Medien- und ICT-Konzept: Übersicht

Wie wohl viele Schulen im Kanton versuchen wir bei uns auch ein “Medien- und ICT-Konzept” zu erarbeiten. Wir haben nun eine Arbeitsgruppe mit Vertretern aus Schulrat, Schulleitungen, Lehrerschaft und Informatik gebildet.

Mit dem Einverständnis unseres Schulratpräsidenten werde ich unser Vorgehen hier dokumentieren. Die verschiedenen Beiträge sind hier verlinkt. Rückmeldungen oder Tipps von anderen Schulen, die schon weiter sind, nehmen wir gerne entgegen, entweder hier bei den Kommentaren oder direkt.

Medien und Informatik im neuen Lehrplan 21

Arbeitsgruppe

1. Sitzung

2. Sitzung

3. Sitzung

4. Sitzung

Umsetzungshilfe

 

Medien- und ICT-Konzept: Arbeitsgruppe

3 Gründe für ein Medien- und ICT-Konzept:

1. Empfehlungen Medien und Informatik in der Volksschule
Der Erziehungsrat des Kantons St. Gallen hat Anfangs 2015 die Empfehlungen «Medien und Informatik in der Volksschule» erlassen.

image

Diese lösen das Konzept «Informatik in der Volksschule» aus dem Jahr 2001 ab. Darin (Seite 5) empfiehlt der Erziehungsrat den Schulen unter anderem ein “Medien- und ICT-Konzept” zu erarbeiten.

image

Ein “Medien- und ICT-Konzept” setzt sich aus einem “pädagogischen Nutzungskonzept” und einem “Betriebs- und Hardwarekonzept” zusammen. Das pädagogische Nutzungskonzept beschreibt, wie an der Schule Medien und ICT im Unterricht eingesetzt und genutzt werden.

2. Lehrplan 21
image

Der Lehrplan 21 wird im Kanton St. Gallen auf das Schuljahr 2017 eingeführt. Neu gibt es die Bereiche „Medien“, „Informatik“ und „Anwendungen“. Die Bereiche „Medien und Informatik“ werden als eigenes Modul geführt, der Kanton St. Gallen sieht dafür in der Stundentafel je eine Jahreslektion von der 5. Primarschule bis zur 2. Oberstufe (total also 4 Jahreslektionen) vor. Der Rest muss als Modul in anderen Fächern unterrichtet werden. Dies trifft auch für den ganzen Bereich „Anwendung(en)“ zu, dieser muss ganz in die anderen Fächer integriert werden. Dies bedeutet, dass geklärt werden muss, wer wann was in welchem Fach macht. Mit Kursen kann versucht werden, die Lehrkräfte darauf vorzubereiten. Neu gehört zum Beispiel einfaches Programmieren sowohl zur Primarschule als auch in die Oberstufe oder das Schreiben mit der Tastatur ins Fach Deutsch

3. Arbeitsgruppe mobile Geräte
Unsere Arbeitsgruppe „mobile Geräte“ hatte den Auftrag zu Handen des Schulrates eine Empfehlung zum Thema abzugeben. Eine grosse Mehrheit der Lehrpersonen hat sich dafür ausgesprochen, mittelfristig ab der Mittelstufe mit den Geräten der Schüler/-innen zu arbeiten.

image

Es werden Poolgeräte benötigt, die für Schüler/-innen eingesetzt werden können, die kein eigenes Gerät mitbringen oder wenn die Aufgabenstellung z.B. grössere Bildschirme benötigt. Ausserdem zeigt sich, dass Inputs für Lehrkräfte wichtig sind, damit mobile Geräte vermehrt und flächendeckender zum Einsatz kommen.

Grundsätzliches
An den Schulen hat sich die IT professionalisiert. Im Gegensatz zu den Anfangsjahren gibt es funktionierende Systeme für Vorbereitung, Zusammenarbeit und Unterricht. Trotzdem werden in vielen Klassenzimmern immer noch keine “digitalen Kompetenzen” vermittelt, obwohl ein “…breiter Konsens, dass es zu den Aufgaben der Schule gehört, Kindern und Jugendlichen einen angemessenen Medienumgang zu vermitteln…” herrsche. Der neue Lehrplan gibt nun einen klaren Auftrag dies verstärkt zu machen, zumindest noch klarer, als es der alte schon tat. Dies ist eine Steilvorlage, trotzdem bleibt die Gefahr, dass es untergehen könnte (vgl. auch diesen Beitrag unten).

Wie erreicht man es aber, dass “digitale Kompetenzen” beim Schüler, bei der Schülerin wirklich “ankommen”? Hier ein paar nicht abschliessende Gedanken:

  • Die Lehrkräfte resp. Teams sollen zu einer inneren Überzeugung gelangen, dass digitale Kompetenzen wichtig sind im späteren Leben ihrer Schüler/-innen und dass sie einen Beitrag dazu leisten wollen.
  • Die Schulleitungen haben eine Schlüsselrolle für eine flächendeckende Umsetzung der Vermittlung digitaler Kompetenzen. Eigentlich handelt es sich um ein Schulentwicklungsprojekt.
  • Die Lehrkräfte müssen unterstützt werden. Eine angepasste Umsetzungshilfe könnte die Lehrpersonen bei der Vorbereitung entlasten. Bei Problemen oder für neue Ideen sollte es einen gut funktionierenden pädagogischen Support geben.

Umsetzung
Unsere Arbeitsgruppe wird sich Ziele, Zeitplanung, Meilensteine,… selber erarbeiten. Der ICT-Guide vom Kanton Zürich oder die für St. Gallen angepasste Version kann als Grundlage dafür genommen werden, auch wenn gemäss Arbeitsgruppe zu Medien und Informatik im LP21  (vgl. S 19 oben) noch “Anpassungen nötig sind”. Der empfohlene Ablauf bei der Erstellung eines Konzepts ist meist ähnlich zu diesem:

  1. Wo wir stehen – IST-Analyse der Schule
  2. Was wir erreichen wollen – Ziele und Strategien
  3. Wie wir Medien und ICT integrieren – ICT-Lehrplan
  4. Welche Unterstützung wir anbieten – Support und Unterstützungskonzept
  5. Wie wir uns Materialien und Wissen zur Verfügung stellen – Wissensmanagement
  6. Wie wir uns weiterbilden wollen – Weiterbildungskonzept
  7. Welche Ausrüstung wir einsetzen wollen – Infrastruktur
  8. Wie wir die Schul- und Unterrichtsqualität pflegen wollen
  9. Wie wir kommunizieren – Kommunikation und Information
  10. Wie wir uns entwickeln wollen – Entwicklungsplanung

Man sieht, dass es hier um weit mehr geht, als einfach ein Konzept auf Papier zu bringen…

Zurück zur Übersicht

weitere VLANs

Wir haben in unserem Netzwerk 10 Standorte, die mit Glasfaser verbunden sind. Ausserdem sind noch zwei Standorte über eine WLAN Brücke und 3 Kindergärten über eine VPN Verbindung angebunden. An einzelnen Standorten gibt es noch zusätzliche Glasfaserleitungen z.B. zwischen Neubau und Altbau.

Bisher genügte es, das Netzwerk nur auf einem, nämlich dem Hauptswitch zu unterteilen (KISS Prinzip). Nun war es aber absehbar, dass uns bald die IP-Adressen in den einzelnen Subnetzen ausgehen. Es macht in dieser Grösse aber auch Sinn, den Broadcastverkehr weiter einzudämmen.

Da ich im Moment gerade drin bin und meist schnell vergesse, hier nur ein paar Stichworte als Gedankenstütze für ein anderes Mal anhand einer stark vereinfachten Skizze.

image

Ein Client aus dem Schulhaus B sollte mit den Servern kommunizieren können. Der Port, an dem der Client hängt muss ein Mitglied des VLAN 12 sein (untagged). Um das zu erreichen, muss man auf dem Switch im Schulhaus B (und auch Schulhaus A und Hauptswitch) das VLAN 12 erstellen und auf HP ProCurves danach dem Switch eine IP Adresse aus dem Subnetz zuteilen (im Beispiel 192.168.3.240):
#config
#vlan 12 ip address 192.168.3.240/24
#vlan 12 untagged 1-44

Die passenden Befehle findet man auch in diesem Beitrag.

Zwischen den einzelnen Switches verwende ich tagged Verbindungen, da nur so mehr als ein VLAN über eine Leitung geführt werden kann. Dabei müssen beide Endpunkte die gleiche “Technik” verwenden. Es muss also der Port 46 im Schulhaus A und der Port 45 im Schulhaus B ein “tagged” Mitglied von VLAN 12 sein (#vlan 12 tagged 45). Das gleiche trifft auch für die Verbindung zwischen Hauptswitch (#vlan 12 tagged 48) und dem Switch im Schulhaus A (#vlan 12 tagged 46) zu.

Bei meiner Umsetzung übernimmt der Hauptswitch das Routing, übersetzt also aus dem VLAN 12, das am Port 48 ankommt auf das VLAN 10, an dem die Server hängen.

Dann muss man noch schauen, dass der DHCP Server die einzelnen VLANs bedienen kann, also auf dem DHCP-Server die Bereiche anlegen und auf den Switches eine ip-helper Adresse eintragen. Wenn auf der Firewall ein Contentfilter arbeitet, muss man dem auch alle VLANs bekanntgeben. Die Adressen der Drucker müssen auch angepasst werden (sowohl bei der DHCP Reservierung als auch auf dem Druckserver wegen der neuen Adresse).  Damit man während der Arbeit die Verbindung zum Switch nicht verliert, sollte man die IP Adressen und das default Gateway des Switches im Auge behalten. Ansonsten muss man mit einem Laptop vor Ort auf den seriellen Anschluss des Switches zugreifen…

Die wichtigsten Befehle für die Umsetzung findet man hier und hier.

OneNote 2010 und Office 365 for Business

Wir haben immer noch Office 2010 im Einsatz. Wenn man bei unserer Installation versucht, mit OneNote 2010 eine Datei auf OneDrive zu öffnen, erhält man die Fehlermeldung:

“Leider muss zum Öffnen dieses Dokuments auf dem Computer eine unterstützte Version von Microsoft OneNote ausgeführt werden sowie ein Browser, der das Öffnen von Dateien direkt aus Office Online unterstützt.”

Der Link “Problembehandlung” führt auf diese Webseite, auf der auch die Lösung beschrieben ist. In unserem Fall fehlt die “Unterstützung für Microsoft SharePoint Foundation”.

image

Man kann sich über “Systemsteuerung” –> “Programme” –> “Programme und Funktionen” eine Liste der installierten Programme anzeigen lassen. Dort wählt man “Microsoft Office Professional Plus 2010” und klickt auf “Ändern”. Nun kann man “Features hinzufügen oder entfernen” auswählen.

image

Bei unserer Installation ist “Microsoft SharePoint Workspace” nicht verfügbar. Hier kann man “Von Arbeitsplatz ausführen” auswählen.

image

Danach kommt beim Öffnen wie gewünscht ein Fenster, in dem man seine Anmeldedaten eintragen kann.

image

Nun hat sich OneNote verbunden und man kann nun normal mit der lokalen Version von OneNote arbeiten.

image

Man kann dies in einem Netzwerk auch automatisieren. Dazu nimmt man die originalen Installationsdateien und startet “setup.exe /admin”. Damit startet das “Microsoft Office-Anpassungstool” (OCT) mit dem man eine neue Setupanpassungsdatei erstellen kann.

image

Die einzige Änderung, die man vornimmt, ist das Hinzufügen des Features “Unterstützung für Microsoft SharePoint Foundation”.

image

Nun speichert man die MSP-Datei.

image

Diese MSP-Datei kann nun auf alle Computer angewandt werden, z.B. mit SCCM.

msiexec.exe /p OneNote_Office365.msp /qn

Unglücklich ist, dass bei der Erstkonfiguration weiterhin nur ein privates Microsoft Konto akzeptiert wird.

image

image

image

Erst wenn man in diesem Anmeldefenster auf “Abbrechen” klickt, wird das zweite Fenster mit der Office365 Anmeldung angezeigt.

image

Dieses funktioniert dann wie gewünscht.

Office 365 – Accounttyp wechseln

Wir synchronisieren unsere Accounts mit DirSync nach Office 365. Dies hat den Vorteil, dass Lehrpersonen und Schüler/-innen das gleiche Passwort für die Benutzeranmeldung wie auch für Office 365 benutzen können. Der Nachteil dabei ist, dass das Passwort nicht im Office 365 Portal geändert werden kann.

Daher haben wir für Sekretariat, Schulratsmitglieder, Visitationspersonen, … Accounts, die nur in Office 365 existieren und nicht synchronisiert werden.

image

Nun musste ich aber so einen “in Cloud” Account ändern, damit er auch mit dem Active Directory synchronisiert wird. Gemäss diesem Beitrag funktioniert das, wenn die SMTP Adresse eines lokalen Accounts mit der Office 365 Mailadresse übereinstimmt.

Da keine Mails verloren gehen sollten, habe ich zur Sicherheit das entsprechende Passwort vom Benutzer erhalten und mit Outlook das ganze Postfach in eine PST Datei als Backup gesichert.

Danach kann man den Benutzer lokal anlegen und mit DirSync synchronisieren lassen. Im Office 365 Admin Center wechselt der Account kurz danach wie gewünscht auf “Mit Active Directory synchronisiert”.

zurück zur Übersicht

Wlan verbieten

Unsere Schullaptops verbinden sich mit einem WLAN Netzwerk, das mit dem internen Netzwerk verbunden ist und den Zugriff über einen Radiusserver und Zertifikate regelt. Daneben gibt es aber auch noch ein WLAN für die privaten Geräte von Lehrpersonen und Schüler/-innen mit dem man sich nach der Eingabe eines Tagespasswortes verbinden kann.

Nun gibt es aber Lehrpersonen oder Schüler/-innen, die die Schulgeräte mit dem WLAN für die Privatgeräte verbinden (wieso auch immer). Danach sind die Geräte nicht mehr mit den Servern verbunden, bekommen also keine Gruppenrichtlinien, Updates etc. Ausserdem können sich Benutzer, die kein lokales Profil haben (sich also noch nie an dem Gerät angemeldet haben), nicht anmelden.

Damit das nicht mehr passiert, kann man WLAN Netzwerke mit bestimmter SSID verweigern.

Dazu habe ich die bestehende WLAN Gruppenrichtlinie angepasst und unter “Computerkonfiguration” –> “Richtlinien” –> “Windows-Einstellungen” –> “Sicherheitseinstellungen” –> “Drahtlosnetzwerkrichtlinien (IEEE 802.11)” die Richtlinie angepasst.

image

image

image

Nun kann man die SSID eingeben und “Verweigern” auswählen.

image

Das richtige Netzwerk wird automatisch verbunden. Nach dieser Umstellung kann man sich aber auch manuell nicht mehr mit dem öffentlichen WLAN verbinden.

image

Content-Filter für SSL Seiten auf Sophos UTM einrichten

In diesem Beitrag habe ich beschrieben, dass wir neu auch https Verkehr scannen.

Um die https Filterung zu aktivieren, entfernt man unter “Web Protection” –> “Web Filtering” –> Registerkarte “HTTPS” das Häklein bei “Do not proxy HTTPS traffic in Transparent Mode” und wählt “Decrypt and scan”.

image

Damit wird nun der SSL Verkehr aufgebrochen und gescannt. Nun kann kann die SafeSearch Einstellungen der einzelnen Suchdienste erzwingen, indem man unter “Web Protection” –> “Web Filtering” –> Registerkarte “Policies” –> “Additional Options” die entsprechenden Häklein auswählt.

image

Damit wäre nun das Ziel erreicht. Eine entsprechende Bildersuche auf Google läuft nun dank SafeSearch ins Leere.

image

Wie in diesem Dokument beschrieben, reklamieren die Browser, dass das verwendete Zertifikat nicht von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde.

image

Das Zertifikat findet sich unter “Web Protection” –> “Filtering Options” –> Registerkarte “HTTPS CAs” –> “Download”.

image

Das Zertifikat ohne privaten Schlüssel (.cer) kann nun über eine Gruppenrichtlinie auf alle Computer verteilt werden. Dazu importiert man das Zertifikat unter “Computerkonfiguration” –> “Richtlinien” –> “Windows-Einstellungen” –> “Sicherheitseinstellungen” –> “Richtlinien für öffentliche Schlüssel” –> “Vertrauenswürdige Stammzertifizierungsstellen”.

image

image

Danach funktioniert der Aufruf von https Seiten ohne Warnhinweis, da dem Zertifikat vertraut wird. Wenn man aber auf das Schloss in der Adresszeile klickt, sieht man, dass der Herausgeber des Zertifikats durch “Schule Altstaetten Proxy CA” ersetzt wurde.

image

Für die internen Computer ist also alles wie gewünscht umgesetzt. Ein Problem bleibt aber. Die privaten Geräte von Lehrpersonen und Schüler/-innen müssen das Zertifikat manuell auch installieren, wenn die Fehlermeldung nicht mehr kommen soll.

Sophos hat dafür die Domain fw-notify.net registriert, auf der aber nichts veröffentlicht ist. Die Sophos UTM besitzt aber diesen DNS Eintrag, der auf die UTM selber zeigt. Das Zertifikat ist so unter http://passthrough.fw-notify.net/cacert.pem erreichbar.

Da diese Seite nicht einfach zu merken ist, habe ich sie auf unserer Homepage verlinkt. Ausserdem habe ich den Hotspot so angepasst, dass man nach erfolgreicher Eingabe des Tagespassworts direkt auf diese Seite weitergeleitet wird.

image

Damit ist auch sichergestellt, dass alle, die unser WLAN benutzen, darauf hingewiesen wurden, dass SSL aufgebrochen wird.

Nachtrag
Das Zertifikat, das unter http://passthrough.fw-notify.net/cacert.pem erreichbar ist, kann unter Android nicht installiert werden. Daher muss für Android das Zertifikat anders abgespeichert werden. Dazu kann man das importierte Zertifikat unter Windows exportieren.

image

image

Das Zertifikat für Android muss man dann noch von .cer auf .crt umbenennen. So musste ich also zwei Zertifikate veröffentlichen, eines für Windows und iOS und ein anderes für Android.

Eine Anleitung für die verschiedenen Geräte findet sich hier.

Nachtrag 2
Der AppStore auf iPads funktioniert nach der Umstellung nicht mehr richtig. Ich habe unter “Filtering Options” –> “Exceptions” eine Ausnahme für “URL Filter” und “SSL scanning” für die Seiten von Apple und mzstatic (gehört zu Apple) erstellt. Danach funktioniert auch der AppStore wieder.

image

Content-Filter für SSL Seiten

Wir haben unseren Internetzugang von Swisscoms “Schulen ans Internet” Angebot auf einen lokalen Kabelnetzbetreiber gewechselt.

Damit sind wir auch selber zuständig für das vom Kanton verlangte “Web Content Screening”. Auch wenn einige Gründe gegen ein Aufbrechen des SSL Verkehrs sprechen (vgl. z.B. Blogbeitrag von Beat Döbeli), machen wir das nun auch.

MITMAweiss

  • Da der Kanton dies vorgibt, ist der Spielraum sehr klein. Wenn Schüler/-innen z.B. bei der Bildersuche von Google z.B. nach pornografischen Begriffen suchen, kommen sie definitiv auf Bilder, die zu den unerwünschten Inhalten gehören, die gemeint sind.
  • Auf den Computern in der Schule müssen nur Seiten aufgerufen werden, die einen schulischen Bezug haben. Wer den Personen, die Zugang zur Firewall haben, nicht traut, sollte private https Seiten nicht mehr in der Schule aufrufen.
  • Viele Seiten sind immer noch unverschlüsselt, dort kann jeder, der unterwegs Zugang zu dem Datenverkehr hat, mitlesen.
  • Die Daten liegen dem Serverbetreiber unverschlüsselt vor. Bei einer Google-Suche wertet Google alle gesuchten Daten aus und versucht ein Profil des Benutzers zu erstellen.
  • Wenn bei einem Mailprovider ein Spamfilter auf dem Server aktiviert ist, muss dieser auch alle Mails durchsuchen, um sie als Spam zu klassifizieren.

Trotz all dieser Gründe ist und bleibt es ein Eingriff in die Privatsphäre der Benutzer. Daher erscheint mir sehr wichtig, dass die Benutzer auf diesen Umstand hingewiesen werden. Wir haben daher auf unserer Homepage ein Dokument veröffentlicht, das auch technisch nicht so versierten Benutzern erklären soll, was denn da genau passiert.

Nachtrag
Hier ist beschrieben, wie man das mit einer Sophos UTM umsetzen kann.