In diesem Beitrag findet sich eine kurze Einführung in ein paar grundsätzliche Funktionen von OneNote.
Hier findet sich eine ausführliche Videoanleitung zum Kursnotizbuch.
OneNote-Kursnotizbuch
Kommentar verfassen
OneNote
Hier findet sich eine ausführliche Videoanleitung zu OneNote und dem OneNote Kursnotizbuch.
OneNote ist ein Programm, um Notizen zu verwalten. Man kann verschiedene Notizbücher anlegen, die sich in einzelne Abschnitte gliedern lassen. Jeder Abschnitt kann dann verschiedene Seiten aufnehmen.
Wlan verbieten
Unsere Schullaptops verbinden sich mit einem WLAN Netzwerk, das mit dem internen Netzwerk verbunden ist und den Zugriff über einen Radiusserver und Zertifikate regelt. Daneben gibt es aber auch noch ein WLAN für die privaten Geräte von Lehrpersonen und Schüler/-innen mit dem man sich nach der Eingabe eines Tagespasswortes verbinden kann.
Nun gibt es aber Lehrpersonen oder Schüler/-innen, die die Schulgeräte mit dem WLAN für die Privatgeräte verbinden (wieso auch immer). Danach sind die Geräte nicht mehr mit den Servern verbunden, bekommen also keine Gruppenrichtlinien, Updates etc. Ausserdem können sich Benutzer, die kein lokales Profil haben (sich also noch nie an dem Gerät angemeldet haben), nicht anmelden.
Damit das nicht mehr passiert, kann man WLAN Netzwerke mit bestimmter SSID verweigern.
Dazu habe ich die bestehende WLAN Gruppenrichtlinie angepasst und unter “Computerkonfiguration” –> “Richtlinien” –> “Windows-Einstellungen” –> “Sicherheitseinstellungen” –> “Drahtlosnetzwerkrichtlinien (IEEE 802.11)” die Richtlinie angepasst.
Nun kann man die SSID eingeben und “Verweigern” auswählen.
Das richtige Netzwerk wird automatisch verbunden. Nach dieser Umstellung kann man sich aber auch manuell nicht mehr mit dem öffentlichen WLAN verbinden.
Content-Filter für SSL Seiten auf Sophos UTM einrichten
In diesem Beitrag habe ich beschrieben, dass wir neu auch https Verkehr scannen.
Um die https Filterung zu aktivieren, entfernt man unter “Web Protection” –> “Web Filtering” –> Registerkarte “HTTPS” das Häklein bei “Do not proxy HTTPS traffic in Transparent Mode” und wählt “Decrypt and scan”.
Damit wird nun der SSL Verkehr aufgebrochen und gescannt. Nun kann kann die SafeSearch Einstellungen der einzelnen Suchdienste erzwingen, indem man unter “Web Protection” –> “Web Filtering” –> Registerkarte “Policies” –> “Additional Options” die entsprechenden Häklein auswählt.
Damit wäre nun das Ziel erreicht. Eine entsprechende Bildersuche auf Google läuft nun dank SafeSearch ins Leere.
Wie in diesem Dokument beschrieben, reklamieren die Browser, dass das verwendete Zertifikat nicht von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde.
Das Zertifikat findet sich unter “Web Protection” –> “Filtering Options” –> Registerkarte “HTTPS CAs” –> “Download”.
Das Zertifikat ohne privaten Schlüssel (.cer) kann nun über eine Gruppenrichtlinie auf alle Computer verteilt werden. Dazu importiert man das Zertifikat unter “Computerkonfiguration” –> “Richtlinien” –> “Windows-Einstellungen” –> “Sicherheitseinstellungen” –> “Richtlinien für öffentliche Schlüssel” –> “Vertrauenswürdige Stammzertifizierungsstellen”.
Danach funktioniert der Aufruf von https Seiten ohne Warnhinweis, da dem Zertifikat vertraut wird. Wenn man aber auf das Schloss in der Adresszeile klickt, sieht man, dass der Herausgeber des Zertifikats durch “Schule Altstaetten Proxy CA” ersetzt wurde.
Für die internen Computer ist also alles wie gewünscht umgesetzt. Ein Problem bleibt aber. Die privaten Geräte von Lehrpersonen und Schüler/-innen müssen das Zertifikat manuell auch installieren, wenn die Fehlermeldung nicht mehr kommen soll.
Sophos hat dafür die Domain fw-notify.net registriert, auf der aber nichts veröffentlicht ist. Die Sophos UTM besitzt aber diesen DNS Eintrag, der auf die UTM selber zeigt. Das Zertifikat ist so unter http://passthrough.fw-notify.net/cacert.pem erreichbar.
Da diese Seite nicht einfach zu merken ist, habe ich sie auf unserer Homepage verlinkt. Ausserdem habe ich den Hotspot so angepasst, dass man nach erfolgreicher Eingabe des Tagespassworts direkt auf diese Seite weitergeleitet wird.
Damit ist auch sichergestellt, dass alle, die unser WLAN benutzen, darauf hingewiesen wurden, dass SSL aufgebrochen wird.
Nachtrag
Das Zertifikat, das unter http://passthrough.fw-notify.net/cacert.pem erreichbar ist, kann unter Android nicht installiert werden. Daher muss für Android das Zertifikat anders abgespeichert werden. Dazu kann man das importierte Zertifikat unter Windows exportieren.
Das Zertifikat für Android muss man dann noch von .cer auf .crt umbenennen. So musste ich also zwei Zertifikate veröffentlichen, eines für Windows und iOS und ein anderes für Android.
Eine Anleitung für die verschiedenen Geräte findet sich hier.
Nachtrag 2
Der AppStore auf iPads funktioniert nach der Umstellung nicht mehr richtig. Ich habe unter “Filtering Options” –> “Exceptions” eine Ausnahme für “URL Filter” und “SSL scanning” für die Seiten von Apple und mzstatic (gehört zu Apple) erstellt. Danach funktioniert auch der AppStore wieder.
Content-Filter für SSL Seiten
Wir haben unseren Internetzugang von Swisscoms “Schulen ans Internet” Angebot auf einen lokalen Kabelnetzbetreiber gewechselt.
Damit sind wir auch selber zuständig für das vom Kanton verlangte “Web Content Screening”. Auch wenn einige Gründe gegen ein Aufbrechen des SSL Verkehrs sprechen (vgl. z.B. Blogbeitrag von Beat Döbeli), machen wir das nun auch.
- Da der Kanton dies vorgibt, ist der Spielraum sehr klein. Wenn Schüler/-innen z.B. bei der Bildersuche von Google z.B. nach pornografischen Begriffen suchen, kommen sie definitiv auf Bilder, die zu den unerwünschten Inhalten gehören, die gemeint sind.
- Auf den Computern in der Schule müssen nur Seiten aufgerufen werden, die einen schulischen Bezug haben. Wer den Personen, die Zugang zur Firewall haben, nicht traut, sollte private https Seiten nicht mehr in der Schule aufrufen.
- Viele Seiten sind immer noch unverschlüsselt, dort kann jeder, der unterwegs Zugang zu dem Datenverkehr hat, mitlesen.
- Die Daten liegen dem Serverbetreiber unverschlüsselt vor. Bei einer Google-Suche wertet Google alle gesuchten Daten aus und versucht ein Profil des Benutzers zu erstellen.
- Wenn bei einem Mailprovider ein Spamfilter auf dem Server aktiviert ist, muss dieser auch alle Mails durchsuchen, um sie als Spam zu klassifizieren.
Trotz all dieser Gründe ist und bleibt es ein Eingriff in die Privatsphäre der Benutzer. Daher erscheint mir sehr wichtig, dass die Benutzer auf diesen Umstand hingewiesen werden. Wir haben daher auf unserer Homepage ein Dokument veröffentlicht, das auch technisch nicht so versierten Benutzern erklären soll, was denn da genau passiert.
Nachtrag
Hier ist beschrieben, wie man das mit einer Sophos UTM umsetzen kann.
Netzwerk testen mit iperf
Es gibt verschiedene Tools um den Netzwerkdurchsatz zu testen. Eine Zusammenstellung einiger Tools findet man z.B. hier. Ich habe mich mal für das open-source Programm iperf entschlossen. Version 3 ist noch nicht verfügbar für Windows, daher verwende ich die Version 2, die man hier herunterladen kann.
Ein Computer muss als Server gestartet werden, der andere als Client. Der Server wird durch “iperf.exe –s” gestartet.
Mit “iperf –help” bekommt man die ganzen Parameter angezeigt, die man verändern könnte, wenn man z.B. den Server nicht mit den Standardwerten (TCP Port 5001, window size 64kb) starten möchte.
Um den Client mit den Standardwerten zu starten, kann man “iperf –c “ip-adresse des Servers”” starten und bekommt dann die Bandbreite angezeigt.
Um nun z.B. Schwankungen auf den Grund zu gehen, könnte man ein Intervall (-i) während längerer Zeit (-t) testen. Also z.B. “iperf –c 10.11.1.100 –i 1 –t 60”. In der letzten Zeile wird dann der Schnitt angezeigt.
Man kann auch parallele Zugriffe simulieren, indem man den Parameter “-P” verwendet. Auch hier wird wieder in der letzten Zeile die Zusammenfassung angezeigt.
Mit iperf können auch udp Zugriffe getestet werden. Dazu muss der Server mit –s –u gestartet werden.
Auf der Clientseite muss der Parameter –u auch angegeben werden. Standardmässig wird die Bandbreite auf 1Mbit/s begrenzt, daher habe ich auch noch den Parameter –b 1000m angegeben.
Die Ausgabe im Bild oben bedeutet nun, dass 178 MBytes mit 149Mbit/sec verschickt wurden. Der Jitter beträgt 0.914ms und es gingen 0 Pakete verloren (0/126865).
Office 365: ProPlus Benefit Self Sign-Up
Der Bezug vom kostenlosen Office Paket von Microsoft für Schüler/-innen und Angestellte von Schulen funktioniert neu über Self Sign-Up. Nachdem man als Administrator die Domänen gemeldet hat, können die Schüler/-innen einfach auf die Seite www.office.com/getoffice365 und dort ihre Mailaddresse eingeben und auf „Erste Schritte“ klicken.
Office 365: Ausführbare Anhänge blockieren
Das ist nun schon das zweite Mal, dass uns Malware per Mail erreicht.
Auch dieses Mal befindet sich die Malware in einem Zip-Archiv. Die Absenderadresse ist gefälscht und kann aber durchaus eine sein, die man kennt. Scheinbar kommen Absender und Empfänger aus einem infizierten Adressbuch, so dass die Chance gross ist, dass der Empfänger den Absender kennt und für vertrauenswürdig hält.
Wenn man das angehängte “Report.zip” (oder ähnlich) herunterlädt, handelt es sich um eine ausführbare “exe” Datei, die aber durch ein falsches Symbol (z.B. PDF) vertrauenswürdig erscheinen möchte.
Bei beiden Malen war es so, dass der Virenscanner die Datei noch nicht als Virus oder Trojaner erkennt. Auch bei diesem Mal wird die Datei auf www.virustotal.com nur von 3 aus total 57 Scannern als Malware erkannt wird.
Erfahrungen vom letzten Mal haben gezeigt, dass die gleiche Datei am nächsten Tag von allen 57 Scannern erkannt wird. Aber in dieser Zeit kann ein Befall stattfinden. Wir setzen Endpoint Protection von Microsoft ein. Um zu erreichen, dass der Scanner noch schneller angepasst wird, kann man ein “sample” an Microsoft schicken. Dazu verpackt man die Datei in ein mit dem Passwort “infected” geschütztes Archiv.
Dieses kann man über diese Seite an Microsoft zur Überprüfung senden, damit der Virenscanner möglichst schnell angepasst wird.
Eine Möglichkeit ist es, die Anwender per Mail zu informieren. Zum einen weiss ich aber, dass meine Mails oft nicht oder nicht richtig gelesen werden 
und zum anderen haben wir auch noch Schüler/-innen, die nach einer solchen Mitteilung vielleicht erst recht die Datei ausführen.
Es gibt aber nicht viele Gründe, wieso ausführbare Dateien überhaupt per Mail geschickt werden müssten. Besser ist es also, wenn man diese schon blockiert, bevor sie beim Benutzer ankommen.
Dazu wählt man im “Exchange Admin Center” –> “Nachrichtenfluss” –> “Regeln”.
Durch einen Klick auf das Plus kann man eine neue Regel erstellen.
Nun wählt man zuerst “weitere Optionen…”
Der Regel muss man einen Namen geben und dann wählt man “Mindestens eine Anlage hat ausführbaren Inhalt” und “Die Nachricht ohne Benachrichtigung anderer Benutzer löschen”. Man könnte die Nachricht auch an den Absender zurückschicken mit einer Meldung, dass wir keine angehängten ausführbaren Dateien akzeptieren. Aber bei gefälschten Absenderadressen ist das eher kontraproduktiv (am Schluss meint man noch wir seien die Virenversender).
Gemäss diversen Internetressourcen dauert es eine gewisse Zeit, bis die neue Regel aktiviert ist. Danach sollte man die Regel unbedingt mit einem Testdokument von einer externen Adresse überprüfen.
Hier findet sich ein entsprechender Blogbeitrag auf MSDN und hier auf dem Technet. Falls es zu Problemen kommt, findet man hier einen Beitrag, der allenfalls eine Lösung bietet.
Nachtrag
Schon kurze Zeit später werden Mails mit ausführbaren Anhängen korrekt gelöscht. Es wurde sogar erkannt, dass ein umbenanntes Worddokument keine ausführbare Datei ist. Ich musste eine richtige exe nehmen um zu testen…
Office 365: Änderungen an ProPlus Benefit
Bisher musste man den Lehrpersonen und Schüler/-innen die Lizenz für den ProPlus Benefit freischalten, damit sie auf privaten Geräten Office gratis installieren konnten.
Neu bietet Microsoft einen “Self Sign-Up Prozess” an. Somit muss die Schule das Ganze nicht mehr verwalten, sondern nur noch die entsprechenden Domänen melden. Den Rest übernimmt Microsoft. Nach erfolgreicher Validierung können Schüler/-innen das Officepaket unter www.office.com/getoffice365 und Lehrpersonen unter www.office.com/teachers beziehen.
Wenn man wie wir den ProPlus Benefit bereits angeboten hat, muss man ein paar Änderungen vornehmen, wenn man auf die automatisierte Lösung wechseln möchte. Man kann aber auch bei der alten Version bleiben.
Mit dem folgenden Befehl kann man überprüfen, ob der Office 365 Tenant korrekt eingerichtet ist.
Get-MsolCompanyInformation | fl allow*
Wie oben beschrieben, muss man nun also noch den Befehl verwenden, damit sich die Schüler/-innen und Mitarbeiter selbständig anmelden können.
Set-MsolCompanySettings -AllowEmailVerifiedUsers $true
Danach stimmt alles.
Office 365: Intranet mit Sharepoint
Zusammen mit Office 365 bekommt man ja neben einem Exchange- und Lyncserver auch einen Sharepointserver für die eigene Organisation in der Cloud. Sharepoint bietet sehr viele Möglichkeiten (man kann das nur schon am entsprechend langen Wikipedia Artikel ablesen). Vielleicht versuche ich später einmal, noch mehr von Sharepoint zu nutzen. Im Moment ging es aber nur darum, als totaler Anfänger einen Ersatz für unser bisheriges Intranet anzubieten.
Vereinfacht gesagt, gibt es eine hierarchische Struktur:
Webseitesammlung –> Webseite –> Webseiteinhalte
Obwohl man auf jeder Stufe Berechtigungen vergeben kann, habe ich mich nach einer kurzen Recherche dafür entschieden, für eigenständige Bereiche (z.B. das Führungshandbuch einer einzelnen Schulgemeinde) mit anderen Berechtigungen eine eigene Webseitesammlung zu eröffnen.
Dazu wählt man im “SharePoint Admin Center” –> “Websitesammlungen” und dann “Neu” –> “Private Websitesammlung”.
Im sich öffnenden Fenster muss man Titel und Namen angeben, eine Vorlage auswählen und die Zeitzone richtig setzen.
Die weitere Konfiguration nimmt man als Administrator unter Websites vor.
Man kann nun die neue Website über die Suche öffnen.
Über das Zahnrad rechts aussen kann man die Einstellungen der Website vornehmen.
Als erstes habe ich die Berechtigungen angepasst. Besucher haben Leseberechtigung, Mitglieder können die Dokumente bearbeiten oder hochladen.
Damit die Oberfläche möglichst einfach aussieht, habe ich unter Schnellstart alle Einträge gelöscht. Ziel ist es nur eine einfache Dateiablage ähnlich dem Explorer auf dem Computer anzubieten, die möglichst selbsterklärend für die Benutzer ist.
Über “Seite” –> “Seite bearbeiten” kann man den Begrüssungstext anpassen und die nicht benötigten Elemente entfernen.
Danach habe ich links unten einen neuen Webpart “Dokumente” hinzugefügt.
Standardmässig ist bei “Dokumente” eine Versionierung und die Funktion Ein- und Auschecken aktiviert, die ja sehr nützlich sein kann, wenn verschiedene Personen an den gleichen Dokumenten arbeiten. Bei uns ändern ja nur einzelne oder wenige Personen die Dokumente, die meisten haben nur Leseberechtigung. Daher sind diese Funktionen bei uns kein Mehrwert, sondern verkomplizieren nur die Handhabung.
Dazu wählt man bei “Dokumente” –> “Bibliothek” –> “Bibliothekeinstellungen” und danach “Versionsverwaltungseinstellungen”.
Hier stellt man dann ein, dass “keine Versionskontrolle” nötig und auch das “Auschecken von Dokumenten” nicht erforderlich ist.
Als letztes habe ich noch “Die heraufgestuften Websites unten verwalten” ausgewählt und die Website hochgestuft.
Wenn sich nun eine Lehrkraft am Office 365 Portal anmeldet und Websites auswählt, kommt sie auf die Ansicht oben, kann auf die gewünschte Kachel klicken und kommt auf die entsprechende Website. Dort gibt es nur die Ansicht mit den Dokumenten. Mit “Datei suchen” wird nicht nur nach dem passenden Dateinamen, sondern auch im Inhalt der Dokumente gesucht.
Also nur einen kleinsten Bruchteil der Möglichkeiten von Sharepoint benutzt, aber dafür ist alles sehr einfach in der Handhabung.
