Changes between Initial Version and Version 1 of AdminClientAufsetzen

Timestamp:

Apr 29, 2016, 3:32:45 PM (11 years ago)

Author:

Rüdiger Kupper

Comment:

--

AdminClientAufsetzen

@@ +1 @@
+[[PageOutline]]
+
+= Aufsetzen eines Linuxmuster-Clients from scratch
+
+Hier werden Hinweise beschrieben, wie man einen völlig neuen Linuxmuster-Client im pädagogischen Netzwerk des Kepler-Gymnasiums aufsetzen kann. In der Regel wird man das nicht durchführen, sondern auf ein bestehendes Image aufbauen. Es kann jedoch Situationen geben, in denen ein frisches Image gewünscht wird.
+
+
+
+
+----- ab hier unbearbeitet ------
+
+
+
+
+== Edubuntu installieren
+
+- Ein aktuelles Edubuntu-Installations-ISO herunterladen und in das virtuelle DVD-Laufwerk der VM einhängen
+- VM starten
+- Sprache "Deutsch" auswählen
+- ("Aktualisierungen herunterladen" lässt sich manges Proxy nicht auswählen, das machen wir später!)
+- "Lizensierte Inhalte installieren" auswählen
+- "LTSP installieren" auswählen und alle Pakete wähjlen
+- Bei der Partitionswahl "etwas anderes" auswählen, dann wählen:
+  - `/dev/vda1` als `/`
+  - `/dev/vdb1` als Swap 
+- Nutzer "linadmin" mit dem zugehörigen Passwort
+
+Die Installation dauert nur wenige Minuten :-).
+
+- Installations-DVD aus dem virtuellen DVD-Laufwerk entfernen und den neuen Server booten.
+
+== Grundkonfiguration
+
+=== Netzwerk einrichten
+
+- über das VNC-Interface als lindamin einloggen
+- die Auflösung und die Desktop-Dimensionen sind derzeit irrelevant.
+- mittels `sudo -sH` root werden
+- Unser neuer Server benötigt zuerst eine feste IP-Adresse im Kepler-Netzwerk.
+  Hinweis:: Falls das terminal nicht lesbar ist (Proxmox-VNC-Problem), statt `editor` einfach `gedit` verwenden.
+  {{{
+  # editor /etc/network/interfaces 
+  }}}
+  - Anpassen nach dem folgende Schema:
+    Im Schülernetz::
+    {{{
+# The loopback network interface
+auto lo
+iface lo inet loopback
+
+# The primary network interface
+auto eth0
+#iface eth0 inet dhcp
+iface eth0 inet static
+        dns-nameservers 10.32.1.251
+        dns-search kg-fds.de
+        address 10.32.2.<ServerNummer>
+        netmask 255.240.0.0
+        gateway 10.32.1.254
+    }}}
+    Im Lehrernetz::
+    {{{
+# The loopback network interface
+auto lo
+iface lo inet loopback
+
+# The primary network interface
+auto eth0
+#iface eth0 inet dhcp
+iface eth0 inet static
+        dns-nameservers 10.16.112.2
+        dns-search kg-fds.de
+        address 10.16.112.<IP>
+        netmask 255.255.254.0
+        gateway 10.16.112.1
+
+# Die beiden folgenden Einträge erlauben den direkten Zugriff auf die
+#  Schülernetzserver aus dem Lehrernetz heraus:
+        post-up route add -net 10.32.0.0 netmask 255.240.0.0 gw 10.16.112.8
+        post-down route del -net 10.32.0.0 netmask 255.240.0.0 gw 10.16.112.8
+    }}}
+
+
+ Die beiden letzten Einträge in der `interfaces`-Datei im Lehrernetz erlauben es, sich vom Lehrernetz direkt auf den Servern im Schülernetz einzuloggen: Über den proxmoxs.kg-fds.de (10.16.112.8) wird ein Routing vom grauen (Lehrer-) Netz ins grüne (Schüler-) Netz realisiert. Wenn man auf den ltspl-Servern eine Route für 10.32.0.0/12 einrichtet, kann man sich mit ssh ltsp[1..7] (wird vom shcp/dns aufgelöst) auf die ltsp-Server im Schülernetz einloggen. 
+
+
+
+  - Server neu booten
+
+Ab jetzt ist unser neuer Server im Kepler-Netzwerk (und im VPN) unter `ssh linadmin@10.32.2.<ServerNummer>` erreichbar und hat Verbindung zum Internet.
+(Das ssh-Paket wurde mit dem LTSP-Paket bereits installiert.)
+
+Natürlich soll unser neuer Server im Netzwerk auch einen Namen haben, daher
+||=Im Schülernetz=||=Im Lehrernetz||
+||In `paedml:/etc/hosts` einen Eintrag für "ltsp<ServerNummer>" eintragen und den dnsmasq neu starten.||Steht der neue Server im Lehrernetz, so gehört der Eintrag auf den Rechner `dhcp` (10.16.112.2): `dhcp:/etc/hosts`.||
+- Dann den dnsmasq neu starten.
+
+=== Proxies setzen
+
+- Wir loggen uns per `ssh linadmin@ltsp<ServerNummer>` ein.
+- Wir werden root mittels `sudo -sH`
+- Wir starten am besten eine screen-Session mit `screen -RR <sessionname>`.
+
+==== Systemweiter Proxy
+
+ Im Schülernetz::
+ Hier gibt es zwei Proxys, einen (kontrollierten) für Schüler und einen (transparenten) für Lehrer. Das beste, was man tun kann, ist, den Schülerproxy systemweit zu setzen. (Die Lehrer können später ihren Proxy individuell auf den Lehrerproxy (10.32.1.250:3128) konfigurieren.):
+ {{{
+ # echo >> /etc/environment http_proxy=http://10.32.1.251:3128/
+ # echo >> /etc/environment https_proxy=https://10.32.1.251:3128/
+ # echo >> /etc/environment ftp_proxy=ftp://10.32.1.251:3128/
+ }}}
+
+ Im Lehrernetz::
+ Hier gilt generell der BelWü-Proxy:
+ {{{
+ # echo >> /etc/environment http_proxy=http://129.143.4.2:8080/
+ # echo >> /etc/environment https_proxy=https://129.143.4.2:8080/
+ # echo >> /etc/environment ftp_proxy=ftp://129.143.4.2:8080/
+ }}}
+
+Für beide Netze habe ich nun den DNS-Eintrag proxy.kg-fds.de auf dem lokalen DNS eingetragen, im Schülernetz wird dieser aufgelöst zu 10.32.1.251 im Lehrernetz zu 129.143.4.2, jeweils Port 8080 - Standardport ist auch auf dem Schülernetzproxy 3128 ODER 8080). Damit ist eine Standard-Config für beide Netze möglich:
+
+{{{
+ # echo >> /etc/environment http_proxy=http://proxy.kg-fds.de:8080/
+ # echo >> /etc/environment https_proxy=https://proxy.kg-fds.de:8080/
+ # echo >> /etc/environment ftp_proxy=ftp://proxy.kg-fds.de:8080/
+}}}
+
+
+==== APT-Proxy
+
+Um unüberwachte Updates zu ermöglichen, muss außerdem APT einen durchlässigen Proxy konnen. Im Lehrernetz ist das ebenso der BelWü-Proxy, im Schülernetz haben wir hierfür einen speziellen APT-Proxy:
+ 
+ Im Schülernetz::
+ {{{
+ # echo >> /etc/apt/apt.conf 'Acquire::http::Proxy "http://10.32.1.253:3128";'
+ }}}
+
+ Im Lehrernetz::
+ Hier gilt generell der BelWü-Proxy:
+ {{{
+ # echo >> /etc/apt/apt.conf 'Acquire::http::proxy "http://129.143.4.2:8080";'
+ }}}
+
+Für beide Netze habe ich nun den DNS-Eintrag proxysw.kg-fds.de auf dem lokalen DNS eingetragen, im Schülernetz wird dieser aufgelöst zu 10.32.1.253 im Lehrernetz zu 129.143.4.2, jeweils Port 8080 - Standardport ist auch auf dem Schülernetzproxy 3128 ODER 8080). Damit ist eine Standard-Config für beide Netze möglich:
+
+{{{
+ # echo >> /etc/apt/apt.conf 'Acquire::http::proxy "http://proxysw.kg-fds.de:8080";'
+}}}
+
+
+
+=== SSH-Zugang einrichten
+
+- Pakete auf den neusten Stand bringen:
+  {{{
+  # apt-get update
+  # apt-get dist-upgrade
+  }}}
+- Bevor wir irgend etwas weiteres beginnen, installieren wir einen Editor :-) :
+  {{{
+  # apt-get install emacs
+  }}}
+==== Root-Login ermöglichen
+  {{{
+  # passwd
+  }}}
+  - Den SSH-Schlüssel von `root@LTSP`, sowie die `known hosts` und `authorized_keys` von einem existierenden LtspServer auf unseren neuen Server schieben (Hinweis: seit 14.04 ist der root-Login defaultmäßig verboten, daher müssen wir im linadmin-Account zwischenspeichern):
+ Im Schülernetz::
+  - auf einem laufenden LtspServer als root einloggen, dort:
+  {{{
+  # rsync -a .ssh/ linadmin@ltsp<ServerNummer>:.ssh-root
+  }}}
+  - dann auf dem neuen Server als linadmin einloggen:
+  {{{
+  # sudo mv .ssh-root/ /root/.ssh
+  # sudo chown --recursive root:root /root/.ssh
+  }}}
+ Im Lehrernetz:: (wie oben, aber auf paedml zwischenspeichern)
+
+Ab jetzt können sich kup, bau, root@paedml und root@LTSP mit ihren SSH-Schlüsseln einloggen.
+
+==== (Den Passwort-Login für Root unterbinden)
+ Hinweis:: Der folgende Punkt ist ab 14.04 nicht mehr nötig, da default!
+    {{{
+  # emacs -nw /etc/ssh/sshd_config
+  # service ssh force-reload
+  }}}
+  Option "`PermitRootLogin without-password`" setzen.
+
+
+=== Filesysteme beim Boot automatisch reparieren
+In `/etc/default/rcS` ändern:
+{{{
+FSCKFIX=yes
+}}}
+
+=== Niemals am GRUB-Bootschirm warten
+- In `/etc/default/grub` einfügen:
+{{{
+# This is a headless server. We never want it to wait for user input:
+GRUB_RECORDFAIL_TIMEOUT=60
+}}}
+-  dann `update-grub` ausführen
+
+
+An dieser Stelle bietet sich ein Backup der VM an.
+
+
+
+
+== Zugriff auf den paedml
+
+=== Interne Firewall
+
+ Im Schülernetz (im Lehrernetz nicht nötig)::
+
+Damit der neue Server über alle Ports auf den paedml zugreifen darf (für LDAP, NFS, etc), muss dafür ein Eintrag in der Konfiguration der "internen Firewall" der Linuxmusterlösung eingefügt werden. (Siehe auch PaedmlAnpassungen.)
+
+In `paedml:/etc/init.d/linuxmuster-base`:
+{{{
+iptables -A IN-eth1-ALLOWED -s 10.32.2.<ServerNummer>/32 -j ACCEPT
+}}}
+
+=== NFS-Anbindung
+
+Die Anbindung an verschiedene Serververzeichnisse geschieht bei uns momentan nur noch über CIFS. Das Setup ist aber noch immer im Fluss, siehe u.a. #1213, #1192.
+
+Momentan wird //gar kein Verzeichnis// über NFS gemountet (sondern "just in Time" beim Login per `pam_mount` über CIFS (s.u.). ** Es sind daher derzeit keine Eintragungen in `/etc/fstab` nötig! **
+
+- (In `/etc/fstab` hinzufügen (Hinweis: die `noauto` EInträge sind ein Workaround und können möglicherweise inzwischen entfallen, siehe #856):)
+{{{
+# Home ueber NFS:
+#10.32.1.1:/nfsexport/home/students  /home/students               nfs    _netdev,bg,noauto             0       0
+#10.32.1.1:/nfsexport/home/teachers  /home/teachers               nfs    _netdev,bg,noauto             0       0
+10.32.1.1:/nfsexport/home/share     /home/share                  nfs    _netdev,bg,noauto             0       0
+10.32.1.1:/nfsexport/tasks          /var/cache/sophomorix/tasks  nfs    _netdev,bg,noauto             0       0
+10.32.1.1:/nfsexport/home/ftp/Scans /home/ftp/Scans              nfs    _netdev,bg,noauto             0       0
+10.32.1.1:/nfsexport/home/cds       /home/cds                    nfs    _netdev,bg,noauto      0       0
+}}}
+- (Verzeichnisse anlegen, richtige Besitzrechte einstellen und mounten)
+{{{
+# mkdir -p /home/{students,teachers,share,ftp/Scans,cds} /var/cache/sophomorix/tasks
+# chgrp teachers /home/teachers
+# chmod o-r /home/teachers
+# apt-get install nfs-common
+# mount -a
+}}}
+
+
+
+=== LDAP-Anbindung
+
+==== 1. Option: linuxmuster.net-Paket
+Die einfachste Möglichkeit, die LDAP-Anbindung an den Linuxmuster.net-Server (paedml) einzurichten, wäre sicherlich, das entsprechende linuxmuster.net-Paket zu installieren (`linuxmuster-client-auth`). Die Pakete gibt es aber nur für die LTS-Versionen von Ubuntu. Befinden wir uns auf einer nicht-LTS-Version, müssen wir die Anbindung von Hand vornehmen.
+
+==== 2. Option: LDAP manuell konfigurieren
+
+- LDAP-Client-Pakete und Name Server Caching Daemon installieren
+  {{{
+  # apt-get install ldap-auth-client nscd
+  }}}
+|| ||=Im Schülernetz=||=Im Lehrernetz=||=In beiden Netzen=||
+||=Server=|| `ldaps://10.32.1.1/` || `ldaps://10.16.112.4/` || `ldaps://paedml.kg-fds.de/`||
+||=Distinguished name=|||||| `dc=kg-fds,dc=de` ||
+||=LDAP-Version=|||||| 3 ||
+||=Make local root Database admin=|||||| ja ||
+||=LDAP-Login nötig=|||||| nein ||
+||=LDAP account for root=|||||| cn=admin,dc=kg-fds,dc=de ||
+||=LDAP-Root-Passwort=|||||| (siehe `paedml:/etc/ldap/slapd.conf`) ||
+
+- Wir verwenden innherhalb des Kepler-Netzwerkes keine Zertifikate für SSL-Verbindungen.\\
+  Daher in `/etc/ldap.conf` ändern:
+  {{{
+  tls_checkpeer no
+  }}}
+- Nun dem [wikipedia:"Name Service Switch"] sagen, dass er die Nutzerinformationen über LDAP beziehen soll:\\
+  In `/etc/nsswitch.conf` ändern:
+  {{{
+  passwd:         compat ldap
+  group:          compat ldap
+  shadow:         compat ldap
+  }}}
+
+Ab jetzt könnten sich Nutzer des Kepler-Netzwerkes mit ihrem Nutzernamen und Passwort einloggen -- wenn sie ein Homeverzeichnis hätten. Sofern die Homeverzeichnisse nicht komplett über NFS gemountet werden, wird hierzu der Service `pam_mount` verwendet, der die Homeverzeichnisse //just in time// anlegt und mountet.
+
+
+==== Userspace-LDAP-Unterstützung
+
+Außer für die Authentifizierung wollen wir auch LDAP-Anfragen an den paedml schicken, um z.B. Nutzernamen etc. abzufragen (viele unserer Skripte nutzen das). Hierfür werden die folgenden Pakete benötigt:
+{{{
+# apt-get install ldap-utils
+}}}
+Die Userspace-LDAP-Tools benutzen ein anderes Konfigurationsfile, als die Authentifizierungstools. In `/etc/ldap/ldap.conf` eintragen:
+ Im Schülernetz::
+ {{{
+ BASE    dc=kg-fds,dc=de
+ URI     ldaps://10.32.1.1/
+ TLS_REQCERT never
+ 
+ bind_policy soft
+ }}}
+ Im Lehrernetz::
+ {{{
+ BASE    dc=kg-fds,dc=de
+ URI     ldaps://10.16.112.4/
+ TLS_REQCERT never 
+ 
+ bind_policy soft
+ }}}
+
+ In beiden Netzen:
+ {{{
+ BASE    dc=kg-fds,dc=de
+ URI     ldaps://paedml.kg-fds.de/
+ TLS_REQCERT never 
+ 
+ bind_policy soft
+ }}}
+
+=== pam_mount konfigurieren (CIFS-Anbindung)
+
+Dieser Schritt wird nur benötigt, wenn die Homeverzeichnisse (wie bei der Linuxmuster.net üblich) //just in time// über CIFS gemountet werden. Die Sache ist noch immer in der Testphase.
+{{{
+# apt-get install libpam-mount cifs-utils
+}}}
+In `/etc/security/pam_mount.conf.xml` ändern/hinzufügen:
+{{{
+  <!-- Volume definitions -->  
+  <volume options="rw,nosuid,nodev,iocharset=utf8,nobrl" mountpoint="~" path="%(USER)" server="paedml" fstype="cifs" >
+      <not>
+        <uid>0-5000</uid>
+      </not>
+  </volume>
+  }}}
+
+Nach einem Reboot können sich Nutzer des Kepler-Netzwerkes mit Nutzername und Passwort einloggen und sehen ihr Homeverzeichnis.
+
+
+== LightDM konfigurieren
+
+LightDM-Optionen setzen. Z.B. muss die Eingabe eines Benutzernamens erlaubt werden. Die Gast-Sitzung sollte deaktiviert sein. Hier kann auch die voreingestellte Sitzung gewählt werden:
+
+In `/etc/lightdm/lightdm.conf`:
+  {{{
+  [SeatDefaults]
+  user-session=gnome-flashback
+  greeter-hide-users=false
+  greeter-show-manual-login=true
+  greeter-allow-guest=false
+  }}}
+
+Um Zugriff per XDMCP zu aktivieren (derzeit noch experimentell) außerdem:
+  {{{  
+  [XDMCPServer]
+  enabled=true
+  }}}
+- dann
+  {{{
+  # restart lightdm
+  }}}
+
+
+== Software
+
+Einige zusätzliche Software muss installiert und konfiguriert werden.
+
+=== Nur 14.04: Synapse aus den Saucy-Quellen
+
+Aufgrund veralteter Abhängigkeiten, ist der synapse-Launcher aus dem Debia-Repository herausgeflogen, und damit auch aus den Ubuntu-Quellen. Es gibt keinen technischen Defekt, die Entwickler haben einfach versäumt, ihre Abhängigkeiten zu aktualisieren. Solange das Paket in den Trusty-Quellen nicht verfügbar ist, kann das Paket aus den Saucy-Quellen verwendet werden.
+
+Dazu werden die Saucy-Paketquellen eingetragen:
+{{{
+# cat > /etc/apt/sources.list.d/saucy.list <<EOF
+deb http://de.archive.ubuntu.com/ubuntu/ saucy main restricted
+deb-src http://de.archive.ubuntu.com/ubuntu/ saucy main restricted
+
+deb http://de.archive.ubuntu.com/ubuntu/ saucy-updates main restricted
+deb-src http://de.archive.ubuntu.com/ubuntu/ saucy-updates main restricted
+
+deb http://de.archive.ubuntu.com/ubuntu/ saucy universe
+deb-src http://de.archive.ubuntu.com/ubuntu/ saucy universe
+deb http://de.archive.ubuntu.com/ubuntu/ saucy-updates universe
+deb-src http://de.archive.ubuntu.com/ubuntu/ saucy-updates universe
+
+deb http://de.archive.ubuntu.com/ubuntu/ saucy multiverse
+deb-src http://de.archive.ubuntu.com/ubuntu/ saucy multiverse
+deb http://de.archive.ubuntu.com/ubuntu/ saucy-updates multiverse
+deb-src http://de.archive.ubuntu.com/ubuntu/ saucy-updates multiverse
+
+deb http://de.archive.ubuntu.com/ubuntu/ saucy-backports main restricted universe multiverse
+deb-src http://de.archive.ubuntu.com/ubuntu/ saucy-backports main restricted universe multiverse
+
+deb http://security.ubuntu.com/ubuntu saucy-security main restricted
+deb-src http://security.ubuntu.com/ubuntu saucy-security main restricted
+deb http://security.ubuntu.com/ubuntu saucy-security universe
+deb-src http://security.ubuntu.com/ubuntu saucy-security universe
+deb http://security.ubuntu.com/ubuntu saucy-security multiverse
+deb-src http://security.ubuntu.com/ubuntu saucy-security multiverse
+EOF
+}}}
+Anschließend werden Pakete, die in den Trusty-Quellen nicht existieren, aus den Saucy-Quellen genommen. Daher wird synapse wie weiter unten beschrieben, dann aus den Saucy-Quellen geholt. Sollte später eine neuere Version in Trusty auftauchen, hat diese automatisch Priorität.
+
+
+=== Plank
+Dazu muss derzeit noch [http://wiki.go-docky.com/index.php?title=Plank:Installing#Packages ein PPA aktiviert werden]:
+
+ Im Schülernetz::
+ {{{
+ export http_proxy=http://10.32.1.253:3128
+ export https_proxy=https://10.32.1.253:3128
+ }}}
+ Im Lehrernetz::
+ {{{
+ export http_proxy=http://129.143.2.4:8080
+ export https_proxy=https://129.143.2.4:8080
+ }}}
+dann:
+{{{
+# add-apt-repository ppa:ricotz/docky # <- is not a typo
+# apt-get update
+# apt-get install plank
+# cp /usr/share/applications/plank.desktop /etc/xdg/autostart/
+# ### das folgende scheint unter 14.04 nicht mehr zu klappen (startet nie!)
+# ###echo "OnlyShowIn=GNOME;" >> /etc/xdg/autostart/plank.desktop
+}}}
+Konfiguration in `~/.config/plank/dock1/settings`.
+
+
+=== Weitere Software:
+  {{{
+  # apt-get install aptitude apt-listchanges debfoster dconf-editor subversion finger enigmail {thunderbird,firefox}-locale-de libreoffice-l10n-de libreoffice-help-de fonts-crosextra-caladea fonts-crosextra-carlito geogebra nautilus-dropbox synapse virtualbox remmina-plugin-xdmcp vlc texlive texlive-latex-extra texlive-lang-{german,french,english,spanish} auctex gedit-latex-plugin texmaker ubuntu-restricted-extras mesa-utils audacity stellarium wine pptview hamster-indicator ardesia xournal xaralx mypaint krita codeblocks pingus hedgewars gnome-activity-journal freemind kdenlive pitivi gnome-clocks
+  }}}
+
+=== Dropbox-Daemon manuell installieren
+Normalerweise lädt Dropbox beim ersten Start (oder durch den AUfruf `dropbox start -i`) den Dropbox-Daemon automatisch herunter. Das funktioniert derzeit hinter Firewalls offenbar nicht. So installiert man den Daemon manuell:
+
+ Hinweis:: Der Daemon startet dennoch nicht, Grund unbekannt. Derzeitige Lösung: Das Verzeichnis `/var/lib/dropbox/.dropbox-dist` per rsync von einem funktionierenden Server kopieren.
+
+{{{
+# cd /var/lib/dropbox/
+# wget -O - "https://www.dropbox.com/download?plat=lnx.x86_64" | tar --no-same-owner -xzf -
+}}}
+Ev. muss zuvor die `http(s)`-Umgebungsvariable mit Nutzer und Passwort gesetzt werden.
+
+Das lädt den Daemon herunter und packt ihn in das Verzeichnis `.dropbox-dist` aus. Danach kann man Dropbox verwenden.
+
+=== Evernote-Client installieren
+Siehe ticket:1761.
+
+
+=== Google Earth
+GE gibt es nicht in den Ubuntu-Paketquellen (logisch). Es gibt aber ein Paket, dass die Installationsdatei von Google herunterlädt und ein *.deb-Paket daraus baut:
+{{{
+# apt install googleearth-package
+}}}
+- Dann die `http_proxy`-Variable setzen (am besten auf den Lehrerproxy)
+- Dann `make-googleearth-package --force --ceanup` aufrufen.
+- Abhängigkeiten von Hand installieren und dann googleearth-Paket installieren:
+{{{
+# apt install lsb-core libfreeimage3
+# dpkg -i <angegebener-Paketname>
+}}}
+
+=== Backports der neueren Gnome-Session aktivieren
+
+ Hinweis:: Dieser Vorgang wird hoffentlich mit einer späteren Ubuntu-Version überflüssig, die neuere Versionen von Gnome-Session enthält. Derzeit (Trusty 14.04 LTS) ist er noch nötig!
+
+Bisher arbeiteten unsere Clients noch nie mit aktivierter Grafikbeschleunigung, die war stets durch einen entprechenden Eintrag in der lts.conf deaktiviert. Ab Saucy funktionierte nicht einmal der Start der Gnome-Session mit aktivierter Beschleunigung (endlos drehendes Cursor-Rad). Nach langem suchen habe ich endlich jemanden gefunden, der das Problem ebenfalls beschreibt, siehe #1514 bzw. launchpad:1251281.
+
+Wir wollen aus diesem PPA nur auf spezielle Anfrage Pakete erhalten:
+{{{
+# sudo add-apt-repository ppa:eugenesan/ppa
+# apt-get update
+# apt-get dist-upgrade
+}}}
+
+
+=== Nur vorübergehend: Logout-Workaround
+
+ Hinweis:: Diese Prozedur wird hoffentlich bald nicht mehr nötig sein:
+
+Die eben beschriebenen Backports bringen einen weiteren Bug mit ins Boot: Der Logout von der Gnome-Session über den normalen Logout-Knopf funktioniert derzeit nicht. Ich habe einen kleinen Logout-Starter geschrieben, das das Problem umgeht:
+
+{{{
+# cd /root
+# svn update LTSP-setup
+#  cp LTSP-setup/logout-workaround.desktop /usr/share/applications/
+}}}
+
+Dieser Starter sollte in die Plank-Leiste gelegt werden bzw. ins Gnome-Panel oder auf den Desktop.
+
+
+
+== Hintergrundbild
+
+Das Default-Hintergrundbild, das mit Edubuntu kommt ändern:
+{{{
+# cd /usr/share/backgrounds
+# rm edubuntu_default.{png,jpg}
+# ln -s <hintergrundbild.jpg> edubuntu_default.png
+# ln -s <hintergrundbild.jpg> edubuntu_default.jpg
+}}}
+Achtung, die Hintergründe werden seit einiger Zeit in den Homes der Nutzer gecached. Der Cache muss gelöscht werden, sonst wird das Bild aus dem Cache genommen. Dazu wird am besten **auf dem paedml** ausgeführt (Achtung, Vorsicht walten lassen):
+{{{
+paedml# for h in $(teacherhomes) $(studenthomes) ; do rm -r $h/.cache/wallpaper/ ; done
+}}}
+Damit sollten alle Nutzer, die kein spezielles Bild ausgewählt hatten, das Salamanderbild erhalten.
+
+
+== Vorgaben für Gnome-Settings (dconf) einrichten
+
+ Hinweis:: Derzeit wir der logout-Workaround als Logout-Knopf verwendet. Wenn irgendwann der eingebaute Logout-Knopf wieder funktioniert, kann wieder dieser verwendet werden (siehe auskommentierte Teile).
+
+- User-Datenbank einrichten und erzeugen:
+  {{{
+  # cat > /etc/dconf/profile/user <<EOF
+  user-db:user
+  system-db:site
+  EOF
+  }}}
+  {{{
+  # mkdir /etc/dconf/db/site.d
+  # cat > /etc/dconf/db/site.d/00_site_settings <<EOF
+[org/gnome/metacity]
+compositing-manager=true
+
+[com/ubuntu/update-notifier]
+auto-launch=false
+hide-reboot-notification=true
+no-show-notifications=true
+show-apport-crashes=false
+
+[apps/indicator-session]
+suppress-restart-menuitem=true
+suppress-shutdown-menuitem=true
+
+[com/canonical/unity/launcher]
+favorites=['application://nautilus-home.desktop','application://gnome-activity-journal.desktop','application://firefox.desktop','application://libreoffice-writer.desktop','application://libreoffice-calc.desktop','application://libreoffice-impress.desktop','unity://running-apps','unity://expo-icon','unity://devices']
+
+# turn on the desktop switcher
+[org/compiz/profiles/unity/plugins/core]
+hsize=2
+vsize=2
+
+# turn off curser plugin in gnome-settings-daemon, see ticket:1212
+[org/gnome/settings-daemon/plugins/cursor]
+active=false
+
+# set default keyboard layout from "de-nodeadkeys" to "de", see ticket:1217
+[org/gnome/desktop/input-sources]
+sources=[('xkb', 'de'), ('xkb', 'de+nodeadkeys')]
+
+# set (and lock) gnome panel contents
+[org/gnome/gnome-panel/layout]
+#object-id-list=['menu-bar','indicators','logout-button','workspace-switcher']
+object-id-list=['menu-bar','indicators','workspace-switcher','launcher']
+toplevel-id-list=['top-panel']
+
+[org/gnome/gnome-panel/layout/objects/indicators]
+object-iid='IndicatorAppletCompleteFactory::IndicatorAppletComplete'
+pack-index=0
+pack-type='end'
+toplevel-id='top-panel'
+
+# [org/gnome/gnome-panel/layout/objects/logout-button]
+# object-iid='PanelInternalFactory::ActionButton:logout'
+# pack-index=0
+# pack-type='end'
+# toplevel-id='top-panel'
+
+[org/gnome/gnome-panel/layout/objects/menu-bar]
+object-iid='PanelInternalFactory::MenuBar'
+pack-index=0
+toplevel-id='top-panel'
+
+[org/gnome/gnome-panel/layout/objects/workspace-switcher]
+object-iid='WnckletFactory::WorkspaceSwitcherApplet'
+pack-index=1
+pack-type='start'
+toplevel-id='top-panel'
+
+[org/gnome/gnome-panel/layout/objects/launcher]
+object-iid='PanelInternalFactory::Launcher'
+pack-index=0
+pack-type='end'
+toplevel-id='top-panel'
+
+[org/gnome/gnome-panel/layout/objects/launcher/instance-config]
+location='/usr/share/applications/logout-workaround.desktop'
+
+[org/gnome/gnome-panel/layout/toplevels/top-panel]
+expand=true
+orientation='top'
+size=24
+expand=true
+auto-hide=false
+enable-buttons=false
+
+[org/gnome/gnome-panel/lockdown]
+locked-down=true
+
+[org/gnome/desktop/screensaver]
+lock-enabled=false
+
+[org/gnome/clocks/state/window]
+panel-id='timer'
+EOF
+  }}}
+  {{{
+  # mkdir /etc/dconf/db/site.d/locks
+  # cat > /etc/dconf/db/site.d/locks/00_site_locks <<EOF
+/org/gnome/metacity/compositing-manager
+
+/com/ubuntu/update-notifier/auto-launch
+
+/apps/indicator-session/suppress-shutdown-menuitem
+/apps/indicator-session/suppress-restart-menuitem
+
+/org/gnome/settings-daemon/plugins/cursor/active
+
+/org/gnome/desktop/input-sources/sources
+
+/org/gnome/gnome-panel/layout/object-id-list
+/org/gnome/gnome-panel/layout/toplevel-id-list
+
+/org/gnome/gnome-panel/layout/objects/indicators/object-iid
+/org/gnome/gnome-panel/layout/objects/indicators/pack-index
+/org/gnome/gnome-panel/layout/objects/indicators/pack-type
+/org/gnome/gnome-panel/layout/objects/indicators/toplevel-id
+
+#/org/gnome/gnome-panel/layout/objects/logout-button/object-iid
+#/org/gnome/gnome-panel/layout/objects/logout-button/pack-index
+#/org/gnome/gnome-panel/layout/objects/logout-button/pack-type
+#/org/gnome/gnome-panel/layout/objects/logout-button/toplevel-id
+
+/org/gnome/gnome-panel/layout/objects/menu-bar/object-iid
+/org/gnome/gnome-panel/layout/objects/menu-bar/pack-index
+/org/gnome/gnome-panel/layout/objects/menu-bar/toplevel-id
+
+/org/gnome/gnome-panel/layout/objects/workspace-switcher/object-iid
+/org/gnome/gnome-panel/layout/objects/workspace-switcher/pack-index
+/org/gnome/gnome-panel/layout/objects/workspace-switcher/pack-type
+/org/gnome/gnome-panel/layout/objects/workspace-switcher/toplevel-id
+
+/org/gnome/gnome-panel/layout/objects/launcher/object-iid
+/org/gnome/gnome-panel/layout/objects/launcher/pack-index
+/org/gnome/gnome-panel/layout/objects/launcher/pack-type
+/org/gnome/gnome-panel/layout/objects/launcher/toplevel-id
+
+/org/gnome/gnome-panel/layout/objects/launcher/instance-config/location
+
+/org/gnome/gnome-panel/layout/toplevels/top-panel/expand
+/org/gnome/gnome-panel/layout/toplevels/top-panel/orientation
+/org/gnome/gnome-panel/layout/toplevels/top-panel/size
+/org/gnome/gnome-panel/layout/toplevels/top-panel/auto-hide
+/org/gnome/gnome-panel/layout/toplevels/top-panel/expand
+/org/gnome/gnome-panel/layout/toplevels/top-panel/enable-buttons
+
+/org/gnome/gnome-panel/lockdown/locked-down
+
+/org/gnome/desktop/screensaver/lock-enabled
+EOF
+}}}
+{{{
+# dconf update
+}}}
+
+
+== (Vorgaben für GConf einrichten)
+
+Nachdem Docky nicht mehr verwendet wird, benötigen wir keine Vorgaben mehr, die über das klassiche GCOnf verteilt werden.
+
+== (pam_systemd)
+
+**Diese Maßnahme scheint nicht benötigt zu werden. Der neu aufgesetzte Server läuft auc mit aktiviertem pam_systemd prächtig!**
+
+(ev. pam_systemd abschalten, siehe #1208)
+
+
+== Timeserver
+
+- ntpd installieren (zuverlässiger als das mitgelieferte `ntpdate`, siehe `man ntpdate`)
+  {{{
+  # apt-get install ntp
+  }}}
+- in `/etc/ntp.conf` alle `server`-Zeilen auskommentieren, dann einfügen:
+
+  Im Schülernetz::
+  {{{
+  server ntp.kg-fds.de
+  restrict 10.32.0.0 mask 255.240.0.0
+  }}}
+
+  Im Lehrernetz::
+  {{{
+  server ntp.kg-fds.de
+  restrict 10.16.112.0 mask 255.255.254.0
+  }}}
+
+  (Der Name `ntp.kg-fds.de` wird im Schüler- wie Lehrernetz zu einer geeigneten Adresse aufgelöst.)
+
+- dann
+  {{{
+  # service ntp restart
+  }}}
+
+
+
+== Skripte in `/usr/local/sbin`
+{{{
+# rmdir /usr/local/sbin/
+# svn checkout svn+ssh://root@paedml/srv/svn/keplertools/scripts/trunk/ /usr/local/sbin/
+}}}
+
+
+== Autostart-Skripte
+
+=== Synapse automatisch starten
+{{{
+# cat > /etc/xdg/autostart/synapse.desktop <<EOF
+[Desktop Entry]
+Name=Synapse
+Exec=synapse --startup
+Encoding=UTF-8
+Type=Application
+X-GNOME-Autostart-enabled=true
+Icon=synapse
+EOF
+}}}
+
+=== LTSP-startup-Skript
+Das Skript `ltsp-startup` zeigt beim Login den Inhalt der Datei `/etc/ltsp-motd` an, sofern vorhanden:
+{{{
+# cat > /etc/xdg/autostart/ltsp-startup.desktop <<EOF
+[Desktop Entry]
+Type=Application
+Exec=ltsp-startup
+Hidden=false
+NoDisplay=false
+X-GNOME-Autostart-enabled=true
+Name=LTSP startup script
+Comment=Skript, das beim Einloggen an LTSP-Clients ausgeführt wird.
+EOF
+}}}
+
+=== (Zeitgeist deaktivieren(?))
+
+**Dieser Schritt scheint nicht weiter benötigt zu werden. Der neu aufgesetzte Server läuft prima mit aktivierterm Zeitgeist!**
+
+(Ev. die Datei `zeitgeist-datahub.desktop` aus `/etc/xdg/autostart/` entfernen oder in ein anderes Unterverzeichnis verschieben.
+
+
+== Cronskripte
+
+=== globale Crontab
+
+In `/etc/crontab` **und** `/etc/anacrontab` muss der Proxy eingetragen werden, damit der flashplugin-installer seine Datei herunterladen kann:
+
+Im oberen Bereich von `/etc/crontab` **und** `/etc/anacrontab`:
+
+ Im Schülernetz::
+ {{{
+ # package flashplugin-installer needs to know the proxy:
+ # note: put this into /etc/anacrontab, too, if anacron is installed
+ http_proxy=http://10.32.1.253:3128
+ }}}
+ 
+ Im Lehrernetz::
+ {{{
+ # package flashplugin-installer needs to know the proxy:
+ # note: put this into /etc/anacrontab, too, if anacron is installed
+ http_proxy=http://129.143.4.2:8080
+ }}}
+
+**Der folgende Schritt wird viell. nicht mehr benötigt, derzeit läuft der neue Server gut ohne dieses Skript:**
+TODO(?):
+Derzeit ist in der crontab außerdem das Skript eingetragen, das hängende Bind-Mounts entfernt (kann in Zukunft hoffentlich entfallen):
+
+Unten in `/etc/crontab` anfügen:
+{{{
+*/10 7-19 * * * root kepler--umount_cifs -f -m
+}}}
+
+=== (Kepler-spezifische Cronskripte)
+
+(Derzeit stehen auf den LTSP-Servern //keine// Kepler-spezifischen Skripte in `/etc/cron.{hourly,daily,weekly,monthly}`.)
+
+
+== Mountall-Workaround in `/etc/rc.local`
+
+**Dieser Workaround wird vermutlich nicht mehr benötigt! Der neue Server scheint auch ohne gut zu booten.**
+
+(Wenn nötig, in `/etc/fstab` die NFS-Mounts mit dem Flag `noauto` versehen und in `/etc/rc.local` das Skript `kepler--mountall-workaround` aufrufen.)
+
+Querverweis: #856
+
+
+== Herunterfahren unterbinden
+
+**Achtung! Dieser Punkt steht im Verdacht, für die !Login/Logout-Probleme auf den LtspServern verantwortlich zu sein! Vorerst lieber auslassen!**
+
+Obwohl mittels dconf bereits der //Shutdown// und der //Restart-Eintrag// aus dem Systemmenü ausgeblendet wurde, ist es sinnvoll, normalen Nutzern prinzipiell diese Rechte wegzunehmen. (Einerseits, weil es vielleicht einen anderen Weg als das Systemmenü gibt, an diese Optionen zu gelangen. Andererseits, weil dconf derzeit (noch?) nicht das Ausblenden des //Suspend//-Eintrags erlaubt.)
+
+Das ist bequem über ein policykit-Konfigurationsfile möglich:
+
+{{{
+  # cat > /etc/polkit-1/localauthority/90-mandatory.d/kepler--disable-shutdown-restart-suspend-hibernate.pkla <<EOF
+[Disable shutdown/whatever]
+Identity=unix-user:*
+Action=org.freedesktop.consolekit.system.stop;org.freedesktop.consolekit.system.restart;org.freedesktop.upower.suspend;org.freedesktop.upower.hibernate
+ResultAny=no
+ResultInactive=no
+ResultActive=no
+EOF
+}}}
+(Querverweise: http://askubuntu.com/questions/93542/how-to-disable-shutdown-reboot-suspend-hibernate/93956#93956, #215)
+
+
+== Postfix
+
+Vom neuen Server soll Mail an die Nutzer des Kepler-Netzwerkes zu verschicken sein. Insbesondere soll Mail an `root` nicht auf dem lokalen Server stecken bleiben, sondern an den paedml weitergeschickt werden. Dazu muss ein MTA installiert werden, wir nutzen Postfix:
+- Paket `postfix` installieren (falls noch nicht geschehen)
+  {{{
+  # apt-get install postfix
+  }}}
+- Nicht alle nötigen Optionen werden bei der Installation abgefragt, daher nach der Installation noch einmal ein `dpkg-reconfigure postfix` machen. Postfix muss so konfiguriert werden, dass er alle Mail an den paedml weiterschickt:
+  {{{
+  # dpkg-reconfigure postfix
+  }}}
+  - "Satellitensystem" wählen
+  - System-Emailendung: `kg-fds.de`
+  - Relayhost: `paedml.kg-fds.de`
+  - Empfänger für Mails an `root` und `postmaster`: `root@kg-fds.de`
+  - alle anderen Einstellungen können unverändert übernommen werden.
+- Testmails verschicken, an:
+  - `<nutzer>`
+  - `<nutzer>@kg-fds.de`
+  - `root`
+
+ Hinweis:: Bei virtualisierten Servern sollte ein MTA auch auf dem Virtualisierungshost installiert sein, damit auch der root@paedml erreicht. (Z.B. für SMART-Statusmeldungen, siehe nächster Punkt)
+
+== SMART
+
+ Hinweis:: Bei virtualisierten Servern ist es wohl sinnvoller, SMART auf dem Virtualisierungshost zu konfigurieren, nicht in der VM.
+
+ Auf der neuen Maschine //bzw. auf dem Virtualisierungshost//::
+ - Vorgehen wie unter AdminSmart beschrieben
+ 
+
+
+== Nagios auf paedml anpassen
+
+- **Auf dem paedml** in `/etc/nagios3/conf.d/linuxmuster_custom.cfg` entsprechende Einträge per copy-and-paste erstellen, die den neuen Server auf Lebenszeichen testen.
+- Ist die neue Maschine virtualisiert, zwei Einträge erstellen, sowohl für den Virtualisierungshost wie auch die VM.
+
+
+== LTSP einrichten
+
+=== LTSP-Client-Image
+
+- Wenn während der Installation von Edubuntu die Option LTSP ausgewählt wurde, sind die nötigen Pakete schon installiert. Dann wurde auch bereits ein Client-Image erzeugt, das für uns ungeeignet ist und entfernt werden sollte:
+ {{{
+ # rm -r /etc/ltsp/*
+ # rm -r /opt/ltsp/*
+ }}}
+
+- Dann weiter wie unter LtspServerUpdate#ltsp-build-client beschrieben.
+
+
+=== dnsmasq
+
+Auf den LtspServern läuft ein `dnsmasq`, der die DHCP-Anfragen der Clients beantwortet. Die Antwort beinhaltet dann den TFT-Server, von dem der Client seinen Netzwerkbootprozess fortsetzt.
+
+- Unser neuer Server benötigt das Verzeichnis `/etc/linuxmuster`:
+  {{{
+  # mkdir /etc/linuxmuster
+  }}}
+- dann:
+  {{{
+  # apt-get install dnsmasq
+  # ln -s /etc/linuxmuster/ltsp_config /etc/dnsmasq.d/
+  }}}
+- In `/etc/default/dnsmasq` ändern:
+  {{{
+  CONFIG_DIR=/etc/dnsmasq.d/ltsp_config/$(hostname)/conf,.dpkg-dist,.dpkg-old,.dpkg-new
+  }}}
+
+=== make_ltsp_config-Skript
+
+Auf dem paedml muss ein Verzeichnis für die DHCP-Config des neuen Servers angelegt werden:
+
+ Auf dem paedml::
+  {{{
+  # mkdir -p /etc/linuxmuster/ltsp_config/ltsp<ServerNummer>/
+  }}}
+
+Das Skript `make_ltsp_config`, das die zu beantwortenden DHCP-Anfragen festlegt, muss um den Hostnamen des neuen Servers erweitert werden:\\
+Auf dem paedml die passenden Anpassungen vornehmen (Schleifen):
+  {{{
+  # emacs -nw /usr/local/sbin/make_ltsp_config
+  # emacs -nw /usr/local/sbin/make_ltsp_config.php
+  # svn commit /usr/local/sbin/make_ltsp_config*
+  # make_ltsp_config
+  }}}
+
+=== TFT-Boot einrichten
+
+- Da die Datei `/var/lib/tftpboot/ltsp/i386/pxelinux.cfg/default` bei jedem Update des Client-Images überschrieben wird, verwenden wir eine Datei namens `0A`, was dem ersten Byte der IP-Adresse unseres Netzwerks entspricht (10.*.*.*). Diese erhält Vorrang vor `default`. Also:\\
+Datei `/var/lib/tftpboot/ltsp/i386/pxelinux.cfg/0A` erzeugen, mit Inhalt
+
+ Im Schülernetz::
+{{{
+default keplerltsp
+label keplerltsp
+kernel vmlinuz
+append ro initrd=initrd.img nbdroot=10.32.2.<ServerNummer>:/opt/ltsp/i386 root=/dev/nbd0 init=/sbin/init-ltsp quiet splash plymouth:force-splash vt.handoff=7
+}}}
+
+ Im Lehrernetz::
+{{{
+default keplerltsp
+label keplerltsp
+kernel vmlinuz
+append ro initrd=initrd.img nbdroot=10.16.112.<ServerIP>:/opt/ltsp/i386 root=/dev/nbd0 init=/sbin/init-ltsp quiet splash plymouth:force-splash vt.handoff=7
+}}}
+
+=== Automatisches Herunterfahren der Clients beim Server-Shutdown
+
+Das Herunterfahren des Servers hat katastrophale Auswirkungen auf laufende Clients. Die Clients müssen also sauber abgeschaltet werden, bevor der Server neu gebootet werden kann. 
+Derzeit verwenden wir einen Polling-Mechanismus, mit dem die Clients bei "ihrem" Server regelmäßig anfragen, ob sie herunterfahren sollen. Dieser Dienst wird über `inetd` auf Port 2001 zur Verfügung gestellt:
+{{{
+# cat >> /etc/inetd.conf <<EOF
+2001           stream  tcp     nowait  nobody /usr/sbin/tcpd /bin/cat /etc/ltsp-message
+EOF
+}}}
+
+Um diese "shutdown"-Nachricht zu setzen, verwenden wir das sehr schöne "Molly-Guard". Per Default verhindert das versehentliches Herunterfahren. Wir verwenden es hier so:
+{{{
+# apt-get install molly-guard
+# cd /etc/molly-guard/run.d
+# mv 30-query-hostname disabled--30-query-hostname
+}}}
+{{{
+# cat > 30-kepler--ask-confirmation <<"EOF"
+#!/bin/bash
+
+echo "This will shut down all my LTSP clients and reboot this server.
+  Note: Don't do this while people are logged in on the clients,
+        or they will kill you. You have been warned."
+
+read -n1 -p "Is this really what you want to do (y/n)? " answer
+echo
+
+if [[ $answer == "y" ]] ; then
+    exit 0
+else
+    exit 1
+fi
+EOF
+}}}
+{{{
+# cat > 40-kepler--shutdown-my-clients <<EOF
+#!/bin/bash
+
+if [[ $(id -u) != 0 ]] ; then
+    echo $0: Need to be root
+    exit 1
+fi
+
+shutdownclients --mine
+
+exit $?
+EOF
+}}}
+{{{
+# chmod a+x 30-kepler--ask-confirmation
+# chmod a+x 40-kepler--shutdown-my-clients
+# chmod a-x disabled--30-query-hostname
+}}}
+
+Geht beim Shutdown etwas schief, darf die Shutdown-Message nicht in der Datei `/etc/ltsp-message` stehen bleiben, weil sonst die Clients direkt nach dem Start wieder herunterfahren (ticket:1114). Die Datei sollte daher bei jedem Boot geleert werden.
+
+Dazu in /etc/rc.local die Zeilen einfügen:
+{{{
+echo "Clearing /etc/ltsp-message."
+echo > /etc/ltsp-message
+}}}
+
+
+== Drucker einrichten
+
+Die Drucker werden über den CUPS des paedml zur Verfügung gestellt. Auf dem paedml ist das "printer-sharing" aktiviert, so dass die LtspServer die verfügbaren Drucker selbst entdecken. Dabei sollen sie nur die Drucker anzeigen, die vom paedml veröffentlicht werden. Sonst erscheinen auch Drucker, die an Rechnern irgendwo im Netzwerk eingerichtet sind -- z.B. an der TGS oder am Laptop von Kollegen ("Drucker-Waschküche").
+
+In `/etc/cups/cups-browsed.conf` einfügen:
+ Im Schülernetz::
+ {{{
+ BrowseAllow 10.32.1.1
+ }}}
+ Im Lehrernetz::
+ {{{
+ BrowseAllow 10.16.112.4
+ }}}
+
+ Hinweis:: Wegen eines (vermutlichen) Bugs im CUPS-Browse-Daemon werden zwar die Drucker, aber nicht die Druckerklassen automatisch erkannt. Solange das nicht behoben ist, muss unsere Druckerklasse (derzeit haben wir ja nur eine) manuell auf den ltspServern eingerichtet werden:
+
+ `/etc/cups/classes.conf` erzeugen mit Inhalt:
+{{{
+<DefaultClass DruckerLZ>
+UUID urn:uuid:9c344d97-22d8-3c49-6349-4f3ec0ce77fe
+Info Lexmark links oder rechts im LZ
+Location Lehrerzimmer
+State Idle
+StateTime 1348058275
+Accepting Yes
+Shared Yes
+JobSheets none none
+Printer LaserLZ
+Printer LaserLZr
+QuotaPeriod 0
+PageLimit 0
+KLimit 0
+AllowUser @lpadmin
+AllowUser @teachers
+AllowUser pgmadmin
+OpPolicy default
+ErrorPolicy retry-current-job
+</Class>
+}}}
+
+
+
+
+== (Überflüssige Dienste deaktivieren(?))
+
+**Da der neu Server derzeit mit aktivierten Standarddiensten gut zu laufen scheint, diesen Punkt erst einmal auslassen und beobachten.**
+
+Korrektur: derzeit ist auf ltsp8 das Network-Manager-Applet und zwei Plugins deaktiviert:
+{{{
+# apt-get purge network-manager-pptp
+# apt-get purge network-manager-pptp-gnome
+# apt-get purge network-manager-gnome
+}}}
+
+(Ev. bestimmte Dienste deaktivieren, Querverweis: #569)
+
+
+== clusterssh einrichten
+
+{{{
+# apt-get install clusterssh
+# cat > /etc/clusters <<EOF
+# this file defines clusters for the cluster-ssh utility (cssh)
+ltsp root@ltsp1 root@ltsp2 root@ltsp3 root@ltsp4 root@ltsp5 root@ltsp6 root@ltsp7 root@ltsp8
+ltspl root@ltspl1 root@ltspl2
+proxmoxltsp root@proxmoxltsp1 root@proxmoxltsp2 root@proxmoxltsp3 root@proxmoxltsp4 root@proxmoxltsp5 root@proxmoxltsp6 root@proxmoxltsp7 root@proxmoxltspl1 root@proxmoxltspl2
+default ltsp ltspl
+EOF
+}}}
+
+
+== Skript `rsync-to-all-ltsp-servers` erweitern
+
+Im Skript, das wir zum bequemen Verteilen von Dateien auf alle LtspServer verwenden, muss die Schleife um den Namen des neuen Servers erweitert werden:
+
+source:/keplertools/scripts/trunk/rsync-to-all-ltsp-servers
+
+- Anpassung in irgend einer ausgecheckten svn-Version vornehmen
+- danach **auf allen LtspServern(!)** ein
+  {{{
+  # svn update /usr/local/sbin/
+  }}}
+
+
+== pam_group aktivieren
+
+Damit die Dokumentenkameras funktionieren, müssen alle User Mitglieder in der Gruppe video (Gruppe auf dem LTSP-Server, nicht: LDAP-Gruppe!) sein.
+Für die Benutzung der Bildschirmüberwachung müssen die Lehrer in der Gruppe epoptes sein.
+Das geht mit dem pam_group-Mechanismus, der den User beim Login in die angegebenen Gruppen zuweist:
+
+
+* Eintrag in /etc/security/group.conf:
+  {{{
+  *;*;*;Al0000-2400;video
+  *;*;%teachers;Al0000-2400;epoptes
+  }}}
+* Neue Datei /usr/share/pam-configs/pamgroups:
+  {{{
+  Name: activate /etc/security/group.conf
+  Default: yes
+  Priority: 900
+  Auth-Type: Primary
+  Auth:
+  required    pam_group.so use_first_pass
+  }}}
+* dann:
+  {{{
+  # pam-auth-update
+  # service nscd restart
+  }}}
+
+Damit werden beim Login über das pam_group-Modul die fehlenden Gruppenzugehörigkeiten ergänzt - jetzt können alle User (Schüler und Lehrer) die Dokumentenkamera benutzen!
+
+
+== Virtualbox konfigurieren
+
+Wir stellen derzeit zwei Virtualbox-Umgebungen zur Verfügung, eine für die TI-Emulation, eine zweite für InfoSys (nur im Lehrernetz).
+
+Die Maschinen sind für alle Lehrer eingerichtet, die virtuellen Festplatten (vdi-Files) liegen aus Effizienzgründen aber lokal auf den LtspServern.
+
+Die beiden folgenden Verzeichnisse müssen von einem (geeigneten, d.h. mit gleicher Prozessorarchitektur) LtspServer kopiert werden:
+{{{
+# rsync -a <ltspserver>:/usr/share/virtualbox-vdi /usr/share/
+# rsync -a <ltspserver>:/usr/share/virtualbox-saved /usr/share/
+}}}
+
+ Erklärung:: Damit die Kollegen InfoSys und TINSpire schnell benutzen können, liegen unter /sr/share/virtualbox-saved Speicherabbilder, so dass die VM innerhalb weniger Sekunden startet. Diese Abbilder müssen von einem Server mit der selben Prozessorarchitektur stammen. Eventuell müssen sie neu erzeugt werden, siehe AdminVirtualBox#SpeicherabbildderVirtuellenMaschineerzeugen.
+
+Die Starter von `/usr/share/virtualbox-saved/` müssen nach `/usr/share/applications/` kopiert werden:
+
+{{{
+# cp /usr/share/virtualbox-saved/{TINSpire,InfoSys}.desktop /usr/share/applications/
+}}}
+
+
+
+== Epoptes konfigurieren
+
+=== Nur für den dedizierten Epoptes-Server
+
+ Hinweis:: Diese Schritte sind nur nötig, wenn der neue Server der dedizierte Epoptes-Server sein soll (derzeit ltsp6).
+
+Die Schritte durchführen, die unter AdminEpoptes#EinrichtungdesdediziertenEpoptes-Serversderzeitltsp6 beschrieben sind.
+
+=== Generell
+
+Mit epoptes können die Schülerbildschirme kontrolliert werden.
+Die Clients melden sich beim Login eines Schülers am epoptes-Server (ltsp6) an. Damit nicht Kollegen ebenfalls überwacht werden können, muss der epoptes-Starter angepasst werden.
+
+In `/etc/xdg/autostart/epoptes-client.desktop`:
+{{{
+[Desktop Entry]
+...
+#Exec=/usr/sbin/epoptes-client
+Exec=/usr/local/sbin/kepler--epoptes-client-starter
+...
+}}}
+
+Für die Kollegen gibt es die Möglichkeit, die Fernwartung per epoptes trotzdem einzuschalten.
+
+Neue Datei `/usr/share/applications/epoptes-client.desktop`: (Aufruf: Fernwartung):
+{{{
+[Desktop Entry]
+Name=Überwachung meines Bildschirms erlauben
+Comment=Ermöglicht für die Dauer dieser Sitzung, dass Administratoren (und andere Lehrer) Ihren Bildschirminhalt sehen und ihren Rechner steuern können.
+Exec=bash -c "zenity --question --title 'Fernüberwachung erlauben' --text 'Erlauben Sie, dass andere Lehrer und die Administratoren Ihren Bildschirminhalt sehen und Ihren Rechner steuern können?\n(Diese Entscheidung gilt nur für die laufende Sitzung und wird mit Ihrem Logout wieder aufgehoben.)' && /usr/sbin/epoptes-client"
+Icon=epoptes
+Terminal=false
+Type=Application
+Categories=Network;Settings;Utility;RemoteAccess;DesktopSettings;Security;Accessibility;
+}}}
+
+Die Kollegen können auch Schülerdesktops überwachen.
+
+Neue Datei `/usr/share/applications/epoptes-app-starter.desktop` (Aufruf: //Bildschirme der Schüler anzeigen`):
+{{{
+[Desktop Entry]
+Name=Bildschirme der Schüler anzeigen
+Comment=Die Lab-Management-Software Epoptes erlaubt es, den eingeloggten Schülern auf den Bildschirm zu sehen und ihre Rechner zu steuern.
+Exec=/usr/local/sbin/kepler--epoptes-app-starter
+Icon=epoptes
+Terminal=false
+Type=Application
+Categories=Education;Network;Utility;Monitor;RemoteAccess;
+}}}
+
+Damit der passwortlose Zugang zum ltsp6 als epoptes funktioniert muss die /etc/ssh/ssh_config angepasst werden (anfügen am Ende):
+{{{
+Host         epoptes_server
+Hostname     ltsp6
+User         epoptes
+IdentityFile /etc/ssl/certs/epoptes_key
+ForwardX11   yes
+StrictHostKeyChecking no
+}}}
+
+Außerdem sollte der Host-Key von ltsp6 bekannt sein, damit er nicht in die known_hosts jedes Nutzers eingetragen wird (was später Probleme verursachen kann, wenn sich der Schlüssel mal ändern sollte):
+{{{
+# echo -n "ltsp6,10.32.2.6 " >> /etc/ssh/ssh_known_hosts
+# ssh >> /etc/ssh/ssh_known_hosts ltsp6 cat /etc/ssh/ssh_host_ecdsa_key.pub
+}}}
+
+
+
+
+=== Epoptes auf ltspl (Lehrernetz) einrichten
+
+- Damit die Überwachung der Schülerrechner aus dem Lehrernetz klappt, muss [#Netzwerkeinrichten wie oben bei der Netzwerkeinrichtung beschrieben], eine Route ins Schülernetz gesetzt sein.
+
+
+
+=== Kepler-Logos
+
+Für unsere Briefpapiervorlage und andere Zwecke sollen die Kepler-Logos unter `/usr/local/include` liegen. Das Verzeichnis kann vom paedml kopiert werden:
+{{{
+# rsync -av paedml:/usr/local/include /usr/local/
+}}}
+
+ Test:: Danach sollte die LaTeX-Briefvorlage, die man per Rechtsklick auf dem Desktop erreicht, kompilieren.
+
+
+
+
+
+----
+[[CC_BY_NC_SA(Dr. Rüdiger Kupper, Kepler-Gymnasium Freudenstadt)]]
+