So verbinden Sie Ihren eigenen Rechner mit der Schule

Die Rechner in der Schule bieten Ihnen einige sehr praktische Dienste:

• Zugang zum Internet
• direkter Zugriff zum Mailserver der Schule (ohne Umweg über Web-Dienste)
• Verwalten Ihrer persönlichen Dateien direkt auf unserem Datei-Server (statt Dropbox, Google Drive, etc.)
• direkter Zugriff auf Tauschordner für Schule, Lehrer, Klassen und Projekte
• Zugang zur Schulkonsole (Hier ändern Sie beispielsweise Ihr Passwort und tragen Ihre Klassen ein, um die Klassentauschordner zu nutzen.)

All das geht von jedem Rechner im Schulhaus. Sie können aber auch ihren privaten Rechner mit dem Schulserver verbinden. Das kann Ihr Laptop im Schulhaus sein (über WLAN), oder Ihr Rechner zuhause oder sonstwo in der Welt, über das Internet.

Sie können dann zuhause Ihre Schulmail mit einem Programm Ihrer Wahl abrufen (Outlook, Thunderbird, Apple Mail, etc.) oder Ihre persönlichen Dateien auf dem Schulserver so bearbeiten, als befänden sie sich auf ihrem eigenen Rechner.

Das Verfahren, das dies ermöglicht, heißt ​virtuelles privates Netzwerk (VPN).

Was ist ein virtuelles privates Netzwerk?

Stellen Sie sich vor, dass Sie von Ihrem Schreibtisch zuhause aus ein Rohr bis in die Schule legen. Diese Rohrleitung ist Ihre ganz private Verbindung zum Schulnetzwerk: als hätten Sie ihren Schreibtischrechner direkt an eine Netzwerkdose in der Schule eingesteckt.

Das Rohr hat außerdem die magische Eigenschaft, alle Daten, die hindurchfließen, zu verschlüsseln. Was Sie hindurchschicken, kann niemand mitlesen oder verändern. Es ist buchstäblich so, als hätten Sie Ihren Schreibtischrechner an die Schule geschleppt.

Das funktioniert von überall in der Welt aus.

OpenVPN

Virtuelle private Netzwerke werden heute von vielen Firmen eingesetzt, um ihren Mitarbeitern sicheren Zugang zum Intranet der Firma zu ermöglichen. Auch wir bieten Ihnen diese Möglichkeit. Wir nutzen hierfür eine frei verfügbare Software namens ​OpenVPN.

Die Software besteht aus zwei Teilen: Ein Teil läuft bereits auf unserem Schulserver. Den anderen Teil müssen Sie auf Ihrem Rechner installieren. Die beiden Programmteile sind wie die Anschlüsse, zwischen denen das Rohr verlegt wird.

Die Vorarbeiten

Um Ihr ganz privates Datenrohr zu legen (also um eine VPN-Verbindung einzurichten), brauchen Sie zweierlei:

1. Ein Zertifikat
2. Auf jedem Ihrer Geräte das Anschlussprogramm (sog. VPN-Client)

Der erste Schritt ist schnell erledigt. Sie müssen dazu an einem Schulrechner sitzen und einen USB-Stick dabeihaben. Außerdem sollten Sie sich ein Passwort überlegt haben.

Ihr OpenVPN-Zertifikat erstellen

Loggen Sie sich an irgend einem Rechner in der Schule ein. Starten Sie den Browser und navigieren Sie zur Schulkonsole. Unter ​http://paedml.kg-fds.de finden Sie den Link dorthin. Loggen Sie sich in die Schulkonsole wie gewohnt mit Kürzel und Passwort ein.

Auf der ersten Seite ganz unten finden Sie den Punkt OpenVPN-Zertifikat erstellen. Geben Sie hier in beide Felder das Passwort ein, das Sie sich überlegt haben. Dieses Passwort dient dazu, Ihr Zertifikat zu schützen. Selbst wenn ein Fremder Ihr Zertifikat in die Hände bekommen sollte, kann er es nicht verwenden, denn es ist mit diesem Passwort geschützt, das nur Sie kennen. Auch wir Administratoren können deshalb Ihr Zertifikat nicht für böse Zwecke missbrauchen. Sollten Sie das Passwort vergessen, können auch Sie Ihr Zertifikat nicht mehr verwenden und müssen ein neues erstellen.

Randbemerkung

Diese Sicherheitstechnik heißt ​Multi Way Authentication. Um die VPN-Verbindung herzustellen, brauchen Sie Something You Have (Ihr Zertifikat) und Something You Know (Ihr Passwort). Nur wer beides vorweisen kann, darf sich als Sie ausgeben.

Drücken Sie dann den Knopf "Zertifikat erstellen und herunterladen". Das mit dem "Herunterladen" bedeutet hier, dass Ihr Zertifikat in Ihrem persönlichen Verzeichnis gespeichert wird. Öffnen Sie also an dem Rechner, an dem Sie sitzen, Ihr persönliches Verzeichnis. (Den Browser können Sie schließen, den brauchen Sie nicht mehr.) In Ihrem persönlichen Verzeichnis befindet sich neuerdings ein Unterverzeichnis namens OpenVPN mit drei Dateien:

Datei	Erklärung
[Benutzername].p12	Ihr Zertifikat, geschützt mit Ihrem Passwort
[Benutzername]-TO-IPCop-BLUE.ovpn	Konfigurationsdatei für WLAN
[Benutzername]-TO-IPCop-RED.ovpn	Konfigurationsdatei für Zugang aus dem Internet

Speichern Sie diese drei Dateien auf einem USB-Stick.

Das war's schon, alles weitere können Sie von zuhause aus erledigen.

Warum überhaupt ein Zertifikat?

Dafür gibt es zwei sehr einsichtige Gründe: Verschlüsselung und Authentifizierung.

• Ihr Zertifikat enthält den Schlüssel, mit dem alle Daten auf dem Weg zwischen Ihrem Rechner und der Schule verschlüsselt werden. Weil nur Sie selbst und niemand sonst Ihr Zertifikat besitzt, kann niemand sonst Ihre Daten abfangen oder verändern.
• Weil nur Sie dieses spezielle Zertifikat besitzen, wissen wir, dass die Daten, die fließen, wirklich nur von Ihnen stammen und von niemandem sonst. Dazu verpflichten uns die Datenschutzbestimmungen des Kultusministeriums.

Software für Ihren Rechner

Linux (Gnome)

Installieren Sie das Nautilus-Plugin für OpenVPN.

sudo aptitude install network-manager-openvpn-gnome

Anschließend können Sie eine OpenVPN-Verbindung einrichten:

• Klicken Sie dazu auf das Netzwerkverbindungsicon rechts oben und wählen Sie VPN-Verbindungen --> VPN konfigurieren.
• Drücken Sie den Knopf Importieren.
• Navigieren Sie im Dateidialog zu der Datei [Benutzername]-TO-IPCop-BLUE.ovpn auf Ihrem USB-Stick.
• Ergänzen Sie im Konfigurationsfenster die Einstellung Passwort für privaten Schlüssel. (Geben Sie hier das Passwort ein, welches Sie bei der Erzeugung des OpenVPN-Schlüssels in der Schulkonsole angegeben haben.)

Verfahren Sie ebenso mit der Datei [Benutzername]-TO-IPCop-RED.ovpn.

Ab sofort können Sie nach dem Aufbauen einer Internet-Verbindung die OpenVPN-Verbindung starten: Klick auf das Netzwerk-Symbol rechts oben auf ihrem Bildschirm->VPN-Verbindungen->[Benutzername]-TO-IPCop-RED.

Windows

Sie verwenden die Software openVPN-GUI.

Laden Sie sich das aktuelle programm unter ​http://openvpn.net/index.php/download.html herunter und installieren Sie diese als Administrator (Rechtsklick - Ausführen als Administrator). Eine Schritt-für-Schritt-Anleitung finden Sie hier: ​http://lehrerfortbildung-bw.de/netz/muster/linux/material/remote/doc/openvpn/.

Kopieren Sie die drei Dateien aus Ihrem Homeverzeichnis im Ordner OpenVPN:

• [Benutzername].p12
• [Benutzername]-TO-IPCop-BLUE.ovpn
• [Benutzername]-TO-IPCop-RED.ovpn

in den Ordner \Programme\OpenVPN\config.

Starten Sie das Programm OpenVPN als Administrator (Sie können auch per Rechtsklick auf das OpenVPN-Icon in den Einstellungen festlegen, dass dieses grundsätzlich als Administrator gestartet werden soll).

Ab sofort können Sie nach dem Aufbauen einer Internet-Verbindung die OpenVPN-Verbindung mit einem Rechtsklick auf das OpenVPN-Icon in der Taskleiste ([Benutzername]-TO-IPCop-RED) starten.

für MAC-User: Tunnelblick

Bitte an Herrn Ortmann, hier eine kleine Anleitung einzustellen.

Sie können nun nach Herstellen einer Internet-Verbindung die App starten und in der VPN-Liste die Verbindung [Benutzername]-TO-IPCop-RED starten.

Mobile Geräte mit iOS ab Version 6

Laden Sie über iTunes die OpenVPN-APP (​https://itunes.apple.com/de/app/openvpn-connect/id590379981?mt=8&affId=1721851&ign-mpt=uo%3D4) herunter und installieren Sie diese.

Sie benötigen auf Ihrem mobilen Gerät die Dateien:

• [Benutzername].p12
• [Benutzername]-TO-IPCop-BLUE.ovpn
• [Benutzername]-TO-IPCop-RED.ovpn

Die p12-Datei

Die p12-Datei speichert iOS in Ihrer Keychain, dazu müssen Sie sich die Datei entweder

• per Mail zusenden und auf Ihrem mobilen Gerät empfangen, oder
• die Datei in das Verzeichnis public_html in Ihrem Homeverzeichnis (eventuell anlegen) legen und mit Safari (​http://paedml.kg-fds.de/~[Benutzername]/[Benutzername].p12) aufrufen (Schüler müssen beim Abrufen zunächst noch ihr Passwort eingeben) [ NICHT VERGESSEN: Datei anschließend wieder löschen! (Es ist ihr privater Schlüssel! ]

In beiden Fällen fragt ihr mobiles Gerät, ob es den Schlüsse in Ihre Keychain aufnehmen soll. bestätigen Sie alle Abfragen, auch wenn Ihr Gerät Sie darauf hinweist, dass der Key nicht von einer authorisierten Stelle signiert ist.

Die Konfigurationsdatei

Verbinden Sie ihr mobiles Gerät per USB mit Ihrem Rechner und starten Sie iTunes. Navigieren Sie dort zu Ihrem Gerät und wählen Sie Apps. Im unteren Bereich können Sie der OpenVPN-APP Dateien zur Verfügung stellen, laden Sie die Dateien

• [Benutzername]-TO-IPCop-BLUE.ovpn
• [Benutzername]-TO-IPCop-RED.ovpn

auf Ihr mobiles Gerät.

OpenVPN-APP starten

Starten Sie die APP auf ihrem mobilen Gerät, diese findet die Konfigurationsdatei und richtet eine OpenVPN-Verbindung ein. Klicken Sie diese an und wählen Sie aus Ihrer Keychain ihren Key (p12-Datei) aus. Geben Sie ihren Benutzername und ihr Key-Passwort (welches Sie beim Erstellen eingegeben haben) ein.

Mobile Geräte mit Android ab Version 4

Laden Sie sich von Google Play die OpenVPN-APP (​https://play.google.com/store/apps/details?id=de.blinkt.openvpn&hl=de) herunter.

Sie benötigen auf Ihrem mobilen Gerät die beiden Dateien:

• [Benutzername].p12
• [Benutzername]-TO-IPCop-BLUE.ovpn

Dazu wählen Sie einen der folgenden Wege:

• Verbinden Sie das Gerät per USB mit Ihrem Rechner und laden Sie die Dateien darauf, oder
• speichern Sie die Dateien auf einer mini-SDRam-Karte und stecken Sie diese in Ihr Gerät
• legen Sie die Dateien in Ihr Verzeichnis public_html in Ihrem Homeverzeichnis und laden Sie sie mit dem Browser an einen Ort Ihres mobilen Geräts herunter [ NICHT VERGESSEN: Datei anschließend wieder löschen! (Es ist ihr privater Schlüssel! ]
• Senden Sie sich die Dateien im Anhang einer Mail zu und speichern sie an einem beliebigen Ort Ihres Geräts

Starten Sie die APP und wählen Sie [VPN Liste] - [Import]. Navigieren Sie zu dem Ordner, in dem Sie die beiden Dateien abgelegt haben und wählen Sie das Profil [Benutzername]-TO-IPCop-BLUE.ovpn - wählen Sie [Installieren] (ganz oben). Geben Sie nun das Zertifikatspasswort ein und benennen Sie die Zertifikate - klicken Sie nun [Zulassen]. Verfahren Sie genauso für das Profil [Benutzername]-TO-IPCop-RED.ovpn

Sie können nun bei aktiver WLAN-Verbindung zu einem Kepler-AccessPoint die App starten und in der VPN-Liste die Verbindung [Benutzername]-TO-IPCop-RED starten.

[to be continued]

.

.

.

.

.

Zugang zum WLAN-Netzwerk des Kepler-Gymnasiums

Sie können mit Ihrem Laptop/Tablet/Smartphone (Apple iOS ab Version 6, Android ab Version 4, Windows, Linux, MacOS) bequem eine Verbindung zu einem der Access-Points des Kepler-Gymnasiums aufbauen. Wundern Sie sich nicht, wenn Windows Ihnen nach dem Verbinden anzeigt, dass es das Internet nicht erreicht. Das ist normal, denn Sie können mit der WLAN-Verbindung zunächst einmal nichts anfangen. Sie müssen erst "Ihr privates Datenrohr verlegen" -- also eine VPN-Verbindung aufbauen.

Windows

Nach der Installation von OpenVPN-GUI (siehe oben) können Sie nach dem Aufbauen einer WLAN-Verbindung zu einem Kepler-AccessPoint die OpenVPN-Verbindung mit einem Rechtsklick auf das OpenVPN-Icon in der Taskleiste ([Benutzername]-TO-IPCop-BLUE) starten.

iOS

Sie können nun bei aktiver WLAN-Verbindung zu einem Kepler-AccessPoint die App starten und in der VPN-Liste die Verbindung [Benutzername]-TO-IPCop-BLUE starten.

Android

Sie können nun bei aktiver WLAN-Verbindung zu einem Kepler-AccessPoint die App starten und in der VPN-Liste die Verbindung [Benutzername]-TO-IPCop-BLUE starten.

Zugang zu Ihrer Schulmail

Besteht die OpenVPN-Verbindung, so können Sie mit einem beliebigen Email-Client auf Ihre Schulmail zugreifen, sowie Mail über den Schulserver verschicken. Sie müssen in dem Programm, das sie zum Mailen verwenden, folgendes eintragen:

Ausgehender Server (Mail verschicken)

Feld	Eintrag
Protokoll	SMTP
Port	143
Servername	emails.kg-fds.de
Nutzername	<Ihr Kürzel>
Sicherheitseinstellungen/Verschlüsselung/SSL	keine Verschlüsselung verwenden
Authentifizierungsmethode	Passwort, unverschlüsselt

Eingehender Server (Mail abfragen)

Feld	Eintrag
Protokoll	IMAP
Port	25
Servername	emails.kg-fds.de
Nutzername	<Ihr Kürzel>
Sicherheitseinstellungen/Verschlüsselung/SSL	keine Verschlüsselung verwenden
Authentifizierungsmethode	Passwort, unverschlüsselt

Kepler-Adressbuch

Sie können über die VPN-Verbindung auch unseren Adressserver abfragen. Richten Sie dazu in Ihrem Email-Client ein Adressbuch über das Protokoll "LDAP" ein:

Feld	Eintrag
Protokoll	LDAP
Port	389
Servername	emails.kg-fds.de
Nutzername	<Ihr Kürzel>
Base DN	ou=adressbook,dc=kg-fds,dc=de
Sicherheitseinstellungen/Verschlüsselung/SSL	keine Verschlüsselung verwenden
Authentifizierung ("Bind DN")	<leer lassen>

Keine Angst!

In den Einstellungen steht überall "unverschlüsselt" und unser Mailserver bietet auch gar keine Verschlüsselung an. Sämtliche Daten gehen aber über die VPN-Leitung, werden also zwischen unserem Kommunikationssserver und Ihrem Gerät mit Ihrem persönlichen VPN-Schlüssel verschlüsselt. Sofern Sie ihren VPN-Schlüssel mit einem Passwort versehen haben, das nur Sie kennen, und Sie die '*.p12'-Datei nicht an Fremde weitergeben, kann Ihre Mail von niemandem auf dem Weg abgefangen und mitgelesen werden.

Zugang zum Verzeichnis "Persönliche Dateien"

[todo]

---

Die Inhalte dieser Wiki-Seite erscheinen, (wo anwendbar und nicht anderweitig angegeben), unter einer Creative-Commons-Lizenz CC BY NC SA 3.0 Germany. Urheber: Jens Baumgärtner und Dr. Rüdiger Kupper.