Virtuelle Private Netzwerke in Schulen

Um einen einfachen und effizienten Support zu leisten, werden die Schulen über das Internet mittels eines VPN (Virtual Private Network) mit dem Schul-Support-Zentrum verbunden. Dabei stehen mehrere Technologien und Lösungen zur Auswahl - im unserem Supportgebiet Gelsenkirchen wird momentan die kostengünstige und flexible OpenSource-Software OpenVPN eingesetzt und erprobt, während andere Städte sich z.B. für Hardwarelösungen von Cisco entschieden haben.

Durch die direkte Anbindung der Schulen an das Schul-Support-Zentrum lassen sich viele der Routineaufgaben oder anfallenden Supportaufkommen schnell, effizient und kostengünstig ferngesteuert erledigen. Support-Mitarbeiter müssen in vielen Fällen nicht mehr zu den Schulen herausfahren und können Ferndiagnosen stellen oder die Schwere eines Problems genauer einschätzen und Vorbereitungen treffen.

Lösung für VPN-Probleme mit DSL-Routern und dynamischen IP-Addressen
Durch den Einsatz von Software-VPN-Lösungen wie OpenVPN lassen sich häufig auftretende Probleme mit handelsüblichen DSL-Routern umgehen, die den so genannten Aggressive-Mode für IPSec nicht beherrschen. Das bedeutet, dass diese Router keinen VPN-Tunnel aufbauen können, wenn dynamische IP-Adressen zum Einsatz kommen, wie es bei den in den Schulen genutzten T@School-/ T-DSL-Anschlüssen üblich ist. Die Software-VPN-Lösung umgeht das Problem, indem der VPN-Tunnel nicht vom DSL-Router, sondern vom Server aufgebaut wird und der problematische Router lediglich für den Internetzugang genutzt wird.

Virtual Private Networks (VPNs) sind – wie der Name schon verdeutlicht – virtuelle Netzwerke, die über ein öffentliches, unsicheres Netzwerk, wie das Internet, aufgebaut werden und durch starke Verschlüsselung eine vertrauliche, private Kommunikation ermöglichen. Abbildung 1 zeigt den prinzipiellen Aufbau eines VPN.

Abbildung 1 - Prinzipieller Aufbau eines VPN (vergrößern)

Dabei gibt es zwei unterschiedliche Szenarien – die Anbindung eines ganzen Standorts (Site-to-Site) an ein internes Netzwerk oder einzelner Personen (End-to-Site).

Anbindung der Schulen Die Schulen, die vom Schul-Support-Zentrum betreut werden, werden üblicherweise Site-to-Site an das Netzwerk des Schul-Support-Zentrums angebunden, so dass sich auf einfache Weise im Fernzugriff diverse Fehler oder Störungen beheben lassen. Diagnosen sowie die Überwachung kritischer Komponenten lassen sich so ohne großen Aufwand durchführen.

Abbildung 2 - Site-to-Site VPN: Anbindung von Standorten (vergrößern)

Anbindung einzelner Personen Weiterhin ist es möglich einzelnen Personen einen sicheren Zugang per VPN zu entfernten Ressourcen zu ermöglichen.

• So können einzelne Support-Mitarbeiter entfernt auf die Infrastruktur in Schulen zugreifen ohne vorbeifahren zu müssen.
• Lehrkräfte können von zu Hause arbeiten und trotzdem auf das Netzwerk der Schule zugreifen.
• Support-Mitarbeiter können von Schulen sicher auf vertraute Informationen im Support-Zentrum zugreifen.

Abbildung 3 - Endo-to-Site VPN: Anbindung von einzelnen Personen. (vergrößern)

Im Rahmen verschiedener Forschungsprojekte führen wir Tests und Installationen von Lösungen unterschiedlicher Hersteller (u.a. Cisco, SonicWall, Astaro, DrayTek (Vigor)) durch und entwickeln eigene Lösungen vorrangig mittels leistungsfähiger und kostengünstiger OpenSource-Software wie Linux in Verbindung mit anderen OpenSource-Projekten. Dabei setzen wird unterschiedliche Arten von VPN ein, u.a. :

• SSL VPN mit OpenVPN als Software-only-Lösung zum Aufbau von VPN-Tunneln von Server zu Server mit Zertifikaten/PKI. Kostengünstig, einfach und sicher.
• IPSec VPN bevorzugt in Verbindung mit Hardware-Lösungen. Performant, sicher und etabliert. Die typische VPN-Lösung.
• PPTP VPN falls es die Umstände erfordern. Nicht so sicher wie SSL VPN und IPSec VPN, aber im Windows-Umfeld noch weit verbreitet.

Bei der Einbindung einer Schule in den Support werden üblicherweise die folgenden Schritte durchgeführt:

• Als erstes wird eine Bestandsaufnahme der in der Schule vorhandenen Hard- und Software durchgeführt
• Anschließend wird auf Basis der eingesetzten Hard- und Software-Konfiguration in der Schule ein kostengünstiges und leistungsfähiges Konzept für die jeweilige Schule bzw. den Schulträger erarbeitet.
• Da VPN eine Basistechnologie darstellt, können nun weitere Dienste mit zusätzlichem Nutzen aufgebaut werden.

Durch die dauerhaft bestehende Anbindung der Schulen an das Schul-Support-Zentrum können – falls gewünscht – weitere Dienste angeboten werden, wie

• Netzwerkmanagement, wodurch Störungen des Netzwerks sofort bemerkt und delegiert werden können,
• Systemmanagement, wodurch sich Software und Betriebssystem automatisch installieren und pflegen lassen.

Somit kann die Zuverlässigkeit und die Verfügbarkeit der Schulnetzwerke entscheidend gesteigert werden sowie ausgereiftes Softwaremanagement eingesetzt werden. Abbildung 2 zeigt ein mögliches Anwendungsszenario.

Abbildung 2: Anwendungsszenario: Remote-Administration, Netzwerk- und Systemmanagement über VPN. (vergrößern)

Für weitere Informationen wenden Sie sich bitte an:

• Herrn Prof. Dr. Andreas Cramer
  Tel: 0209/9596-534
  Fax: 0209/9596-543