Instalación y administración de aulas informáticas
basadas en LiNUX

Ponente:

Juan Antonio Martínez Castaño
Email: jantonio@dit.upm.es
WWW: http://www.dit.upm.es/~jantonio
Nota del autor:
Este documento constituye el texto de la ponencia del mismo nombre expuesta durante las jornadas del Primer Congreso de la Asociación Española de Usuarios de Linux HispaLiNUX.
Me hubiera encantado poder ponerlo bajo licencia de distribución Libre, pero desgraciadamente mi estómago pide otra cosa, y he compromentido con una revista técnica la publicación de un estudio técnico basado en esta ponencia.
Por todo ello, debe entenderse la siguiente licencia como una restricción, no de distribución, sino de publicación impresa. Mi objetivo es proteger los derechos del editor, y en ningún caso restringir el acceso a la información contenida.

Copyright. Licencia de uso

Este artículo es Copyright 1998 de Juan Antonio Martínez Castaño y se distribuye bajo las siguientes condiciones:

Indice:

 Introducción

Problemática de un aula informática

Necesidades y Requerimientos Soluciones Los laboratorios docentes del DIT Ampliaciones, posibilidades Conclusiones

Referencias. Transparencias de la ponencia

Introducción

 Un problema común al que se enfrentan muchos laboratorios docentes de las diversas universidades es el de cómo instalar y mantener dicho laboratorio operativo, actualizable, y con coste de administración lo más bajo posible.

En esta conferencia se analiza la problemática inherente a dichas aulas informáticas, se exponen diversas soluciones, con sus pros y contras, y se describe la solución Linux que actualmente es utilizada en los Laboratorios Docentes del Departamento de Ingeniería de Sistemas Telemáticos de la E.T.S.I. Telecomunicacíon de la Universidad Politécnica de Madrid, dando servicio centralizado a dos aulas informáticas con más de 100 puestos y cerca de 1800 usuarios

Indice

Problemática de un aula informática

 Hoy en día la expresión "ordenador personal" es tomada en sentido literal: un ordenador por persona. Es casi impensable, no ya tener dos configuraciones de sofware idénticas, sino incluso dos hardwares idénticos. Todo ello conlleva una serie de costes añadidos de instalación y configuración, que encarecen a la larga la compra de un "hardware barato".

Cuando el administrador se efrenta a la tarea de mantener en correcto funcionamiento un conjunto de PC's y tenerlos permanentemente actualizados, y "listos para funcionar", debido a estas "diferencias", el coste no crece linealmente, sino que se dispara: un simple PC desconfigurado puede hacer perder todo un día de trabajo.

Si además de ello, añadimos el hecho de que el PC no sea para uso personal, sino compartido por una comunidad heterogénea de usuarios, el mantenimiento puede llegar a ser una auténtica pesadilla para el administrador.

Esta situación no es en absoluto extraña: laboratorios docentes, cibercafés, salas de diseño arquitectonico... son entornos que se caracterizan por:

Otros problemas que elevan el coste de mantenimiento son:

En resumen, el administrador se enfrenta a la ingrata tarea de mantener un parque informático heterogéneo, con múltiples usuarios y en un entorno "hostil" e inseguro, sobre el que no siempre puede tener control directo.

Indice

Requerimientos y necesidades

 Lo que pretendemos es intentar conseguir un "coste cero" en el mantenimiento de la red. Evidentemente, este coste no puede incluír el del mantenimiento hardware pues este se rompe, o se roba, o simplemente se queda obsoleto y es preciso substituírlo. Lo que buscamos con el "coste cero" es:

Antes que nada, es necesario decir que el "100% seguro" es imposible: mientras el usuario tenga posibilidad de tomar control del ordenador, lo que con sistemas por todos nosotros conocidos es tarea de "primero de cracker", no hay solución posible a dicho problema. Lo que nosotros pretendemos es que a pesar de estos ataques, el PC pueda volver a estar operativo sin más que el usuario siguiente haga otra cosa que apagar y encender el ordenador

Pero no solo debemos pensar del lado del administrador. Nuestra aula debe ser capaz sobre todo de atender a las necesidades y requerimientos del usuario, que es al fin y al cabo el destinatario de nuestro trabajo. Debemos pues

Estas necesidades nos introducen en el concepto de admninistración centralizada. El aula debe ser gestionada por una o dos personas desde un "puesto de control", o bien desde el propio Centro de Calculo. El CdC debe ofrecer las funciones de:

Indice

Soluciones

 Es evidente de que el primer paso para disminuír el coste de mantenimiento del aula, es el hacer que cada puesto sea lo más autónomo posible. Debe garantizarse el arranque y la actualización sin necesidad de que el personal de servicio se tenga que sentar delante del puesto

El primer paso consiste pues, en el control del arranque del sistema. No podemos darle al usuario libertad, pues basta con que éste se haga con el control del arranque para tener bajo control dicho ordenador. Es más: no podemos simplemente confiar en deshabilitar el arranque desde disquetera, pues fácilmente el contenido del disco duro puede estar corrompido, o plagado de virus informáticos, o no responder en absoluto a lo que el administrador -e incluso el usuario- desean. Se impone un arranque controlado y que dependa enteramente de lo que el administrador haya dispuesto.

Las soluciones evidentes son:

Una vez que el sistema ha arrancado se plantea el problema de tener actualizada y uniformizada la información que cada puesto contiene. Debemos conseguir: En el momento de arranque el sistema debe ser capaz de detectar las diferencias de hardware y adaptarse a él. Tarjetas de red, tarjetas graficas monitores, ratones... deben ser correctamente detectadas y configuradas. El recurso habitual suele ser una base de datos centralizada que se consulta en el momento del arranque y que permiten al cargador del sistema actualizar éste

Para actualizar la información, se suele acudir a procedimientos de carga remota del software. Dependiendo del centro y de los recursos esta actualización será más o menos centralizada y/o automática.

Un recurso habitual para conseguir una rápida actualización es el no actualizar en absoluto: las aplicaciones se toman de un servidor de red. Debemos en este caso proporcionar un entorno de red seguro y fiable, con sistemas redundantes y que permita una reconfiguración "on line", para no perder servicio.

En toda esta descripción hemos focalizado el tema desde el lado del puesto de trabajo. ahora toca plantearse el lado del administrador. Toda aula informática debe tener:

Por motivos mas que evidentes de seguridad, los usuarios no tendrán acceso directo a dichas máquinas, sino que se deben establecer diversos metodos de control. Del mismo modo entre dichas máquinas puede circular información "sensible" de administración ( passwords, protocolos de gestión ) que hace necesario aislar dicha sección de posibles "sniffers" y de ataques malintencionados

La solución común es dividir el aula informática en dos subredes

Entre dichas redes se pone un router, que hace las veces de firewall, proxy y pasarela de acceso a servicios
Por último hay que hacer notar una serie de servicios adicionales: Como conclusión hemos llegado pues a un aula informática con una red de gestión y una de explotación, donde los puestos arrancan y se administran desde la red local, y donde una batería de servidores proveen a los puestos de todo lo necesario.

Este enfoque tiene algunas limitaciones:

No obstante, las ventajas superan a los inconvenientes: normalmente es mas sencillo -y barato- mantener un puesto de vigilancia en el centro de cálculo, que tener uno o varios operadores continuamente en la sala yendo de ordenador en ordenador arreglandolos y dejándolos operativos.

Indice

Los laboratorios docentes del D.I.T

 Las características que hemos hablado se reflejan fielmente en los Laboratorios docentes de nuestro departamento. A grandes rasgos tenemos las siguientes caracteristicas:

A la hora de plantearnos la instalación y gestión de los laboratorios Los criterios de diseño fueron:

Rápidamente se ha hecho evidente que no podemos basarnos en sistemas Windows o MS-Dos para hacer frente a mas de 100 puestos docentes: su alta dependencia de un disco duro para el arranque hacen al PC vulnerable a la etapa más crítica: la de quien toma el control en el arranque. Del mismo modo soluciones tipo "Zero Admin Kit" de Microsoft, tampoco tienen cabida si pensamos que ni siquiera puede haber garantía de que el ordenador arranque.

Por ello desde hace bastantes años se utilizan tecnicas de arranque desde red local. Diversos proyectos de fin de carrera desarrollados por personal que ahora trabaja en el departamento, nos resolvieron los temas de instalar MS-Dos en estaciones que arrancaban de red. Con la evolución de la informática se ha pasado a otros sistemas operativos, pero al fin y al cabo la solución inicial sigue siendo ésta.

La solución Linux no es evidente a primera vista:

¿Cuál es la solución?

La idea es hacer un arranque por etapas, que desde una pequeña imagen traída por TFTP sea capaz de regenerar un sistema completo en un tiempo aceptable ( más de tres minutos en arranque no se considera satisfactorio cuando los alumnos solo disponen de turnos de trabajo de dos horas )

El proceso de arranque es el siguiente:

El resto del arranque corresponde al de un Linux normal, con las siguientes salvedades:

Cuando este proceso ha terminado, ( unos tres minutos, dependiendo de la carga de la red y de la velocidad del ordenador ) disponemos de una estación de trabajo completa lista para el usuario

Experimentalmente se comprueba que los tiempos de mayor carga de la red corresponden al proceso de recuperación de la imagen del disco duro. Además se da la dificultad añadida de que dicho proceso suele ocurrir de forma simultánea en todos los puestos, coincidiendo con los cambios de turno de los alumnos. Por ello se ha diseñado la topología de la red de manera que se optimiza el funcionamiento de los servidores de aplicaciones

Dichos servidores se encuentran concentrados en el Centro de Cálculo unidos por una red de 100Mbits. una línea de fibra óptica une los dos edificios, y líneas de 100 Mbits llegan hasta cada una de las mesas de trabajo. En función del tipo de tarjetas de red de los puestos, bien se llega a 100Mbits a ellos, o bien mediante un hub se convierte a 10Mbits

Se han concentrado todas las funciones críticas en el segmento a 100Mbits. La red de gestión por contra, funciona a 10. El router que hace de pasarela entre las dos redes tiene un proxy de Web para optimizar en lo posible los accesos al exterior.

Las listas de correo se gestionan desde el segmento de explotación, puesto que la experiencia demuestra que el mayor tráfico de correo es interno. Se ha configurado el correo electrónico de manera que solo los mensajes salientes tienen que atravesar el router.

Puesto que el firewall impide todo acceso desde y hacia la red de explotación se hace necesario un paso auxiliar para que los alumnos accedan al exterior. En el caso del Web, es el proxy el encargado de proporcionar dicho acceso. En el caso del correo electrónico, un PC auxiliar, y una ingeniosa configuración de los MX's en el DNS permite dicho acceso. Los servicios de Telnet, ftp y similares están deshabilitados, y sólo para el acceso desde el exterior a la red de explotación se permite un acceso restringido por ssh y slogin desde las estaciones de trabajo de los profesores

El DNS está gestionado desde el Centro de Cálculo. Existe un dominio propio "lab.dit.upm.es" que permite independizar los laboratorios del resto del departamento. La configuración de correo hace "host masquerading" de manera que con independencia del puesto de trabajo todas las direcciones de correo aparecen como "usuario@lab.dit.upm.es"

Para la gestión de cuentas, y teniendo en cuenta que debe ser el personal de secretaría, se ha creado una cuenta "operador" que no compromete el sistema y una serie de programas de gestión que permiten la gestión de cuentas, listas, etc de una forma sencilla

La actualización del software en los servidores de aplicaciones es sencilla: desde un servidor maestro, y mediante tecnicas de rdist se distribuye a los demás equipos el software, las configuraciones, etc

Como resultado de este trabajo, podemos decir que en estos momentos el principal problema del laboratorio consiste en evitar el robo de las bolas de los ratones....

Indice

Ampliaciones y posibilidades

 Una primera modificación al planteamiento inicial consiste en la idea de implementar un "cache" filesystem. En efecto, utilizando dicho sistema podemos utilizar el disco duro local como caché de las diversas aplicaciones que el usuario va ejecutando, disminuyendo progresivamente la carga de la red. En función de la carga de la red, y del rendimiento de la máquina, esta opción deberá o no deber ser tomada en cuenta.

No obstante, no deberemos olvidar que dicho caché ocupa espacio en disco duro; espacio que es preciso formatear en arranque, lo que puede alargar el proceso hasta hacerlo inaceptable. Como siempre la solución consiste en una correcta evaluación y prueba en condiciones reales del sistema.

La idea de poder aplicar estas técnicas a plataformas que ejecuten Windows-9x es atractiva, aunque tropieza con una serie de dificultades añadidas:

A pesar de ello, en el Departamento se ha conseguido un arranque dual Linux/Windows95 en una de las dos aulas informáticas. La solución, de nuevo nos la proporciona Linux y sus facilidades para arranques desde Ram-Disk. La idea básica consiste en tener permanentemente en una partición del disco una imagen comprimida del disco C: y mediante un menú de arranque darle al usuario la posibilidad de arrancar Linux, Windows, o bien si se sospecha que la imagen windows pueda estar corrompida, regenerarla de nuevo o incluso actualizarla desde el servidor.

Un último obstáculo: Windows95 no precisa de autentificación para arrancar, lo que convierte el PC en un sistema "libre". Un programa auxiliar verifica que el usuario ha autentificado correctamente una sesión contra el servidor de cuentas ( que ejecuta samba ), y en caso contrario fuerza un reset de la máquina

Todo lo dicho hasta ahora es de aplicación en aulas informáticas, donde es requisito que el usuario tenga acceso pleno a todos los recursos. No obstante es de perfecta aplicación a otros escenarios, siendo el más común el de un CyberCafé. Realmente la única diferencia consiste en que normalmente el número de puestos será menor, y que el acceso a aplicaciones es mucho más restringido. Aquí sí son de aplicación técnicas de XDM con window managers que solo permitan acceso al navegador, o a aplicaciones concretas.

Un último punto es el de aquellas situaciones donde el problema no es el número de puestos, sino la localización geográfica. Hablamos de puntos de información. Básicamente son PC ejecutando navegadores. El problema está en que no es posible una supervisión permanente del puesto. La única solución viable es el arranque mediante Disco-ROM, y unos programas de supervisión remota. De nuevo Windows es una solución inviable, y Linux es la solución ideal

Indice

Conclusión

 Esta charla ha resumido la problemática de aquellos puntos de trabajo en que es necesario garantizar un funcionamiento sin supervisión constante por parte de un operador. Se han analizado los problemas de seguridad inherentes a los PC y a los distintos sistemas Operativos para PC, y estudiado las posibles soluciones. Se ha puesto como ejemplo la solución Linux aplicada en el Departamento de Ingeniería de Sistemas Telemáticos, así como sus posibles ampliaciones y posibilidades.

En entornos hostiles es necesario conseguir que la intervención del operador sea mínima. Los costes se disparan exponencialmente con el número de puestos, y no es razonable otra alternativa que la gestión y administración centralizada. Linux es la solución ideal para estos entornos, por prestaciones, fiabilidad, seguridad y posibilidades de configuración

Apéndice: Transparencias

Indice

Este documento ha sido elaborado íntegramente con vi y Netscape
en un Pentium 166MMX con Eurielec Linux 2.1
Las imágenes han sido elaboradas con Xfig
Las capturas han sido realizadas con Xv
Creado por Juan Antonio Martínez
Madrid, Halloween 1998, 03:47 AM