Bestimmte Ports sperren?

[Alexander]

Hallo,
da unser Informatik-Raum die ganze Zeit von mehr oder weniger kleinen Kindern blockiert wird, die die ganze Zeit CounterStrike oder ähnliche Spielen im Netzwerk oder auch Internet spielen. Und unser Informatik Raum auf keinen Fall für solche Sachen missbraucht werden soll (und ich mich mit nem Freund und noch ein paar anderen um den Raum kümmere und den ganzen "Mist" nachher wieder reparieren darf...), suche ich nach einer einfachen Möglichkeit Ports zu sperren, so dass nur noch Internet funktioniert.
Auch Chatsoftware (wie ICQ) usw. soll gesperrt werden.
Gibt es eine einfache Möglichkeit lokal am jeweiligen Client bestimmte Ports zu sperren, um dieses alles zu verhindern?
Wenn ja, wie? Durch eine spezielle Software?
Wichtig ist aber, dass es nicht einfach in der TNA "versteckt" sein soll, sondern richtig versteckt sein soll, so dass es auch nicht all zu einfach umgangen werden kann...
Lokal kann dann zwar immer noch gespielt werden, aber das kann man nun mal nicht so einfach verhindert werden.

Es handelt sich hier um Rechner mit Win 95, Win 98 und Win ME in unserem alten Informatik Raum (in dem neuen stehen XP-Rechner :-D ).
Alle Rechner haben zwar einen Hardware HDD Schutz (wenn man neu bootet, ist alles wieder weg...), aber dennoch sollte das unterdrückt werden. Oder gibt es sogar eine Möglichkeit, Softwareinstallation unter Win 9x zu verbieten?

Wahrscheinlich muss man ja auf Fremdsoftware zurückgreifen, es darf aber nur Freeware sein!

Vielen Dank schon mal ;-)

[Luckie]

Ports sind dann zu, wenn keine Anwendung an dem Port horcht. Aber seit wann dürfen auf Schulrechner Ego Shooter wie CS installiert sein? :gruebel:

Win9x Rechner sind definitiv nicht für ein Netzwerk geeignet, da sie keine Mehrbenutzer Betriebssystem sind. Das Problem loegt also schon in der Tatsache begründet, dass das falsche Betriebssystem benutzt wird.

[mirage228]

Hi,

auf unseren Schulrechnern lässt sich ohne Admin-Zugang, den die Schüler nicht haben, keine zusätzliche Software installieren.

Die lokale Festplate ist Tabu (Win+E geht nicht, Diskette und CD-ROM sind im Explorer gesperrt, USB-Sticks gehen). Die Daten werden in einem Netzwerkpfad (Tauschverz$ :D) gespeichert. Die Profile werden mit dem Profil auf dem Server synchronisiert (also die Profile liegen auf dem Server)

Auch ist das IPX Protokoll deaktiviert, sodass man nicht zocken kann.
FTP Port 21 ist über den Linux Server gesperrt, über den die Rechner ins Internet gehen.
ICQ2Go funktioniert auch nicht...

Auf allen Rechnern ist zudem Mastereye installiert und kann nicht beendet werden (Prozesse beenden ist nicht erlaubt), sodass der Lehrer sehen kann, was die Schüler machen.

Vielleicht gibt dir die Konfiguration unserer Schulrechner eine Idee, wie ihr es bei euch machen könnt ;)

mfG
mirage228

[CalganX]

Hi,
ich finde David's Vorschläge gut!
Ich weiß zwar nicht wozu euer Informatikraum verwendet wird, aber wir haben unsere Bibliothek (dort wird für Recherchen im Internet gesurft) mit Mandrake Linux ausgestatt. Ist zwar nicht rasend schnell, aber da kann nichts drauf, weil kein Wine drauf und kein root-Zugang verfügbar (halt nur für uns passwort-wissenden ;)). Wenn ihr aber darauf programmiert und so, dann wäre gcc die einzige Möglichkeit C++ zu verwenden. Und ich vermute mal die Lehrer werden zu faul sein, kurz ihre Dinge umzuschreiben. ;)

Ansonsten würde ich alles über einen lokalen Router laufen lassen, der auch als DHCP-Server funktioniert und eine Firewall hat. Dann könnte ihr einzelne Ports sperren bzw. freischalten. Einfach und sehr effektiv. :twisted: Sicher bin ich mir nicht, ob das dann auch im Netzwerk funktioniert. Habe das noch nie ausprobiert. Aber es wäre eine Möglichkeit (Router dann mit fli4l oder so).

Chris

[Alexander]

Hi Luckie,
Danke erst einmal ;-)

Zitat:

Zitat von Luckie

Ports sind dann zu, wenn keine Anwendung an dem Port horcht. Aber seit wann dürfen auf Schulrechner Ego Shooter wie CS installiert sein? :gruebel:

That's the problem ;-)

Zitat:

Win9x Rechner sind definitiv nicht für ein Netzwerk geeignet, da sie keine Mehrbenutzer Betriebssystem sind. Das Problem loegt also schon in der Tatsache begründet, dass das falsche Betriebssystem benutzt wird.

Tja das ist klar. Aber es fehlt nun mal das Geld auf 2000 oder XP upzudaten. Außerdem sind die meisten Rechner zu langsam dafür. Es geht mir jetzt eigentlich nur um 4 Rechner, auf denen ME ist und die für Spiele geeignet wären...
Die anderen sind max. Rechner mit 266 Mhz.
Aber es sollte natürlich für alle Rechner sicher gemacht werden.

Das Port generell zu sind, ist klar. Nur sollen sie auch nicht geöffnet werden können.
Da muss es doch eine Möglichkeit geben !?

[mirage228]

Hi,

auf unseren alten P166ern war noch Windows NT 4.0 Workstation installiert... also das würds auch tun in Punkto Sicherheit. Auf den neueren haben wir Windows 2000 Professional.

mfG
mirage228

[GimbaR]

...
Hätte ja nie gedacht, dass es so viele schüler-admins gibt (ich denke ma ihr seid noch schüler, da ihr um die 17 jahre alt seit).
Also, ich (natürlich net allein, es gib nocht nen admin^^) hab das so gelöst wie mirage228, jedoch haben wir einfach nen proxy dazwischen, wir nutzen momentan die kostenlose software lösung Jana proxy server, mit der wir sehr zufrieden sind...

PS: Würd mich gern mal mit dir über ICQ unterhalten...

[Alexander]

Hi,

Zitat:

Zitat von mirage228

Hi,

auf unseren Schulrechnern lässt sich ohne Admin-Zugang, den die Schüler nicht haben, keine zusätzliche Software installieren.

Die lokale Festplate ist Tabu (Win+E geht nicht, Diskette und CD-ROM sind im Explorer gesperrt, USB-Sticks gehen). Die Daten werden in einem Netzwerkpfad (Tauschverz$ :D) gespeichert. Die Profile werden mit dem Profil auf dem Server synchronisiert (also die Profile liegen auf dem Server)

Auch ist das IPX Protokoll deaktiviert, sodass man nicht zocken kann.
FTP Port 21 ist über den Linux Server gesperrt, über den die Rechner ins Internet gehen.
ICQ2Go funktioniert auch nicht...

Auf allen Rechnern ist zudem Mastereye installiert und kann nicht beendet werden (Prozesse beenden ist nicht erlaubt), sodass der Lehrer sehen kann, was die Schüler machen.

Vielleicht gibt dir die Konfiguration unserer Schulrechner eine Idee, wie ihr es bei euch machen könnt ;)

mfG
mirage228

Das hört sich gut an, wird aber wohl nicht ohne weiteres möglich sein, da eben nur Win 9x drauf installiert ist.
Wie schon gesagt ist umrüsten zu teuer und derzeit auch viel zu zeitintensiv (was da alles für Programme drauf sind, die benötigt werden...)

Zitat:

Zitat von Chris

Hi,
ich finde David's Vorschläge gut!
Ich weiß zwar nicht wozu euer Informatikraum verwendet wird, aber wir haben unsere Bibliothek (dort wird für Recherchen im Internet gesurft) mit Mandrake Linux ausgestatt. Ist zwar nicht rasend schnell, aber da kann nichts drauf, weil kein Wine drauf und kein root-Zugang verfügbar (halt nur für uns passwort-wissenden Wink). Wenn ihr aber darauf programmiert und so, dann wäre gcc die einzige Möglichkeit C++ zu verwenden. Und ich vermute mal die Lehrer werden zu faul sein, kurz ihre Dinge umzuschreiben. Wink

Ansonsten würde ich alles über einen lokalen Router laufen lassen, der auch als DHCP-Server funktioniert und eine Firewall hat. Dann könnte ihr einzelne Ports sperren bzw. freischalten. Einfach und sehr effektiv. Twisted Evil Sicher bin ich mir nicht, ob das dann auch im Netzwerk funktioniert. Habe das noch nie ausprobiert. Aber es wäre eine Möglichkeit (Router dann mit fli4l oder so).

Tja unser Info-Raum wird zum Proggen (JAVA), Grafikbearbeitung, Tippen, Surfen ...., einfach alles (miss) braucht ;-)
Linux geht auf keinen Fall und ist auch wieder zu viel Arbeit...
Läuft über einen lokalen (Hard und Software) Router. Wenn ich dort die Ports sperren würde, ist es dennoch möglich Netzwerkspiele zu spielen ;-)
Derzeit gibt eine oder auch Platten in den Rechnern, mit insgesamt 2 Partitionen, eine die mit dem HDD Schutz geschützt ist und eine ohne, zum lokalen Speichern.
Kurse haben dann noch spezielle Logins mit Samba Freigaben auf den beiden

Und eine Überwachung, so dass der Lehrer sehen kann, was die Schüler machen bringt es auch nicht, da der meiste Mist gemacht wird, wenn Lehrer nicht da sind (-> Pausen, Freistunden ..).
Der Info Raum ist nämlich nur durch einen speziellen PC mit Codeeingabe geschützt, erst bei richtigem Code lässt sich die Tür öffnen.
Mittlerweile hat aber jeder einen Code bzw. kommt auch so rein (klopfen usw...)...

[Alexander]

Man ist das ein Ansturm ;-) Danke ;-)

Zitat:

Zitat von GimbaR

...
Hätte ja nie gedacht, dass es so viele schüler-admins gibt (ich denke ma ihr seid noch schüler, da ihr um die 17 jahre alt seit).
Also, ich (natürlich net allein, es gib nocht nen admin^^) hab das so gelöst wie mirage228, jedoch haben wir einfach nen proxy dazwischen, wir nutzen momentan die kostenlose software lösung Jana proxy server, mit der wir sehr zufrieden sind...

PS: Würd mich gern mal mit dir über ICQ unterhalten...

Naja das ganze mache ich auch nicht allein, es findet im Rahmen einer AG statt. Es gibt also noch einen Lehrer der über allen steht ;-)
Mittlerweile sind sehr viele in der AG, die einfach keine Ahnung haben und selber die ganze Zeit nur spielen...
Ich bin mit 2 Freunden, der Ahnung davon hat und genau weiß wie alles funktioniert, da ich es auch vieles aufgebaut habe...

Der JANA Proxy selber ist zwar nicht schlecht, aber wie gesagt haben wir 2 Linux Server bei uns stehen ;-)...

ICQ ist gerade nicht funktionsfähig ;-) Komme einfach nicht rein, auch nicht mit ICQ2GO (bricht beim Passwortüberprüfen einfach ab :gruebel:)
Aber wir könnten ja den DP Chat benutzen ;-)

Unser anderer Informatik-Raum ist nicht frei zugänglich und dort stehen - wie gesagt - nur XP Rechner mit 2,6 Ghz. Dort ist so gut wie alles abgesichert. Nur der andere Raum mit den Win 9x Rechner ist das Problem...

Edit:

Zitat:

Zitat von mirage228

Hi,

auf unseren alten P166ern war noch Windows NT 4.0 Workstation installiert... also das würds auch tun in Punkto Sicherheit. Auf den neueren haben wir Windows 2000 Professional.

mfG
mirage228

Tja wie gesagt würde sich das nicht wirklich lohnen dort NT aufzusetzen, das wären etwa 15 Rechner auf denen etliche Programme neuinstalliert werden müssten usw.. Das ist derzeit und wohl auch nicht in naher Zukunft drin. Es muss eine einfachere Lösund geben...

[jfheins]

Erstelle ein Programm, dass
1. Unsichtbar ist
2. Den Prozess hl.exe ständig killt (Timer)
(evtl. 3. den Prozess taskmgr.exe standig killt)

[Alexander]

Mhm. Das wäre nicht so das Problem und innerhalb weniger Minuten fertig.
Allerdings weiß ich gar nicht, ob es den Prozess hl.exe überhaupt unter Win9x gibt !?
Oder ist das CS bzw. Half Life?

Das würde ja nichts bringen, denn es werden auch andere Spiele gespielt und das Programm immer zu aktualisieren, ist ja auch nicht gerade effektiv ;-)

[jfheins]

Zitat:

Zitat von Alexander

Allerdings weiß ich gar nicht, ob es den Prozess hl.exe überhaupt unter Win9x gibt !?
Oder ist das CS bzw. Half Life?

Ja, das ist die Half-Life Engine (in der CS läuft)

Wenn dir eine Rote Liste (was gekillt wird) zu viel Arbeit ist, mach doch ein Grüne Liste !
Alle Prozesse, ,die nicht auf dieser Liste sind, werden automatisch gekillt, mit der Zeit hast du alle Prozesse und Fertig. :mrgreen:

[Luckie]

Nur dass es unter Win9x auch kein Problem ist dieses Überwachungsprogramm abzuschießen.

[mirage228]

Hi,

naja, wenn das nicht lohnt das Windows NTx drauf zu machen, dann würde ich einfach nen router mit firewall dazwischenhängen und die ports darüber zu sperren - wie bereits vorgeschlagen wurde.

das mit hl.exe killen ist an sich ne gute idee (ja, die datei heisst bei CS genauso (da es ja "nur" ein HL mod ist), außer bei steam, da isses imho die steam.exe), aber man könnte ja die hl.exe einfach umbennenen...

mfG
mirage228

[Alexander]

Zitat:

Zitat von Luckie

Nur dass es unter Win9x auch kein Problem ist dieses Überwachungsprogramm abzuschießen.

Das stimmt, aber wenn ich auch den Taskmanager von 9x schneller kille ;-)
Die meisten haben dann nun nicht so viel Ahnung davon, so dass sich solch etwas schon lohnen würde.

Allerdings hat David auch wieder recht, einfach umbenennen und gut ist, da werden wohl noch einige drauf kommen können.

Eine "grüne Liste" ist zwar keine schlechte Arbeit aber irgendwie auch zu viel Ahnung, da sich die relativ schnell ändern würde.

Ports am Router sperren würde nicht bringen (Netzwerk-Spiele würden dennoch gehen), da wir in den 2 Informatik-Räumen je riesige Panels haben, die die Rechner verbinden und dann in den Serverraum weitergeben. Dort sind dann der Router und die Server zwischengeschaltet.
Spielen im jeweiligen Netzwerk würde dennoch funktionieren. Ich meine das haben wir sogar schon ausprobiert..

[alcaeus]

Zitat:

Zitat von Luckie

Nur dass es unter Win9x auch kein Problem ist dieses Überwachungsprogramm abzuschießen.

Unter Win9x hat man aber noch die Möglichkeit, einen Prozess im Taskmanager zu verstecken. Dies ist ja erst seit Win2k nicht mehr möglich. Also müsstest du den Taskmanager nicht mehr killen.

Greetz
alcaeus

[Christian Seehase]

Moin Alexander,

es gibt unter 9x/Me die Möglichkeit das Ausführen bestimmter Programme zu verbieten (mit Trick geht es dann doch, aber wer das nicht weiss, bzw. den nicht kennt ... ;-) )

Dazu muss der Name der Datei ein einem Registry Key angegeben werden. Leider kann ich mich im Moment nicht mehr daran erinnern, wo das noch genau eingetragen werden muss.
Versuch' doch mal auf MSDN einen entsprechenden Artikel zu finden.
Ggf. können Dir auch Policies weiterhelfen, u.a. um Laufwerke auszublenden.
Das sollte, in begrenztem Masse, auch unter 9x möglich sein.
Wer kein CD Laufwerk sieht, und nicht weiss, dass er nur den Buchstaben angeben muss, kann dann schon scheitern ;-)

[Alexander]

Hallo Christian,

Zitat:

Zitat von Christian Seehase

Moin Alexander,
es gibt unter 9x/Me die Möglichkeit das Ausführen bestimmter Programme zu verbieten (mit Trick geht es dann doch, aber wer das nicht weiss, bzw. den nicht kennt ... ;-) )

Danke, aber ich kann nicht jedes Spiel usw. ausschließen :?
Das ist wie auch schon mit dem Killen der entsprechenden Prozesse nicht so optimal.
Man könnte zwar ein kleines Log-Programm schreiben und danach auschließen, darüber müsste ich noch mal nachdenken.

Zitat:

Dazu muss der Name der Datei ein einem Registry Key angegeben werden. Leider kann ich mich im Moment nicht mehr daran erinnern, wo das noch genau eingetragen werden muss.
Versuch' doch mal auf MSDN einen entsprechenden Artikel zu finden.
Ggf. können Dir auch Policies weiterhelfen, u.a. um Laufwerke auszublenden.
Das sollte, in begrenztem Masse, auch unter 9x möglich sein.
Wer kein CD Laufwerk sieht, und nicht weiss, dass er nur den Buchstaben angeben muss, kann dann schon scheitern ;-)

Das mit dem verstecken von Laufwerken hört sich nicht schlecht an, hast du mehr Infos für mich ?

[Christian Seehase]

Moin Alexander,

Zitat:

Zitat von Alexander

Danke, aber ich kann nicht jedes Spiel usw. ausschließen :?

Musst Du auch nicht. Wenn z.B. SETUP.EXE gesperrt wird, lassen sich die meisten Programme schon mal nicht installieren ;-)

Zitat:

Zitat von Alexander

Das mit dem verstecken von Laufwerken hört sich nicht schlecht an, hast du mehr Infos für mich ?

Such' mal auf MSDN nach NoDrives Policy
Wie gesagt, weiss ich aber nicht sicher, ob das auch unter 9x/ME funktioniert.

[Alexander]

Zitat:

Zitat von Christian Seehase

Moin Alexander,

Zitat:

Zitat von Alexander

Danke, aber ich kann nicht jedes Spiel usw. ausschließen :?

Musst Du auch nicht. Wenn z.B. SETUP.EXE gesperrt wird, lassen sich die meisten Programme schon mal nicht installieren ;-)

Das ist schon mal eine super Idee ;-) Jetzt müsste man nur noch den Reg-Schlüssel finden :?

Zitat:

Zitat:

Zitat von Alexander

Das mit dem verstecken von Laufwerken hört sich nicht schlecht an, hast du mehr Infos für mich ?

Such' mal auf MSDN nach NoDrives Policy
Wie gesagt, weiss ich aber nicht sicher, ob das auch unter 9x/ME funktioniert.

Ich schau es mir mal an, hoffentlich funktioniert das unter 9x ;-)
Danke schon mal :thuimb:

Bin natürlich für weitere Ideen offen ;-)

[Kernel32.DLL]

Zitat:

Zitat von Alexander

Eine "grüne Liste" ist zwar keine schlechte Arbeit aber irgendwie auch zu viel Ahnung, da sich die relativ schnell ändern würde.

Wieso würde die sich schnell ändern? Friemelt ihr soviel an euren Schulrechenern herum? Bei uns sind die wichtigsten Programme druf' und es wird ziemlich selten etwas an der Konfig geändert.

Ach ja, und was das verstecken angeht:

Delphi-Quellcode:

//Wie kann ich das Programm vor dem Taskmanager (STRG+ALT+ENTF) verstecken?



implementation
  function RegisterServiceProcess (dwProcessID, dwType: DWord) : DWord; stdcall;
  external 'KERNEL32.DLL';

...

RegisterServiceProcess(GetCurrentProcessID,1);
// Verstecken

RegisterServiceProcess(GetCurrentProcessID,0);
// Wieder zeigen



//Beitrag von ehemals Delphi-Total

[Alexander]

Naja erstmal sind bestimmt an die 50 Programme installiert, wenn nicht mehr :?
Und zweitens kommt irgendein Lehrer bestimmt alle 2 Wochen an und meint wieder irgendwas installiert haben zu wollen (ob wir das machen ist ne andere Sachen :mrgreen:)

Außerdem könnte man dann auch wieder andere Anwendungen wie z.B. CS einfach in EXCEL.EXE umbenennen und es würde wieder funktionieren :?
Da finde ich Christians Idee irgendwie genialer ;-)

[Kernel32.DLL]

stimmt auch wieder... :roll:

[Luckie]

Zitat:

Zitat von alcaeus

Zitat:

Zitat von Luckie

Nur dass es unter Win9x auch kein Problem ist dieses Überwachungsprogramm abzuschießen.

Unter Win9x hat man aber noch die Möglichkeit, einen Prozess im Taskmanager zu verstecken. Dies ist ja erst seit Win2k nicht mehr möglich. Also müsstest du den Taskmanager nicht mehr killen.

Es gibt andere Tools, die auch diese Prozesse auflisten. ;)

[Alexander]

Ich habe gerade was über das Sperren von verschiedenen Anwendungen gefunden:
http://www.winfaq.de/faq_html/faq_fr.htm
Doch leier geht das anscheinend noch gar nicht unter 95 :sad:
Naja aber es ist schon mal ein Anfang für die ME-Rechner...

[scp]

unter 95/98 gibt es immerhin auch schon ein paar Sicherheitsmöglichkeiten. Mit einem Tool namens poledit kann man schon einiges einstellen (z.B. Start->Ausführen... aus dem Menü rausnehmen usw.).
poledit ist entweder schon im Windows-Ordner vorhanden oder auf der Installations-CD zu finden.