Archiv der Kategorie: ICT

Zugang RD-Server mit MacOS, iOS und Linux

Wir haben schon seit einiger Zeit einen Remotedesktopserver / –gateway, mit dem wir unseren Lehrpersonen das Arbeiten von zuhause ermöglichen. So kann jede Lehrkraft eine Verbindung zu diesem RD-Server durchs Internet herstellen um von zuhause Arbeitsblätter zu bearbeiten oder auf Lehreroffice zuzugreifen.

Es gibt verschiedene Clients auch für MacOS, um auf einen Remotedesktopserver von Microsoft zuzugreifen, aber ich kenne nur eines, das auch den Zugang durchs Internet auf ein Remotedesktopgateway unterstützt.

Unter http://itap-mobile.com/desktop/rdp findet man das Programm, das man 14 Tage testen und falls es einem gefällt danach für 20 Euro kaufen kann. Scheinbar funktioniert es problemlos. Der gleiche Anbieter hat auch eine Version für iOS im Angebot, die auch auf dem iPhone läuft. Ist nicht gerade komfortabel, aber auch diese Version läuft problemlos.

image     image

Gruppenrichtlinien für Office 2010

Ich habe eine kleine Datenbank für unsere Filme auf dem Medienserver erstellt. Weil ich die Menüleiste ausblenden wollte, kommt dafür nun eine Sicherheitswarnung. Natürlich kann man einfach auf “Inhalt aktivieren” klicken, aber schön ist das ja schon nicht.

image

Für Office 2007 hatte ich noch Gruppenrichtlinien-Vorlagendateien, aber für Office 2010 hatte ich sie bisher noch nicht gebraucht.

Zuerst muss man die Gruppenrichtlinien herunterladen und entpacken. Im Ordner admx finden sich nun die Richtlinien zu Office 2010 (Version 14).

image

Diese muss man nun nun in den Central Store kopieren. Dabei handelt es sich um den Ordner PolicyDefinitions im Sysvol Ordner “\\FQDN\sysvol\FQDN\Policies”.  Um die neuen Gruppenrichtlinien-Vorlagen zu kopieren, kann man einfach die *.admx Dateien in den Central Store kopieren. Ausserdem muss man noch die *.adml Sprachdateien aus dem Ordner de-de in den gleichnamigen Unterordner kopieren. 

image

Nun hat man bei den Gruppenrichtlinien auch Einträge für Office 2010.

image

Wenn man nun den Speicherort der Accessdatei als vertrauenswürdigen Speicherort hinzufügt, kommt die Sicherheitswarnung beim Starten der Datenbank nicht mehr.

image

lokaler Cache in Lehreroffice

Mit Interesse habe ich beim letzten Update gelesen, dass Lehreroffice neu einen lokalen Cache bei einer Serverinstallation benutzen kann. Bei einer normalen Serverinstallation dauert das Starten von Lehreroffice (abhängig von der Netzwerkperformance) lange, weil das etwa 130MB grosse Programm zuerst über das Netzwerk in den Arbeitsspeicher kopiert werden muss (zumindest, wenn ich das richtig verstanden habe).

Daher ist es natürlich sinnvoll, eine lokale Kopie auf dem Computer zu haben, die nur geändert wird, wenn sich die Version auf dem Server geändert hat.

Nur – bei mir lief der Start von Lehreroffice nicht schneller nach diesem Update. Also wollte ich nachgehen, wo denn der Cache angelegt wird, um zu überprüfen, ob an diesem Ort z.B. keine Schreibrechte bestehen oder etwas ähnliches und das der Grund dafür ist, dass der Start nicht schneller läuft. Weil ich nicht wusste, wo denn der Cache angelegt werden müsste, habe ich die Dateizugriffe mit dem ProcessMonitor von Sysinternals überprüft.

image

Aber damit konnte ich nicht feststellen, wo denn der lokale Cache erstellt werden müsste. Kurz bevor ich dann den Support von Lehreroffice angerufen habe, ist mir in den Sinn gekommen, dass neuerdings sehr viel im Lehreroffice Wiki beschrieben wird. Und tatsächlich, im Wiki ist alles ausführlich beschrieben und auch erklärt, wieso ich keinen Geschwindigkeitsunterschied wahrnehmen konnte. Man muss die Funktion nämlich zuerst freischalten…

Dazu muss man sich als Administrator anmelden und unter “Extras” –> “Einstellungen” auswählen.

image

Nun “Programm” –> “System” –> “Lokaler Cache” –> “Cache nutzen” auswählen und “Übernehmen”.

image

Beim nächsten Start dauert es etwas länger und man sieht den Hinweis “Lokaler Cache wird aktualisiert…”

image

Bei den nächsten Starts holt sich Lehreroffice wie im Wiki beschrieben diverse Dateien vom lokalen Cache.

image

In Zukunft lese ich zuerst das Wiki Zwinkerndes Smiley

Nachtrag 1

Nach dem Einrichten des Caches kommt beim Start von Lehreroffice auf den Clients rechts oben „Demoversion“. Das alleine würde ja nicht gross stören, aber nun können die Benutzer nicht mehr ausdrucken. Es kommt der Hinweis: „Das Ausdrucken ist nur mit einer gültigen Vollversion möglich!“.
Ich habe den Cache temporär wieder deaktiviert und das Problem im Lehreroffice Forum gemeldet (http://www.lehreroffice.ch/forum/viewtopic.php?p=14930#14930).

Nachtrag 2

Über “Extras” –> “Programm registrieren” kann man das Programm registrieren. Bei uns war es registriert. Aber die Datei, in der die Registration gespeichert war, lag unter C:\ProgramData\LehrerOffice\.

image

Gemäss Auskunft wurde früher dieser Pfad verwendet. Weil man auf diesen Pfad (auf dem Server) von den lokalen Clients keinen Zugriff hat, wurde alles in den Programm Ordner von Lehreroffice gezügelt. Bei Neuinstallationen sollte also das Gebrauchen des Caches keine Probleme verursachen. Wenn wie bei uns das Problem mit dieser “Altlast” auftritt, kann man einfach die LehrerOffice.reg in den Programmordner von Lehreroffice verschieben (nicht kopieren – sie muss aus dem ProgramData-Ordner gelöscht werden).

image

Einmal mehr ein dickes Kompliment an den Lehreroffice Support! Seit meiner Meldung im Forum ist weniger als eine Stunde vergangen, bis das Problem behoben ist und alles wieder auch mit eingeschaltetem Cache funktioniert.

Archivbit, Linux und differentielles Backup

Früher haben wir immer ein vollständiges Backup auf Band durchgeführt. Aber mit der zunehmenden Datenflut ist das nicht mehr möglich. Eine Vollsicherung dauert im Moment ungefähr 11 Stunden, würde also den laufenden Betrieb stören. Nun gibt es die Möglichkeit, unter der Woche differentielle oder inkrementelle Backups zu erstellen, wobei ich mich entschieden habe, differentielle Sicherungen einzusetzen.

Um herauszufinden, ob eine Datei gesichert werden muss, verwendet unsere Backuplösung das sogenannte Archivbit. Windows setzt bei allen neuen oder geänderten Dateien ein solches Archivbit. Bei einer Vollsicherung am Wochenende wird dieses Archivbit von der Backupsoftware zurückgesetzt. Diese Dateien werden dann unter der Woche vom differentiellen Backup nicht mehr gesichert. Bei allen Dateien, die aber seit dem Wochenende neu angelegt oder geändert wurden, setzt Windows wieder das Archivbit. Diese so gekennzeichneten Dateien werden nun beim differentiellen Backup gesichert, das Archivbit aber nicht zurückgesetzt. Damit werden sie (im Gegensatz zum inkrementellen Backup, bei dem das Archivbit zurückgesetzt wird) jeden Tag unter der Woche erneut gesichert, auch wenn sie bereits am Montag erstellt wurden (bis bei der nächsten Vollsicherung wieder alle Archivbits zurückgesetzt werden). 

image

Unter Linux ist das in Windows verwendete Archivbit nicht implementiert. Um Dateien von einem Linuxserver auch in die Bandsicherung aufzunehmen, erstellt der Linuxserver eine Sicherung auf eine Sambafreigabe. Von dort werden sie über ein Skript mit Robocopy auf einen Windowsserver kopiert, damit sie in der Nacht auf Band gesichert werden können. Da aber Linux das Archivbit nicht kennt, werden diese Dateien beim differentiellen Backup ausgelassen, obwohl sie jeden Abend neu kopiert werden…

Aber wie heisst es so schön? Das sind keine Probleme, sondern nur Herausforderungen 😉
Robocopy bietet die Möglichkeit, das Archivbit beim Kopieren zu setzen mit der Option /A+:A, was soviel bedeutet wie: setze Attribut (/A+) Archivbit (:A).

image

Lehreroffice – neues Formular

Letztes Jahr konnten wir das Übertrittsformular aus der Primar in die Oberstufe noch nicht automatisch erstellen lassen. Nun habe ich die Formeln angepasst, damit nun die Promotionsnoten aus dem 2. Semester der 5. Klasse und aus dem 1. Semester der 6. Klasse automatisch eingetragen werden (unabhängig davon, in welchem Semester man das Formular ausdruckt).

Hier der entsprechende Auszug aus dem zweiseitigen Formular:image

Dieses und die anderen Formulare kann man herunterladen und für seine Schulgemeinde anpassen.

E-Mails mit gefälschtem Absender

Heute wurde ich auf ein Mail aufmerksam gemacht, das scheinbar schon einige unserer Lehrpersonen erhalten haben. Gesendet von einem bekannten Absender (in dem Fall einem Schüler), mit Betreff “amazing!” und als einzigem Inhalt einem Link “Click here to see the attached photos”

image

Man kann immer wieder beobachten, das Spammails scheinbar von Absendern kommen, die man kennt. Die Absenderadresse kann sehr einfach gefälscht werden. Wenn ein Computer von einem Virus oder Trojaner infiziert ist, kann sein Adressbuch ausgelesen werden. Die Chance, dass sich die Personen aus diesem Adressbuch kennen, ist relativ hoch. Ebenso wie die Chance erhöht ist, dass Personen auf einen Link aus einem Mail mit bekanntem Absender klicken. Weitere Informationen zu gefälschten Absenderadressen finden sich hier.

Was passiert, wenn man auf den Link klickt?

In diesem Beispiel kann man schön sehen, dass in dem Link die Adresse der angeschriebenen Person steckt.

image

Wenn man also nun auf den Link klickt, bestätigt man, dass diese E-Mailadresse benutzt wird. Listen mit solchen E-Mailadressen werden unter Spammern gehandelt, sind also bares Geld wert.

Noch schlimmer kann es kommen, wenn diese Seite mit Malware verseucht ist und man sich auf diesem Weg einen Virus, Trojaner… einfängt. Dazu werden Sicherheitslücken in verschiedenen Produkten wie Internetbrowser oder Plugins wie Adobe Flash etc. ausgenutzt.

Wenn Ihr Rechner Schwachstellen hat, reicht es also aus, eine solche Internetseite zu besuchen, um sich einen Schädling einzufangen. Weil der Nutzer davon nichts bemerkt und auch gar nichts weiter dazu beitragen muss – etwa auf eine Datei klicken -, nennt man diesen Infektionsweg Drive-by-Download (also im "Vorbeifahren").

Weitere Informationen zu solcher Malware und deren Verbreitung finden sich hier.

Was kann man tun?

Wichtig ist, die Systeme laufend aktuell zu halten, also alle Updates einzuspielen. (Betriebssystem, Browser, Plugins, Virenschutz…..). Trotzdem bleibt eine Restgefahr. Diese Updates können nämlich nur vor dem schützen, was sie bereits kennen. Es gibt aber Sicherheitslücken, die ausgenutzt werden, bevor es einen Patch vom Hersteller dafür gibt. Man spricht dann von einem sogenannten “zero-day-exploit”, also einer Möglichkeit, Malware zu verbreiten, für die es noch kein “Gegengift” gibt. Gegen “zero-day-exploits” hilft nur, nicht überall draufzuklicken, wo man könnte.

Problem mit Backup Exec und UEFI

Bei einer neuen Backup Exec Installation hatte ich folgende Fehlermeldung bei einem Backup mit ausgewältem “Systemstatus”: “VSS-Snapshotwarnung. Datei %BeBootDrive%\bootmgr ist im Snapshot nicht vorhanden.”

image

Auf der Supportseite von Symantec fand ich dann eine Beschreibung meines Problems mit der passenden Lösung.

image

Gemäss dieser Anleitung kann man im Registrierungseditor unter “HKEY_LOCAL_MACHINE\SOFTWARE\Symantec\Backup Exec for Windows\Backup Exec \Engine\Shadow Copy Components\” einen neuen Schlüssel “Additional Not Authorized Writers” erstellen.

image          image

Nun kann man bei diesem Schlüssel eine neue Zeichenfolge mit dem Namen “ASR” und dem Wert “{BE000CBE-11FE-4426-9C58-531AA6355FC4}” erstellen.

image

Damit der “Systemstatus” korrekt gesichert werden kann, muss man jetzt noch den Auftrag aktualisieren. Gemäss Supportseite kann man dazu den Auftrag löschen und erneut erstellen oder den Systemstatus ausschliessen und anschliessend wieder hinzufügen.

image

Forefront Richtlinien

Mit Forefront kann man für verschiedene Clients verschiedene Richtlinien mit entsprechenden Ausschlüssen erstellen.

image

Nachdem man eine neue Richtlinie ausgewählt und einen Namen vergeben hat, kann man eine entsprechende Vorlage auswählen.

image

image

Um eine Richtlinie für einen Server zu erstellen, der Domänencontroller, DNS-Server und DHCP-Server ist, habe ich einfach die drei Richtlinienvorlagen genommen und die Ausschlüsse in einer Richtlinie zusammengefasst.

Nun muss man diese Richtlinie nur noch der entsprechend vorbereiteten Sammlung zuweisen.

image

Ab der nächsten Synchronisierung der Richtlinie werden diese Ausschlüsse bei Forefront berücksichtigt.

Domänencontroller ersetzen

Das Netzwerk von unserem Sekretariat ist vollständig vom Schulnetzwerk getrennt, wie das der Kanton auch fordert. An diesem Standort steht ein einzelner Server, der die wenigen Arbeitsplätze versorgt. Nun musste ich diesen Server mit einem neuen ersetzen.

Als erstes habe ich den Server installiert (Server 2008R2 SP1), ihm eine fixe IP Adresse gegeben und ihn in die Domäne aufgenommen.

Nun kann man ihn zum Domänencontroller heraufstufen. Dazu kann man das Befehlszeilentool “dcpromo” verwenden oder die Rolle “Active Directory-Domänendienste” als Rolle im Servermanager hinzufügen.

image

image

Nun kann man direkt aus dem Assistenten weiter machen.

image

image   image   image   image

image   image   image   image

image   image

Danach muss man den Server neu starten.

Als nächstes zügelt man die FSMO (Flexible Single Master Operations) Rollen. Eigentlich müssten die Rollen automatisch zügeln, wenn man den alten Server von einem Domänencontroller zu einem normalen Server herabstuft, aber sicher ist sicher. Welcher Server welche Rolle innehat, kann man mit “netdom query fsmo” überprüfen.

image

Wenn  man über “Start” “ntdsutil” eintippt und mit Enter bestätigt, öffnet sich ein Fenster mit einer Eingabeaufforderung.  Sobald man roles eintippt, steht “fsmo maintenance:”

image

Durch Eingabe von ? findet man in der Hilfe heraus, dass die gewünschten Befehle wie folgt lauten:

Transfer infrastructure master
Transfer naming master
Transfer PDC
Transfer RID master
Transfer schema master

Zuerst muss man sich aber über “connections” und “connect to server servername” mit dem Server verbinden, dem man die Rollen neu zuweisen möchte.

image

Nun kann man die Rollen zuweisen mit den oben genannten “Transfer….” Befehlen.

Installation überprüfen

Nun sollte man überprüfen, ob die Installation richtig funktioniert.

Mit net share sollte SYSVOL und NETLOGON angezeigt werden.

image

Mit “nslookup” kann man die Namensauflösung überprüfen und am allerwichtigsten ist die Diagnose mit dcdiag.exe.

Nun muss man noch die weiteren Dinge wie DHCP, Fileserver, Printserver, Updateserver, Backup, etc. zügeln und den alten Server mit dcpromo vom Domänencontroller zum normalen Mitgliedsserver herunterstufen, bevor man ihn entgültig ausmustert.