DHCP Standartateway für PCs (Gruppe) ändern um Internetzugriff zu sperren

[DIE-Keule 10]

Hallo,

 

also ich habe ein Problem mit unserem Firmennetz.

 

Wir erstellen gerade eine neue Domäne mit einem Windos 2008 Standart Server als Domönen Controler (mit Active Direcrtory) mit DHCP - Server funktion.

 

Gegeben ist folgendes:

 

Domäne funktioniert und auch die Clients bekommen vom DHCP die IPs, Subnet,Gateway und DNS zugewiesen.

 

Einstellungen:

Netz: 192.168.120.[11-249]

Subnet: 255.255.255.0

Gateway: 192.168.120.254

DNS: 192.168.120.250

 

Wir haben hier Klassenräume und in diesen Klassenräumen ist 1 Lehrer Rechner mit 2 Netzkarten und 16 Schülerrechner. Als wir noch kein DHCP verwendet hatten (ergo alle IPs selbs vergen) haben wir den Schülerrechnern mittels Gateway auf die 2.Netzkarte des Lehrerrechners das Internet freigegeben bzw. wenn die Netzkarte deaktiviert war gesperrt.

 

Problem:

Da jetzt ALLE PCs den Gateway vom DHCP bekommen ist es nichtmehr möglich per Lehrerrechner den Internetzugriff zu sperren. WICHTIG ist noch das die Schülerrechner ins LAN kommen müssen da sie Server basierende Anwendungen ausführen müssen also kann ich nicht einfach den Switch ausschalten oder sonstiges.

 

Frage:

Gibt es eine möglichkeit den Standartgateway mittels Gruppenrichtlinie oder sonstiges zu verändern/setzen?

 

Habe die Schülerrechner in eine Gruppe gesteckt

 

(Active Directory Gruppe "Raum 102")

 

und nachgelesen aber leider nichts in den Richtlinien gefunden ausser das man den DNS Server setzen kann....

 

oder gibt es da eine "einfachere" Lösung?

 

Wäre sehr schön wenn mir einer on Euch helfen könnte ... leider habe ich auch keine Lösung mittels Forum-SuFu gefunden.

 

Gruß

DIE-Keule :D

[IThome 10]

Wenn ich das richtig verstanden habe, existiert pro Klasse ein Lehrerrechner, der irgendwie routet. Die Clients der verschiedenen Klassen haben dann den jeweiligen Lehrerrechner als Default Gateway (manuell) eingetragen. Jetzt bekommen sie alle ein Default Gateway und das alles klappt nicht mehr.

Man kann via Computerstartskript auch computergruppenabhängig verschiedene Gateways setzen lassen.

Modify the Gateways for a Network Adapter

Ich frage mich allerdings, warum das nicht mit einer vernünftigen Appliance oder einem Proxyserver z.B. geregelt wird. Poste bitte mal IPCONFIG /ALL des alten Zustandes und IPCONFIG /ALL mit DHCP eines der Clients ...

[DIE-Keule 10]

Windows-IP-Konfiguration

Hostname. . . . . . . . . . . . . : RECHNER

Primäres DNS-Suffix . . . . . . . : BLUBB.de

Knotentyp . . . . . . . . . . . . : Hybrid

IP-Routing aktiviert. . . . . . . : Nein

WINS-Proxy aktiviert. . . . . . . : Nein

DNS-Suffixsuchliste . . . . . . . : BLUBB.de

 

Ethernetadapter LAN-Verbindung:

 

Verbindungsspezifisches DNS-Suffix: BLUBB.de

Beschreibung. . . . . . . . . . . : Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC

Physikalische Adresse . . . . . . : XX-XX-XX-XX-XX-XX

DHCP aktiviert. . . . . . . . . . : Ja

Autokonfiguration aktiviert . . . : Ja

IP-Adresse. . . . . . . . . . . . : 192.168.120.230

Subnetzmaske. . . . . . . . . . . : 255.255.255.0

Standardgateway . . . . . . . . . : 192.168.120.254

DHCP-Server . . . . . . . . . . . : 192.168.120.250

DNS-Server. . . . . . . . . . . . : 192.168.120.250

Primärer WINS-Server. . . . . . . : 192.168.120.250

Lease erhalten. . . . . . . . . . : Dienstag, 28. April 2009 08:00:46

Lease läuft ab. . . . . . . . . . : Freitag, 29. Mai 2009 08:00:46

 

 

Microsoft Windows XP [Version 5.1.2600]

 

Windows-IP-Konfiguration

Hostname. . . . . . . . . . . . . : RECHNER

Primäres DNS-Suffix . . . . . . . : BLUBB-alt.de

Knotentyp . . . . . . . . . . . . : Unbekannt

IP-Routing aktiviert. . . . . . . : Nein

WINS-Proxy aktiviert. . . . . . . : Nein

DNS-Suffixsuchliste . . . . . . . : BLUBB-alt.de

 

Ethernetadapter LAN-Verbindung:

 

Verbindungsspezifisches DNS-Suffix:

Beschreibung. . . . . . . . . . . : NVIDIA nForce 10/100 Mbps Networking Controller

Physikalische Adresse . . . . . . : XX-XX-XX-XX-XX-XX

DHCP aktiviert. . . . . . . . . . : Nein

IP-Adresse. . . . . . . . . . . . : 192.168.120.179

Subnetzmaske. . . . . . . . . . . : 255.255.255.0

Standardgateway . . . . . . . . . : 192.168.120.230

DNS-Server. . . . . . . . . . . . : 192.168.120.253

 

Microsoft Windows XP [Version 5.1.2600]

 

 

 

 

Du sieht das richtig! Der Lehrer PCs ist bzw. war der Router (Internet/LAN) für die 16 Schüler PCs in der alten Domäne (Gateway der Schüler PCs = IP der 2. Netzwerkkarte des Lehrer PCs).

 

Es ist halt relativ wichtig das es über die 2. Netzkarte des Lehrer PCs funktioniert, da dort auch Dozenten dran sitzen die zwar den PC bedienen können aber mehr auch nicht! Somit hatten wir eine Verknüpfung auf den Desktop zu der LAN-Verbindung eingerichtet die, die Dozenten nur aktivieren bzw. deaktivieren mussten um den unaufmerksamen Schülern =) den Zugang zum Internet zu sperren.

 

Ich werde das mit dem Skript mal probieren obwoh ich ja gedacht habe das es vllt eine Möglichkeit gibt bei der ich weis was ich mache ^^ Skripe sind nicht so mein Fall.

 

Sehr schnelle und kompetente Antwort, danke!!!

[djmaker 95]

Es gibt etliche freie Proxy-Server die genau die Funktion erfüllen. Da sollte auch etwas für Dich dabei sein.

[lefg 276]

Hallo,

 

man kann da natürlich selbst basteln mit dem Gateway oder einen Proxyserver verwenden für den Internetzugang, versucht man meist bei fehlenden Haushaltsmitteln. In Schulungsräumen gibt es aber noch andere Bedürfnisse für Dozenten wie Sperren der Bildschirme, Übertragen des Lehrerbildchirms an die Schülerplätze, übertragen aller oder eines Schülerplatzes an den Lehrer oder den Projektor, didaktische Funktionen wie Zeiger.

 

Für Schulungsräume sind deshalb professionelle Lösungen zu empfehlen: Mastereye, NetSupport School, NetOp School.

 

Das Sperren des Internetzuganges geschieht da sozusagen nebenbei, ist ein Merkmal von vielen. Ich verwende NetOp School, der Dozent klickt auf einen Button und das Internet ist weg für den Klassenraum, fertig ist die Laube. Man schaue sich die Merkmale der einzelnen Produkte genau an und vergleiche und diskutiere diese! Sehr sinnvoll ist scheinbar nebensächliches wie das Abschalten der Druckfunktion oder das Löschen von Druckjobs. Es ist sehr störend, falls während eines Vortrages oder einer Demonstration plötzlich der Drucker beginnt zu arbeiten, möglicherweise quietscht der auch noch.

 

Vor Jahren hatte ich mal Kontakt mit einer Firma, die stellte ein komplexes Produkt namens INES her, leider kann ich die nicht mehr finden. Mit INES war es u.a. möglich einen neuen Kurs aufzunehmen, Teste zu verteilen, einzusammeln und so einiges mehr. Ich war damals tätig für die Grone in Hamburg, wir hatten das da an fünf Klassenräumen implementiert.

 

Gruß

 

Edgar

[rep 10]

Hallo,

 

ich kenne das Problem auch. In der Schule dort machen andere Dienstleister das auch eher komisch. Es wird eine IP-Adresse (die des Proxy) und das Standardgateway verbogen, und dann eine Statische Route für die Server gesetzt.

 

Also ein Netz für Schulenweite Server (inkl Proxy ISA2004) und jeder Klassenraum / Tackt / Gebäude ein Subnetz. Jeder PC hat nun eine Statische Route für die Server, und ein Standardgateway. Die Statische Route ist da, damit man, wenn man das Gateway verbiegt noch alles andere machen kann. Historisch gewachsen :-).

Ebenso wird die einzelne IP-Adresse per routen unerreichbar gemacht.

 

Ist alles unschön. Aber da gibt es einen ISA für die ganze Schule. Es wird also nicht der Lehrer PC selbst zum Routen oder als Gateway verwendet. Der Hauptrouter (cisco mit vlans) und der ISA sind nicht so leicht von jetzt auf gleich per Skript anzupassen (wäre aber schön wenn das Ginge).

 

Die kommunikation läuft per Daemon. Es ist also auf einem SchülerPC ein Daemon drauf der mit dem Server Kommuniziert, die LehrerPCs haben eine Steuersoftware. So kann man Skripts am SchülerPC "live" ausführen und die Routen setzen. (Die Software ist gar nicht so schlecht, und macht noch mehr, der Weg ist also da und bleibt)

 

Allerdings würde ich auch lieber den ISA direkt ansprechen und auf IP/Computeraccount/Benutzereben das Internet sperren wollen. Oder alternativ per NetOp. Wie könnte man den ISA denn ansprechen und sagen Benutzer XY ab sofort nicht mehr ins Internet lassen. Geht das im ADS, direkt im ISA, oder geht das "gar nicht".

 

Wie geht das denn per NetOP, die Schule nutzt das für einige wenige Dinge, wußte gar nicht das man da auch so was machen kann. Version 3-5 sind glaub ich noch in Betrieb. Geht das "nur" wenn der LehrerPC auch Router ist?

 

Danke für die Hinweise.

Vielleicht können wir ja ne Lösung finden die für alle gut Funktioniert. Ich würde sonst in dem Konkreten fall einen Squid auf Windows (LehrerPC) empfehlen.

Aber wenn der Lehrer Admin auf den PCs der Schüler ist, sollte man mit netsh doch auch die Gateways setzen können. Skripts hin oder her, wenn man es Gut Dokumentiert und erklärt, dann brauchst du kein Fachmamnn sein um zu befreifen was es macht ;) Und auch die Lehrer nicht.

 

Gruß