Die NetMan for Schools Knowledgebase

NetMan.V3 NetMan.Desktop Client NetMan

Konfiguration des NetMan Internetfilters

NetMan 3.3 (und höher) gestattet, für den Aufruf eines Prozesses (Windowsanwendung, Browserinstanz mit einem Hyperlink) die Möglichkeiten der Internetnavigation anzugeben. Unterstützt werden die Protokolle HTTP, HTTPS und FTP. Im folgenden Artikel wird die Steuerung des Internetzugriffs über das NetMan Environment dargestellt.
Bei höherer Versionen von NetMan und NetMan Desktop Manager können die gleichen Einstellungen über eine Karte in den NetMan Einstellungen erzeugt werden, die die hier beschriebenen Vorgehensweisen ersetzt.

Konfiguration des Internetfilters in NetMan for Schools 3.3

Vgl. Artikel #2655 für höhere Versionen.

Der Internetfilter wird für die einzelne NetMan Sitzung über eine Aktion (z.B. in einer Startkonfiguration) ein- oder ausgeschaltet. Wird der Filter eingeschaltet, kann ein globaler Filter definiert werden, der dann greift, wenn keine programm- oder hyperlinkspezifische Filterzuordnung vorgenommen wird. Die Aktion schreibt die beiden folgenden Variablen:

NMINetFilter=0|1
NMInetGlobalConfigFile=name of internet filter file

Die globale Internetfilterdatei kann prozessabhängig überschrieben werden, z.B. um Onlinehilfen und zusätzliche Angebote des Herstellers/Anbieters einer Windowsanwendung aus dem Web laden zu können.

Eine NetMan Internetfilterdatei enthält Regeln mit Listen erlaubter URLs, die der Filter zur Laufzeit von NetMan interpretiert. Der Filter beobachtet per Voreinstellung die folgenden Ports:

HTTP     Port 80
HTTPS   Port 443
FTP       Port 21

Entspricht eine aufgerufene URL nicht den Regeln, erfolgt ein Redirect auf den NetMan Webserver, der eine Verbotsseite mit der folgenden URL bereithält:

http://myserver:myport/nminfo/_noacc.htm

Abweichungen vom Standard können über die Karte "Erweitert" in den NetMan Einstellungen vorgenommen werden.

Die folgenden Einstellungen erfordern den NetMan Desktop Client in der Version 3.5.2.0.

Wird in einem Netz ein Proxyserver verwendet, müssen u.U. mehrere Modifikationen vorgenommen werden. In der Regel kann der Proxyserver den Namen des NetMan Webservers im Intranet nicht auflösen. In diesem Fall muss eine externe Verbotsseite aufgerufen werden, die auf einem Server von H+H liegt (noaccess.hh-netman.de). Dies wird dem Filter über die folgende Variable mitgeteilt:

NMIFRedirectHost=noaccess.hh-netman.de

Verwendet der Proxyserver andere Ports für den Internetzugriff, müssen die Standardwerte überschrieben werden:

NMIFHTTPPorts=port1,port2

In äquivalenter Weise können die Ports für HTTPS und FTP umgesetzt werden, wenn dies erforderlich ist:

NMIFHTTPSPorts=port1,port2
NMIFFTPPorts=port1,port2

Wird ein Proxy über ein Konfigurationsskript ermittelt, muss die URL für das Konfigurationsskript grundsätzlich erlaubt sein. Dies ist über die folgende Einstellung möglich:

NMIFValidURL_1=http://config.domain.de/proxy.cfg
NMIFValidURL_2=https://urs.microsoft.com

Internetfilterkonfiguration bei nicht laufendem NetMan Desktop Client

Läuft der NetMan Desktop Client nicht, ist der Filter per Voreinstellung inaktiv. In Umgebungen, in denen denoch eine Steuerung erfolgen soll, können die oben beschriebenen Einstellungen in folgendem Schlüssel gesetzt werden:

HKEY_LOCAL_MACHINE\SOFTWARE\H+H Software GmbH\NetMan 3\NetMan - Internet Filter LSP

Die Einstellungen werden in diesem Fall nur dann wirksam, wenn der jeweilige Benutzer Nicht-Administrator ist. Ebenso werden der SYSTEM Account sowie laufende Services nicht gefiltert.

Im folgenden Beispiel (Proxyserver wird verwendet, Proxy wird über Skript ermittelt) wird der Internetfilter über die Registrierungsdatenbank eingeschaltet:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\H+H Software GmbH\NetMan 3\NetMan - Internet Filter LSP]
"NMInetFilter"="1"
"NMIFRedirectHost"="212.12.102.42"
"NMIFValidURL_1"="http://config.itac-school.de/proxy.cfg"
"NMIFHTTPPorts"="80,8080"
"NMHost"="MyHost"

Hinweis: Um das Spiegeln zu ermöglichen, muss der Eintrag NMHost gesetzt werden; ist dies nicht der Fall, wird die Abfrage von nmchttp an die NetMan Web Services blockiert (Fehlermeldung: "Die Anwendung konnte nicht bestimmt werden.").

Zugriff für ausgewählte Prozesse verweigern

Der NetMan Internetfilter wird beim Starten von Prozessen geladen. Er wird erst dann aktiv, wenn zum ersten Mal ein Internetzugriff erfolgt und verhält sich entsprechend den Einstellungen, die beim Prozeßstart aktiv waren. In Umgebungen, in denen im laufenden Betrieb der Internetzugriff ein- und ausgeschaltet wird, kann dies zu unerwünschten Resultaten führen. Z.B. wird der Prozess "explorer.exe", der in der Regel beim Windowsstart gestartet und steht dann bis zur Abmeldung zur Verfügung. Wird diesem Prozess bei der Anmeldung des Benutzers ein freier Internetzugang gewährt, behält er dieses Recht bis zum Abmelden des Benutzers - auch dann, wenn inzwischen der Internetzugriff über eine NetMan Aktion verboten wurde.

Über die Variable

NMIFDenyProcessList=explorer.exe

kann Prozessen (im Beispiel "explorer.exe") generell der Internetzugriff verwehrt werden. Die Listenelemente werden durch das Pipezeichen "|" getrennt.