, kommt es vor allem darauf an, wieviel Zugang die Schüler zu den Programmen auf den KlassenPCs haben. Wichtig ist, dass sie keinen Zugang zu den IP Einstellungen haben dürfen. Am besten verteilst Du die einzelnen IPs manuel ohne DHCP. Du hast einen viel besseren Überblick über die verteilten Addressen. In diesem Fall würde ich es machen, wie jahonix gesagt hat.
Falls die Schüler ihre eigenen Laptops mitnehmen können oder falls Du auf der ganz sicheren Seite sein willst, dann richte pro Klassenzimmer ein VLAN ein und blocke während den Klausuren das komplette Interface.
Dritter Punkt: Wie verhinderst Du, dass die Schüler untereinander kommunizieren? Falls sie Zugang zu einem gemeinsamen Directory haben, können sie sich über Textfiles ganz einfach Antworten austauschen. In diesem Fall gibt es nur eins: nur private Verzeichnisse auf Deinem Server haben und verhindern, dass ein Schüler die Möglichkeiten hat, FileSharing einzurichten, etc.
-
Wir haben mal während einer LAN-party eine "harcore Sicherheitslösung" versucht. (Einfach mal zum schauen obs geht).
Jeder port and jedem switch ist in einem eigenen VLAN.
Sämtlicher traffic MUSS durch die pfSense da sonst nichts mit niemandem kommunizieren kann.
Wir habens jedoch wieder aufgegeben da der Konfigurationsaufwand ins unermessliche stieg.Verschiedene Filterstufen mit squid weiss ich nicht ob das möglich ist.
Ich denke wenn, dann nur mit mehreren gleichzeitig laufenden Instanzen mit unterschiedlichen konfig-files. -
Danke für die Antworten.
Die Idee mit den Aliases gefällt mir am Besten, da wir hier in der Schule eine ziemlich krampfige Sternentopologie haben und zudem in 2 Jahren umziehen.
Danke, danke nochmal,
Gruß aus Belgien,
Sascha
